En ny nivå av säkerhet för multifunktionsskrivare: imageRUNNER ADVANCE III

Med den ökade mängden inbyggda funktioner har kontors-MFP:er sedan länge övergått från att bara vara triviala skannrar/skrivare. Nu har de blivit fullvärdiga fristående enheter, integrerade i högteknologiska lokala och globala nätverk som förbinder användare och organisationer, inte bara inom samma kontor utan över hela världen.

I denna artikel kommer vi tillsammans med experten på praktisk informationssäkerhet Luka Safonov LukaSafonov att granska de viktigaste hoten mot moderna kontors-MFP:er och hur de kan förebyggas.

Modern kontorsteknik har sina egna hårddiskar och operativsystem, vilket gör att MFP:er kan utföra ett brett spektrum av dokumenthanteringsuppgifter själva, vilket avlastar andra enheter. Men denna höga tekniska utrustning har också en baksida. Eftersom MFP:er aktivt deltar i datatransmission i nätverket, blir de utan korrekt skydd sårbara punkter i hela nätverksmiljön för organisationen. Skyddet av vilket system som helst bestäms av styrkan hos den svagaste länken. Därför blir alla kostnader för skyddsåtgärder för företagets servrar och datorer meningslösa om det fortfarande finns en lucka för angriparen genom MFP:er. Genom att förstå problemet med att skydda konfidentiell information har Canon ökat säkerhetsnivån för den tredje versionen av plattformen imageRUNNER ADVANCE, vilket kommer att diskuteras i artikeln.

Huvudhot

Det finns flera potentiella risker kopplade till användningen av MFP:er i organisationer:

• Hackning av systemet genom obehörig åtkomst till MFP:er och användning som en "språngbräda";
• Användning av MFP:er för dataintrång om användarinformation;
• Avlyssning av data vid utskrift eller scanning;
• Åtkomst till data av personer utan motsvarande behörighet;
• Åtkomst till tryckt eller skannad konfidentiell information;
• Åtkomst till konfidentiella data på enheter som har nått slutet av sin livslängd.
• Skicka dokument via fax eller e-post till fel adress, avsiktligt eller på grund av typografiska misstag;
• Obehörig visning av konfidentiell information som lagras på oskyddade MFP:er;
• En allmän lista över tryckta uppdrag som tillhör olika användare.

"Verkligen, moderna multifunktionsskrivare döljer ofta en stor potential för angripare. Vår erfarenhet visar att icke-konfigurerade enheter, eller enheter utan tillräcklig skyddsnivå, ger angripare en enorm möjlighet att utvidga den s.k. "angreppsyta". Detta omfattar att få tillgång till kontot listor, nätverksadressering, möjligheten att skicka e-post och mycket mer. Låt oss ta reda på om lösningar som erbjuds av Canon kan motverka dessa hot."

För varje typ av sårbarhet i den nya plattformen imageRUNNER ADVANCE finns en hel uppsättning komplementära åtgärder som säkerställer ett flerskiktat skydd. Det bör noteras att utvecklingen krävde en specifik metod på grund av multifunktionsskrivarens egenskaper. Vid utskrift och skanning av dokument sker övergångar av information från digital till analog eller vice versa. Varje typ av information kräver grundläggande olika metoder för att säkerställa skydd. Vanligtvis, vid gränsen av teknologier, på grund av deras heterogenitet, uppstår den mest sårbara platsen.

"Ofta är multifunktionsskrivare enkla mål för både penetrationstestare och illvilliga aktörer. Detta beror ofta på vårdslöshet vid konfiguration av dessa enheter och deras relativt lätta tillgång, både i kontorsmiljöer och i det nätverksinfrastruktur. Ett nyligen exempel är en framstående attack den 29 november 2018, när en Twitter-användare under pseudonymen TheHackerGiraffe "hackade" över 50 000 nätverksprintrar och skrev ut broschyrer som uppmanade människor att prenumerera på YouTube-kanalen för någon PewDiePie. På Reddit påstod TheHackerGiraffe att han kunde ha komprometterat över 800 000 enheter, men begränsade sig bara till 50 000. Hackaren betonade att huvudproblemet var att han aldrig tidigare hade sysslat med något liknande, men att allt förberedande arbete och själva hackningen tog honom bara en halv timme."

