🥇Uus turvalisuse tase MFP-dele: imageRUNNER ADVANCE III

Integreeritud funktsioonide kasvu tõttu on kontori multifunktsionaalsed seadmed ammu ületanud lihtsa skaneerimise/prindi piire. Nüüd on neist saanud täislehe seadmed, mis on integreeritud kõrgtehnoloogilistesse kohalikke ja globaalseid võrke, ühendades kasutajaid ja organisatsioone mitte ainult ühe büroo piires, vaid ka üle kogu maailma.

Selles artiklis koos praktilise teabe turbe ekspert Luka Safonovi LukaSafonov uurime kaasaegsete kontori multifunktsionaalsete seadmete peamisi ohte ja nende vältimise viise.

Kaasaegse kontoritehnika mudelid omavad oma kõvakettaid ja operatsioonisüsteeme, mis võimaldavad mitmeotstarbelistel seadmetel iseseisvalt täita laia valikut dokumendihaldustöid, vähendades seeläbi teiste seadmete koormust. Kuid sellistel kõrgelt tehniliselt varustatud seadmetel on ka varjatud negatiivsed küljed. Kuna mitmeotstarbelised seadmed osalevad aktiivselt andmete edastamises võrgus, muutuvad nad ilma nõuetekohase kaitseta kogu organisatsiooni võrgu keskkonna haavatavateks kohtadeks. Iga süsteemi kaitstuse tase sõltub kõige nõrgema lüli kaitseastmest. Seetõttu on kõik kulutused kaitsemeetmetele serverite ja arvutite jaoks ettevõttes mõttetud, kui ründajal jääb pääs mitmeotstarbelise seadme kaudu. Mõistes konfidentsiaalse teabe kaitseprobleemi, on Canon tõstnud kolmanda versiooni platvormi turvalisuse taset. imageRUNNER ADVANCE, millest juttu tuleb artiklis.

Peamised ohud

Existeerib mitmeid võimalikke riske, mis on seotud mitmeotstarbeliste seadmete kasutamisega organisatsioonides:

Süsteemi häkkimine kaudu volitamata juurdepääs mitmeotstarbelisele seadmele ja kasutamine "toetuspuntina";
MFD-de kasutamine kasutajate andmete ekssfiltreerimiseks;
Andmete tabamine printimise või skaneerimise ajal;
Juurdepääs andmetele, millel ei ole vastavat luba;
Juurdepääs prinditud või skaneeritud konfidentsiaalsetele andmetele;
Juurdepääs konfidentsiaalsetele andmetele seadmetes, mille tööiga on lõppenud.
Dokumentide saatmine faksi või e-posti teel vale aadressile kas tahtlikult või trükiviga;
Volitamata juurdepääs konfidentsiaalsetele andmetele, mis on talletatud kaitseta MFD-del;
Üksik hunnik prinditud ülesandeid, mis kuuluvad erinevatele kasutajatele.

Tõepoolest, tänapäevased MFD-d sisaldavad sageli suurt potentsiaali ründaja jaoks. Meie projektikogemus näitab, et mitte konfigureeritud seadmed või seadmed, millel puudub piisav kaitse, pakuvad ründajatele suurt võimalust laiendada nn „rünnakupind“. See hõlmab kasutajakontode nimekirja saamist, võrgu aadresside määramist, e-kirjade saatmise võimalust ja palju muud. Uurime, kas Canon'i pakutavad lahendused suudavad need ohud kõrvaldada.

Iga tüübi haavatavuse jaoks on uuel platvormil imageRUNNER ADVANCE ette nähtud terve kompleks vastastikku täiendavaid meetmeid, mis tagavad mitmeastmelise kaitse. Tuleb märkida, et arendused nõudsid spetsiifilist lähenemist väliseadmete töökeskkonna eripära tõttu. Dokumentide printimisel ja skaneerimisel toimub teabe üleminek digitaalsest vormist analoogseks või vastupidi. Iga selline teabe liik nõuab põhimõtteliselt erinevaid kaitse tagamise viisi. Tüüpiliselt tehnoloogiate ristteel, nende erinevuste tõttu, tekib kõige haavatavam koht.

