Uus turbe tase MFP-dele: imageRUNNER ADVANCE III

Kuna sisseehitatud funktsioonide arv on kasvanud, on kontori multifunktsionaalsed seadmed (MFP) juba ammu üle läinud triviaalsetest skaneerimis-/prindimisvõimetest. Nüüd on need muutunud täielikult iseseisvateks seadmeteks, mis on integreeritud kõrgtehnoloogilistesse kohalikesse ja globaalsetesse võrkudesse, sidudes kasutajaid ja organisatsioone mitte ainult ühe kontori piires, vaid ka üle maailma.

Selles artiklis vaatleme koos praktilise infotehnoloogia eksperdi Luka Safonoviga LukaSafonov , peamisi ohte, millega kaasaegsed kontori multifunktsionaalsed seadmed silmitsi seisavad, ja kuidas neid ennetada.

Kaasaegsetel kontoriseadmetel on oma kõvakettad ja operatsioonisüsteemid, mis võimaldavad MFP-del iseseisvalt täita laia valikut dokumenteerimise ülesandeid, vähendades teiste seadmete koormust. Siiski on sellise kõrge tehnilise varustatuse puhul ka varjupool. Kuna MFP-d osalevad aktiivselt andmete edastamises võrgus, muutuvad nad ilma adekvaatse kaitseta organisatsiooni kogu võrgukeskkonna nõrgimateks linkideks. Iga süsteemi turvalisus määratakse kõige nõrgema lüli kaitsetaseme kaudu. Seetõttu muutuvad kõik kulutused ettevõtte serverite ja arvutite kaitsemeetmetele mõttetuks, kui pahatahtlikel isikutel jääb MFP kaudu pääs. Mõistes konfidentsiaalse informatsiooni kaitsmise probleemi, on Canon tõstnud kolmanda versiooni platvormi imageRUNNER ADVANCE, millest artikkel räägib.

Peamised ohud

On olemas mitu potentsiaalset riski, mis on seotud MFP-de kasutamisega organisatsioonides:

• Süsteemi häkkimine volitamata ligipääsu kaudu MFP-le ja selle kasutamine 'toetuspunkina';
• MFP-de kasutamine kasutajate andmete eksfiltreerimiseks;
• Andmete ülekuulamine printimise või skaneerimise ajal;
• Ligipääs andmetele, millel pole vastavat luba;
• Ligipääs prinditud või skaneeritud konfidentsiaalsele informatsioonile;
• Ligipääs konfidentsiaalsetele andmetele seadmetes, mille kasutusaeg on lõppenud.
• Dokumentide saatmine faksi või e-posti teel vale aadressile tahtlikult või trükivea tõttu;
• Volitamata ligipääs konfidentsiaalsele informatsioonile, mis on salvestatud kaitsmata MFP-dele;
• Üldine prinditud ülesannete hunnik, mis kuulub erinevatele kasutajatele.

Tõepoolest, tänapäeva MFP-d (multifunktsionaalsed seadmed) peidavad endas sageli suurt potentsiaali ründajate jaoks. Meie projektikogemused näitavad, et vale konfiguratsiooniga seadmed või seadmed, millel puudub jõhkrate kaitsetasemeid, annavad ründajatele märkimisväärse võimaluse laiendada nn „ründe pinda“. See hõlmab kasutajakontode nimekirjade, võrgu aadresside hankimist, e-kirjade saatmise võimalust ja palju muud. Uurime, kas Canon’i pakutud lahendused suudavad neid ohte neutraliseerida.

Iga uue imageRUNNER ADVANCE platvormi haavatavustüübi jaoks on ette nähtud terviklik komplekt omavahel seotud meetmeid, mis tagavad mitmekihilise kaitse. Oluline on märkida, et arendused nõudsid spetsiifilist lähenemist MFP-de töö eripära tõttu. Dokumentide printimisel ja skaneerimisel toimub teabe üleminek digitaalsest vormist analoogseks või vastupidi. Iga selle teabe vorm nõuab põhimõtteliselt erinevaid meetodeid kaitse tagamiseks. Tavaliselt, tehnoloogiate kokkupuutepunktis, nende heterogeensuse tõttu, tekib kõige haavatavam koht.