När Canon utvecklar teknologier, produkter och tjänster, tas deras potentiella påverkan på kundernas arbetsmiljö i beräkning. Just därför är Canons kontorsmultifunktionsskrivare utrustade med ett brett utbud av inbyggda och tilläggsfunktioner för säkerhet, som gör det möjligt för företag av alla storlekar att uppnå den nödvändiga skyddsnivån.

Canon använder ett av de striktaste säkerhetskontrollsystemen i hela kontorsutrustningsindustrin. Teknikerna som används i enheterna testas mot företagets standarder. Mycket uppmärksamhet ägnas åt säkerhetskontroller, där aktuella expertutlåtanden utförs, vilket har resulterat i positiva omdömen om enheternas drift från företag som "Kaspersky Lab", "COMLOGIC", "TerraLink" och "JTI Ryssland" m.fl.

"Trots att det i dagens verklighet är logiskt att öka säkerheten för sina produkter, följer inte alla företag denna princip. Företag börjar tänka på skydd först efter att incidenter av intrång (och tryck från användare) inträffar med vissa produkter. På denna punkt är Canons grundliga tillvägagångssätt för att genomföra metoder och skyddsåtgärder exemplariskt."

Obehörig åtkomst till MFP

Oftast är oskyddade MFP bland de prioritetsmål som både interna och externa förbrytare söker. I dagens verklighet sträcker sig det företagsövergripande nätverket bortom ett enda kontor och inkluderar en grupp avdelningar och användare med olika geografiska platser. Centraliserad dokumenthantering kräver fjärråtkomst och inkludering av MFP i nätverket. Nätverksbaserade skrivarenheter räknas till Internet of Things, men deras skydd får ofta inte tillräcklig uppmärksamhet, vilket resulterar i en övergripande sårbarhet för hela infrastrukturen.

För att skydda mot sådana hot har följande åtgärder vidtagits:

• IP- och MAC-adressfilter – konfiguration av tillåtelse för kommunikation enbart med enheter som har specifika IP- eller MAC-adresser. Denna funktion reglerar datatransfer både inom nätverket och utanför det.
• Proxyserverkonfiguration – med den här funktionen kan du delegera hanteringen av anslutningar från multifunktionsskrivaren till proxyservern. Denna funktion rekommenderas för anslutning till enheter utanför företagsnätverket.
• Autentisering via IEEE 802.1X – ett ytterligare skydd mot anslutning av enheter som inte är auktoriserade av autentiseringstjänsten. Obehörig åtkomst blockeras av LAN-switchar.
• Anslutning via IPSec – skyddar mot försök att avlyssna eller dekryptera IP-paketen som skickas över nätverket. Rekommenderas att användas med extra kryptering av kommunikationen via TLS.
• Porthantering – avsedd för att skydda mot insiderhjälp till illvilliga aktörer. Denna funktion ansvarar för konfigurationen av portparametrarna i enlighet med säkerhetspolicyn.
• Automatisk registrering av certifikat – denna funktion ger systemadministratörer ett praktiskt verktyg för automatisk utfärdande och uppdatering av säkerhetscertifikat.
• Wi-Fi Direct – funktionen är avsedd för säker utskrift från mobila enheter. För detta behöver den mobila enheten inte kopplas till företagsnätverket. Med Wi-Fi Direct skapas en lokal peer-to-peer-anslutning mellan enheten och multifunktionsskrivaren.
• Övervakning av loggar – alla händelser relaterade till användningen av multifunktionsskrivaren, inklusive blockerade anslutningsförfrågningar, registreras i olika systemloggar i realtid. Genom att analysera posterna kan potentiella och existerande hot identifieras, förebyggande säkerhetspolicyer utformas och en expertutvärdering av redan inträffade informationsläckor utföras.
• Datakryptering vid interaktion med enheten – det här alternativet krypterar utskriftsjobb när de skickas från användarens PC till multifunktionsskrivaren. Du kan också kryptera skannade data i PDF-format genom att aktivera den universella uppsättningen av säkerhetsfunktioner.
• Gästutskrift från mobila enheter. Programvara för att hantera säker nätverksutskrift och skanning eliminerar frekvensproblem relaterade till säker utskrift från mobila enheter och gästutskrift, genom att tillhandahålla externa sätt att skicka utskriftsjobb, såsom e-post, internet och mobilapp. Detta säkerställer att multifunktionsskrivaren fungerar som en säker källa, vilket minimerar risken för intrång.

