Mei de tanimming fan ynboude funksjes binne kantoar-MFP's lang fierder gien as triviale skennen / printsjen. No binne se feroare yn folweardige ûnôfhinklike apparaten, yntegreare yn hege-tech lokale en wrâldwide netwurken, ferbine brûkers en organisaasjes net allinich binnen ien kantoar, mar oer de heule wrâld.
Yn dit artikel, tegearre mei praktyske ynformaasje feiligens saakkundige Luka Safonov Litte wy sjen nei de wichtichste bedrigingen foar moderne kantoar-MFP's en manieren om se te foarkommen.
Moderne kantoarapparatuer hat har eigen hurde skiven en bestjoeringssystemen, wêrtroch't MFP's selsstannich in breed oanbod fan dokumintbeheartaken kinne útfiere, en de lêst op oare apparaten ferleegje. Sa'n hege technyske apparatuer hat lykwols ek in neidiel. Sûnt MFP's in aktyf diel nimme oan gegevensferfier oer it netwurk, wurde se sûnder goede beskerming kwetsberens yn 'e heule netwurkomjouwing fan' e organisaasje. De feiligens fan elk systeem wurdt bepaald troch de mjitte fan beskerming fan 'e swakste skeakel. Dêrom wurde alle kosten foar beskermjende maatregels foar ûndernimmingsservers en kompjûters sinleas as der in gat oerbliuwt foar in oanfaller fia de MFP. Troch it probleem fan it beskermjen fan fertroulike ynformaasje te begripen, hawwe Canon-ûntwikkelders it feiligensnivo fan 'e tredde ferzje fan it platfoarm ferhege , dat sil wurde besprutsen yn it artikel.
Main bedrigings
D'r binne ferskate potinsjele risiko's ferbûn mei it brûken fan MFP's yn organisaasjes:
- Hacking fan it systeem troch sûnder foech tagong ta de MFP en gebrûk as in "referinsjepunt";
- MFP's brûke om brûkersgegevens te eksfiltrearjen;
- Underskepping fan gegevens by it printsjen of scannen;
- Tagong ta gegevens fan persoanen sûnder passende klaring;
- Tagong ta printe of skansearre fertroulike ynformaasje;
- Tagong ta gefoelige gegevens op end-of-life apparaten.
- It ferstjoeren fan dokuminten per faks of e-post nei in ferkeard adres, mei opsetsin of as gefolch fan in typflater;
- Unautorisearre besjen fan fertroulike ynformaasje opslein op net beskerme MFP's;
- In dielde stapel printe banen dy't ta ferskate brûkers hearre.
"Yndied, moderne MFP's befetsje faak enoarm potinsjeel foar in oanfaller. Us projektûnderfining lit sjen dat net-konfigureare apparaten, of apparaten sûnder it passende nivo fan beskerming, oanfallers in geweldige kâns jaan om de saneamde útwreidzje. "oanfal oerflak". Dit krijt in list mei akkounts, netwurkadressering, de mooglikheid om e-postberjochten te ferstjoeren en folle mear. Litte wy besykje út te finen oft de oplossingen oanbean troch Canon yn steat binne om dizze bedrigingen te neutralisearjen.
Foar elk type kwetsberens biedt it nije imageRUNNER ADVANCE-platfoarm in hiele oanbod fan komplementêre maatregels dy't beskerming op meardere nivo's leverje. Dêrby moat opmurken wurde dat de ûntwikkeling fereasket in spesifike oanpak fanwege de eigenaardichheden fan de MFP operaasje. By it printsjen en scannen fan dokuminten giet ynformaasje oer fan digitaal nei analoog of oarsom. Elk fan dizze soarten ynformaasje fereasket fûneminteel ferskillende metoaden om beskerming te garandearjen. Meastentiids, op it krúspunt fan technologyen, fanwege har heterogeniteit, wurdt it meast kwetsbere plak foarme.
