Ново ниво на сигурност на MFP: imageRUNNER ADVANCE III

С увеличаването на вградените функции офис мултифункционалните устройства отдавна са надхвърлили тривиалното сканиране/печат. Сега те се превърнаха в пълноценни независими устройства, интегрирани във високотехнологични локални и глобални мрежи, свързващи потребители и организации не само в рамките на един офис, но и в целия свят.

В тази статия, заедно с практичния експерт по информационна сигурност Лука Сафонов ЛукаСафонов Нека да разгледаме основните заплахи за съвременните офис мултифункционални устройства и начините за предотвратяването им.

Съвременното офис оборудване разполага със собствени твърди дискове и операционни системи, благодарение на които многофункционалните устройства могат да изпълняват независимо широк спектър от задачи за управление на документи, облекчавайки натоварването на други устройства. Такова високо техническо оборудване обаче има и обратна страна. Тъй като многофункционалните устройства участват активно в предаването на данни по мрежата, без подходяща защита те се превръщат в уязвимост в цялата мрежова среда на организацията. Сигурността на всяка система се определя от степента на защита на най-слабото звено. Следователно всякакви разходи за защитни мерки за корпоративни сървъри и компютри стават безсмислени, ако остане вратичка за нападател през MFP. Разбирайки проблема със защитата на поверителна информация, разработчиците на Canon повишиха нивото на сигурност на третата версия на платформата imageRUNNER ADVANCE, които ще бъдат обсъдени в статията.

Основни заплахи

Има няколко потенциални риска, свързани с използването на многофункционални устройства в организации:

• Хакване на системата чрез неоторизиран достъп до MFP и използване като „референтна точка“;
• Използване на многофункционални устройства за ексфилтриране на потребителски данни;
• Прихващане на данни при печат или сканиране;
• Достъп до данни на лица без съответно разрешение;
• Достъп до разпечатана или сканирана поверителна информация;
• Достъп до чувствителни данни на излезли от употреба устройства.
• Изпращане на документи по факс или имейл на неправилен адрес, умишлено или в резултат на печатна грешка;
• Неоторизиран преглед на поверителна информация, съхранявана на незащитени многофункционални устройства;
• Споделен стек от задания за печат, принадлежащи на различни потребители.

„Наистина съвременните многофункционални устройства често съдържат огромен потенциал за нападател. Нашият проектен опит показва, че неконфигурирани устройства или устройства без подходящо ниво на защита дават на атакуващите огромна възможност да разширят т.нар. "атакова повърхност". Това е получаване на списък с акаунти, мрежово адресиране, възможност за изпращане на имейл съобщения и много други. Нека се опитаме да разберем дали решенията, предлагани от Canon, са в състояние да неутрализират тези заплахи.

За всеки тип уязвимост новата платформа imageRUNNER ADVANCE предоставя цял набор от допълнителни мерки, които осигуряват многостепенна защита. Трябва да се отбележи, че разработката изисква специфичен подход поради особеностите на работата на MFP. При отпечатване и сканиране на документи информацията преминава от цифров към аналогов или обратно. Всеки от тези видове информация изисква принципно различни методи за осигуряване на защита. Обикновено на кръстовището на технологиите, поради тяхната хетерогенност, се образува най-уязвимото място.

„МФУ често са лесна плячка както за пентестъри, така и за нападатели. По правило това се дължи на небрежното отношение към настройката на такива устройства и относително лесната им достъпност, както в офис среда, така и в мрежовата инфраструктура. Един от най-новите случаи е показателна атака от 29 ноември 2018 г., когато потребител на Twitter под псевдонима TheHackerGiraffe „хакна“ повече от 50 000 мрежови принтера и отпечата на тях листовки, призоваващи хората да се абонират за YouTube канала на някои PewDiePie. В Reddit TheHackerGiraffe каза, че може да компрометира повече от 800 000 устройства, но се ограничи само до 50 000. В същото време хакерът подчерта, че основният проблем е, че никога преди не е правил нещо подобно, но цялата подготовка и самото хакване му отне само половин час“.

