A beépített funkciók bővülésével az irodai MFP-k már régen túlléptek a triviális szkennelés/nyomtatás határain. Ma már teljes értékű, önálló eszközökké váltak, amelyek integrálva vannak a magas technológiai szintű helyi és globális hálózatokba, összekötve a felhasználókat és a szervezeteket nemcsak egy irodán belül, hanem világszerte.
A cikkben Luka Safonov, a gyakorlati információbiztonság szakértőjével megvizsgáljuk a modern irodai MFP-k főbb fenyegetéseit és azok megelőzési módszereit.
A modern irodatechnika saját merevlemezekkel és operációs rendszerekkel rendelkezik, amelyek révén az MFP-k széles spektrumú dokumentumkezelési feladatokat tudnak önállóan ellátni, ezzel csökkentve más eszközök terhelését. Azonban a magas technikai felszereltségnek van egy hátulütője is. Mivel az MFP-k aktívan részt vesznek az adatok hálózati továbbításában, megfelelő védelem nélkül sebezhető pontokká válnak a szervezet egész hálózati környezetében. Bármely rendszer védettsége a leggyengébb láncszem védelmi szintje által határozható meg. Ezért az összes védelmi intézkedés, amelyet a szerverekre és a vállalati számítógépekre áldoznak, értelmetlenné válik, ha a támadó számára nyitva marad egy rés az MFP-n keresztül. A bizalmas információk védelmének problémáját felismerve a Canon a platform harmadik verziójának biztonsági szintjét emelte meg. , amelyről a cikkben szó lesz.
Fő fenyegetések
Több olyan potenciális kockázat is létezik, amely az MFP-k használatával kapcsolatos a szervezetekben:
- Rendszerfeltörés a MFP-hez való jogosulatlan hozzáférés révén és az eszköz "támogatási pontként" való használata;
- MFP használata az adatfelügyeleti adatainak kiemelésére;
- Adatlopás nyomtatás vagy szkennelés során;
- Hozzáférés az adatokhoz olyan személyek által, akiknek nincs megfelelő hozzáférésük;
- Hozzáférés a kinyomtatott vagy beolvasott bizalmas információkhoz;
- Hozzáférés a lejárt élettartamú eszközök bizalmas adataihoz.
- Dokumentumok faxolása vagy e-mailen való elküldése téves címre szándékosan vagy elírásból;
- Jogosulatlan megtekintés a védtelen MFP-ken tárolt bizalmas információkhoz;
- Különböző felhasználók által nyomtatott feladatok összessége.
Valóban, a modern MFP-k gyakran óriási potenciált rejtenek az támadó számára. Projekt tapasztalataink azt mutatják, hogy a nem konfigurált készülékek, vagy a megfelelő védelmi szint nélküli eszközök hatalmas lehetőséget adnak a támadóknak a támadási felszín bővítésére. Ez magába foglalja a fiókok, a hálózati címek listájának megszerzését, a lehetőséget e-mailek küldésére és még sok mást. Próbáljuk meg megtudni, hogy a Canon által kínált megoldások képesek-e mérsékelni ezeket a fenyegetéseket.
Minden egyes sebezhetőség típusra az új imageRUNNER ADVANCE platformon egy egész komplexum kölcsönösen kiegészítő intézkedés áll rendelkezésre, amelyek többrétegű védelmet biztosítanak. Fontos kiemelni, hogy a fejlesztések speciális megközelítést igényeltek, a MFP-k működési jellemzői miatt. Dokumentumok nyomtatása és beolvasása során az információ digitális formából analógba és vissza kerül át. E kétféle információ védelmének biztosítása gyökeresen eltérő módszereket igényel. Általában a technológiák határán, a heterogenitásuk miatt alakul ki a legsebezhetőbb pont.