"MFP's binne faak maklike proai foar sawol pentesters as oanfallers. As regel komt dit troch in negligent hâlding foar it ynstellen fan sokke apparaten en har relatyf maklike beskikberens, sawol yn 'e kantoaromjouwing as yn' e netwurkynfrastruktuer. Ien fan 'e meast resinte gefallen is in yndikative oanfal dy't barde op 29 novimber 2018, doe't in Twitter-brûker ûnder it skûlnamme TheHackerGiraffe mear as 50 netwurkprinters "hackte" en printe folders op har oproppen om minsken te abonnearjen op it YouTube-kanaal fan in bepaalde PewDiePie. Op Reddit sei TheHackerGiraffe dat hy mear as 000 apparaten kompromittearje koe, mar beheine himsels ta mar 800 Tagelyk beklamme de hacker dat it haadprobleem is dat hy noch noait sa'n ding dien hie, mar alle tariedingen en de hack sels naam him mar in healoere."
As Canon technologyen, produkten en tsjinsten ûntwikkelet, beskôgje wy har potensjele ynfloed op 'e wurkomjouwing fan klanten. Dêrom komme Canon-kantoar-multyfunksjonele printers mei in breed oanbod fan ynboude en opsjonele feiligensfunksjes om bedriuwen fan alle maten te helpen it nivo fan feiligens te berikken dat se nedich binne.
Canon hat ien fan 'e strangste regimes foar feiligenstests yn' e heule kantoarapparatuer. Technologien brûkt yn apparaten wurde hifke foar neilibjen fan bedriuwsnormen. In protte omtinken wurdt betelle oan feiligenskontrôles mei aktuele ûndersiken, wêrfan de resultaten positive feedback hawwe krigen oer de wurking fan apparaten fan bedriuwen lykas Kaspersky Lab, COMLOGIC, TerraLink en JTI Ruslân en oaren.
"Nettsjinsteande it feit dat it yn moderne realiteiten logysk is om de feiligens fan har produkten te ferheegjen, folgje net alle bedriuwen dit prinsipe. Bedriuwen begjinne te tinken oer beskerming nei ynsidinten fan hacking (en druk fan brûkers) fan bepaalde produkten. Fan dizze kant is de yngeande oanpak fan Canon foar de ymplemintaasje fan beskermingsmetoaden en -maatregels yndikatyf.
Net foech tagong ta MFP
Hiel faak binne ûnbeskerme MFP's ûnder de prioriteitsdoelen fan sawol ynterne oertreders (ynsiders) as eksterne. Yn moderne realiteiten is in bedriuwsnetwurk net beheind ta ien kantoar, mar omfettet in groep ôfdielingen en brûkers mei ferskate geografyske lokaasjes. Sintrale dokumintstream fereasket tagong op ôfstân en opnimmen fan MFP's yn it bedriuwsnetwurk. Netwurke printapparaten hearre ta it Internet of Things, mar har beskerming wurdt faaks net jûn troch omtinken, wat liedt ta de algemiene kwetsberens fan 'e hiele ynfrastruktuer.
Om te beskermjen tsjin dit soarte bedriging binne de folgjende maatregels útfierd:
- IP- en MAC-adresfilter - konfigurearje om kommunikaasje allinich mooglik te meitsjen mei apparaten dy't spesifike IP- of MAC-adressen hawwe. Dizze funksje regelet gegevensoerdracht sawol binnen it netwurk as dêrbûten.
- Konfiguraasje fan proxy-tsjinner - mei dizze funksje kinne jo kontrôle oer MFP-ferbiningen delegearje oan in proxy-tsjinner. Dizze funksje wurdt oanrikkemandearre as jo ferbine mei apparaten bûten it bedriuwsnetwurk.
- IEEE 802.1X-ferifikaasje is in oare beskerming tsjin it ferbinen fan apparaten dy't net autorisearre binne troch de autentikaasjetsjinner. Unautorisearre tagong wurdt blokkearre troch de LAN-switch.
- Ferbining fia IPSec - beskermet tsjin besykjen om IP-pakketten te ûnderskepen of te ûntsiferjen oer it netwurk oerdroegen. It is oan te rieden om te brûken mei ekstra TLS kommunikaasje fersifering.
- Portbehear - ûntworpen om te beskermjen tsjin ynsider-bystân oan oanfallers. Dizze funksje is ferantwurdlik foar it konfigurearjen fan havenparameters yn oerienstimming mei it feiligensbelied.
- Automatyske sertifikaatregistraasje - Dizze funksje jout systeembehearders in handich ark om automatysk befeiligingssertifikaten út te jaan en te fernijen.