"Att dela denna typ av enheter, förutom bekvämligheten och kostnadsbesparingar, medför också risker för åtkomst till tredje parts information. Detta kan utnyttjas av såväl illvilliga aktörer som oärliga anställda för att dra personlig nytta eller få insiderinformation. Den stora mängden information som behandlas - från tekniska hemligheter till finansiell dokumentation - utgör en betydande prioritet för angrepp eller olaglig användning."

En nyhet i den nya versionen av plattformen imageRUNNER ADVANCE är möjligheten att ansluta skrivare till två nätverk. Det är mycket praktiskt när multifunktionsskrivaren används samtidigt i företags- och gästläge.

Dataskydd på hårddisken

En multifunktionsskrivare lagrar alltid en stor mängd data som behöver skyddas - från utskriftsjobb som ligger i kö, mottagna fax, skannade bilder, adressböcker, aktivitetsloggar och historik över jobb.

I grunden är disken bara ett temporärt lagringsutrymme, och att information lagras där längre än nödvändigt ökar sårbarheten i det företagsinformationssäkerhetssystemet. För att förhindra detta kan du ställa in en rensningspolicy för hårddisken. Förutom att utskriftsjobb rensas omedelbart efter att de har utförts eller vid utskriftsfel, kan andra filer raderas enligt schema för att ta bort kvarvarande data.

Tyvärr är även många IT-specialister svagt medvetna om hårddiskens roll i moderna skrivarenheter. Att ha en hårddisk kan avsevärt minska längden på förberedelseprocessen för utskrift. På hårddiskar lagras vanligtvis systeminformation, grafiska filer och rasterbilder för utskrift av kopior. Förutom felaktig hantering av multifunktionsskrivare och möjligheten till dataläckage finns det en risk för demontering/stöld av hårddisken för analys eller för att utföra specialiserade attacker för dataläckage, till exempel med hjälp av Printer Exploitation Toolkit.

Canon-enheter erbjuder en rad verktyg för dataskydd genom hela enhetens livscykel, samt för att bevara deras konfidentialitet, integritet och tillgänglighet.
Stort fokus läggs på dataskydd på hårddisken. Informationen som lagras där kan ha olika grader av konfidentialitet. Därför används hårddiskkryptering på samtliga 26 enhetsmodeller inom ramen för 7 olika serier av den nya versionen av imageRUNNER ADVANCE-plattformen. Den uppfyller säkerhetsstandarden FIPS 140-2 nivå 2, antagen av USA:s regering, samt den japanska motsvarigheten JCVMP.

Det är viktigt att ha ett informationsåtkomstsystem som tar hänsyn till användarnas roller och åtkomstnivåer. Till exempel är diskussioner om löner bland anställda strikt förbjudna i många företag, och läckage av lönelistor eller information om bonusar kan orsaka allvarliga konflikter i personalen. Tyvärr är jag medveten om sådana fall; i ett av dem ledde det till att en anställd som var ansvarig för en sådan läcka fick sparken.

• Kryptering av hårddisk. imageRUNNER ADVANCE-enheter krypterar all data på hårddisken för att öka säkerhetsnivån.
• Rensning av hårddisk. Viss data, såsom data från kopierade eller skannade bilder samt data från dokument som skrivits ut från datorn, lagras på skrivardiskens hårddisk under en begränsad tid och raderas efter att den aktuella uppgiften har slutförts.
• Initiering av alla data och parametrar. För att förhindra förlust av data vid byte eller kassering av hårddisken kan man skriva över alla dokument och data på hårddisken och sedan återställa inställningarna till standardvärdena.
• Backup-hårddisk. Företag har fått möjlighet att säkerhetskopiera data från enhetens hårddisk till en extra inköpt hårddisk. Vid säkerhetskopiering krypteras data på båda hårddiskarna helt.
• Set för avtagbar hårddisk. Det här alternativet gör det möjligt att ta ut hårddisken från enheten för säker lagring när enheten inte används.