Когато Canon разработва технологии, продукти и услуги, ние отчитаме потенциалното им въздействие върху работната среда на клиентите. Ето защо многофункционалните офис принтери на Canon се предлагат с широк набор от вградени и допълнителни функции за сигурност, за да помогнат на фирми от всякакъв размер да постигнат нивото на сигурност, от което се нуждаят.

Canon има един от най-строгите режими за тестване на безопасността в цялата индустрия за офис оборудване. Технологиите, използвани в устройствата, са тествани за съответствие с фирмените стандарти. Много внимание се обръща на проверките за сигурност с актуални изследвания, резултатите от които са получили положителни отзиви за работата на устройства от компании като Kaspersky Lab, COMLOGIC, TerraLink и JTI Русия и др.

„Въпреки факта, че в съвременните реалности е логично да се повиши безопасността на техните продукти, не всички компании следват този принцип. Компаниите започват да мислят за защита след инциденти на хакване (и натиск от страна на потребителите) на определени продукти. От тази страна показателен е задълбоченият подход на Canon към внедряването на методи и мерки за защита.”

Неоторизиран достъп до MFP

Много често незащитените многофункционални устройства са сред приоритетните цели както на вътрешни нарушители (инсайдери), така и на външни. В съвременните реалности корпоративната мрежа не се ограничава до един офис, а включва група от отдели и потребители с различно географско местоположение. Централизираният документооборот изисква отдалечен достъп и включване на мултифункционалните устройства в корпоративната мрежа. Мрежовите устройства за печат принадлежат към Интернет на нещата, но на защитата им често не се обръща необходимото внимание, което води до цялостна уязвимост на цялата инфраструктура.

За защита срещу този вид заплаха са въведени следните мерки:

• Филтър за IP и MAC адреси – конфигурирайте, за да разрешите комуникация само с устройства, които имат специфични IP или MAC адреси. Тази функция регулира преноса на данни както в мрежата, така и извън нея.
• Конфигуриране на прокси сървър - благодарение на тази функция можете да делегирате управлението на MFP връзките на прокси сървър. Тази функция се препоръчва при свързване към устройства извън корпоративната мрежа.
• IEEE 802.1X удостоверяването е друга защита срещу свързване на устройства, които не са разрешени от сървъра за удостоверяване. Неоторизираният достъп е блокиран от LAN превключвателя.
• Връзка чрез IPSec – предпазва от опити за прихващане или дешифриране на IP пакети, предавани по мрежата. Препоръчително е да се използва с допълнително TLS комуникационно криптиране.
• Управление на портове - предназначено да предпазва от вътрешна помощ за нападателите. Тази функция е отговорна за конфигурирането на параметрите на порта в съответствие с политиката за сигурност.
• Автоматично записване на сертификат – ​​Тази функция дава на системните администратори удобен инструмент за автоматично издаване и подновяване на сертификати за сигурност.
• Wi-Fi direct – тази функция е предназначена за защитен печат от мобилни устройства. За целта не е необходимо мобилното устройство да е свързано към корпоративната мрежа. Използвайки Wi-Fi direct, се създава локална peer-to-peer връзка между устройството и MFP.
• Мониторинг на регистрационни файлове – всички събития, свързани с използването на MFP, включително блокирани заявки за връзка, се записват в различни системни регистрационни файлове в реално време. Чрез анализиране на записи можете да откриете потенциални и съществуващи заплахи, да изградите превантивна политика за сигурност и да извършите експертна оценка на вече възникнали течове на информация.
• Шифроване на устройството—Тази опция криптира задания за печат, докато се изпращат от компютъра на потребителя към многофункционалния принтер. Можете също така да шифровате сканирани PDF данни, като активирате изчерпателен набор от функции за сигурност.
• Гост печат от мобилни устройства. Софтуерът за защитен мрежов печат и управление на сканиране елиминира често срещаните проблеми със сигурността, свързани с мобилен печат и печат като гост, като предоставя външни методи за изпращане на задания за печат като имейл, уеб и мобилно приложение. Това гарантира, че MFP работи от защитен източник, намалявайки до минимум вероятността от хакване.

