Nowy poziom bezpieczeństwa urządzenia wielofunkcyjnego: imageRUNNER ADVANCE III

Wraz ze wzrostem liczby wbudowanych funkcji biurowe urządzenia wielofunkcyjne już dawno wyszły poza proste skanowanie/drukowanie. Teraz zamieniły się w pełnoprawne, niezależne urządzenia, zintegrowane w zaawansowane technologicznie sieci lokalne i globalne, łączące użytkowników i organizacje nie tylko w obrębie jednego biura, ale na całym świecie.

W tym artykule wspólnie z praktycznym ekspertem ds. bezpieczeństwa informacji Luką Safonowem Łukasz Safonow Przyjrzyjmy się głównym zagrożeniom dla nowoczesnych biurowych urządzeń wielofunkcyjnych i sposobom zapobiegania im.

Nowoczesny sprzęt biurowy posiada własne dyski twarde i systemy operacyjne, dzięki czemu urządzenia wielofunkcyjne mogą samodzielnie wykonywać szeroki zakres zadań związanych z zarządzaniem dokumentami, odciążając inne urządzenia. Jednak tak wysokie wyposażenie techniczne ma również wadę. Ponieważ urządzenia wielofunkcyjne biorą czynny udział w transmisji danych w sieci, bez odpowiedniego zabezpieczenia stają się słabymi punktami w całym środowisku sieciowym organizacji. Bezpieczeństwo każdego systemu zależy od stopnia ochrony najsłabszego ogniwa. Dlatego też wszelkie koszty środków ochronnych dla serwerów i komputerów korporacyjnych stają się bez znaczenia, jeśli w urządzeniu wielofunkcyjnym pozostaje luka dla atakującego. Rozumiejąc problem ochrony poufnych informacji, programiści firmy Canon podnieśli poziom bezpieczeństwa trzeciej wersji platformy imageRUNNER ADVANCE, co zostanie omówione w artykule.

Główne zagrożenia

Istnieje kilka potencjalnych zagrożeń związanych ze stosowaniem urządzeń wielofunkcyjnych w organizacjach:

• Włamanie do systemu poprzez nieautoryzowany dostęp do urządzenia wielofunkcyjnego i wykorzystanie go jako „punktu odniesienia”;
• Używanie urządzeń wielofunkcyjnych do wydobywania danych użytkowników;
• Przechwytywanie danych podczas drukowania lub skanowania;
• Dostęp do danych osób bez odpowiedniego upoważnienia;
• Dostęp do wydrukowanych lub zeskanowanych informacji poufnych;
• Uzyskaj dostęp do wrażliwych danych na urządzeniach wycofanych z eksploatacji.
• Wysyłanie dokumentów faksem lub pocztą elektroniczną na nieprawidłowy adres, celowo lub w wyniku literówki;
• Nieupoważnione przeglądanie poufnych informacji przechowywanych na niezabezpieczonych urządzeniach wielofunkcyjnych;
• Wspólny stos wydrukowanych zadań należących do różnych użytkowników.

„Istotnie, nowoczesne urządzenia wielofunkcyjne często mają ogromny potencjał dla atakującego. Z naszego doświadczenia projektowego wynika, że ​​nieskonfigurowane urządzenia, czyli urządzenia bez odpowiedniego poziomu ochrony, dają atakującym ogromną szansę na rozbudowę tzw. „powierzchnia ataku”. To uzyskanie listy kont, adresów sieciowych, możliwości wysyłania wiadomości e-mail i wiele więcej. Spróbujmy sprawdzić, czy rozwiązania oferowane przez firmę Canon są w stanie zneutralizować te zagrożenia.”

Dla każdego rodzaju podatności nowa platforma imageRUNNER ADVANCE zapewnia całą gamę uzupełniających się środków zapewniających wielopoziomową ochronę. Należy zauważyć, że rozwój wymagał specyficznego podejścia ze względu na specyfikę działania MFP. Podczas drukowania i skanowania dokumentów informacje przechodzą z postaci cyfrowej na analogową i odwrotnie. Każdy z tych rodzajów informacji wymaga zasadniczo odmiennych metod zapewnienia ochrony. Zwykle na styku technologii, ze względu na ich niejednorodność, powstaje najbardziej wrażliwe miejsce.