Gyakran az MFP-k könnyű célpontot jelentenek mind a pentesterek, mind a rosszindulatú támadók számára. Ez általában a készülékek beállítására való hanyag hozzáállással, valamint a könnyű hozzáférhetőséggel függ össze, akár az irodai környezetben, akár a hálózati infrastruktúrában. Az utolsó esetek közül emlékezetes támadás történt 2018. november 29-én, amikor egy Twitter felhasználó TheHackerGiraffe átlépte több mint 50 000 hálózati nyomtatón, és nyomtatványokat készített, amiken felhívás volt látható, hogy iratkozzanak fel egy PewDiePie nevű YouTube-csatornára. A Reddit-en TheHackerGiraffe kijelentette, hogy több mint 800 000 eszközt is kompromittálhatott volna, de csak 50 000-re korlátozta. A hackert úgy vélte, hogy a fő probléma az, hogy soha korábban nem csinált ilyet, de az előkészületek és maga a hackelés csupán fél órát vettek igénybe.
Amikor a Canon technológiákat, termékeket és szolgáltatásokat fejleszt, figyelembe veszik azok lehetséges hatását az ügyfelek munkahelyi környezetére. Éppen ezért a Canon irodai többfunkciós nyomtatói széleskörű, beépített és kiegészítő biztonsági funkciókkal vannak felszerelve, amelyek lehetővé teszik, hogy bármely méretű vállalat elérje a szükséges védelmi szintet.
A Canon az irodai berendezések iparágának egyik legszigorúbb biztonsági ellenőrzési rendszerét alkalmazza. Az eszközökben használt technológiákat a vállalat standardjainak való megfelelőség szempontjából tesztelik. Kiemelt figyelmet fordítanak a biztonsági ellenőrzésekre, amelyek alapján pozitív visszajelzéseket kaptak a készülékek használatáról olyan cégektől, mint a "Kaspersky Lab", a "COMLOGIC", a "TerraLink" és a "JTI Oroszország", valamint másoktól.
"Bár a modern környezetben logikus, hogy növeljük a termékeink biztonságát, ezt az elvet messze nem követik minden vállalat. A cégek a termékeik feltörése (és a felhasználók részéről érkező nyomás) után kezdenek el gondolkodni a védelemről. E szempontból a Canon alapos megközelítése a védelmi módszerek és intézkedések megvalósításához figyelemre méltó."
Jogosulatlan hozzáférés az MFP-hez
Nagyon gyakran a védtelen MFP-k az egyik prioritás célpontjai mind a belső megsértők (insiderek), mind a külsők számára. A modern helyzetben a vállalati hálózat nem korlátozódik egyetlen irodára, hanem magában foglal egy csoportnyi részleget és felhasználót, akik különböző földrajzi helyeken helyezkednek el. A központosított dokumentumkezelés távoli hozzáférést igényel, és az MFP-ket be kell vonni a vállalati hálózatba. A hálózati nyomtatók az Internet of Things kategóriájába tartoznak, ám a védelmük gyakran nem kap megfelelő figyelmet, ami az egész infrastruktúra általános sebezhetőségéhez vezet.
Az ilyen típusú fenyegetések ellenaz alábbi intézkedéseket valósítottuk meg:
- IP- és MAC-cím szűrés – csak olyan eszközökkel való kommunikáció engedélyezése, amelyek meghatározott IP- vagy MAC-címmel rendelkeznek. Ez a funkció szabályozza az adatkezelést mind a hálózaton belül, mind azon kívül.
- Proxy-szerver konfigurálása – e funkció révén a MFP csatlakozások kezelését delegálni lehet a proxy-szervernek. Ezt a funkciót javasolt használni olyan eszközökhöz, amelyek a vállalati hálózaton kívül helyezkednek el.
- IEEE 802.1X szerinti hitelesítés – még egy védelem a nem hitelesített eszközök kapcsolódása ellen, amelyet a hitelesítési szerver blokkol. Jogosulatlan hozzáférést a LAN-switch blokkolja.
- Az IPSec-en keresztüli csatlakozás védelmet nyújt az IP-csomagok hálózaton történő lehallgatása vagy dekódolása ellen. Ajánlott a TLS biztonsági titkosítással együtt használni.
- A portok kezelése a belső támadások megszüntetésére szolgál. Ez a funkció felelős a portbeállítások konfigurálásáért a biztonsági házirendnek megfelelően.
