🥇רמה חדשה של אבטחת MFP: imageRUNNER ADVANCE III

עם הגידול בפונקציות המובנות, מכשירי MFP משרדיים עברו מזמן מעבר לסריקה/הדפסה טריוויאלית. כעת הם הפכו למכשירים עצמאיים מן המניין, המשולבים ברשתות היי-טק מקומיות וגלובליות, ומחברים משתמשים וארגונים לא רק בתוך משרד אחד, אלא בכל העולם.

במאמר זה, יחד עם מומחה אבטחת המידע המעשי לוקה ספונוב לוקה ספונוב בואו נסתכל על האיומים העיקריים על MFPs משרדיים מודרניים והדרכים למנוע אותם.

לציוד משרדי מודרני יש כוננים קשיחים ומערכות הפעלה משלו, שבזכותם יכולות MFP לבצע מגוון רחב של משימות ניהול מסמכים באופן עצמאי, ולהקל על העומס על מכשירים אחרים. עם זאת, לציוד טכני כה גבוה יש גם חיסרון. מאחר ומכשירי MFP לוקחים חלק פעיל בהעברת נתונים על גבי הרשת, ללא הגנה מתאימה הם הופכים לפרצות בכל סביבת הרשת של הארגון. האבטחה של כל מערכת נקבעת לפי מידת ההגנה של החוליה החלשה ביותר. לכן, כל עלויות עבור אמצעי הגנה עבור שרתים ומחשבים ארגוניים הופכות לחסרות משמעות אם נותרת פרצה עבור התוקף דרך ה-MFP. מתוך הבנת הבעיה של הגנה על מידע סודי, מפתחי Canon העלו את רמת האבטחה של הגרסה השלישית של הפלטפורמה imageRUNNER ADVANCE, אשר יידונו במאמר.

איומים עיקריים

ישנם מספר סיכונים פוטנציאליים הקשורים לשימוש במכשירי MFP בארגונים:

פריצה למערכת באמצעות גישה לא מורשית ל-MFP ושימוש כ"נקודת התייחסות";
שימוש ב-MFPs כדי לסנן נתוני משתמש;
יירוט נתונים בעת הדפסה או סריקה;
גישה לנתונים של אנשים ללא אישור מתאים;
גישה למידע סודי מודפס או סרוק;
גישה לנתונים רגישים במכשירי סוף החיים.
שליחת מסמכים בפקס או במייל לכתובת שגויה, בכוונה או כתוצאה משגיאת הקלדה;
צפייה בלתי מורשית של מידע סודי המאוחסן על גבי מכשירי MFP לא מוגנים;
ערימה משותפת של עבודות מודפסות השייכות למשתמשים שונים.

"אכן, MFPs מודרניים מכילים לעתים קרובות פוטנציאל עצום עבור תוקף. הניסיון שלנו בפרויקט מראה שמכשירים לא מוגדרים, או מכשירים ללא רמת ההגנה המתאימה, נותנים לתוקפים הזדמנות ענקית להרחיב את מה שנקרא. "משטח התקפה". זה מקבל רשימה של חשבונות, כתובת רשת, היכולת לשלוח הודעות דואר אלקטרוני ועוד הרבה יותר. בואו ננסה לברר האם הפתרונות שמציעה קנון מסוגלים לנטרל את האיומים הללו".

עבור כל סוג של פגיעות, פלטפורמת imageRUNNER ADVANCE החדשה מספקת מגוון שלם של אמצעים משלימים המספקים הגנה מרובת רמות. יש לציין שהפיתוח דרש גישה ספציפית בשל המוזרויות של פעולת ה-MFP. בעת הדפסה וסריקת מסמכים, המידע עובר מדיגיטלי לאנלוגי או להיפך. כל אחד מסוגי המידע הללו דורש שיטות שונות מהותית להבטחת הגנה. בדרך כלל, בצומת של טכנולוגיות, בשל ההטרוגניות שלהן, נוצר המקום הפגיע ביותר.