„Urządzenia wielofunkcyjne są często łatwym łupem zarówno dla pentesterów, jak i atakujących. Z reguły wynika to z niedbałego podejścia do instalowania tego typu urządzeń i ich stosunkowo łatwej dostępności, zarówno w środowisku biurowym, jak i w infrastrukturze sieciowej. Jednym z najnowszych przypadków jest atak orientacyjny, który miał miejsce 29 listopada 2018 r., kiedy to użytkownik Twittera działający pod pseudonimem TheHackerGiraffe „włamał się” do ponad 50 000 drukarek sieciowych i wydrukował na nich ulotki wzywające do subskrybowania kanału YouTube firmy pewnego PewDiePie. Na Reddicie TheHackerGiraffe powiedział, że może zhakować ponad 800 000 urządzeń, ale ograniczył się do zaledwie 50 000. Jednocześnie haker podkreślił, że głównym problemem jest to, że nigdy wcześniej czegoś takiego nie robił, ale wszystkie przygotowania i samo włamanie zajęło mu tylko pół godziny”.

Kiedy firma Canon opracowuje technologie, produkty i usługi, bierzemy pod uwagę ich potencjalny wpływ na środowisko pracy klientów. Właśnie dlatego wielofunkcyjne drukarki biurowe Canon są wyposażone w szeroką gamę wbudowanych i opcjonalnych funkcji zabezpieczeń, które pomagają firmom każdej wielkości osiągnąć wymagany poziom bezpieczeństwa.

Firma Canon posiada jeden z najbardziej rygorystycznych systemów testów bezpieczeństwa w całej branży sprzętu biurowego. Technologie zastosowane w urządzeniach są testowane pod kątem zgodności ze standardami firmy. Dużą uwagę przywiązuje się do kontroli bezpieczeństwa za pomocą aktualnych badań, których wyniki spotkały się z pozytywnymi opiniami na temat działania urządzeń takich firm jak Kaspersky Lab, COMLOGIC, TerraLink i JTI Rosja i innych.

„Pomimo tego, że we współczesnych realiach logiczne jest zwiększanie bezpieczeństwa swoich produktów, nie wszystkie firmy przestrzegają tej zasady. Firmy zaczynają myśleć o ochronie po incydentach włamań (i naciskach ze strony użytkowników) niektórych produktów. Z tej strony dokładne podejście firmy Canon do wdrażania metod i środków ochrony ma charakter orientacyjny.”

Nieautoryzowany dostęp do urządzenia wielofunkcyjnego

Bardzo często niezabezpieczone urządzenia wielofunkcyjne są jednymi z priorytetowych celów zarówno wewnętrznych sprawców naruszeń (wtajemniczonych), jak i zewnętrznych. We współczesnych realiach sieć korporacyjna nie ogranicza się do jednego biura, ale obejmuje grupę działów i użytkowników o różnych lokalizacjach geograficznych. Scentralizowany obieg dokumentów wymaga zdalnego dostępu i włączenia urządzeń wielofunkcyjnych do sieci korporacyjnej. Sieciowe urządzenia drukujące należą do Internetu Rzeczy, jednak ich ochronie często nie poświęca się należytej uwagi, co prowadzi do ogólnej podatności na zagrożenia całej infrastruktury.

Aby zabezpieczyć się przed tego typu zagrożeniami, wdrożono następujące środki:

• Filtr adresów IP i MAC – skonfiguruj, aby umożliwić komunikację tylko z urządzeniami, które mają określone adresy IP lub MAC. Funkcja ta reguluje przesyłanie danych zarówno w obrębie sieci, jak i poza nią.
• Konfiguracja serwera proxy - dzięki tej funkcji możesz przekazać kontrolę nad połączeniami MFP serwerowi proxy. Ta funkcja jest zalecana w przypadku łączenia się z urządzeniami poza siecią firmową.
• Uwierzytelnianie IEEE 802.1X to kolejna ochrona przed podłączaniem urządzeń, które nie są autoryzowane przez serwer uwierzytelniający. Nieautoryzowany dostęp jest blokowany przez przełącznik LAN.
• Połączenie poprzez IPSec – chroni przed próbami przechwycenia lub odszyfrowania pakietów IP przesyłanych przez sieć. Zaleca się stosowanie dodatkowego szyfrowania komunikacji TLS.
• Zarządzanie portami - zaprojektowane w celu ochrony przed pomocą atakujących z wewnątrz. Funkcja ta odpowiada za konfigurację parametrów portu zgodnie z polityką bezpieczeństwa.
• Automatyczna rejestracja certyfikatów – ​​Ta funkcja daje administratorom systemu wygodne narzędzie do automatycznego wystawiania i odnawiania certyfikatów bezpieczeństwa.
• Wi-Fi direct – funkcja przeznaczona do bezpiecznego drukowania z urządzeń mobilnych. Aby to zrobić, urządzenie mobilne nie musi być podłączone do sieci firmowej. Korzystając z funkcji Wi-Fi direct, tworzone jest lokalne połączenie peer-to-peer pomiędzy urządzeniem a urządzeniem wielofunkcyjnym.
• Monitoring logów – wszystkie zdarzenia związane z użytkowaniem urządzenia wielofunkcyjnego, w tym także zablokowane żądania połączeń, zapisywane są w czasie rzeczywistym w różnych logach systemowych. Analizując zapisy, można wykryć potencjalne i istniejące zagrożenia, zbudować prewencyjną politykę bezpieczeństwa, a także przeprowadzić ekspercką ocenę zaistniałych już wycieków informacji.
• Szyfrowanie urządzenia — ta opcja szyfruje zadania drukowania wysyłane z komputera użytkownika do drukarki wielofunkcyjnej. Możesz także szyfrować zeskanowane dane PDF, włączając kompleksowy zestaw funkcji bezpieczeństwa.
• Drukowanie gościnne z urządzeń mobilnych. Bezpieczne oprogramowanie do zarządzania drukowaniem i skanowaniem sieciowym eliminuje typowe problemy związane z bezpieczeństwem związane z drukowaniem mobilnym i gościnnym, udostępniając zewnętrzne metody przesyłania zadań drukowania, takie jak poczta elektroniczna, Internet i aplikacja mobilna. Gwarantuje to, że urządzenie wielofunkcyjne działa z bezpiecznego źródła, minimalizując prawdopodobieństwo włamań.

„Udostępnianie takich urządzeń, oprócz wygody i redukcji kosztów, niesie ze sobą także ryzyko dostępu do informacji osób trzecich. Może to zostać wykorzystane nie tylko przez osoby atakujące, ale także przez pozbawionych skrupułów pracowników w celu osiągnięcia osobistych korzyści lub uzyskania informacji poufnych. A duży potencjał przetwarzanych informacji – od tajemnic technologicznych po dokumentację finansową – stanowi istotny priorytet w przypadku ataku lub nielegalnego wykorzystania”.

Nowością w nowej wersji platformy imageRUNNER ADVANCE jest możliwość podłączenia urządzeń drukujących do dwóch sieci. Jest to bardzo wygodne, gdy urządzenie wielofunkcyjne jest używane jednocześnie w trybie korporacyjnym i gościnnym.

Ochrona danych na dysku twardym

Twoja drukarka wielofunkcyjna zawsze zawiera dużą ilość danych, które należy chronić — od oczekujących zadań drukowania po odebrane faksy, zeskanowane obrazy, książki adresowe, dzienniki aktywności i historię zadań.

W rzeczywistości dysk służy jedynie do przechowywania danych tymczasowych, a przechowywanie na nim informacji dłużej niż to konieczne zwiększa podatność korporacyjnego systemu bezpieczeństwa. Aby temu zapobiec, możesz ustawić harmonogram czyszczenia dysku twardego w ustawieniach. Oprócz tego, że zadania drukowania są usuwane natychmiast po zakończeniu lub w przypadku niepowodzenia drukowania, inne pliki można usuwać zgodnie z harmonogramem, aby usunąć pozostałe dane.

„Niestety, nawet wielu informatyków ma słabą świadomość roli dysku twardego w nowoczesnych urządzeniach drukujących. Obecność dysku twardego może znacznie skrócić czas trwania etapu przygotowawczego do drukowania. Dyski twarde zwykle przechowują informacje o systemie, pliki graficzne i obrazy rastrowe do drukowania kopii. Oprócz niewłaściwej utylizacji urządzeń wielofunkcyjnych i możliwości wycieku danych istnieje możliwość demontażu/kradzieży dysku twardego w celu analizy lub przeprowadzenia specjalistycznych ataków w celu wydobycia danych, na przykład przy użyciu zestawu narzędzi Printer Exploitation Toolkit.