- Wi-Fi direkt - dizze funksje is ûntworpen foar feilich printsjen fan mobile apparaten. Om dit te dwaan, hoecht it mobyl apparaat net te ferbinen mei it bedriuwsnetwurk. Troch Wi-Fi direkt te brûken, wurdt in lokale peer-to-peer-ferbining makke tusken apparaat en MFP.
- Logmonitoring - alle eveneminten yn ferbân mei it gebrûk fan 'e MFP, ynklusyf blokkearre ferbiningsoanfragen, wurde yn realtime yn ferskate systeemlogboeken opnommen. Troch it analysearjen fan records kinne jo potinsjele en besteande bedrigingen ûntdekke, in previntyf befeiligingsbelied bouwe en in saakkundige beoardieling útfiere fan ynformaasjelekken dy't al hawwe bard.
- Device Encryption—Dizze opsje fersiferet printtaken sa't se wurde stjoerd fan de PC fan de brûker nei de multyfunksjonele printer. Jo kinne ek scannen PDF-gegevens fersiferje troch in wiidweidige set befeiligingsfunksjes yn te skeakeljen.
- Gastprintsjen fan mobile apparaten. Befeilige netwurkprint- en scanbehearsoftware elimineert mienskiplike feiligensproblemen ferbûn mei mobyl- en gastprintsjen troch eksterne metoaden te leverjen foar it yntsjinjen fan printtaken lykas e-post, web en mobile app. Dit soarget derfoar dat de MFP wurket fan in feilige boarne, en minimalisearje de kâns op hacking.
"It dielen fan sokke apparaten bringt, neist gemak en kostenreduksje, ek risiko's yn foar tagong ta ynformaasje fan tredden. Dit kin net allinich brûkt wurde troch oanfallers, mar ek troch gewetenloze meiwurkers om persoanlik foardiel te krijen of ynsiderynformaasje te krijen. En it grutte potinsjeel fan 'e ynformaasje dy't ferwurke wurdt - fan technologyske geheimen oant finansjele dokumintaasje - is in wichtige prioriteit foar oanfal as illegitime gebrûk.
Nij foar de nije ferzje fan it imageRUNNER ADVANCE-platfoarm is de mooglikheid om printapparaten te ferbinen mei twa netwurken. Dit is heul handich as de MFP tagelyk brûkt wurdt yn bedriuws- en gastmodus.
Beskerming fan gegevens op jo hurde skiif
Jo multyfunksjonele printer befettet altyd in grutte hoemannichte gegevens dy't beskerme wurde moatte - fan ôfdruktaken yn 'e wachtrige oant ûntfongen faksen, skanne ôfbyldings, adresboeken, aktiviteitslogboeken en taakskiednis.
Yn feite is de skiif allinich tydlike opslach, en it bewarjen fan ynformaasje derop foar langer dan nedich fergruttet de kwetsberens fan it bedriuwsfeiligenssysteem. Om foar te kommen dat dit bart, kinne jo in hurde skiif skjinmeitsjen yn 'e ynstellings ynstelle. Njonken it feit dat printtaken fuortdaliks nei foltôging wurde wiske of as it printsjen mislearret, kinne oare bestannen op in skema wiske wurde om oerbleaune gegevens te wiskjen.
“Spitigernôch binne sels in protte IT-professionals min bewust fan de rol fan de hurde skiif yn moderne printapparaten. De oanwêzigens fan in hurde skiif kin gâns ferminderje de doer fan it tariedende printsjen faze. Hurde skiven bewarje normaal systeemynformaasje, grafyske bestannen en rasterisearre ôfbyldings foar it printsjen fan kopyen. Njonken it ferkearde ôffieren fan MFP's en de mooglikheid fan gegevenslekkage, is d'r de mooglikheid om de hurde skiif te ûntmanteljen / stellerij foar analyse, of spesjalisearre oanfallen út te fieren om gegevens te eksfiltrearjen, bygelyks mei de Printer Exploitation Toolkit."
Canon-apparaten biede in ferskaat oan ark om jo gegevens te beskermjen yn 'e heule libbenssyklus fan it apparaat, wylst se ek de fertroulikens, yntegriteit en beskikberens behâlde.