"מנגנוני MFP הם לרוב טרף קל הן לגולשים ולתוקפים. ככלל, הדבר נובע מיחס רשלני להקמת מכשירים מסוג זה וזמינותם הקלה יחסית, הן בסביבת המשרד והן בתשתית הרשת. אחד המקרים האחרונים הוא התקפה אינדיקטיבית שהתרחשה ב-29 בנובמבר 2018, כאשר משתמש טוויטר תחת השם הבדוי TheHackerGiraffe "פרץ" יותר מ-50 מדפסות רשת והדפיס עליהן עלונים הקוראים לאנשים להירשם לערוץ YouTube של א. מסוים PewDiePie. ב-Reddit, TheHackerGiraffe אמר שהוא יכול להתפשר על יותר מ-000 מכשירים, אבל הגביל את עצמו ל-800 בלבד, במקביל הדגיש ההאקר שהבעיה העיקרית היא שהוא מעולם לא עשה דבר כזה לפני כן, אבל כל ההכנות וההכנות. הפריצה עצמה לקחה לו רק חצי שעה".

כאשר Canon מפתחת טכנולוגיות, מוצרים ושירותים, אנו רואים את ההשפעה הפוטנציאלית שלהם על סביבות העבודה של הלקוחות. זו הסיבה שהמדפסות הרב-תכליתיות של Canon מגיעות עם מגוון רחב של תכונות אבטחה מובנות ואופציונליות כדי לעזור לעסקים בכל הגדלים להשיג את רמת האבטחה הדרושה להם.

לקנון יש את אחד משטרי בדיקות הבטיחות המחמירים ביותר בכל תעשיית הציוד המשרדי. טכנולוגיות המשמשות במכשירים נבדקות לעמידה בתקני החברה. תשומת לב רבה מוקדשת לבדיקות אבטחה עם בדיקות עדכניות, שתוצאותיהן זכו למשוב חיובי על פעולת המכשירים מחברות כמו Kaspersky Lab, COMLOGIC, TerraLink ו-JTI Russia ואחרות.

"למרות העובדה שבמציאות המודרנית זה הגיוני להגביר את הבטיחות של המוצרים שלהם, לא כל החברות פועלות לפי העיקרון הזה. חברות מתחילות לחשוב על הגנה לאחר מקרים של פריצה (ולחץ של משתמשים) של מוצרים מסוימים. מהצד הזה, הגישה היסודית של קנון ליישום שיטות ואמצעי הגנה היא מעידה".

גישה לא מורשית ל-MFP

לעתים קרובות מאוד, מכשירי MFP לא מוגנים הם בין המטרות העדיפות הן של מפרים פנימיים (מקורבים) והן של גורמים חיצוניים. במציאות המודרנית, רשת ארגונית אינה מוגבלת למשרד אחד, אלא כוללת קבוצה של מחלקות ומשתמשים עם מיקומים גיאוגרפיים שונים. זרימת מסמכים מרכזית דורשת גישה מרחוק והכללה של MFPs ברשת הארגונית. מכשירי הדפסה ברשת שייכים לאינטרנט של הדברים, אך לרוב ההגנה עליהם אינה ניתנת לתשומת לב ראויה, מה שמוביל לפגיעות הכוללת של התשתית כולה.

כדי להגן מפני סוג זה של איום, יושמו האמצעים הבאים:

מסנן כתובות IP ו-MAC - הגדר לאפשר תקשורת רק עם מכשירים בעלי כתובות IP או MAC ספציפיות. פונקציה זו מסדירה את העברת הנתונים הן בתוך הרשת והן מחוצה לה.
תצורת שרת פרוקסי - הודות לפונקציה זו, ניתן להאציל שליטה על חיבורי MFP לשרת פרוקסי. תכונה זו מומלצת בעת חיבור למכשירים מחוץ לרשת הארגונית.
אימות IEEE 802.1X הוא הגנה נוספת מפני חיבור התקנים שאינם מורשים על ידי שרת האימות. גישה לא מורשית נחסמת על ידי מתג ה-LAN.
חיבור באמצעות IPSec - מגן מפני ניסיונות ליירט או לפענח מנות IP המועברות ברשת. מומלץ להשתמש בהצפנת תקשורת TLS נוספת.
ניהול נמלים - נועד להגן מפני סיוע פנימי לתוקפים. פונקציה זו אחראית על הגדרת פרמטרי יציאה בהתאם למדיניות האבטחה.
הרשמה אוטומטית לאישורים - תכונה זו מעניקה למנהלי מערכת כלי נוח להנפקה וחידוש אוטומטי של אישורי אבטחה.
Wi-Fi ישיר - פונקציה זו מיועדת להדפסה מאובטחת ממכשירים ניידים. לשם כך, המכשיר הנייד אינו צריך להיות מחובר לרשת הארגונית. באמצעות Wi-Fi ישיר, נוצר חיבור עמית-לעמית מקומי בין המכשיר ל-MFP.
ניטור יומן – כל האירועים הקשורים לשימוש ב-MFP, כולל בקשות חיבור חסומות, מתועדים ביומני המערכת השונים בזמן אמת. על ידי ניתוח רשומות, תוכלו לזהות איומים פוטנציאליים וקיימים, לבנות מדיניות אבטחה מונעת ולערוך הערכת מומחה של דליפות מידע שכבר התרחשו.
הצפנת התקן - אפשרות זו מצפינה עבודות הדפסה כשהן נשלחות מהמחשב האישי של המשתמש למדפסת הרב-תכליתית. אתה יכול גם להצפין נתוני PDF סרוקים על ידי הפעלת קבוצה מקיפה של תכונות אבטחה.
הדפסה לאורחים ממכשירים ניידים. תוכנת הדפסה וסריקה מאובטחת ברשת מבטלת בעיות אבטחה נפוצות הקשורות להדפסה ניידת והדפסה אורחת על ידי מתן שיטות חיצוניות להגשת עבודות הדפסה כגון דואר אלקטרוני, אינטרנט ואפליקציה לנייד. זה מבטיח שה-MFP פועל ממקור מאובטח, וממזער את הסבירות לפריצה.

"השיתוף של מכשירים כאלה, בנוסף לנוחות והפחתת עלויות, טומן בחובו גם סיכונים של גישה למידע של צד שלישי. זה יכול לשמש לא רק תוקפים, אלא גם עובדים חסרי מצפון כדי להשיג תועלת אישית או לקבל מידע פנימי. והפוטנציאל הגדול של המידע המעובד - מסודות טכנולוגיים ועד לתיעוד פיננסי - הוא בעדיפות משמעותית לתקיפה או לשימוש לא לגיטימי".

חדש בגרסה החדשה של פלטפורמת imageRUNNER ADVANCE היא היכולת לחבר התקני הדפסה לשתי רשתות. זה מאוד נוח כאשר משתמשים ב-MFP בו-זמנית במצב ארגוני ואורח.

הגנה על נתוני דיסק קשיח

המדפסת הרב-תכליתית שלך מכילה תמיד כמות גדולה של נתונים שיש להגן עליהם - החל מעבודות הדפסה בתור ועד פקסים שהתקבלו, תמונות סרוקות, פנקסי כתובות, יומני פעילויות והיסטוריית עבודות.

למעשה, הדיסק מהווה אחסון זמני בלבד, ושמירת המידע עליו למשך זמן ארוך מהנדרש מגבירה את הפגיעות של מערכת האבטחה הארגונית. כדי למנוע את זה, אתה יכול להגדיר לוח זמנים לניקוי הכונן הקשיח בהגדרות. בנוסף לעובדה שעבודות ההדפסה נמחקות מיד לאחר סיומן או כאשר ההדפסה נכשלת, ניתן למחוק קבצים אחרים לפי לוח זמנים כדי לנקות נתונים שיוריים.