Urządzenia Canon oferują szereg narzędzi do ochrony danych przez cały cykl życia urządzenia, przy jednoczesnym zachowaniu ich poufności, integralności i dostępności.
Dużą uwagę przywiązuje się do ochrony danych na dysku twardym. Informacje tam przechowywane mogą mieć różny stopień poufności. Dlatego szyfrowanie dysku twardego jest stosowane we wszystkich 26 modelach urządzeń w 7 różnych seriach nowej wersji platformy imageRUNNER ADVANCE. Jest zgodny z rządowym standardem bezpieczeństwa FIPS 140-2 Level 2, a także japońskim odpowiednikiem JCVMP.

„Ważne jest, aby mieć system dostępu do informacji, który uwzględnia role użytkowników i poziomy dostępu. Na przykład w wielu firmach dyskusja na temat wynagrodzeń pomiędzy pracownikami jest surowo zabroniona, a wyciek pasków wynagrodzeń czy informacji o premiach może wywołać poważny konflikt w zespole. Niestety znam takie przypadki, w jednym z nich skończyło się to zwolnieniem pracownika odpowiedzialnego za tego rodzaju wyciek.”

• Szyfrowanie dysku twardego. Urządzenia imageRUNNER ADVANCE szyfrują wszystkie dane na dysku twardym, zwiększając bezpieczeństwo.
• Czyszczenie dysku twardego. Niektóre dane, takie jak dane skopiowane lub zeskanowane albo dane dokumentów wydrukowane z komputera, są przechowywane na dysku twardym drukarki przez ograniczony czas i usuwane po zakończeniu zadania.
• Inicjalizacja wszystkich danych i parametrów. Aby zapobiec utracie danych podczas wymiany lub utylizacji dysku twardego, możesz nadpisać wszystkie dokumenty i dane na dysku twardym, a następnie zresetować ustawienia do wartości domyślnych.
• Kopia zapasowa dysku twardego. Firmy mają teraz możliwość tworzenia kopii zapasowych danych z dysku twardego urządzenia na opcjonalnym dysku twardym. Podczas tworzenia kopii zapasowej dane na obu dyskach twardych są w pełni szyfrowane.
• Zestaw wymiennego dysku twardego. Ta opcja umożliwia wyjęcie dysku twardego z urządzenia w celu bezpiecznego przechowywania, gdy urządzenie nie jest używane.

Wyciek krytycznych danych

Wszystkie firmy mają do czynienia z dokumentami poufnymi takimi jak umowy, umowy, dokumenty księgowe, dane klientów, plany działów rozwoju i wiele innych. Jeżeli takie dokumenty dostaną się w niepowołane ręce, konsekwencje mogą sięgać od utraty reputacji po wysokie kary pieniężne, a nawet procesy sądowe. Osoby atakujące mogą przejąć kontrolę nad aktywami firmy, informacjami poufnymi lub poufnymi.

„Nie tylko konkurenci i oszuści kradną cenne informacje. Często zdarza się, że pracownicy decydują się na rozwój własnego biznesu lub w tajemnicy dorabiają sprzedając informacje na zewnątrz. W takich sytuacjach drukarz staje się ich głównym pomocnikiem. Każdy transfer danych wewnątrz firmy jest łatwy do śledzenia. Poza tym to nie zwykli pracownicy mają dostęp do cennych informacji. A co może być łatwiejszego dla zwykłego menedżera niż kradzież cennego dokumentu, który leży bezczynnie? Każdy może poradzić sobie z tym zadaniem. Wydrukowane dokumenty nie zawsze muszą być wynoszone poza organizację. Wystarczy szybko sfotografować leżące bezczynnie materiały telefonem dobrym aparatem.”

Firma Canon oferuje szeroką gamę rozwiązań zabezpieczających, które pomagają chronić poufne dokumenty przez cały cykl ich życia.

