S rozšířením integrovaných funkcí se kancelářské MFP už dávno dostaly za rámec triviálního skenování/tisku. Nyní se proměnily v plnohodnotná samostatná zařízení, integrovaná do vysoce technologických místních a globálních sítí, která spojují uživatele a organizace nejen v rámci jedné kanceláře, ale i po celém světě.
V tomto článku společně s expertem na praktickou informační bezpečnost Lukášem Safonovem prozkoumáme hlavní hrozby pro moderní kancelářská MFP a cesty, jak je předcházet.
Moderní kancelářská technika má své vlastní pevné disky a operační systémy, díky nimž MFP mohou vykonávat širokou škálu úkolů spojených s dokumenty samostatně, čímž odlehčují jiným zařízením. Nicméně, s touto vysokou technickou výbavou přichází i stinná stránka. Protože MFP aktivně participují na přenosu dat po síti, bez odpovídající ochrany se stávají zranitelnými místy celé síťové infrastruktury organizace. Ochrana jakéhokoli systému je určena stupněm ochrany nejslabšího článku. Takže veškeré náklady na ochranná opatření pro servery a počítače podniku se stávají bezvýznamnými, pokud pro útočníka zůstává skulina přes MFP. Chápajíc problém ochrany citlivých informací, vývojáři Canon zvýšili úroveň zabezpečení třetí verze platformy , o čemž bude článek.
Hlavní hrozby
Existuje několik potenciálních rizik spojených s používáním MFP v organizacích:
- Prolomení systému prostřednictvím neoprávněného přístupu k MFP a použití jako "výchozí bod";
- Použití MFP k exfiltraci údajů o uživatelích;
- Zachycení dat při tisku nebo skenování;
- Přístup k datům osobami, které nemají odpovídající oprávnění;
- Přístup k vytištěným nebo naskenovaným citlivým informacím;
- Přístup k citlivým datům na zařízeních, jejichž životnost skončila.
- Odesílání dokumentů faxem nebo e-mailem na nesprávnou adresu úmyslně nebo v důsledku překlepu;
- Neoprávněné prohlížení citlivých informací uložených na nechráněných MFP;
- Celková hromada vytištěných úloh náležících různým uživatelům.
Moderní MFP často skrývají obrovský potenciál pro útočníky. Naše projektové zkušenosti ukazují, že špatně nakonfigurovaná zařízení, nebo zařízení bez odpovídající úrovně ochrany, dávají útočníkům značnou příležitost rozšířit takzvanou „útokovou plochu“. Mezi to patří i získávání seznamů účtů, síťového adresování, možnost posílání e-mailů a mnoho dalšího. Pojďme zjistit, zda řešení nabízená společností Canon mohou tyto hrozby zmírnit.
Pro každý typ zranitelnosti v nové platformě imageRUNNER ADVANCE je zajištěn komplex vzájemně se doplňujících opatření, které poskytují vícestupňovou ochranu. Je třeba poznamenat, že vývoj vyžadoval specifický přístup vzhledem k charakteristikám práce MFP. Při tisku a skenování dokumentů dochází k přechodu informací z digitální podoby do analogové nebo naopak. Každý z těchto typů informací vyžaduje zásadně odlišné způsoby zajištění ochrany. Obvykle se na pomezí technologií, v důsledku jejich různorodosti, vytváří nejzranitelnější místo.
MFP jsou často snadnou kořistí jak penetračních testerů, tak zločinců. Obvykle to souvisí s lajdáckým přístupem k nastavení těchto zařízení a jejich poměrně snadnou dostupností, jak v kancelářském prostředí, tak v síťové infrastruktuře. Mezi posledními případy se ukazuje útok, který se odehrál 29. listopadu 2018, kdy uživatel Twitteru pod pseudonymem TheHackerGiraffe "hacknul" více než 50 000 síťových tiskáren a vytiskl na ně letáky vyzývající k odběru YouTube kanálu jakéhosi PewDiePie. Na Redditu TheHackerGiraffe uvedl, že mohl zkompromitovat více než 800 000 zařízení, ale omezil se pouze na 50 000. Přičemž útočník zdůraznil, že hlavní problém tkví v tom, že se nikdy předtím ničím podobným nezabýval, ale všechny přípravy a samotný hack mu zabraly pouhých půl hodiny.