Sageli on MFP-d nii pentesterite kui ka kurjategijate jaoks kerge saak. Reeglina on see seotud lohaku seadistamisega ja nende suhteliselt lihtsa juurdepääsuga, nii kontori keskkonnas kui ka võrguinsfrastruktuuris. Viimaste juhtumite hulgas on tähelepanuväärne rünnak, mis toimus 29. novembril 2018, kui Twitteri kasutaja nimega TheHackerGiraffe „häkkinud“ üle 50 000 võrguprinteri ja prinditud neile plakateid, mis kutsusid üles tellima teatud PewDiePie YouTube'i kanalit. Redditis väitis TheHackerGiraffe, et suudab kompromiteerida rohkem kui 800 000 seadet, kuid piirdus vaid 50 000-ga. Samuti rõhutas häkker, et peamine probleem oli see, et ta ei olnud kunagi varem millegagi sarnasega tegelenud, kuid kõik ettevalmistused ja ise häkkimine võtsid tal vaid poole tunni.

Kui Canon arendab tehnoloogiaid, tooteid ja teenuseid, arvestatakse nende potentsiaalse mõju klientide töökeskkonnale. Seetõttu on Canon'i kontorite multifunktsionaalsed printerid varustatud laia valiku sisseehitatud ja täiendavate turvafunktsioonidega, mis võimaldavad igas suuruses ettevõtetel saavutada vajaliku kaitsetaseme.

Canon kasutab ühte kõige rangemat turvalisuse kontrollimise režiimi kogu kontoritehnika tööstuses. Seadmestikes kasutatavad tehnoloogiad testitakse ettevõtte standardite kohaselt. Tänu põhjalikule turvakontrollile on saadud positiivset tagasisidet sellistelt ettevõtetelt nagu „Kaspersky Lab“, „COMLOGIC“, „TerraLink“ ja „JTI Venemaa“ ning teistelt.

„Kuigi tänapäeva reaalsustes on loogiline suurendada oma toodete turvalisust, ei järgi seda põhimõtet sugugi kõik ettevõtted. Ettevõtted hakkavad mõtlema kaitsele pärast juhtumeid, kui tooteid on rikutud (ja kasutajate surve tulemusena). Sellest vaatenurgast on Canon'i põhjalik lähenemine kaitsemeetodite ja -meetmete rakendamisele näitlik.“

Volitamata juurdepääs mitmefunktsionaalsele seadmele

Sageli on kaitsmata mitmefunktsionaalsed seadmed ühed peamised sihtmärgid nii sisemiste rikkujate (insiderid) kui ka väliste jaoks. Tänapäeva reaalsustes ei piirdu ettevõtte võrk vaid ühe bürooga, vaid hõlmab mitmeid osakondi ja kasutajaid, kellel on erinevad geograafilised asukohad. Keskne dokumendihaldus nõuab kaugjuurdepääsu ning mitmefunktsionaalse seadme kaasamist ettevõtte võrgus. Võrguprintereid peetakse asjade internetiks, kuid nende kaitsmisele ei pöörata sageli piisavalt tähelepanu, mis toob kaasa kogu infrastruktuuri üldise haavatavuse.

Selliste ohtude kaitsmiseks on rakendatud järgmisi meetmeid:

• IP- ja MAC-aadresside filter – seadmise võimalus lubada side ainult seadmetega, millel on kindlad IP- või MAC-aadressid. See funktsioon reguleerib andmeedastust nii võrgu sees kui ka väljaspool seda.
• Proxiserveri konfiguratsioon – tänu sellele funktsioonile on võimalik delegeerida mitmefunktsionaalse seadme ühenduste haldamine proxiserverile. See funktsioon on soovitatav, kui ühendatakse seadmeid väljaspool ettevõtte võrku.
• IEEE 802.1X autentimine – veel üks kaitsemeetod, mis takistab seadmete, mida autentimissever ei ole volitanud, ühendamist. Volitamata juurdepääs blokeeritakse LAN-lülitiga.
• IPSeci kaudu ühendamine kaitseb IP-pakettide nurjumise või dekrüpteerimise katsete eest, mis edastatakse võrgu kaudu. Soovitatav on kasutada koos täiendava TLS-šifreerimisega.
• Portide haldamine - see on mõeldud kaitseks sisemise abi eest kurjategijatele. See funktsioon vastutab portide konfiguratsiooni seadistamise eest, et see vastaks turvapoliitikale.
• Sertifikaatide automaatne registreerimine - see funktsioon annab süsteemiadministraatoritele mugava tööriista turvaportfelli automaatseks väljastamiseks ja uuendamiseks.
• Wi-Fi Direct - see funktsioon on mõeldud mobiilsete seadmete turvaliseks printimiseks. Selleks ei pea mobiilsest seadmest ühendama ettevõtte võrku. Wi-Fi Direct võimaldab luua kohaliku peer-to-peer ühenduse seadme ja multifunktsionaalse printeri vahel.
• Logide jälgimine - kõik multifunktsionaalse printeri kasutamise sündmused, sealhulgas blokeeritud ühendusettepanekud, registreeritakse erinevates süsteemi logides reaalajas. Analüüsides sõnumeid, saab avastada potentsiaalsed ja olemasolevad ohud, luua ennetavat turvapoliitikat ja hinnata juba toimunud teabelekke.
• Andmete krüptimine seadmega suhtlemisel - see valik krüpteerib printimisülesandeid, kui need saadetakse kasutaja arvutist multifunktsionaalsesse printerisse. Samuti saate krüpteerida skaneeritud andmed PDF-formaadis, aktiveerides universaalse turvafunktsioonide komplekti.
• Külaliste printimine mobiilsetelt seadmetelt. Turvalise võrguprintimise ja skaneerimise haldamise tarkvara kõrvaldab printimisega seotud turvaprobleemid mobiilsetelt seadmetelt ja külaliste printimiselt, pakkudes väliseid viise printimisülesannete edastamiseks, nagu e-post, Internet ja mobiilirakendus. See tagab multifunktsionaalse printeri töötamise turvalise allikana, vähendades häkkimise tõenäosust.

Kaasaskantavate seadmete kasutamine toob lisaks mugavusele ja kulude kokkuhoidmisele ka riske kolmandate osapoolte teabe juurdepääsuks. Sellega võivad ära kasutada mitte ainult kurjategijad, vaid ka pahatahtlikud töötajad, kes püüavad saada isiklikku kasu või pääseda ligi siseriiklikule teabele. Töödeldava teabe suur potentsiaal – alates tehnoloogilistest saladustest kuni finantsdokumentatsiooni – on märkimisväärne rünnakute või ebaseadusliku kasutamise prioriteet.

Uue imageRUNNER ADVANCE platvormi versiooniga on tutvustatud võimalust ühendada printimisseadmeid kahe erineva võrguga. See on väga mugav, kui multifunktsionaalset seadet kasutatakse samaaegselt ettevõtte ja külaliste režiimis.

Andmete kaitse kõvakettal

Multifunktsionaalses printeris hoitakse alati suurt hulka andmeid, mida tuleb kaitsta – alates printimiste ülesannetest, mis on järjekorras, kuni saadud fakside, skannitud piltide, aadressiraamatute, tegevusajakirjade ja ülesande ajaloo seeriateni.

Sisuliselt on ketas vaid ajutine salvestusruum ning teabe säilitamine seal kauem kui vajalik suurendab ettevõtte turvasüsteemi haavatavust. Selle vältimiseks saab seadete kaudu määrata kõvaketta puhastamise reguleerimise. Lisaks sellele, et printimisülesanded kustutatakse kohe pärast täitmist või printimise tõrgete korral, võivad muud failid olla plaanipäraselt kustutatud, kusjuures jääkandmed eemaldatakse.

Kahjuks on isegi paljud IT-spetsialistid nõrgalt teadlikud kõvaketta rollist tänapäeva printimisseadmetes. Kõvaketta olemasolu võimaldab oluliselt lühendada printimise ettevalmistamise aega. Kõvakettal hoitakse tavaliselt süsteemi teavet, graafikafailide, rasterpiltide, mis on mõeldud kopeerimiseks. Ebaõige multifunktsionaalsete seadmete utiliseerimise ja andmete lekke võimaluse kõrval eksisteerib ka kõvaketta demonteerimise/varastamise tõenäosus analüüsi eesmärgil või spetsialiseeritud rünnakute läbiviimise võimalus andmete väljaveoks, näiteks Printer Exploitation Toolkit’i abil.