Poufność drukowanych dokumentów

Użytkownik może ustawić PIN drukowania tak, aby wydruk dokumentu rozpoczął się dopiero po wpisaniu prawidłowego PIN-u na urządzeniu. Dzięki temu możesz chronić poufne dokumenty.

„Urządzenia wielofunkcyjne często można zobaczyć w publicznie dostępnych obszarach organizacji, dla wygody użytkowników. Mogą to być hole i sale konferencyjne, korytarze i recepcje. Dopiero zastosowanie identyfikatorów (kodów PIN, kart inteligentnych) zagwarantuje bezpieczeństwo informacji w kontekście poziomu dostępu użytkownika. Godne uwagi były przypadki, gdy użytkownicy uzyskali dostęp do wcześniej przesłanych dokumentów, skanów paszportów itp. w wyniku nieodpowiednich kontroli i braku funkcji czyszczenia danych.”

Na urządzeniu imageRUNNER ADVANCE administrator może wstrzymać wszystkie przesłane zadania drukowania, wymagając od użytkowników zalogowania się w celu drukowania, chroniąc w ten sposób prywatność wszystkich drukowanych materiałów.

Zadania drukowania lub zeskanowane dokumenty można przechowywać w skrzynkach pocztowych, aby w każdej chwili mieć do nich łatwy dostęp. Skrzynki pocztowe można zabezpieczyć kodem PIN, aby mieć pewność, że tylko wyznaczeni użytkownicy będą mieli dostęp do ich zawartości. Użyj tego bezpiecznego miejsca na swoim urządzeniu do przechowywania często drukowanych dokumentów (takich jak papier firmowy i formularze), które wymagają ostrożnego obchodzenia się.

Pełna kontrola nad wysyłaniem dokumentów i faksów

Aby zmniejszyć ryzyko wycieku informacji, administratorzy mogą ograniczyć dostęp do różnych odbiorców, np. tych, których nie ma w książce adresowej na serwerze LDAP, nie są zarejestrowanymi w systemie lub w określonej domenie.

Aby zapobiec wysyłaniu dokumentów do nieprawidłowych odbiorców, należy wyłączyć automatyczne uzupełnianie adresów e-mail.

Ustawienie kodu PIN w celu ochrony ochroni książkę adresową urządzenia przed nieautoryzowanym dostępem użytkowników.

Wymaganie od użytkowników ponownego wprowadzenia numeru faksu zapobiegnie wysyłaniu dokumentów do niewłaściwych odbiorców.

Ochrona dokumentów i faksów w folderze poufnym lub numerze PIN zapewni bezpieczne przechowywanie dokumentów w pamięci bez konieczności ich drukowania.

Weryfikacja źródła i autentyczności dokumentu

Podpis urządzenia można dodać do zeskanowanych dokumentów PDF lub XPS za pomocą klucza i mechanizmu certyfikacji, dzięki czemu odbiorca może zweryfikować źródło i autentyczność dokumentu.

„W dokumencie elektronicznym wymagany jest elektroniczny podpis cyfrowy (EDS), który ma chronić ten dokument elektroniczny przed fałszerstwem i umożliwia identyfikację właściciela certyfikatu klucza podpisu, a także stwierdzenie braku zniekształcenia informacji w dokumencie dokument elektroniczny. Zapewnia to bezpieczeństwo przesyłanego dokumentu i dokładną identyfikację jego właściciela, co pomaga zachować wiarygodność informacji.”

Podpis użytkownika umożliwia wysyłanie plików PDF lub XPS z unikalnym podpisem cyfrowym użytkownika uzyskanym od firmy certyfikującej. Dzięki temu odbiorca będzie mógł sprawdzić, kto podpisał dokument.

Integracja z ADOBE LIFECYCLE MANAGEMENT ES

Użytkownicy mogą zabezpieczać pliki PDF i stosować do nich spójne i dynamiczne zasady w celu kontrolowania praw dostępu i użytkowania oraz ochrony poufnych i cennych informacji przed przypadkowym lub złośliwym ujawnieniem. Polityki bezpieczeństwa są utrzymywane na poziomie serwera, więc uprawnienia można zmieniać nawet po rozesłaniu pliku. Urządzenia z serii imageRUNNER ADVANCE można skonfigurować tak, aby integrowały się z Adobe ES.