Když společnost Canon vyvíjí technologie, produkty a služby, bere v úvahu jejich možný dopad na pracovní prostředí klientů. Právě proto jsou kancelářské multifunkční tiskárny Canon vybaveny širokým souborem vestavěných a volitelných bezpečnostních funkcí, které umožňují firmám jakékoli velikosti dosáhnout potřebné úrovně ochrany.
Canon využívá jeden z nejpřísnějších režimů bezpečnostní kontroly v celé kancelářské technice. Technologie používané v zařízeních jsou testovány na shodu s normami společnosti. Velká pozornost je věnována bezpečnostním prověrkám realizovaným z aktuálních odborných posudků, na jejichž základě byly získány pozitivní názory na používání zařízení od společností jako jsou „Kaspersky Lab“, „COMLOGIC“, „TerraLink“ a „JTI Rusko“ a dalších.
„I když v dnešní době dává smysl zvyšovat bezpečnost svých produktů, dodržují tento princip zdaleka ne všechny společnosti. Firmy začínají přemýšlet o ochraně až po událostech, jako jsou hackování (a tlak ze strany uživatelů) různých produktů. Z tohoto pohledu je důkladný přístup společnosti Canon k realizaci metod a opatření ochrany příkladem.“
Neoprávněný přístup k MFP
Nezabezpečené MFP bývají velmi často jedním z hlavních cílů jak interních porušitelů (insiderů), tak i externích. V dnešní době korporátní síť nepokrývá jen jednu kancelář, ale zahrnuje skupinu oddělení a uživatelů, kteří mají různé geografické polohy. Centralizovaný oběh dokumentů vyžaduje možnost vzdáleného přístupu a zapojení MFP do korporátní sítě. Síťová tisková zařízení patří do kategorie Internetu věcí, a jejich ochrana je často opomíjena, což vede k celkové zranitelnosti celé infrastruktury.
Pro ochranu před takovými hrozbami jsou realizována následující opatření:
- Filtr IP a MAC adres – nastavení povolení komunikace pouze s zařízeními, která mají určité IP nebo MAC adresy. Tato funkce reguluje přenos dat jak v rámci sítě, tak i mimo ni.
- Konfigurace proxy serveru – díky této funkci je možné delegovat správu připojení MFP proxy serveru. Tato funkce je doporučena při připojení k zařízením mimo korporátní síť.
- Autentizace podle IEEE 802.1X – další ochrana před připojením zařízení, která nejsou autorizována serverem pro autentizaci. Neoprávněný přístup je blokován LAN switchem.
- Připojení přes IPSec – chrání před pokusy o odposlech nebo dešifrování IP paketů přenášených v síti. Doporučuje se používat s dalším šifrováním spojení TLS.
- Správa portů – určená k ochraně před nápomocností insiderů útočníkům. Tato funkce je zodpovědná za nastavení konfigurace parametrů portů v souladu s bezpečnostní politikou.
- Automatická registrace certifikátů – tato funkce poskytuje systémovým administrátorům pohodlný nástroj pro automatické vydávání a aktualizaci bezpečnostních certifikátů.
- Wi-Fi Direct – funkce určená pro bezpečné tisknutí z mobilních zařízení. Mobilní zařízení není třeba připojovat k firemní síti. Pomocí Wi-Fi Direct se vytváří místní peer-to-peer spojení mezi zařízením a MFP.
- Monitoring protokolů – všechny události užívání MFP, včetně zablokovaných požadavků na připojení, se zaznamenávají do různých systémových protokolů v reálném čase. Analýzou záznamů lze odhalovat potenciální a existující hrozby, vypracovávat preventivní bezpečnostní politiku a provádět vyhodnocení již proběhlých úniků informací.
- Šifrování dat při interakci se zařízením — tato volba šifruje tiskové úlohy při jejich odesílání z uživatelského PC na multifunkční tiskárnu. Můžete také šifrovat naskenovaná data ve formátu PDF aktivací univerzálního souboru bezpečnostních funkcí.
- Hostující tisk z mobilních zařízení. Software pro správu bezpečného síťového tisku a skenování odstraňuje časté problémy související s bezpečností tisku z mobilních zařízení a hostujícího tisku, což poskytuje externí možnosti odesílání tiskových úloh, jako jsou e-mail, internet a mobilní aplikace. To zajišťuje práci MFP se zabezpečeným zdrojem, čímž se minimalizuje pravděpodobnost úniku.