"למרבה הצער, אפילו אנשי IT רבים אינם מודעים לתפקיד של הכונן הקשיח במכשירי הדפסה מודרניים. נוכחות של כונן קשיח יכולה להפחית משמעותית את משך שלב ההדפסה ההכנה. כוננים קשיחים מאחסנים בדרך כלל מידע מערכת, קבצים גרפיים ותמונות רסטר להדפסת עותקים. בנוסף לסילוק לא נכון של MFPs ואפשרות של דליפת נתונים, קיימת אפשרות של פירוק/גניבה של הכונן הקשיח לצורך ניתוח, או ביצוע התקפות מיוחדות לחילוץ נתונים, למשל באמצעות Printer Exploitation Toolkit."

מכשירי Canon מציעים מגוון כלים להגנה על הנתונים שלך לאורך כל מחזור החיים של המכשיר, תוך שמירה על הסודיות, השלמות והזמינות שלו.
תשומת לב רבה מוקדשת להגנה על נתונים בכונן הקשיח. המידע המאוחסן שם עשוי להיות בעל דרגות שונות של סודיות. לכן, נעשה שימוש בהצפנת HDD בכל 26 דגמי המכשירים בתוך 7 סדרות שונות של הגרסה החדשה של פלטפורמת imageRUNNER ADVANCE. הוא תואם לתקן האבטחה FIPS 140-2 של ממשלת ארה"ב ברמה 2, כמו גם המקבילה היפנית JCVMP.

"חשוב שתהיה מערכת לגישה למידע הלוקחת בחשבון את תפקידי המשתמש ורמות הגישה. כך למשל, בחברות רבות חל איסור מוחלט על דיון בשכר בין העובדים, והדלפת תלושי שכר או מידע על בונוסים עלולה לעורר סכסוך חמור בצוות. לצערי אני מכיר מקרים כאלה, באחד מהם זה הוביל לפיטורי העובד האחראי להדלפה מסוג זה".

הצפנת כונן קשיח. התקני imageRUNNER ADVANCE מצפינים את כל הנתונים בכונן הקשיח שלך להגברת האבטחה.
ניקוי הכונן הקשיח. נתונים מסוימים, כגון נתונים שהועתקו או נסרקו, או נתוני מסמכים שהודפסו ממחשב, מאוחסנים בכונן הקשיח של המדפסת לזמן מוגבל ונמחקים לאחר השלמת העבודה.
אתחול כל הנתונים והפרמטרים. כדי למנוע אובדן נתונים בעת החלפה או השלכה של הכונן הקשיח, תוכל להחליף את כל המסמכים והנתונים בכונן הקשיח, ולאחר מכן לאפס את ההגדרות לערכי ברירת המחדל שלהן.
גיבוי כונן קשיח. לחברות יש כעת את היכולת לגבות נתונים מהכונן הקשיח של המכשיר לכונן קשיח אופציונלי. בעת הגיבוי, הנתונים בשני הכוננים הקשיחים מוצפנים במלואם.
ערכת כונן קשיח נשלף. אפשרות זו מאפשרת להסיר את הכונן הקשיח מהמכשיר לאחסון בטוח בזמן שהמכשיר אינו בשימוש.

דליפה של נתונים קריטיים

כל החברות עוסקות במסמכים חסויים כגון חוזים, הסכמים, מסמכי חשבונאות, נתוני לקוחות, תוכניות מחלקת פיתוח ועוד ועוד. אם מסמכים כאלה נופלים לידיים הלא נכונות, ההשלכות יכולות לנוע מפגיעה במוניטין ועד קנסות גדולים או אפילו תביעות משפטיות. תוקפים יכולים לקבל שליטה על נכסי החברה, מידע פנימי או סודי.

"לא רק מתחרים או רמאים גונבים מידע בעל ערך. לעתים קרובות ישנם מקרים בהם עובדים מחליטים לפתח עסק משלהם או להרוויח כסף נוסף בסתר על ידי מכירת מידע כלפי חוץ. במצבים כאלה, המדפסת הופכת לעוזרת העיקרית שלהם. קל לעקוב אחר כל העברת נתונים בתוך החברה. בנוסף, לא לעובדים רגילים יש גישה למידע בעל ערך. ומה יכול להיות קל יותר למנהל רגיל מאשר לגנוב מסמך יקר ערך ששוכב בטלה? כל אחד יכול להתמודד עם המשימה הזו. מסמכים מודפסים אפילו לא תמיד צריך לקחת מחוץ לארגון. מספיק לצלם במהירות את החומרים השוכבים בחוסר מעש בטלפון עם מצלמה טובה".