- A tanúsítványok automatikus regisztrálása – ez a funkció kényelmes eszközt biztosít a rendszergazdák számára a biztonsági tanúsítványok automatikus kiadására és frissítésére.
- A Wi-Fi Direct funkció lehetővé teszi a mobil eszközök biztonságos nyomtatását. Ehhez a mobil eszközt nem szükséges csatlakoztatni a vállalati hálózathoz. A Wi-Fi Direct segítségével helyi, peer-to-peer kapcsolatot hozhat létre az eszköz és a többfunkciós nyomtató között.
- A naplózás figyelése – minden esemény, amely a többfunkciós nyomtató használatával kapcsolatos, beleértve a letiltott kapcsolódási kérelmeket, valós időben rögzítésre kerül különböző rendszer naplókban. A bejegyzések elemzése lehetővé teszi a potenciális és meglévő fenyegetések felfedezését, a megelőző biztonsági politika kidolgozását és a már bekövetkezett információszivárgások szakmai értékelését.
- Az eszközzel való interakció során történő adat titkosítása – ez az opció titkosítja a nyomtatási feladatokat, amikor azokat a felhasználói PC-ről a többfunkciós nyomtatóra küldik. A beolvasott PDF formátumú adatokat is titkosíthatja a biztonsági funkciók univerzális készletének aktiválásával.
- Vendég nyomtatás mobil eszközökről. A biztonságos hálózati nyomtatás és beolvasás kezelésére szolgáló szoftver megszünteti a mobil eszközökről és vendég nyomtatásról szóló nyomtatási biztonsági problémákat, külső módszereket biztosítva a nyomtatási feladatok elektronikus levél, internet és mobilalkalmazás révén történő küldésére. Ez biztosítja a többfunkciós nyomtató működését egy biztonságos forrással, minimalizálva a feltörés lehetőségét.
„Az ilyen eszközök közös használata a kényelem és a költségcsökkentés mellett kockázatokat is hordoz a külső információkhoz való hozzáférés terén. Ezt nemcsak a kibertámadók, hanem a tisztességtelen munkavállalók is kihasználhatják, hogy személyes haszonszerzés céljából vagy belső információkhoz jussanak. Az feldolgozott információk, a technológiai titkoktól kezdve a pénzügyi dokumentumokig, jelentős prioritást képviselnek a támadások vagy jogtalan felhasználás szempontjából.”
A legújabb imageRUNNER ADVANCE platform verzió újdonsága, hogy a nyomtatóeszközök két hálózathoz is csatlakoztathatók. Ez különösen kényelmes, ha az MFP-t egyszerre használják vállalati és vendég módban.
Adatvédelem a merevlemezen
A többfunkciós nyomtatón mindig jelentős mennyiségű adat tárolódik, amelyeket védeni kell – a nyomtatás sorában lévő feladatoktól kezdve a beérkezett faxokig, a beolvasott képekig, a címjegyzékekig, az aktivitási naplókig és a feladatok történetéig.
Lényegében a merevlemez csak ideiglenes tárolóhely, és az információk ott tartózkodása a szükségesnél tovább növeli a vállalati biztonsági rendszer sebezhetőségét. Ennek elkerülése érdekében a beállításokban megadható a merevlemez törlési ütemezése. A nyomtatási feladatok azonnal törlődnek a teljesítésük után vagy nyomtatási hibák esetén, míg egyéb fájlok időszakosan eltávolíthatók a fennmaradó adatok törlésével.
„Sajnos még sok IT-szakember is gyenge ismeretekkel rendelkezik a merevlemezek szerepéről a modern nyomtatási eszközökben. A merevlemez megléte jelentősen lerövidíti a nyomtatási előkészítési időt. A merevlemezeken általában rendszerszintű információk, grafikus fájlok, bitképek, amelyeket másolatok nyomtatásához használnak, tárolódnak. A MFP helytelen megsemmisítése és az adatszivárgás lehetősége mellett fennáll a merevlemez leszerelésének/kivételének kockázata, valamint a speciális támadások végrehajtása az adatok kiszivárogtatására, például a Printer Exploitation Toolkit használatával.”