Canon seadmed pakuvad mitmeid tööriistu andmete kaitseks seadme kogu elu jooksul, samuti nende konfidentsiaalsuse, terviklikkuse ja kättesaadavuse säilitamiseks.
Suuremat tähelepanu pööratakse andmete kaitsmisele kõvakettal. Seal hoitavad andmed võivad olla erineva konfidentsiaalsuse astmega. Seetõttu rakendatakse kõigis 26 seadme mudelis, mis kuuluvad 7 erinevasse seeriasse, uue versiooni imageRUNNER ADVANCE platvormil kõvaketta krüpteerimist. See vastab Ameerika Ühendriikide valitsuse kehtestatud FIPS 140-2 tasemele 2 ning Jaapani analoogile JCVMP.

„Oluline on omada teabe ligipääsusüsteemi, mis arvestab kasutajate rolle ja ligipääsutasemeid. Näiteks paljudes ettevõtetes on palgaarutelud töötajate seas rangelt keelatud ja palgaaruande või hüvitiste info lekkimine võib põhjustada tõsiseid konflikte kollektiivis. Kahjuks on mulle teada selliseid juhtumeid; üks neist viis töötaja vallandamiseni, kes oli sellise leke eest vastutav.”

• Kõvaketta krüpteerimine. Seadmed imageRUNNER ADVANCE krüpteerivad kõik andmed kõvakettal, et suurendada turvalisuse taset.
• Kõvaketta puhastamine. Mõned andmed, näiteks kopeeritud või skaneeritud piltide andmed ning dokumentide andmed, mis on arvutist välja printitud, salvestatakse printeri kõvakettale piiratud ajaks ja kustutatakse pärast vastava ülesande täitmist.
• Kogu andmete ja parameetrite lähtestamine. Andmete kaotamise vältimiseks kõvaketta vahetamise või utiliseerimise korral saab kõvakettale salvestatud dokumente ja andmeid üle kirjutada ning seejärel lähtestada seaded algsetele väärtustele.
• Varukoopia kõvakettale. Ettevõtted saavad varundada andmeid seadme kõvakettalt lisaks ostetud kõvakettale. Varundamise käigus krüpteeritakse andmed mõlema kõvaketta puhul täielikult.
• Eemaldatav kõvakettakomplekt. See valik võimaldab eemaldada kõvaketta seadmest selle ohutuks hoidmiseks, kuni seade ei ole kasutuses.

Kriitiliste andmete leke

Kõik ettevõtted tegelevad konfidentsiaalsete dokumentidega, nagu lepingud, kokkulepped, raamatupidamisdokumendid, klienditeave, arendusosakonna plaanid ja palju muud. Kui sellised dokumendid jõuavad valedesse kätesse, võivad tagajärjed varieeruda mainekahjustustest kuni suurte trahvide või isegi kohtuvaidlusteni. Kurjategijad võivad saada kontrolli ettevõtte varade, siseteabe või konfidentsiaalse teabe üle.

„Väärtusliku teabe vargusega tegelevad mitte ainult konkurendid või kelmid. Tihti on juhtumeid, kus töötajad otsustavad arendada oma äri või teenida salaja kõrvaltegevusega, müües teavet. Sellistes olukordades saab printerist nende peamine abimees. Iga andmeedastus ettevõtte sees on kergesti jälgitav. Lisaks ei ole juurdepääsule väärtuslikule teabele õigustatud ainult tavalised töötajad. Mis võiks olla lihtsam, kui tavalise juhi jaoks varastada tegevuseta väärtuslik dokument? Sellise ülesandega saab igaüks hakkama. Prinditud dokumente ei pea alati organisatsioonist välja viima. Piisab, kui kiiresti pildistada telefoniga, kus on hea kaamera, asjatult vedelevaid materjale.”