«Tihti on MFP-d kergesti kätte saadavad nii pentesterite kui ka pahatahtlike isikute jaoks. Selle põhjuseks on tavaliselt hooletu suhtumine selliste seadmete seadistamisse ja nende suhteliselt lihtne juurdepääs nii kontorikeskkonnas kui ka võrguinfrastruktuuris. Viimaseid juhtumeid on näiteks rünnak, mis leidis aset 29. novembril 2018, mil Twitteri kasutaja kasutajanimega TheHackerGiraffe „häkkis“ enam kui 50 000 võrguprinterit ja prindis neile voldikuid, milles kutsutakse üles tellima YouTube'i kanalit nimega PewDiePie. Redditis teatas TheHackerGiraffe, et ta oleks saanud kompromiteerida rohkem kui 800 000 seadet, kuid piirdus ainult 50 000-ga. Samuti rõhutas häkker, et peamine probleem on see, et ta pole kunagi varem millegagi sellisega tegelenud, kuid kõik ettevalmistused ja häkkimise teostamine võtsid tal vaid pool tundi».

Kui Canon arendab tehnoloogiaid, tooteid ja teenuseid, arvestab ta nende võimalikku mõju klientide töökeskkonnale. Just seetõttu on Canon'i kontori mitmeotstarbelised printerid varustatud laia valiku sisseehitatud ja lisafunktsioonidega, mis aitavad igasuguste suurustega ettevõtetel saavutada soovitud kaitse taset.

Canon kasutab ühe kõige rangemaid turvakontrolli režiime kogu kontoritehnika tööstuses. Seadmetes kasutatavaid tehnoloogiaid testitakse ettevõtte standardite kohaselt. Suurt tähelepanu pööratakse turvakontrollidele, mille käigus tehakse asjakohaseid ekspertiise, mille tulemused on saanud positiivseid tagasisideid seadmete kasutamise kohta sellistelt ettevõtetelt nagu „Kaspersky Labor”, „COMLOGIC”, „TerraLink” ja „JTI Venemaa” ning teised.

Kuigi on mõistetav, et tänapäeva oludes peaks suurendama oma toodete turvalisust, ei järgi seda põhimõtet sugugi kõik ettevõtted. Ettevõtted hakkavad mõtlema kaitsele alles pärast seda, kui on toimunud häkkimine (ja surve kasutajatelt) erinevates toodetes. Sellega seoses on ettevõtte Canon põhjalik lähenemine kaitsemeetodite rakendamisele tähelepanuväärne.

Volitamata juurdepääs multifunktsionaalsetele seadmetele

Sageli on kaitsmata multifunktsionaalsed seadmed prioriteetsed sihtmärgid nii sisemiste rikkumiste (insiderite) kui ka väliste rünnakute jaoks. Tänapäeva oludes ei piirdu ettevõtte võrk ainult ühe kontoriga, vaid hõlmab grupi üksusi ja kasutajaid, kellel on erinev geograafiline asukoht. Keskne dokumentide haldamine nõuab kaugituks ja multifunktsionaalsete seadmete ühendamist ettevõtte võrku. Võrgupritsimehhanismid kuuluvad asjade internetti, kuid nende kaitsmisele ei pöörata sageli piisavalt tähelepanu, mis viib kogu infrastruktuuri üldise haavatavuseni.

Selliste ohtude kaitseks on rakendatud järgmised meetmed:

IP- ja MAC-aadresse filtreerimine – seadistab suhtlemise lubamise ainult teatud IP- või MAC-aadressidega seadmetega. See funktsioon reguleerib andmeedastust nii sisevõrgus kui ka väljaspool seda.
Mitu serveri konfiguratsioon – tänu sellele funktsioonile on võimalik volitada ühendusi hallata mitmerežiimsel serveril. Soovitav on kasutada seadmestikes, mis asuvad väljaspool ettevõtte võrku.
IEEE 802.1X autentimine – veel üks kaitse seadmete ühendamise eest, mis ei ole autentimise serveri poolt volitatud. Volitamata juurdepääs blokeeritakse LAN-lülitiga.
IPSec kaudu ühendamine – kaitseb katsete eest IP-pakettide pealtkuulamise või dekrüpteerimise eest, mis edastatakse üle võrgu. Soovitav on kasutada täiendava TLS-krüpteerimisega.
Portide haldamine – mõeldud, et kaitsta sisemisi abiteenuseid kurjategijate eest. See funktsioon vastutab portide seadete konfiguratsiooni seadmiseks vastavalt turvapoliitikale.
Automaatne sertifikaatide registreerimine – see funktsioon pakub süsteemiadministraatoritele mugavat tööriista turv сертификaatide automaatseks väljaandmiseks ja uuendamiseks.
Wi-Fi Direct – funktsioon, mis on mõeldud turvaliseks printimiseks mobiilseadmetest. Selleks ei pea mobiilseadet ühendama ettevõtte võrku. Wi-Fi Direct loob seadme ja mitmefunktsionaalse printeri vahel kohaliku peer-to-peer ühenduse.
Logide jälgimine – kõik mitmefunktsionaalse printeri kasutamisega seotud sündmused, sealhulgas blokeeritud ühendusetaotlused, salvestatakse reaalajas erinevatesse süsteemilogidesse. Kirjeid analüüsides on võimalik tuvastada potentsiaalseid ja olemasolevaid ohte, luua ennetavaid turvapoliitikaid ning teostada ekspertülevaateid juba toimunud teabelekke kohta.
Andmete krüptimine seadmega suhtlemisel – see valik krüpteerib printimistööd, kui need saadetakse kasutaja arvutist mitmefunktsionaalsele printerile. Samuti saate krüpteerida skaneeritud andmeid PDF-formaadis, aktiveerides ühtse turfunksioonide komplekti.
Külaliste printimine mobiilseadmest. Turvalise võrgu printimise ja skaneerimise haldamise tarkvara kõrvaldab probleemid, mis on seotud mobiiltelefonidest ja külaliste printimisel, pakkudes välist võimalust printimiste tellimiseks, nagu e-post, internet ja mobiilirakendus. See tagab multifunktsionaalsete seadmete (MFP) tööd turvalise allikaga, vähendades häkkimise tõenäosust.

„Selle tüüpi seadmete jagamine toob mugavuse ja kulude kokkuhoiu kõrval kaasa ka riski kolmandate osapoolte info juurde pääsemiseks. Seda võivad ära kasutada mitte ainult kurjategijad, vaid ka ebamugavad töötajad, et saada isiklikku kasu või juurdepääsu siseteabele. Töödeldava teabe suur potentsiaal – alates tehnoloogilistest saladustest kuni finantsdokumentideni – on oluline prioriteet rünnakute või ebaseadusliku kasutamise jaoks.”

Uue imageRUNNER ADVANCE platvormi versiooni uuendus on võimalus ühendada printimisseadmeid kahe võrgu külge. See on väga mugav, kui multifunktsionaalset seadet kasutatakse samal ajal ettevõtte- ja külalisrežiimis.

Andmete kaitse kõvakettal

Multifunktsionaalses printeris hoitakse alati suures mahus andmeid, mida tuleb kaitsta — alates printimisseanitest, mis on järjekorras, kuni saadud fakside, skaneeritud piltide, aadressiraamatute, aktiivsusajakirjade ja ülesannete ajaloo.

Põhimõtteliselt on ketas vaid ajutine salvestuskoht, ja teabe olemine seal kauem kui vajalik suurendab ettevõtte turvasüsteemi haavatavust. Selle vältimiseks on seadistustes võimalik määrata kõvaketta puhastamise regulatsioon. Lisaks sellele, et printimisülesanded kustutatakse kohe pärast täitmist või printimisvigade korral, võivad muud failid aeg-ajalt ajakava alusel kustutuda jääkandmete puhastamisega.