„Споделянето на такива устройства, в допълнение към удобството и намаляването на разходите, включва и рискове от достъп до информация на трети страни. Това може да бъде използвано не само от нападатели, но и от безскрупулни служители за извличане на лична облага или получаване на вътрешна информация. А големият потенциал на обработваната информация – от технологични тайни до финансова документация – е важен приоритет за атака или нелегитимна употреба.“

Новост в новата версия на платформата imageRUNNER ADVANCE е възможността за свързване на печатащи устройства към две мрежи. Това е много удобно, когато MFP се използва едновременно в корпоративен режим и режим за гости.

Защита на данните на вашия твърд диск

Вашият мултифункционален принтер винаги съдържа голямо количество данни, които трябва да бъдат защитени - от поставени на опашка задания за печат до получени факсове, сканирани изображения, адресни книги, регистрационни файлове за дейности и хронология на заданията.

Всъщност дискът е само временно хранилище и съхраняването на информация върху него за по-дълго от необходимото увеличава уязвимостта на корпоративната система за сигурност. За да предотвратите това да се случи, можете да зададете график за почистване на твърдия диск в настройките. В допълнение към факта, че заданията за печат се изчистват веднага след завършване или при неуспешен печат, други файлове могат да бъдат изтрити по график, за да се изчистят остатъчните данни.

„За съжаление дори много ИТ професионалисти са слабо запознати с ролята на твърдия диск в съвременните печатащи устройства. Наличието на твърд диск може значително да намали продължителността на подготвителния етап на печат. Твърдите дискове обикновено съхраняват системна информация, графични файлове и растеризирани изображения за отпечатване на копия. В допълнение към неправилното изхвърляне на многофункционални устройства и възможността за изтичане на данни, съществува възможност за демонтиране/кражба на твърдия диск за анализ или извършване на специализирани атаки за ексфилтриране на данни, например с помощта на Printer Exploitation Toolkit.“

Устройствата на Canon предлагат набор от инструменти за защита на вашите данни през целия жизнен цикъл на устройството, като същевременно поддържат тяхната поверителност, цялост и достъпност.
Много внимание се обръща на защитата на данните на твърдия диск. Съхранената там информация може да има различна степен на поверителност. Поради това HDD криптирането се използва на всички 26 модела устройства в рамките на 7 различни серии на новата версия на платформата imageRUNNER ADVANCE. Той отговаря на стандарта за сигурност на правителството на САЩ FIPS 140-2 ниво 2, както и на японския еквивалент JCVMP.

„Важно е да имаме система за достъп до информация, която взема предвид потребителските роли и нивата на достъп. Например в много компании обсъждането на заплатите между служителите е строго забранено, а изтичането на фишове за заплати или информация за бонуси може да провокира сериозен конфликт в екипа. За съжаление знам за такива случаи, в един от тях това доведе до уволнението на служителя, отговорен за този вид изтичане на информация.

• Криптиране на твърдия диск. Устройствата imageRUNNER ADVANCE криптират всички данни на вашия твърд диск за повишена сигурност.
• Почистване на вашия твърд диск. Някои данни, като например копирани или сканирани данни, или данни за документи, отпечатани от компютър, се съхраняват на твърдия диск на принтера за ограничен период от време и се изтриват след приключване на заданието.
• Инициализация на всички данни и параметри. За да предотвратите загуба на данни при подмяна или изхвърляне на вашия твърд диск, можете да презапишете всички документи и данни на твърдия диск и след това да нулирате настройките до техните стойности по подразбиране.
• Архивиране на твърдия диск. Компаниите вече имат възможността да архивират данни от твърдия диск на устройството на допълнителен твърд диск. При архивиране данните на двата твърди диска са напълно криптирани.
• Комплект подвижен твърд диск. Тази опция ви позволява да премахнете твърдия диск от устройството за безопасно съхранение, докато устройството не се използва.