Canon מציעה מגוון פתרונות אבטחה שיעזרו לך להגן על מסמכים רגישים לאורך כל מחזור החיים שלהם.

סודיות של מסמכים מודפסים

המשתמש יכול להגדיר PIN להדפסה כך שהמסמך יתחיל להדפיס רק לאחר הזנת ה-PIN הנכון במכשיר. זה מאפשר לך להגן על מסמכים חסויים.

"ניתן לראות לעתים קרובות רכיבי MFP באזורים נגישים לציבור בארגון לנוחות המשתמשים. אלה יכולים להיות אולמות וחדרי ישיבות, מסדרונות ואזורי קבלה. רק שימוש במזהים (קודי PIN, כרטיסים חכמים) יבטיח את בטיחות המידע בהקשר של רמת הגישה למשתמש. מקרים בולטים היו כאשר משתמשים קיבלו גישה למסמכים שנשלחו בעבר, סריקות דרכונים וכו'. כתוצאה מבקרה לא מספקת והיעדר פונקציות ניקוי נתונים".

בהתקן imageRUNNER ADVANCE, מנהל המערכת יכול להשהות את כל עבודות ההדפסה שנשלחו, ולדרוש מהמשתמשים להיכנס להדפסה, ובכך להגן על הפרטיות של כל החומרים המודפסים.

ניתן לאחסן עבודות הדפסה או מסמכים סרוקים בתיבות דואר לגישה נוחה בכל עת. ניתן להגן על תיבות דואר באמצעות קוד PIN כדי להבטיח שרק משתמשים ייעודיים יוכלו לגשת לתוכן שלהם. השתמש בשטח מאובטח זה במכשיר שלך כדי לאחסן מסמכים המודפסים לעתים קרובות (כגון ניירות מכתבים וטפסים) הדורשים טיפול זהיר.

שליטה מלאה על שליחת מסמכים ופקסים

כדי להפחית את הסיכון לדליפת מידע, מנהלי מערכת יכולים להגביל את הגישה לנמענים שונים, למשל כאלה שאינם בפנקס הכתובות בשרת ה-LDAP, אינם רשומים במערכת או בדומיין מסוים.

כדי למנוע שליחת מסמכים לנמענים שגויים, עליך להשבית את המילוי האוטומטי עבור כתובות דוא"ל.

הגדרת קוד PIN להגנה תגן על פנקס הכתובות של המכשיר מפני גישה בלתי מורשית של משתמשים.

דרישה מהמשתמשים להזין מחדש את מספר הפקס תמנע שליחת מסמכים לנמענים הלא נכונים.

הגנה על מסמכים ופקסים בתיקייה סודית או PIN ישמור מסמכים מאובטחים בזיכרון ללא צורך להדפיס אותם.

אימות מקור ואותנטיות של מסמך

ניתן להוסיף חתימת התקן למסמכי PDF או XPS סרוקים באמצעות מנגנון מפתח ואישור כך שהנמען יוכל לאמת את המקור והאותנטיות של המסמך.

"במסמך אלקטרוני, חתימה דיגיטלית אלקטרונית (EDS) היא הדרישה שלו, שנועדה להגן על מסמך אלקטרוני זה מפני זיוף ומאפשרת לך לזהות את הבעלים של תעודת מפתח החתימה, כמו גם לקבוע היעדר עיוות מידע במסמך. מסמך אלקטרוני. זה מבטיח את בטיחות המסמך המועבר ואת הזיהוי המדויק של בעליו, מה שעוזר לשמור על מהימנות המידע”.