A Canon eszközök számos olyan eszközt kínálnak, amelyek védik az adatokat az eszköz életciklusa minden szakaszában, valamint biztosítják a bizalmasság, integritás és elérhetőség megőrzését.
Nagy hangsúlyt fektettek a merevlemezek adatainak védelmére. Az ott tárolt információk különböző fokú bizalmas jelleggel bírhatnak. Ezért az imageRUNNER ADVANCE platform új verziójának 26 modellt tartalmazó 7 különböző sorozatában HDD titkosítást alkalmaznak. Ez az USA kormánya által elfogadott FIPS 140-2-es biztonsági szabványnak, valamint a japán megfelelőjének, a JCVMP-nek felel meg.
„Fontos, hogy olyan információ-hozzáférési rendszert alkalmazzunk, amely figyelembe veszi a felhasználók szerepét és a hozzáférési szinteket. Például sok cégnél szigorúan tilos a munkatársak közötti bérbeszélgetés, és a bérjegyzék vagy bármilyen bónuszinformáció kiszivárgása komoly konfliktust okozhat a csapatban. Sajnos ismeretekkel rendelkezem ilyen esetekről, és az egyik példánál ez egy munkatárs elbocsátásához vezetett, aki felelős volt az ilyen jellegű adatvisszaélésért.”
- Merevlemez titkosítás. Az imageRUNNER ADVANCE készülékek titkosítják az összes adatot a merevlemezen a biztonság szintjének növelése érdekében.
- Merevlemez törlés. Néhány adat, például a másolt vagy beolvasott képek adatai, valamint a számítógépről nyomtatott dokumentumok adatai, korlátozott ideig tárolódnak a nyomtató merevlemezén, majd a megfelelő feladat elvégzése után törlődnek.
- Minden adat és beállítás inicializálása. Az adatok elvesztésének megakadályozása érdekében a merevlemez cseréjekor vagy megsemmisítésekor lehetőség van minden dokumentum és adat felülírására a merevlemezen, majd a beállítások alapértelmezett értékekre állítására.
- Tartalék merevlemez. A vállalatok lehetőséget kaptak, hogy az eszköz merevlemezéről adatokat mentenek egy külön megvásárolt merevlemezre. A biztonsági mentés során az adatok mindkét merevlemezen teljes titkosításon mennek keresztül.
- Kivehető merevlemez-készlet. Ez az opció lehetővé teszi a merevlemez eltávolítását az eszközből, hogy biztonságosan tárolhassák, amíg az eszköz nem használatos.
Kritikus adatok kiszivárgása
Minden cég titkos dokumentumokkal foglalkozik, mint például szerződések, megállapodások, könyvelési iratok, ügyféladatok, fejlesztési osztály tervek és sok más. Ha ezek a dokumentumok rossz kezekbe kerülnek, a következmények változatosak lehetnek a hírnév romlásától kezdve a jelentős bírságokig vagy akár bírósági keresetekig. A rosszindulatú szereplők irányítást szerezhetnek a cég vagyonának, a fontos vagy bizalmas információknak a felett.
„Az értékes információk ellopásával nemcsak a versenytársak vagy csalók foglalkoznak. Gyakori, hogy dolgozók döntöttek úgy, hogy saját vállalkozást indítanak, vagy titokban dolgoztak, eladva információkat. Ilyen helyzetekben a nyomtató válik a legfőbb segítőtársukká. Bármilyen adatátvitel a cégen belül könnyen nyomon követhető. Ráadásul a fontos információkhoz nemcsak az átlagos dolgozók férhetnek hozzá. Mi lehetne egyszerűbb egy átlagos menedzser számára, mint ellopni egy céltalanul heverő értékes dokumentumot? Ezzel a feladattal bárki megbirkózik. A nyomtatott dokumentumokat nem mindig kell kihozni az intézményből; elegendő gyorsan lefotózni a hetente heverő anyagokat egy jó kamerás telefonnal.”
A Canon számos biztonsági megoldást kínál, amelyek segítenek megvédeni a titkos dokumentumokat azok teljes életciklusa során.