Kahjuks on isegi paljud IT-spetsialistid nõrgalt teadlikud kõvaketta rollist tänapäevastes printimisseadmetes. Kõvaketta olemasolu võimaldab oluliselt lühendada printimise ettevalmistusprotsessi kestust. Kõvakettadel hoitakse tavaliselt süsteemi teavet, graafilisi faile ja rasterpildid koopiate printimiseks. Lisaks vale utiliseerimisele ja andmete leke ohtudele, eksisteerib ka kõvaketta demonteerimise/varguse tõenäosus analüüsi tarbeks või spetsialiseeritud rünnakute läbiviimise võimalus, näiteks Printer Exploitation Toolkitiga.

Canon’i seadmed pakuvad mitmeid tööriistu andmete kaitseks seadme elutsükli kõigil etappidel ning nende konfidentsiaalsuse, terviklikkuse ja kättesaadavuse tagamiseks.
Andmete kaitsele kõvakettal on pööratud suurt tähelepanu. Seal salvestatud teave võib varieeruda erineva konfidentsiaalsuse tasemega. Seetõttu on kõik 26 seadmete mudelit 7 erinevas seerias uue imageRUNNER ADVANCE platvormi versiooni raames varustatud HDD krüpteerimisega. See vastab USA valitsuse kehtestatud FIPS 140-2 taseme 2 turvastandardile ning Jaapani analoogile JCVMP.

„Oluline on omada teabe juurdepääsusüsteemi, mis arvestab kasutajate rolle ja juurdepääsutase. Näiteks paljudes ettevõtetes on töötajate seas palgaarutelud rangelt keelatud ning palgaaruande või premeerimise kohta käiva teabe lekkimine võib põhjustada tõsiseid konflikte kollektiivis. Kahjuks olen ma selliseid juhtumeid kogenud ja ühes neist viis see töötaja ametist vabastamiseni, kes oli vastutav sellise lekke eest.“

Kõvaketta krüpteerimine. Seadmed imageRUNNER ADVANCE krüpteerivad kõik andmed kõvakettal, et parandada turvalisuse taset.
Kõvaketta puhastamine. Teatud andmed, nagu kopeeritud või skaneeritud piltide andmed ning arvutist välja prinditud dokumentide andmed, säilivad printeri kõvakettal piiratud aja ja kustutatakse pärast vastava ülesande täitmist.
Kõikide andmete ja seadistuste algatamine. Andmete kaotsimineku vältimiseks, kui kõvaketas vahetatakse või utiliseeritakse, on võimalik kõik dokumendid ja andmed kõvakettal üle kirjutada ning seejärel lähtestada seadistused vaikeseadetele.
Varukõvaketas. Ettevõtetel on võimalus varundada andmeid seadme kõvakettalt täiendavalt ostetavasse kõvakettasse. Varundamise käigus on andmed mõlemal kõvakettal täielikult krüpteeritud.
Eemaldatava kõvaketta komplekt. See valik võimaldab kõvaketta seadme seest välja võtta, et seda ohutult hoida, kuni seade ei ole kasutuses.

Kritiliste andmete leke

Kõik ettevõtted tegelevad konfidentsiaalsete dokumentidega, nagu lepingud, kokkulepped, raamatupidamisdokumentide, kliendiandmed, arendusosakonna plaanid ja palju muud. Kui sellised dokumendid satuvad valedesse kätesse, võivad tagajärjed ulatuda maine kahjustamisest kuni suuri trahvide või isegi kohtuasjadega. Kurjategijad võivad saada kontrolli ettevõtte varade, siseteabe või konfidentsiaalse teabe üle.

«Kalliteabe vargamine ei ole pelgalt konkurentide või petturite teema. Sageli juhtub, et töötajad otsustavad arendada oma äri või teenida salaja lisatulu, müües teavet kõrvale. Sellistes olukordades muutub printer nende peamiseks abiliseks. Iga andmeedastus ettevõtte sees on kergesti jälgitav. Samuti ei ole väärtusliku teabe juurde pääsejateks sugugi tavalised töötajad. Ja mis võiks olla lihtsam tavalise juhataja jaoks, kui varastada abikäe ulatuses olev väärtuslik dokument? Igaüks suudab sellega hakkama saada. Prinditud dokumente ei ole alati vaja välja viia organisatsioonist. Piisab, kui jäädvustada telefoniga head kvaliteeti pakkuva kaameraga hädavajalikke materjale, mis on lihtsalt vedelemas.