Canon pakub mitmeid turvalahendusi, mis aitavad teil kaitsta konfidentsiaalseid dokumente nende kogu elutsükli vältel.

Prinditud dokumentide konfidentsiaalsus

Kasutaja saab määrata printimise PIN-koodi, et dokumentide printimine algaks alles pärast õige PIN-koodi sisestamist seadmel. See aitab kaitsta konfidentsiaalseid dokumente.

„Tihti võib multifunktsionaalseid seadmeid näha organisatsiooni avalikes kohtades – kasutajate mugavuse nimel. Need võivad olla vestibüüli ja koosolekuruumide, koridoride ja vastuvõttude alad. Ainult identifikaatorite (PIN-koodide, nutikaarte) kasutamine tagab teabe kaitse kasutajate juurdepääsutasemete kontekstis. On tähelepanuväärseid juhtumeid, kui kasutajad said juurdepääsu varem saadetud dokumentidele, passide skännidele jne, mistõttu puudus korralik kontroll ja andmete puhastamise funktsioonid.”

Seadmestik imageRUNNER ADVANCE võib administraator peatada kõik saadetud printimisteated, nii et kasutajatel on vaja süsteemi siseneda, mis tagab kõigi trükimaterjalide konfidentsiaalsuse.

Printimise või skaneerimise ülesandeid saab hoida postkastides, et neile pääseda igal sobival ajal. Postkaste saab kaitsta PIN-koodiga, et ainult määratud kasutajad saaksid neile juurde pääseda. Sellel kaitstud ruumil seadmes saab hoida sageli prinditavaid dokumente (nt blankette ja vorme), mis nõuavad ettevaatlikku käitlemist.

Täielik kontroll dokumentide ja fakside saatmise üle

Teabe lekkimise riskide vähendamiseks saavad administraatorid piirata juurdepääsu erinevatele saajatele, näiteks neile, kes ei ole LDAP-serveri kontaktide nimekirjas, ei ole süsteemi registreeritud või kuuluvad kindlasse domeeni.

Valele aadressile dokumentide saatmise vältimiseks tuleb välja lülitada e-posti aadresside automaatne täitmine.

PIN-koodi seadmine kaitse jaoks hoiab seadme kontaktide nimekirja volitamata kasutajate juurest eemal.

Faksi numbri uuesti sisestamise nõudmine kasutajatelt aitab vältida dokumentide saatmist valele aadressile.

Dokumentide ja fakside kaitsmine konfidentsiaalses kaustas või PIN-koodiga tagab dokumentide usaldusväärse säilitamise mälus ilma neid printimata.

Dokumendi allika ja autentsuse kontrollimine

Seadme allkiri saab lisada skaneeritud dokumentidele PDF või XPS formaatides, kasutades võtit ja sertifitseerimise mehhanismi — seega saab saaja kontrollida dokumendi allikat ja autentsust.

„Elektroonilises dokumendis on elektrooniline digitaalallkiri (ЭЦП) selle atribuut, mis on mõeldud antud elektroonilise dokumendi valeandmete kaitsmiseks ja võimaldab tuvastada allkirja võtme sertifikaadi omaniku, samuti kindlustada, et elektroonilises dokumendis ei esine teabe moonutusi. Nii garanteeritakse edastatava dokumenti säilimine ja selle omaniku täpne tuvastamine, mis tagab teabe usaldusväärsuse.“

Kasutaja digitaalallkiri võimaldab saata PDF- või XPS-faile, mille on allkirjastanud kasutaja, kes on saanud allkirja sertifitseerimiselt. Nii saab saaja kontrollida, kes on dokumendile allkirja andnud.

Installeerimine ADOBE LIFECYCLE MANAGEMENT ES-i

Kasutajad saavad kaitsta PDF-faile ja rakendada ühtseid ja dünaamilisi poliitikaid juurdepääsu ja kasutusõiguste kontrollimiseks ning konfidentsiaalse ja väärtusliku teabe kaitsmiseks mitte tahtliku või kuritahtliku avalikustamise eest. Turvapoliitikaid toetatakse serveri tasandil, seega saab õigusi muuta isegi pärast faili jagamist. Seeria imageRUNNER ADVANCE seadmed on konfigureeritavad Adobe ES-iga integreerimiseks.