A nyomtatott dokumentumok titkossága
A felhasználó beállíthat egy nyomtatási PIN-kódot, amely csak a helyes PIN-kód megadását követően indítja el a dokumentum nyomtatását. Ez lehetővé teszi a titkos dokumentumok védelmét.
„Gyakran találkozhatunk MFP-kkel a szervezetek nyilvános tereiben – a felhasználók kényelme érdekében. Ezek lehetnek előcsarnokok, tárgyalók, folyosók és recepciók. Csak az azonosítók (PIN-kódok, okoskártyák) használata garantálja az információk megőrzését a felhasználói hozzáférési szint vonatkozásában. Érdekes esetek, amikor a felhasználók hozzáfértek korábban elküldött dokumentumokhoz, útlevélmásolatokhoz stb. a nem megfelelő ellenőrzés és az adatok törlésének hiánya következtében.”
Az imageRUNNER ADVANCE készüléken az adminisztrátor felfüggesztheti az összes elküldött nyomtatási feladatot - így a felhasználóknak be kell jelentkezniük a nyomtatáshoz, amely biztosítja az összes nyomtatott anyag biztonságát.
A nyomtatási feladatok vagy beolvasott dokumentumok a levelező fiókokban tárolhatók, hogy bármikor kényelmesen hozzáférhessenek. A levelező fiókok PIN-kóddal is védhetők, így csak a kijelölt felhasználók férhetnek hozzá a tartalmukhoz. Ebben a védett térben a készüléken a gyakran nyomtatott dokumentumok (például űrlapok és formanyomtatványok) tárolhatók, amelyek a gondos kezelést igénylik.
Teljes ellenőrzés a dokumentumok és faxok küldése felett
Az információk kiszivárgásának kockázatának csökkentése érdekében az adminisztrátorok korlátozhatják a hozzáférést különböző címzettekhez, például az LDAP szerveren nem található címzettekhez, a rendszerben nem regisztráltakhoz vagy egy adott domainhez.
A dokumentumok rossz címzettnek történő elküldésének megakadályozása érdekében le kell tiltani az e-mail címek automatikus kiegészítését.
A PIN-kód beállítása megóvja a készülék címjegyzékét a felhasználók jogosulatlan hozzáférésétől.
A fax számának újra megadására vonatkozó kérés megakadályozza, hogy a felhasználók rossz címzettnek küldjék a dokumentumokat.
A dokumentumok és faxok védelme titkos mappa vagy PIN-kód segítségével biztosítja a dokumentumok megbízható tárolását a memóriában anélkül, hogy nyomtatni kellene őket.
A dokumentum forrásának és hitelességének ellenőrzése
A készülék aláírása hozzáadható a PDF vagy XPS formátumú beolvasott dokumentumokhoz egy kulcs és hitelesítési mechanizmus segítségével - így a címzett ellenőrizheti a dokumentum forrását és hitelességét.
A digitális aláírás az elektronikus dokumentumban annak jellemzője, amely a dokumentum hamisítatlan védelmét szolgálja, lehetővé téve az aláírási kulcs tulajdonosának azonosítását, és biztosítva az elektronikus dokumentumban található információk torzulásának hiányát. Ez garantálja a továbbított dokumentum megőrzését és a tulajdonos pontos azonosítását, amely lehetővé teszi az információk hitelességének megőrzését.
A felhasználói aláírás lehetővé teszi PDF vagy XPS fájlok elküldését, a felhasználó által tanúsítványi cégtől kapott egyedi digitális aláírással. Így a címzett ellenőrizheti, ki írta alá a dokumentumot.
Integráció az ADOBE LIFECYCLE MANAGEMENT ES szolgáltatással
A felhasználók védhetik a PDF fájlokat és alkalmazhatnak egységes és dinamikus szabályzatokat a hozzáférés és a használati jogok ellenőrzésére, valamint érzékeny és értékes információk védelmére a véletlen vagy rosszindulatú nyilvánosságra hozatal ellen. A biztonsági politikák a szerver szintjén kerülnek támogatásra, így a jogok megváltoztathatók a fájlok terjesztése után is. Az imageRUNNER ADVANCE sorozatú eszközök beállíthatók az Adobe ES integrálására.