Canon pakub mitmeid turvalahendusi, mis aitavad teil kaitsta konfidentsiaalseid dokumente kogu nende elutsükli jooksul.

Prinditud dokumentide konfidentsiaalsus

Kasutaja saab seadistada trükiparooli, et dokumentide printimine algaks ainult pärast õige parooli sisestamist seadmesse. See võimaldab kaitsta konfidentsiaalseid dokumente.

Tihti võib MFP-d näha organisatsioonide avalikes kohtades, et kasutajatel oleks mugav. Need võivad olla fuajee ja koosolekuruumid, koridorid ja vastuvõtud. Ainult identifikaatorite (PIN-koodide, nutikaartide) kasutamine tagab teabe säilimise kasusaaja juurdepääsutase kontekstis. On tähelepanuväärseid juhtumeid, kus kasutajad said juurdepääsu varem saadetud dokumentidele, passide skannidele jne, halva järelevalve ja andmete kustutamise funktsioonide puudumise tõttu.

Seadmest imageRUNNER ADVANCE saab administraator peatada kõik saadetud printimiste ülesanded — seega peavad kasutajad printimiseks sisse logima, mis tagab kõigi printimismaterjalide konfidentsiaalsuse.

Prinditavad või skannitud dokumendid saab salvestada postkastidesse, et neile oleks mugav igal ajal ligi pääseda. Postkaste saab kaitsta PIN-koodiga, et ainult määratud kasutajad saaksid nende sisu avada. Selles kaitstud ruumis seadmes saab hoida sageli prinditavaid dokumente (näiteks blankette ja vorme), mis vajavad ettevaatlikku käsitlemist.

Täielik kontroll dokumentide ja fakside saatmise üle

Et vähendada teabe lekkimise riske, saavad administraatorid piirata juurdepääsu erinevatele adresaatidele, näiteks neile, kes puuduvad LDAP-serveri aadressiraamatust, pole süsteemis registreeritud või kuuluvad teatud domeeni.

Dokumentide valele adresaatidele saatmise vältimiseks tuleb välja lülitada e-posti aadresside automaatne täitmine.

PIN-koodi seadmine kaitseb seadme aadressiraamatut volitamata kasutajate juurdepääsu eest.

Faksi numbri korduse sisestamise nõudmine kasutajatelt aitab vältida dokumentide saatmist valele aadressaadile.

Dokumentide ja fakside kaitsmine konfidentsiaalses kaustas või PIN-koodiga tagab dokumentide usaldusväärse salvestamise mällu ilma, et neid printida oleks vaja.

Dokumendi allika ja autentsuse kontrollimine

Seadme allkirja saab lisada skaneeritud dokumentidele PDF või XPS formaatides, kasutades võtmeid ja sertifitseerimismehhanismi — sel viisil saab saaja kontrollida dokumendi allikat ja autentsust.

„Elektroonilises dokumendis on elektrooniline digitaalallkiri (EDA) selle rekvisiit, mis on mõeldud dokumentide võltsimise kaitsmiseks ning võimaldab tuvastada allkirja võtme omanikku, samuti kinnitada, et dokumendis pole teavet moonutatud. Seega tagatakse edastatud dokumendi säilimine ja selle omaniku täpne tuvastamine, mis hoiab teabe usaldusväärsust.”

Kasutaja allkiri võimaldab saata PDF või XPS faile kasutaja unikaalse digitaalallkirjaga, mis on saadud sertifitseerivalt ettevõttelt. Nii saab saaja kontrollida, kes dokumendi allkirjaga on liitunud.

Integreerimine ADOBE LIFECYCLE MANAGEMENT ES-iga

Kasutajad saavad kaitsta PDF-faile ning rakendada neile ühtseid ja dünaamilisi poliitikaid juurdepääsu ja kasutusõiguste kontrollimiseks, samuti konfidentsiaalse ja väärtusliku teabe kaitsmiseks tahtmatu või pahatahtliku avalikustamise eest. Turvapoliitikaid toetatakse serveritasemel, mistõttu saab õigusi muuta isegi pärast faili jagamist. Seeria imageRUNNER ADVANCE seadmed on konfigureeritavad Adobe ES-iga integreerimiseks.