„Sdílení tohoto typu zařízení přináší kromě pohodlí a úspor také rizika přístupu k cizím informacím. Tím mohou zneužít nejen útočníci, ale i nepoctiví zaměstnanci pro vlastní prospěch nebo získání interních informací. Velký potenciál zpracovávaných informací – od technologických tajemství až po finanční dokumentaci – představuje významný prioritu pro útok nebo nelegitimní použití.“
Novinkou nové verze platformy imageRUNNER ADVANCE je možnost připojit tisková zařízení k dvěma sítím. To je velmi pohodlné, když je MFP používáno současně v korporátním a hostujícím režimu.
Ochrana dat na pevném disku
Na víceúčelovém tiskárně se vždy uchovává velké množství dat, která je třeba chránit – od tiskových úloh čekajících ve frontě až po přijaté faxové zprávy, naskenované obrázky, adresáře, protokoly aktivity a historii úloh.
V podstatě je disk pouze dočasným úložištěm a uchovávání informací na něm déle, než je nezbytné, zvyšuje zranitelnost bezpečnostního systému společnosti. Aby k tomu nedocházelo, je možné v nastavení určit pravidla pro čištění pevného disku. Kromě toho, že se tiskové úlohy okamžitě vymazávají po provedení nebo při chybách tisku, mohou být další soubory odstraňovány podle plánu spolu s vymazáním zbytkových dat.
„Bohužel, dokonce i mnozí IT specialisté jsou málo informováni o roli pevného disku v moderních tiskových zařízeních. Přítomnost pevného disku umožňuje výrazně zkrátit čas potřebný pro přípravu tisku. Na pevných discích se obvykle uchovávají systémové informace, grafické soubory a rastrové obrázky pro tisk kopií. Kromě nesprávné likvidace MFP a možnosti úniku dat existuje riziko demontáže/krádeže pevného disku k analýze nebo provádění specializovaných útoků k exfiltraci dat, například pomocí sady nástrojů pro zneužívání tiskáren (Printer Exploitation Toolkit).“
Zařízení Canon nabízejí řadu nástrojů pro ochranu dat na všech fázích životního cyklu zařízení, stejně jako pro zachování jejich důvěrnosti, integrity a dostupnosti.
Velká pozornost je věnována ochraně dat na pevném disku. Informace uložené na něm mohou mít různé úrovně důvěrnosti. Proto je u všech 26 modelů zařízení v rámci 7 různých řad nové verze platformy imageRUNNER ADVANCE používáno šifrování HDD. To splňuje bezpečnostní standard FIPS 140-2 úrovně 2, přijatý vládou USA, stejně jako jeho japonský ekvivalent JCVMP.
„Je důležité mít systém přístupu k informacím, který zohledňuje role uživatelů a úrovně přístupu. Například v mnoha společnostech je diskuse o platech mezi zaměstnanci přísně zakázána, a únik mzdového seznamu nebo informací o prémiích může vyvolat vážný konflikt v kolektivu. Bohužel, znám takové případy, v jednom z nich to vedlo k propuštění zaměstnance odpovědného za takový únik.“
- Šifrování pevného disku. Zařízení imageRUNNER ADVANCE šifrují všechna data na pevném disku pro zvýšení úrovně bezpečnosti.
- Odstranění dat z pevného disku. Některá data, například data zkopírovaných nebo naskenovaných obrázků, stejně jako data dokumentů, tištěných z počítače, jsou na pevném disku tiskárny uchovávána po omezenou dobu a po splnění příslušného úkolu se eliminují.
- Inicializace všech dat a parametrů. Aby se zabránilo ztrátě dat při výměně nebo likvidaci pevného disku, je možné přepsat všechny dokumenty a data na pevném disku, a poté provést reset nastavení na výchozí hodnoty.
- Záložní pevný disk. Společnosti mají možnost provádět zálohování dat z pevného disku zařízení na dodatečně zakoupený pevný disk. Při zálohování jsou data na obou pevných discích plně šifrována.
- Sada odnímatelného pevného disku. Tato možnost umožňuje vyjmout pevný disk z zařízení pro jeho bezpečné uchovávání, dokud zařízení není používáno.