Läckage av kritiska data

Alla företag hanterar konfidentiella dokument såsom kontrakt, avtal, bokföringsdokument, kunddata, planer från utvecklingsavdelningen och mycket mer. Om sådana dokument hamnar i fel händer kan konsekvenserna variera från rykteförlust till stora böter eller till och med rättsliga åtgärder. Brottslingar kan få kontroll över företagets tillgångar, insider- eller konfidentiell information.

"Stöld av värdefull information utförs inte bara av konkurrenter eller bedragare. Det förekommer ofta att anställda väljer att utveckla sin egen verksamhet eller hemligt extraknäcker genom att sälja information till andra. I sådana situationer blir skrivaren deras bästa hjälp. Eventuell dataöverföring inom företaget är lätt att spåra. Dessutom har inte ens vanliga anställda tillgång till värdefull information. Vad kan vara enklare för en vanlig chef än att stjäla ett bortglömt värdefullt dokument? Alla kan klara av en sådan uppgift. Utskrivna dokument behöver inte ens tas ut ur organisationen. Det räcker att snabbt fotografera bortglömda material med en mobiltelefon med bra kamera."

Canon erbjuder en rad lösningar för säkerhet som hjälper dig att skydda konfidentiella dokument genom hela deras livscykel.

Konfidentialitet för utskrivna dokument

Användaren kan ställa in en PIN-kod för utskrift så att utskriften av dokumentet endast börjar efter att den korrekta PIN-koden har angetts på enheten. Detta skyddar konfidentiella dokument.

“Ofta kan MFP:er ses på offentliga platser inom organisationer – för användarnas bekvämlighet. Detta kan vara lobbys och mötesrum, korridorer och receptioner. Endast användning av identifierare (PIN-koder, smarta kort) kan garantera informationens skydd i förhållande till användarnivåaccess. Det är anmärkningsvärt att användare har fått tillgång till tidigare skickade dokument, passkopior etc. på grund av bristande kontroll och avsaknad av raderingsfunktioner.”

På enheten imageRUNNER ADVANCE kan administratören pausa alla skickade utskriftsuppdrag – på så vis måste användarna logga in för att skriva ut, vilket säkerställer konfidentialiteten för alla tryckta material.

Utskriftsuppdrag eller skannade dokument kan lagras i postlådor för åtkomst när som helst. Postlådor kan skyddas med en PIN-kod så att endast utsedda användare kan få tillgång till deras innehåll. I detta skyddade utrymme på enheten kan ofta utskrivna dokument (t.ex. formulär och blanketter) lagras, vilket kräver varsam hantering.

Full kontroll över utskick av dokument och fax.

För att minska riskerna för informationsläckor kan administratörer begränsa åtkomst till olika mottagare, exempelvis de som inte finns i adressboken på LDAP-servern, som inte är registrerade i systemet eller på en viss domän.

För att förhindra att dokument skickas till fel mottagare är det nödvändigt att stänga av automatisk ifyllning av e-postadresser.

Genom att ställa in en PIN-kod för skydd kommer adressboken på enheten att skyddas mot obehörig åtkomst från användare.

Begäran om att användarna ska ange faxnumret igen kommer att förhindra att dokument skickas till fel mottagare.

Skydd av dokument och fax i en konfidentiell mapp eller med en PIN-kod säkerställer säker lagring av dokument i minnet utan att de skrivs ut.

Kontroll av källan och äktheten av dokumentet.

En signatur för enhet kan läggas till på skannade dokument i PDF- eller XPS-format med hjälp av en nyckel och certifieringsmetodik – på så sätt kan mottagaren verifiera källan och äktheten av dokumentet.

I ett elektroniskt dokument är den elektroniska digitala signaturen (EDS) dess tillgångar, avsedd att skydda detta elektroniska dokument från förfalskning och gör det möjligt att identifiera ägaren av certifikatet för signaturnyckeln, samt att fastställa avsaknad av informationsförvrängning i det elektroniska dokumentet. På så sätt garanteras bevarande av det överförda dokumentet och korrekt identifiering av dess ägare, vilket säkerställer informationens pålitlighet.

Användarens signatur gör det möjligt att skicka PDF- eller XPS-filer med användarens unika digitala signatur, utförd av certifieringsföretaget. På så sätt kan mottagaren verifiera vem som har signerat dokumentet.