UniFLOW MyPrintAnywhere turvaline printimine tähendab printimisülesannete saatmist kaudu universaalse draiveri ja nende printimist mis tahes võrgu printerile.

Dublikaatide loomise ennetamine

Draiverid võimaldavad printida lehe peale nähtavad märgised, mis paiknevad dokumendi sisu kohal. Seda saab kasutada töötajate teavitamiseks dokumendi konfidentsiaalsusest ja selle kopeerimise takistamiseks.

Printimine/kopeerimine nähtamatute veepmarkedega – dokumendid prinditakse või kopeeritakse sisseehitatud peidetud tekstiga taustal, mis ilmneb dublikaadi loomisel ja toimib pidurdusmeetmena.

NTware'i uniFLOW tarkvara võimalused (osa Canon Groupi) pakuvad lisaks tõhusaid tööriistu dokumentide turvalisuse tagamiseks.
UniFLOW kasutamine koos iW SAM Expressiga võimaldab digiteerida ja arhiivida printerile saadetud või seadmest saadud dokumente ning analüüsida tekstilisi andmeid ja atribuutide põhjal reageerida turvaohtudele.

Dokumendi allika jälgimine sisseehitatud koodi kaudu.

Dokumendi skannimise blokeerimine – see variant sisestab prinditud dokumentidesse ja koopiatesse peidetud koodi, mis takistab nende edasist kopeerimist seadmes, kus see funktsioon on aktiveeritud. Administraator võib kasutada seda seadet kõigi ülesannete või ainult kasutaja valitud ülesannete jaoks. Sisestamiseks on saadaval TL- ja QR-koodid.

«Testide tulemuste ja imageRUNNER ADVANCE III tehnoloogia funktsionaalsuse tutvustamise tulemusena õnnestus kinnitada põhikohti kaasaegsetele IT-turvameetmetele. Üksikute sisestatud kaitsemeetmed vastavad peamistele turvanõuetele ja suudavad minimaalsetes riskides teabeohutuse rikkumist.»

Uued imageRUNNER ADVANCE seadmed on varustatud turvapoliitika funktsiooniga, mis võimaldab administraatoril hallata kõiki turvalisuse parameetreid ühes menüüs ja neid redigeerida seadme konfiguratsioonina rakendamiseks. Pärast rakendamist peab seadme kasutamine ja parameetrite muutmine toimuma vastavalt sellele poliitikale. Turvapoliitikat saab kaitsta eraldi parooliga, et tagada lisahalduse ja kaitse võimalusi ning ligipääs oleks ainult IT-turvaaruande vastutavale spetsialistile.

«Oluline on leida ja säilitada tasakaal turvalisuse ja mugavuse vahel, tehes õigesti tehnoloogilisi saavutusi ja tehnilisi lahendusi teabe kaitsmiseks, kasutada kvalifitseeritud töötajaid ja oskuslikult kasutada pakutavaid vahendeid ettevõtte julgeoleku tagamiseks.»

Materjali ettevalmistamisel aitas Luka Safonov, praktilise analüüsi labori juht, Infosisindused Jet.
Kuidas te kasutate ettevõtte turvalisuse osas terviklikku lähenemist?

Ainult registreeritud kasutajad saavad küsitluses osaleda. Logige sisse, palun.

Ettevõtte turvapoliitika katab multifunktsionaalsete seadmete parki

• Ettevõtte printimisseade tagab isiklike seadmete turvalise kasutamise kasutajate seas

• Ettevõte tagab printimisstruktuuri ajakohasuse ja õigeaegse ning tõhusa plaastrite ja uuenduste installimise

• Ettevõtte külalised saavad printida ja skaneerida, ohustamata ettevõtte võrku

• Ettevõtte IT-osakonnal on piisavalt aega turvaprobleemide käsitlemiseks

• Ettevõte leidis tasakaalu seadmete turvalisuse ja kasutusmugavuse vahel

• Integreeritud funktsioonide suurenemisega.

Hääletas 2 kasutajat. Erakondi ei ole.

Allikas: habr.com