Изтичане на критични данни

Всички компании работят с поверителни документи като договори, споразумения, счетоводни документи, клиентски данни, планове на отдел за развитие и много други. Ако такива документи попаднат в неподходящи ръце, последствията могат да варират от увреждане на репутацията до големи глоби или дори съдебни дела. Нападателите могат да придобият контрол върху фирмени активи, вътрешна или поверителна информация.

„Не само конкуренти или измамници крадат ценна информация. Често има случаи, когато служители решават да развият собствен бизнес или тайно да печелят допълнителни пари, като продават информация навън. В такива ситуации принтерът става техен основен помощник. Всеки трансфер на данни в рамките на компанията е лесен за проследяване. Освен това не обикновените служители имат достъп до ценна информация. И какво може да бъде по-лесно за един обикновен мениджър от това да открадне ценен документ, който лежи без работа? Всеки може да се справи с тази задача. Отпечатаните документи дори не винаги трябва да се изнасят извън организацията. Достатъчно е бързо да направите снимка на бездействащите материали на телефон с добра камера.“

Canon предлага набор от решения за сигурност, които да ви помогнат да защитите чувствителни документи през целия им жизнен цикъл.

Конфиденциалност на отпечатаните документи

Потребителят може да зададе PIN за печат, така че документът да започне да се отпечатва само след въвеждане на правилния PIN на устройството. Това ви позволява да защитите поверителни документи.

„МФУ често могат да се видят в обществено достъпни зони на организация за удобство на потребителите. Това могат да бъдат зали и заседателни зали, коридори и рецепции. Само използването на идентификатори (ПИН кодове, смарт карти) ще гарантира безопасността на информацията в контекста на нивото на достъп на потребителя. Забележителни са случаите, когато потребителите получават достъп до предварително изпратени документи, сканирания на паспорти и др. в резултат на неадекватен контрол и липса на функции за почистване на данни.“

На устройството imageRUNNER ADVANCE администраторът може да постави на пауза всички изпратени задания за печат, изисквайки потребителите да влязат, за да отпечатат, като по този начин защитава поверителността на всички печатни материали.

Задачи за печат или сканирани документи могат да се съхраняват в пощенски кутии за лесен достъп по всяко време. Пощенските кутии могат да бъдат защитени с ПИН код, за да се гарантира, че само определени потребители имат достъп до тяхното съдържание. Използвайте това сигурно място на вашето устройство, за да съхранявате често отпечатвани документи (като бланки и формуляри), които изискват внимателно боравене.

Пълен контрол върху изпращането на документи и факсове

За да намалят риска от изтичане на информация, администраторите могат да ограничат достъпа до различни получатели, например тези, които не са в адресната книга на LDAP сървъра, не са регистрирани в системата или в конкретен домейн.

За да предотвратите изпращането на документи до неправилни получатели, трябва да деактивирате автоматичното попълване за имейл адреси.

Задаването на ПИН код за защита ще предпази адресната книга на устройството от неоторизиран потребителски достъп.

Изискването на потребителите да въведат отново номера на факса ще предотврати изпращането на документи до грешни получатели.

Защитата на документи и факсове в поверителна папка или ПИН ще запази документите сигурно съхранени в паметта, без да се налага да ги отпечатвате.

Проверка на източника и автентичността на документ

Подпис на устройство може да се добави към сканирани PDF или XPS документи с помощта на ключ и механизъм за сертифициране, така че получателят да може да провери източника и автентичността на документа.

„В електронен документ неговият реквизит е електронен цифров подпис (EDS), предназначен да защити този електронен документ от фалшифициране и ви позволява да идентифицирате собственика на сертификата за ключ за подпис, както и да установите липсата на изкривяване на информацията в електронен документ. Това гарантира безопасността на предадения документ и точната идентификация на собственика му, което спомага за поддържане на надеждността на информацията.”

Подписът на потребителя ви позволява да изпращате PDF или XPS файлове с уникалния цифров подпис на потребителя, получен от сертифицираща компания. По този начин получателят ще може да провери кой е подписал документа.