A biztonságos nyomtatás a uniFLOW MyPrintAnywhere által lehetővé teszi a nyomtatási feladatok küldését egy univerzális illesztőprogramon keresztül, és azok nyomtatását a hálózat bármely nyomtatóján.
A másolatkészítés megelőzése
Az illesztőprogramok látható jelöléseket helyeznek a dokumentum tartalmára, amely informálhatja a dolgozókat a dokumentum bizalmasságáról és megakadályozhatja a másolását.
Nyomtatás/ másolás láthatatlan vízjelekkel – a dokumentumok beépített, rejtett háttérszöveget tartalmaznak, amely megjelenik a másolat készítésekor, és visszatartó intézkedésként működik.
A NTware uniFLOW szoftverének funkciói (a Canon cégcsoport része) további hatékony eszközöket kínálnak a dokumentumkezelés biztonságának garantálására.
A uniFLOW iW SAM Express-szel való együttműködése lehetővé teszi a nyomtatóra küldött vagy az eszközről érkezett dokumentumok digitalizálását és archiválását, valamint a szöveges adatok és attribútumok elemzését a biztonsági fenyegetésekre adott válaszként.
A dokumentum forrásának nyomkövetése beépített kóddal.
A dokumentumok szkennelésének blokkolása – ez az opció rejtett kódot épít be a nyomtatott dokumentumokba és másolatokba, amely megakadályozza azok későbbi másolását azon az eszközön, ahol ez a funkció aktív. Az adminisztrátor ezt a beállítást alkalmazhatja minden feladatra vagy csak a felhasználó által kiválasztott feladatokra. A beépítéshez TL- és QR-kódok állnak rendelkezésre.
A tesztelés és az imageRUNNER ADVANCE III technológia funkcionalitásának megismerése eredményeként megerősítést nyert, hogy megfelel a modern IT-biztonsági politikák alapvető követelményeinek. A felsorolt védelmi intézkedések a biztonsági követelményeknek felelnek meg és képesek minimalizálni az információbiztonság megsértésének kockázatait.
A legújabb imageRUNNER ADVANCE eszközök biztonsági politikai funkcióval vannak felszerelve, amely lehetővé teszi az adminisztrátor számára, hogy egy menüben kezelje az összes biztonsági paramétert, és azokat a készülék konfigurálásának alkalmazása előtt módosítsa. Az alkalmazás után a készülék használatának és a paraméterek megváltoztatásának meg kell felelnie ennek a politikának. A biztonsági politikát külön jelszóval lehet védeni, hogy további lehetőségeket biztosítson a kezelés és védelem terén, és csak a felelős IT-biztonsági szakember férhessen hozzá.
Meg kell találni és meg kell tartani az egyensúlyt a biztonság és a kényelem között, ügyesen kihasználva a technológiai eredményeket és műszaki megoldásokat az információvédelem érdekében, valamint képzett szakemberek alkalmazásával és a rendelkezésre álló források ügyes kezelésével a vállalat biztonságának biztosítása érdekében.
A cikk előkészítésében segített: Luka Safonov, a gyakorlati elemző laboratórium vezetője.
Jet Infósystemek.
Csak a regisztrált felhasználók vehetnek részt a szavazáson. , kérem.
Mennyire átfogó megközelítést alkalmaz a vállalati biztonság terén?
A vállalati biztonsági politika kiterjed a multifunkcionális eszközparkra.
A vállalat nyomtatási eszközeinek parkja biztonságos használatot biztosít a felhasználók személyes eszközei számára.
A vállalat biztosítja a nyomtatási infrastruktúra aktualitását, valamint a javítások és frissítések időben és hatékony telepítését.
A vállalat vendégei nyomtathatnak és szkennelhetnek anélkül, hogy veszélyeztetnék a vállalati hálózatot.
A vállalat IT-részlege elegendő időt kap a biztonsági problémák áttekintésére.
A vállalat megtalálta az egyensúlyt a biztonság és a készülékek használatának kényelme között.
2 felhasználó szavazott. Tartózkodó nincs.
Forrás: habr.com