Turvaline printimine uniFLOW MyPrintAnywhere – trükijobide saatmine üle universaalse draiveri ja nende printimine mis tahes võrguprinteril.

Duplikaatide loomise ennetamine

Draiverid võimaldavad printida dokumentide peale nähtavaid märke, mis paiknevad sisu kohal. Seda saab kasutada töötajate teavitamiseks dokumendi konfidentsiaalsusest ja selle kopeerimise vältimiseks.

Printimine/kopimine nähtamatute vesimärkidega – dokumendid trükitakse või kopeeritakse sisseehitatud peidetud tekstiga taustal, mis ilmneb duplikaadi loomisel ja toimib tõkestava meetmena.

NTware'i uniFLOW tarkvara võimalused (osa Canon'i gruppe) pakuvad täiendavaid tõhusaid tööriistu dokumentide voogude turvalisuse tagamiseks.
uniFLOW kasutamine koos iW SAM Express'iga võimaldab skaneerida ja arhiveerida dokumente, mis on saadetud printerisse või saadud seadmest, samuti analüüsida tekstilisi andmeid ja atribuutide turvaprobleemide korral reageerides.

Dokumendi allika jälgimine sisseehitatud koodi abil.

Dokumentide skaneerimise blokeerimine – see valik manustatakse trükitud dokumentidesse ja koopiatesse peidetud kood, mis takistab nende edasist kopeerimist seadmel, kus see funktsioon on aktiveeritud. Administraator saab seda seadet kasutada kõigi ülesannete jaoks või ainult kasutaja valitud ülesannete jaoks. Manustamiseks on saadaval TL- ja QR-koodid.

„Testide tulemuste ja imageRUNNER ADVANCE III tehnoloogia funktsionaalsuse tutvustamise käigus suudeti kinnitada peamised vastavused tänapäevastele IT-ohutuse poliitikatele. Ülaltoodud kaitsemeetmed vastavad peamistele julgeoleku nõuetele ja suudavad minimeerida teabejulgeoleku rikkumise riske.“

Uuendatud imageRUNNER ADVANCE seadmed on varustatud turvapoliitika funktsiooniga, mis võimaldab administraatoril hallata kõiki turvaparameetreid ühes menüüs ja neid enne seadme konfigureerimist redigeerida. Pärast seadme seadistamist peab seadme kasutamine ja parameetrite muutmine toimuma vastavalt sellele poliitikale. Turvapoliitika saab kaitsta eraldi parooliga, et see tagaks täiendavad haldus- ja kaitsevõimalused, ning selle juurde pääseb ainult IT-ohutuse vastutav spetsialist.

„On oluline leida ja säilitada tasakaal turvalisuse ja mugavuse vahel, kasutades oskuslikult tehnoloogilisi edusamme ja tehnilisi lahendusi teabe kaitsmiseks, rakendades kvalifitseeritud personal ja oskuslikult haldades antud vahendeid ettevõtte turvalisuse tagamiseks.”

Materjali ettevalmistamise abi – Luka Safonov, Praktilise analüüsi labori juht, Infotehnoloogia Jet.
analüüsi kaitse seisukohalt.

Ainult registreeritud kasutajad saavad küsitluses osaleda. Logige sisse, palun.

Kui põhjalik on teie lähenemine ettevõtte turvalisusele?

Ettevõtte turvapoliitika kehtib mitmefunktsionaalse seadmete pargi kohta
Ettevõtte prindiseadmete park tagab kasutajate isiklike seadmete turvalise kasutamise
Ettevõte tagab printimisstruktuuri asjakohasuse ning õigeaegse ja tõhusa plaastrite ja värskenduste paigaldamise
Ettevõtte külalised saavad printida ja skaneerida, ohustamata ettevõtte võrku
Ettevõtte IT-osakonnal on piisavalt aega turvaprobleemide vaatlemiseks
Ettevõte on leidnud tasakaalu seadmete turvalisuse ja kasutusmugavuse vahel.

Hääletas 2 kasutajat. Vastasid ei ole.

Allikas: habr.com