Интеграция с ADOBE LIFECYCLE MANAGEMENT ES

Потребителите могат да осигурят PDF файлове и да прилагат последователни и динамични политики към тях, за да контролират правата за достъп и използване и да защитят поверителна и ценна информация от непреднамерено или злонамерено разкриване. Политиките за сигурност се поддържат на ниво сървър, така че разрешенията могат да се променят дори след като файлът е бил разпространен. Устройствата от серията imageRUNNER ADVANCE могат да бъдат конфигурирани да се интегрират с Adobe ES.

Сигурният печат с uniFLOW MyPrintAnywhere ви позволява да изпращате задания за печат чрез универсален драйвер и да ги отпечатвате на всеки принтер във вашата мрежа.

Предотвратяване на дублиране

Драйверите ви позволяват да отпечатате видими маркировки на страницата, които се появяват върху съдържанието на документа. Това може да се използва за информиране на служителите относно поверителността на документа и предотвратяване на копирането му.

Печат/Копиране с невидими водни знаци – Документите ще бъдат отпечатани или копирани със скрит текст, вграден във фонов режим, който ще се появи при създаване на дубликат и ще действа като възпиращо средство.

Възможностите на софтуера uniFLOW от NTware (част от групата компании Canon) предоставят допълнителни ефективни инструменти за гарантиране на сигурността на документите.
Използването на uniFLOW в комбинация с iW SAM Express ще ви позволи да дигитализирате и архивирате документи, изпратени до принтер или получени от устройство, както и да анализирате текстови данни и атрибути, когато отговаряте на заплахи за сигурността.

Проследете източника на документа с помощта на вграден код.

Блокиране на сканиране на документи – Тази опция вгражда скрит код в отпечатаните документи и копия, който предотвратява по-нататъшното им копиране на устройство, на което тази функция е активирана. Администраторът може да използва тази опция за всички задания или само за задания, избрани от потребителя. TL и QR кодовете са налични за вграждане.

„В резултат на тестове и запознаване с функционалността на технологията imageRUNNER ADVANCE III успяхме да потвърдим основното съответствие с модерните политики за ИТ сигурност. Горните защитни мерки отговарят на основните изисквания за сигурност и могат да сведат до минимум рисковете от нарушения на информационната сигурност.

Най-новите устройства imageRUNNER ADVANCE са оборудвани с функция за политика за сигурност, която позволява на администратора да управлява всички настройки за сигурност в едно меню и да ги редактира, преди да ги приложи като конфигурация на устройството. Веднъж приложени, използването на устройството и промените в настройките трябва да са в съответствие с тази политика. Политиката за сигурност може да бъде защитена с отделна парола за осигуряване на допълнителен контрол и защита и може да бъде достъпна само от отговорния специалист по ИТ сигурност.

„Необходимо е да се намери и поддържа баланс между сигурност и удобство, разумно използване на технологичния напредък и технически решения за защита на информацията, използване на квалифициран персонал и умело управление на предоставените средства, за да се гарантира сигурността на компанията.“

Помощ при подготовката на материала - Лука Сафонов, ръководител Практическа лаборатория
анализ на сигурността, реактивни информационни системи.

В анкетата могат да участват само регистрирани потребители. Впиши се, Моля те.

Колко изчерпателен е вашият подход към корпоративната сигурност?

• Корпоративната политика за сигурност важи за парка от многофункционални устройства

• Паркът от печатащи устройства на компанията гарантира безопасното използване на личните устройства на потребителите

• Компанията гарантира, че инфраструктурата за печат е актуална и че пачовете и актуализациите се инсталират своевременно и ефективно

• Гостите на компанията могат да печатат и сканират, без да излагат на риск корпоративната мрежа

• ИТ отделът на компанията разполага с достатъчно време за справяне с проблемите на сигурността

• Компанията е намерила баланс между осигуряването на сигурност и лекотата на използване на устройствата

2 потребители гласуваха. Няма въздържали се.

Източник: www.habr.com