Integration med ADOBE LIFECYCLE MANAGEMENT ES

Användare kan skydda PDF-filer och tillämpa enhetliga och dynamiska policys för att kontrollera åtkomst och användarrättigheter, samt skydda konfidentiell och värdefull information från oavsiktlig eller illvillig avslöjande. Säkerhetspolicys stöds på servernivå, vilket innebär att rättigheter kan ändras även efter att filen har distribuerats. Enheter i imageRUNNER ADVANCE-serien kan konfigureras för integration med Adobe ES.

Säker utskrift uniFLOW MyPrintAnywhere – det är att skicka utskriftsjobb via en universell drivrutin och skriva ut dem på vilken skrivare som helst i nätverket.

Förhindrar skapande av dubbletter

Drivrutiner gör det möjligt att skriva ut synliga markeringar på sidan, som placeras ovanpå dokumentets innehåll. Detta kan användas för att informera anställda om dokumentets konfidentialitet och förhindra kopiering.

Utskrift/kopiering med osynliga vattenmärken – dokument kommer att skrivas ut eller kopieras med inbyggd dold text i bakgrunden, som kommer att framträda vid skapandet av en dubblett och fungera som en avskräckande åtgärd.

Möjligheterna med programvaran uniFLOW från NTware (en del av Canon-koncernerna) ger ytterligare effektiva verktyg för att säkerställa säkerheten i dokumenthanteringen.
Användningen av uniFLOW tillsammans med iW SAM Express möjliggör digitalisering och arkivering av dokument som skickas till skrivaren eller tas emot från enhet, samt analys av textdata och attribut i respons på säkerhetshot.

Spåra dokumentets ursprung via inbäddad kod.

Blockering av skanning av dokument – det här alternativet inbäddar en dold kod i utskrivna dokument och kopior som förhindrar vidare kopiering på enhet där denna funktion är aktiverad. Administratören kan använda detta alternativ för alla uppdrag eller endast för användarvalda uppdrag. TL- och QR-koder är tillgängliga för inbäddning.

"Som ett resultat av tester och bekantskap med funktionaliteten hos teknologi för imageRUNNER ADVANCE III bekräftades att det överensstämmer med moderna IT-säkerhetspolicyer. De ovan nämnda skyddsåtgärderna uppfyller grundläggande säkerhetskrav och kan minimera riskerna för informationssäkerhetsöverträdelser."

De senaste enheterna av imageRUNNER ADVANCE är utrustade med en säkerhetspolicy-funktion som gör det möjligt för administratören att hantera alla säkerhetsinställningar i en meny och redigera dem innan de tillämpas som enhetskonfiguration. Efter tillämpning bör användningen av enheten och ändring av inställningar ske i enlighet med denna policy. Säkerhetspolicyn kan skyddas med ett separat lösenord för att ge ytterligare hanterings- och skyddsmöjligheter, där endast ansvarig IT-säkerhetsspecialist har tillgång till den.

"Det är nödvändigt att hitta och upprätthålla en balans mellan säkerhet och användarvänlighet, genom att smart använda teknologiska framsteg och tekniska lösningar för att skydda information, använda kvalificerad arbetskraft och skickligt hantera de resurser som tillhandahålls för att säkerställa företagets säkerhet."

Hjälp med förberedelse av material – Luka Safonov, chef för Laboratoriet för praktisk
analys av säkerhetsskydd, Infosesystem Jet.

Endast registrerade användare kan delta i omröstningen. Logga in, tack.

Hur omfattande är din strategi för företagsäkerhet?

• Företagets säkerhetspolicy omfattar parken av multifunktionella enheter.

• Företagets skrivarfunktioner säkerställer säker användning av användarnas personliga enheter

• Företaget säkerställer att skrivarinfrastrukturen är aktuell samt att patchar och uppdateringar installeras snabbt och effektivt

• Företagets gäster kan skriva ut och skanna utan att utsätta företagsnätverket för risk

• IT-avdelningen har tillräckligt med tid för att hantera säkerhetsproblem

• Företaget har hittat en balans mellan att säkerställa säkerhet och användarvänlighet för enheterna

2 användare röstade. Ingen avstod.

Källa: habr.com