In protte omtinken wurdt betelle oan it beskermjen fan gegevens op 'e hurde skiif. De ynformaasje dy't dêr opslein is kin ferskate graden fan fertroulikens hawwe. Dêrom wurdt HDD-fersifering brûkt op alle 26 apparaatmodellen binnen 7 ferskillende searjes fan 'e nije ferzje fan it imageRUNNER ADVANCE-platfoarm. It foldocht oan 'e FIPS 140-2 Level 2-befeiligingsstandert fan' e Amerikaanske regearing, lykas ek it Japanske lykweardich JCVMP.
"It is wichtich om in systeem te hawwen foar tagong ta ynformaasje dat rekken hâldt mei brûkersrollen en tagongsnivo's. Bygelyks, yn in protte bedriuwen, diskusje oer salarissen ûnder meiwurkers is strang ferbean, en in lek fan salaris slips of ynformaasje oer bonussen kin útlokje in serieuze konflikt yn it team. Spitigernôch wit ik fan sokke gefallen, yn ien fan har liedt dit ta it ûntslach fan de meiwurker dy't ferantwurdlik is foar dit soarte fan lek."
- Hurde skiif fersifering. imageRUNNER ADVANCE-apparaten fersiferje alle gegevens op jo hurde skiif foar ferhege feiligens.
- Cleaning jo hurde skiif. Guon gegevens, lykas gegevens kopiearre of skansearre, of dokumint gegevens printe fan in kompjûter, wurdt opslein op de printer hurde skiif foar in beheinde tiid en wurdt wiske neidat de taak is foltôge.
- Inisjalisaasje fan alle gegevens en parameters. Om foar te kommen gegevensferlies by it ferfangen of ôffieren fan jo hurde skiif, kinne jo oerskriuwe alle dokuminten en gegevens op 'e hurde skiif, en dan weromsette de ynstellings nei harren standert wearden.
- Reservekopy hurde skiif. Bedriuwen hawwe no de mooglikheid om reservekopy te meitsjen fan gegevens fan 'e hurde skiif fan it apparaat nei in opsjonele hurde skiif. By it meitsjen fan in reservekopy binne de gegevens op beide hurde skiven folslein fersifere.
- Útnimbere hurde skiif kit. Mei dizze opsje kinne jo de hurde skiif fan it apparaat fuortsmite foar feilige opslach wylst it apparaat net yn gebrûk is.
Leakage fan krityske gegevens
Alle bedriuwen dogge mei fertroulike dokuminten lykas kontrakten, oerienkomsten, boekhâldingsdokuminten, klantgegevens, plannen foar ûntwikkelingsôfdieling en folle mear. As sokke dokuminten yn ferkearde hannen falle, kinne de gefolgen fariearje fan reputaasjeskea oant grutte boetes of sels rjochtsaken. Oanfallers kinne kontrôle krije oer bedriuwsaktiva, ynsider of fertroulike ynformaasje.
"It binne net allinich konkurrinten as oplichters dy't weardefolle ynformaasje stelle. D'r binne faak gefallen as meiwurkers beslute om har eigen bedriuw te ûntwikkeljen of temûk ekstra jild te fertsjinjen troch ynformaasje nei bûten te ferkeapjen. Yn sokke situaasjes wurdt de printer har wichtichste assistint. Elke gegevensoerdracht binnen it bedriuw is maklik te folgjen. Boppedat binne it net gewoane meiwurkers dy't tagong hawwe ta weardefolle ynformaasje. En wat kin makliker wêze foar in gewoane manager dan in weardefol dokumint te stellen dat leech leit? Elkenien kin mei dizze taak omgean. Printe dokuminten hoege net iens altyd bûten de organisaasje te nimmen. It is genôch om fluch in foto te meitsjen fan 'e materialen dy't idle lizze op in tillefoan mei in goede kamera."
Canon biedt in oanbod fan befeiligingsoplossingen om jo te helpen gefoelige dokuminten te beskermjen yn har heule libbenssyklus.
Fertroulikens fan printe dokuminten
De brûker kin in print-PIN ynstelle sadat it dokumint pas begjint te printsjen nei it ynfieren fan de juste PIN op it apparaat. Hjirmei kinne jo fertroulike dokuminten beskermje.