Bezpieczne drukowanie za pomocą uniFLOW MyPrintAnywhere umożliwia wysyłanie zadań drukowania za pośrednictwem uniwersalnego sterownika i drukowanie ich na dowolnej drukarce w sieci.

Zapobieganie duplikatom

Sterowniki umożliwiają wydruk widocznych oznaczeń na stronie, które pojawiają się na górze treści dokumentu. Można w ten sposób poinformować pracowników o poufności dokumentu i zapobiec jego kopiowaniu.

Drukuj/kopiuj z niewidocznymi znakami wodnymi — dokumenty będą drukowane lub kopiowane z ukrytym tekstem osadzonym w tle, który pojawi się po utworzeniu duplikatu i będzie działał odstraszająco.

Możliwości oprogramowania uniFLOW firmy NTware (należącej do grupy firm Canon) dostarczają dodatkowych skutecznych narzędzi zapewniających bezpieczeństwo dokumentów.
Korzystanie z uniFLOW w połączeniu z iW SAM Express umożliwi digitalizację i archiwizację dokumentów wysyłanych do drukarki lub odbieranych z urządzenia, a także analizowanie danych i atrybutów tekstowych w odpowiedzi na zagrożenia bezpieczeństwa.

Śledź źródło dokumentu za pomocą osadzonego kodu.

Blokowanie skanowania dokumentów – ta opcja osadza ukryty kod w drukowanych dokumentach i kopiach, który zapobiega ich dalszemu kopiowaniu na urządzeniu, na którym ta funkcja jest włączona. Administrator może użyć tej opcji dla wszystkich zadań lub tylko wybranych przez użytkownika zadań. Dostępne są kody TL i QR do osadzania.

„W wyniku testów i zapoznania się z funkcjonalnością technologii imageRUNNER ADVANCE III udało nam się potwierdzić podstawową zgodność z nowoczesnymi politykami bezpieczeństwa IT. Powyższe środki ochronne spełniają podstawowe wymogi bezpieczeństwa i mogą zminimalizować ryzyko naruszeń bezpieczeństwa informacji.”

Najnowsze urządzenia imageRUNNER ADVANCE są wyposażone w funkcję polityki bezpieczeństwa, która umożliwia administratorowi zarządzanie wszystkimi ustawieniami zabezpieczeń w jednym menu i edytowanie ich przed zastosowaniem ich w konfiguracji urządzenia. Po zastosowaniu, korzystanie z urządzenia i zmiany ustawień muszą być zgodne z niniejszymi zasadami. Polityka bezpieczeństwa może być chroniona oddzielnym hasłem, aby zapewnić dodatkową kontrolę i ochronę, a dostęp do niej może uzyskać wyłącznie odpowiedzialny specjalista ds. bezpieczeństwa IT.

„Należy znaleźć i utrzymać równowagę pomiędzy bezpieczeństwem a wygodą, mądrze wykorzystywać postęp technologiczny i rozwiązania techniczne w celu ochrony informacji, wykorzystywać wykwalifikowany personel i umiejętnie zarządzać przekazanymi środkami finansowymi, aby zapewnić bezpieczeństwo firmy.”

Pomoc w przygotowaniu materiału – Luka Safonov, kierownik Laboratorium Praktycznego
analiza bezpieczeństwa, Jet Information Systems.

W ankiecie mogą brać udział tylko zarejestrowani użytkownicy. Zaloguj się, Proszę.

Jak kompleksowe jest Twoje podejście do bezpieczeństwa korporacyjnego?

• Firmowa polityka bezpieczeństwa dotyczy floty urządzeń wielofunkcyjnych

• Posiadana przez firmę flota urządzeń drukujących zapewnia bezpieczne korzystanie z urządzeń osobistych użytkowników

• Firma dba o to, aby infrastruktura druku była aktualna, a poprawki i aktualizacje instalowane były terminowo i sprawnie

• Goście firmowi mogą drukować i skanować bez narażania sieci firmowej na ryzyko

• Dział IT firmy ma wystarczająco dużo czasu, aby zająć się kwestiami bezpieczeństwa

• Firma znalazła równowagę pomiędzy zapewnieniem bezpieczeństwa, a łatwością obsługi urządzeń

Głosowało 2 użytkowników. Nie ma głosów wstrzymujących się.

Źródło: www.habr.com