Únik kritických dat
Všechny společnosti se zabývají důvěrnými dokumenty, jako jsou smlouvy, dohody, účetní dokumenty, údaje o zákaznících, plány vývoje a mnoho dalšího. Pokud se takové dokumenty dostanou do nesprávných rukou, důsledky mohou sahat od poškození pověsti až po vysoké pokuty nebo dokonce soudní spory. Podvodníci mohou získat kontrolu nad aktivy společnosti, interními nebo důvěrnými informacemi.
„K krádežím cenných informací se nezabývají jen konkurenti nebo podvodníci. Často se stává, že zaměstnanci se rozhodnou rozvíjet vlastní podnikání nebo tajně pracují na straně, prodávajíce informace. V takových situacích se tiskárna stává jejich hlavním pomocníkem. Jakýkoli transfer dat uvnitř společnosti je snadno sledovatelný. Kromě toho nemohou mít přístup k cenným informacím pouze obyčejní zaměstnanci. A co může být snadnějšího pro běžného manažera než ukrást ležící bez dozoru cenný dokument? S tímto úkolem si poradí každý. Vytisknuté dokumenty ani není vždy nutné odstraňovat z organizace. Stačí rychle vyfotografovat materiály ležící bez dozoru telefonem s dobrým fotoaparátem.“
Canon nabízí řadu bezpečnostních řešení, která vám pomohou chránit důvěrné dokumenty během celého jejich životního cyklu.
Důvěrnost tištěných dokumentů
Uživatel může nastavit PIN kód tisku, aby tisk dokumentu začal až po zadání správného PIN kódu na zařízení. To umožňuje chránit důvěrné dokumenty.
„Často lze multifunkční zařízení (MFP) vidět na veřejných místech organizace – pro pohodlí uživatelů. Mohou to být haly a zasedací místnosti, chodby a recepce. Pouze použití identifikátorů (PIN kódů, smart karet) zaručí bezpečnost informací ve vztahu k úrovni přístupu uživatelů. Významné jsou případy, kdy uživatelé získali přístup k dříve odeslaným dokumentům, skenům pasů atd. v důsledku nedostatečné kontroly a absence funkcí pro vymazání dat.“
Na zařízení imageRUNNER ADVANCE může správce pozastavit všechna odeslaná tisková zadání. Uživatelé se tedy musí přihlásit do systému, aby zajistili ochranu soukromí všech tiskových materiálů.
Tisková zadání nebo naskenované dokumenty lze uložit do poštovních schránek pro přístup kdykoli je to pohodlné. Poštovní schránky lze chránit PIN kódem, aby k jejich obsahu měli přístup pouze určení uživatelé. V tomto chráněném prostoru na zařízení lze uchovávat často tisknuté dokumenty (např. formuláře a šablony), které vyžadují opatrné zacházení.
Úplná kontrola nad odesíláním dokumentů a faxů
Aby se snížila rizika úniku informací, mohou správci omezit přístup k různým adresátům, například těm, kteří nejsou přítomní v adresáři na serveru LDAP, nejsou registrováni v systému nebo patří na určitou doménu.
Aby se zabránilo odesílání dokumentů nesprávným adresátům, je nutné vypnout automatické doplňování adres elektronické pošty.
Nastavení PIN kódu pro ochranu zabezpečí adresář zařízení před neoprávněným přístupem uživatelů.
Žádost o opětovný vstup faxového čísla uživateli zabrání odesílání dokumentů nesprávným adresátům.
Ochrana dokumentů a faxů v chráněné složce nebo pomocí PIN kódu zajišťuje bezpečné uložení dokumentů v paměti bez jejich tisku.
Ověření zdroje a pravosti dokumentu
Podpis zařízení lze přidat na naskenované dokumenty ve formátech PDF nebo XPS pomocí klíče a certifikačního mechanismu, čímž příjemce může ověřit zdroj a pravost dokumentu.
V elektronickém dokumentu je elektronický digitální podpis (EDP) jeho atributem, který slouží k ochraně tohoto elektronického dokumentu před falšováním a umožňuje identifikaci vlastníka certifikátu klíče k podpisu, a také zajišťuje, že informace v elektronickém dokumentu nebyly zkresleny. Tak je zajištěna bezpečnost předávaného dokumentu a přesná identifikace jeho vlastníka, což umožňuje zachovat věrohodnost informací.
Uživatelský podpis umožňuje odesílání PDF nebo XPS souborů s unikátním digitálním podpisem uživatele, získaným od certifikační společnosti. Tak příjemce ověří, kdo podepsal dokument.