"MFP's kinne faak sjoen wurde yn iepenbier tagonklike gebieten fan in organisaasje foar it gemak fan brûkers. Dat kinne sealen en gearkomsteromten, gongen en ûntfangstromten wêze. Allinich it brûken fan identifiers (PIN-koades, smart cards) sil de feiligens fan ynformaasje garandearje yn 'e kontekst fan it tagongsnivo fan brûkers. Opmerklike gefallen wiene doe't brûkers tagong krigen ta earder ferstjoerde dokuminten, scans fan paspoarten, ensfh. as gefolch fan ûnfoldwaande kontrôles en gebrek oan funksjes foar skjinmeitsjen fan gegevens."
Op it imageRUNNER ADVANCE-apparaat kin de behearder alle yntsjinne printtaken ûnderbrekke, wêrtroch brûkers moatte ynlogge om te printsjen, en dêrmei de privacy fan alle printe materialen beskermje.
Printtaken of skend dokuminten kinne wurde opslein yn postfakken foar maklike tagong op elk momint. Postfakken kinne wurde beskerme mei in PIN-koade om te soargjen dat allinich oanwiisde brûkers tagong krije ta har ynhâld. Brûk dizze feilige romte op jo apparaat om faak printe dokuminten (lykas briefhoofden en formulieren) op te slaan dy't foarsichtich behannelje moatte.
Folsleine kontrôle oer it ferstjoeren fan dokuminten en faksen
Om it risiko fan ynformaasjelekkage te ferminderjen, kinne behearders tagong beheine ta ferskate ûntfangers, bygelyks dyjingen dy't net yn it adresboek op 'e LDAP-tsjinner binne, net registrearre yn it systeem of op in spesifyk domein.
Om foar te kommen dat dokuminten stjoerd wurde nei ferkearde ûntfangers, moatte jo autofill útskeakelje foar e-mailadressen.
It ynstellen fan in PIN-koade foar beskerming sil it adresboek fan it apparaat beskermje tsjin unautorisearre tagong fan brûkers.
It fereaskjen fan brûkers om it faksnûmer opnij yn te fieren sil foarkomme dat dokuminten nei de ferkearde ûntfangers stjoerd wurde.
It beskermjen fan dokuminten en faksen yn in fertroulike map of PIN sil dokuminten feilich opslein yn it ûnthâld hâlde sûnder se te printsjen.
Ferifiearje de boarne en autentisiteit fan in dokumint
In hântekening fan it apparaat kin wurde tafoege oan skend PDF- of XPS-dokuminten mei in kaai en sertifisearringmeganisme, sadat de ûntfanger de boarne en echtheid fan it dokumint kin ferifiearje.
"Yn in elektroanysk dokumint is in elektroanyske digitale hantekening (EDS) de needsaak, ûntworpen om dit elektroanyske dokumint te beskermjen tsjin ferfalsking en lit jo de eigner fan it sertifikaat foar hantekeningkaai identifisearje, en ek it ûntbrekken fan ferfoarming fan ynformaasje yn 'e elektroanysk dokumint. Dit soarget foar de feiligens fan it oerdroegen dokumint en de krekte identifikaasje fan de eigner, wat helpt om de betrouberens fan 'e ynformaasje te behâlden.
User Signature lit jo PDF- as XPS-bestannen ferstjoere mei de unike digitale hantekening fan de brûker krigen fan in sertifisearringsbedriuw. Op dizze manier kin de ûntfanger kontrolearje wa't it dokumint tekene hat.
Yntegraasje mei ADOBE LIFECYCLE MANAGEMENT ES
Brûkers kinne PDF-bestannen befeiligje en konsekwint en dynamysk belied op har tapasse om tagongs- en gebrûksrjochten te kontrolearjen, en fertroulike en weardefolle ynformaasje te beskermjen tsjin ûnbedoelde of kweade iepenbiering. Feiligensbelied wurdt byhâlden op servernivo, sadat tagongsrjochten kinne wurde feroare sels nei't it bestân is ferspraat. De apparaten fan 'e imageRUNNER ADVANCE-searje kinne wurde konfigureare om te yntegrearjen mei Adobe ES.