חתימת משתמש מאפשרת לשלוח קבצי PDF או XPS עם החתימה הדיגיטלית הייחודית של המשתמש המתקבלת מחברת הסמכה. כך הנמען יוכל לבדוק מי חתם על המסמך.

אינטגרציה עם ADOBE LIFECYCLE MANAGEMENT ES

משתמשים יכולים לאבטח קבצי PDF ולהחיל עליהם מדיניות עקבית ודינמית כדי לשלוט בזכויות הגישה והשימוש, ולהגן על מידע סודי ובעל ערך מפני חשיפה לא מכוונת או זדונית. מדיניות האבטחה נשמרת ברמת השרת, כך שניתן לשנות הרשאות גם לאחר הפצת הקובץ. ניתן להגדיר את התקנים מסדרת imageRUNNER ADVANCE לשילוב עם Adobe ES.

הדפסה מאובטחת עם uniFLOW MyPrintAnywhere מאפשרת לך לשלוח עבודות הדפסה באמצעות מנהל התקן אוניברסלי ולהדפיס אותן לכל מדפסת ברשת שלך.

מניעת כפילויות

מנהלי התקנים מאפשרים לך להדפיס סימונים גלויים על הדף המופיעים על גבי תוכן המסמך. זה יכול לשמש כדי ליידע את העובדים על סודיות המסמך ולמנוע את העתקתו.

הדפס/העתק עם סימני מים בלתי נראים - מסמכים יודפסו או יועתקו עם טקסט נסתר מוטבע ברקע, שיופיע בעת יצירת כפיל וישמש כגורם מרתיע.

היכולות של תוכנת uniFLOW מבית NTware (חלק מקבוצת החברות של Canon) מספקות כלים יעילים נוספים להבטחת אבטחת המסמכים.
שימוש ב-uniFLOW בשילוב עם iW SAM Express יאפשר לך לבצע דיגיטציה ולארכיון מסמכים שנשלחו למדפסת או שהתקבלו ממכשיר, וכן לנתח נתוני טקסט ותכונות בעת תגובה לאיומי אבטחה.

עקוב אחר מקור המסמך באמצעות קוד מוטבע.

חסימת סריקת מסמכים - אפשרות זו מטמיעה קוד נסתר במסמכים מודפסים ובעותקים המונעים את העתקתם נוספת במכשיר שבו תכונה זו מופעלת. המנהל יכול להשתמש באפשרות זו עבור כל העבודות או רק העבודות שנבחרו על ידי המשתמש. קודי TL ו-QR זמינים להטמעה.

"כתוצאה מבדיקות והיכרות עם הפונקציונליות של טכנולוגיית imageRUNNER ADVANCE III, הצלחנו לאשר את התאימות הבסיסית למדיניות אבטחת IT מודרנית. אמצעי ההגנה הנ"ל עומדים בדרישות האבטחה הבסיסיות ויכולים למזער את הסיכונים להפרות אבטחת מידע".

מכשירי imageRUNNER ADVANCE העדכניים ביותר מצוידים בתכונת מדיניות אבטחה המאפשרת למנהל המערכת לנהל את כל הגדרות האבטחה בתפריט אחד ולערוך אותן לפני החלתן כתצורת מכשיר. לאחר היישום, השימוש במכשיר ושינויים בהגדרות חייבים להיות בהתאם למדיניות זו. ניתן להגן על מדיניות האבטחה באמצעות סיסמה נפרדת כדי לספק שליטה והגנה נוספים, וניתן לגשת אליה רק על ידי איש אבטחת ה-IT האחראי.

"יש צורך למצוא ולשמור על איזון בין אבטחה לנוחות, תוך שימוש מושכל בהתקדמות הטכנולוגית ובפתרונות טכניים כדי להגן על המידע, להשתמש בכוח אדם מוסמך ולנהל במיומנות את הכספים הניתנים כדי להבטיח את אבטחת החברה".

סיוע בהכנת החומר - לוקה ספונוב, ראש המעבדה המעשית
ניתוח אבטחה, מערכות מידע Jet.

רק משתמשים רשומים יכולים להשתתף בסקר. להתחברבבקשה.