Integrace s ADOBE LIFECYCLE MANAGEMENT ES
Uživatelé mohou chránit PDF soubory a aplikovat na ně jednotné a dynamické politiky pro kontrolu přístupu a práv užívání, jakož i ochranu citlivých a cenných informací před neúmyslným či úmyslným zveřejněním. Bezpečnostní politiky jsou podporovány na úrovni serveru, takže práva lze měnit i po rozdistribution souboru. Zařízení ze série imageRUNNER ADVANCE lze nakonfigurovat pro integraci s Adobe ES.
Bezpečné tisknutí uniFLOW MyPrintAnywhere – to je odesílání tiskových úloh přes univerzální ovladač a jejich tisk na jakékoli tiskárně v síti.
Prevence vytváření duplicit
Ovladače umožňují tisknout na stránce viditelné značky, které se umisťují nad obsah dokumentu. Toto lze použít k informování zaměstnanců o důvěrnosti dokumentu a zabránit jeho kopírování.
Tisk/kopírování s neviditelnými vodotisky – dokumenty budou tisknuty nebo kopírovány se skrytým textem na pozadí, který se objeví při vytváření duplicity a bude sloužit jako odstrašující opatření.
Možnosti softwaru uniFLOW od NTware (výrobce Canon) nabízejí dodatečné účinné nástroje pro zajištění bezpečnosti dokumentového oběhu.
Použití uniFLOW v kombinaci s iW SAM Express umožní digitalizaci a archivaci dokumentů odeslaných na tiskárnu nebo přijatých z zařízení, stejně jako analýzu textových dat a atributů při reakci na bezpečnostní hrozby.
Sledování zdroje dokumentu prostřednictvím vestavěného kódu.
Zablokování skenování dokumentů – tato možnost vkládá do tištěných dokumentů a kopií skrytý kód, který zabraňuje jejich dalšímu kopírování na zařízení, na kterém je tato funkce aktivována. Administrátor může použít tento parametr pro všechny úlohy nebo pouze pro úlohy vybrané uživateli. Pro vkládání jsou k dispozici TL- a QR kódy.
„Na základě testů a seznámení se s funkcemi technologie imageRUNNER ADVANCE III bylo možné potvrdit hlavní shody s moderními politikami IT bezpečnosti. Výše uvedená opatření odpovídají základním požadavkům na bezpečnost a mají schopnost minimalizovat rizika porušení informační bezpečnosti.“
Nejnovější zařízení imageRUNNER ADVANCE jsou vybavena funkcí bezpečnostní politiky, která umožňuje administrátorovi spravovat všechny parametry bezpečnosti v jednom menu a upravit je před použitím jako konfiguraci zařízení. Po aplikaci by mělo být používání zařízení a změna parametrů v souladu s touto politikou. Bezpečnostní politiku lze chránit samostatným heslem, aby poskytovala další možnosti správy a ochrany, a přístup k ní měly pouze odpovědné specialisté IT bezpečnosti.
„Je nutné najít a udržet rovnováhu mezi bezpečností a pohodlím tím, že se rozumně využijí technologické pokroky a technická řešení pro ochranu informací, použijí se kvalifikovaní pracovníci a efektivně se disponuje poskytnutými prostředky pro zajištění bezpečnosti společnosti.“
Pomoc při přípravě materiálu – Luka Safonov, vedoucí Laboratoře praktického
analýzy zabezpečení, Infosystémy Jet.
Pouze registrovaní uživatelé se mohou účastnit ankety. , prosím.
Jak komplexní přístup k firemní bezpečnosti používáte?
Politika firemní bezpečnosti se vztahuje na park multifunkčních zařízení
Park tiskových zařízení společnosti zajišťuje bezpečné používání osobních zařízení uživatelů
Společnost zajišťuje aktuálnost tiskové infrastruktury, stejně jako včasné a efektivní instalace oprav a aktualizací
Hosté společnosti mohou provádět tisk a skenování, aniž by vystavovali firemní síť riziku
IT oddělení společnosti má dostatek času na posouzení bezpečnostních problémů
Společnost našla rovnováhu mezi zajištěním bezpečnosti a pohodlným používáním zařízení
Hlasovali 2 uživatelé. Zdržel se nikdo.
Zdroj: habr.com