Feilich printsjen mei uniFLOW MyPrintAnywhere kinne jo printtaken ferstjoere fia in universele stjoerprogramma en printsje se nei elke printer op jo netwurk.
Duplikaten foarkomme
Bestjoerders kinne jo sichtbere markearrings printsje op 'e side dy't boppe op' e dokumintynhâld ferskine. Dit kin brûkt wurde om meiwurkers te ynformearjen oer de fertroulikens fan it dokumint en foar te kommen dat it kopiearre wurdt.
Ofdrukke / kopiearje mei ûnsichtbere wettermerken - Dokuminten sille wurde printe of kopiearre mei ferburgen tekst ynbêde op 'e eftergrûn, dy't sil ferskine as in duplikaat wurdt oanmakke en fungearret as ôfskrikmiddel.
De mooglikheden fan uniFLOW-software fan NTware (diel fan 'e Canon-groep fan bedriuwen) jouwe ekstra effektive ark foar it garandearjen fan dokumintfeiligens.
Mei it brûken fan uniFLOW yn kombinaasje mei iW SAM Express kinne jo dokuminten digitalisearje en argivearje dy't nei in printer binne stjoerd of ûntfongen fan in apparaat, en ek tekstgegevens en attributen analysearje as jo reagearje op feiligensbedrigingen.
Track dokumint boarne mei help fan ynbêde koade.
Dokumintscan blokkearje - Dizze opsje ynbêde in ferburgen koade yn printe dokuminten en kopyen dy't foarkomt dat se fierder kopiearje op in apparaat wêrop dizze funksje ynskeakele is. De behearder kin dizze opsje brûke foar alle banen of allinich banen selektearre troch de brûker. TL- en QR-koades binne beskikber foar ynbêde.
"As gefolch fan testen en fertroudmaking mei de funksjonaliteit fan 'e imageRUNNER ADVANCE III-technology, koenen wy de basiskonformiteit mei moderne IT-feiligensbelied befêstigje. De boppesteande beskermjende maatregels foldogge oan basisfeiligenseasken en kinne de risiko's fan ynbreuk op ynformaasjefeiligens minimalisearje.
De lêste imageRUNNER ADVANCE-apparaten binne foarsjoen fan in befeiligingsbeliedfunksje wêrmei de behearder alle befeiligingsynstellingen yn ien menu kin beheare en se bewurkje foardat se as apparaatkonfiguraasje tapast wurde. Ienris tapast, moatte gebrûk fan it apparaat en wizigingen oan ynstellings yn oerienstimming wêze mei dit belied. It befeiligingsbelied kin wurde beskerme mei in apart wachtwurd om ekstra kontrôle en beskerming te leverjen en kin allinich tagonklik wurde troch de ferantwurdlike IT-befeiligingsprofessional.
"It is needsaaklik om in lykwicht te finen en te behâlden tusken feiligens en gemak, ferstannich gebrûk fan technologyske foarútgong en technyske oplossingen om ynformaasje te beskermjen, kwalifisearre personiel te brûken en de fûnsen dy't levere wurde om de feiligens fan it bedriuw te garandearjen, op feardigens te behearjen."
Help by it tarieden fan it materiaal - Luka Safonov, haad fan it Praktyske Laboratorium
feiligens analyze, Jet Information Systems.
Allinnich registrearre brûkers kinne meidwaan oan 'e enkête. , asjebleaft.
Hoe wiidweidich is jo oanpak foar bedriuwsfeiligens?
-
It bedriuwsfeiligensbelied jildt foar de float fan multyfunksjonele apparaten
-
De float fan printapparaten fan it bedriuw soarget foar feilich gebrûk fan persoanlike apparaten fan brûkers
-
It bedriuw soarget derfoar dat de printynfrastruktuer aktueel is en dat patches en updates op tiid en effisjint wurde ynstalleare
-
Bedriuwsgasten kinne printsje en scannen sûnder it bedriuwsnetwurk yn gefaar te setten
-
De IT-ôfdieling fan it bedriuw hat genôch tiid om feiligensproblemen oan te pakken
-
It bedriuw hat in lykwicht fûn tusken it garandearjen fan feiligens en it gemak fan gebrûk fan apparaten
2 brûkers stimden. Der binne gjin ûnthâldens.
Boarne: www.habr.com