С увеличением встроенных функций офисные МФУ давно вышли за рамки тривиального сканирования/печати. Сейчас они превратились в полноценные самостоятельные устройства, интегрированные в высокотехнологичные локальные и глобальные сети, связывающие пользователей и организации не только в пределах одного офиса, но и по всему миру.
В этой статье вместе с экспертом по практической информационной безопасности Лукой Сафоновым LukaSafonov рассмотрим основные угрозы для современных офисных МФУ и пути их предотвращения.
Современная офисная техника имеет собственные жесткие диски и операционные системы, благодаря которым МФУ могут выполнять широкий спектр задач документооборота самостоятельно, снимая нагрузку с других устройств. Однако у такой высокой технической оснащенности есть и обратная сторона. Так как МФУ принимают активное участие в передаче данных по сети, то без должной защиты они становятся уязвимыми местами всей сетевой среды организации. Защищенность любой системы определяется степенью защиты самого слабого звена. Поэтому любые затраты на защитные мероприятия для серверов и компьютеров предприятия становятся бессмысленными, если для злоумышленника остается лазейка через МФУ. Понимая проблему охраны конфиденциальной информации, разработчики Canon повысили уровень безопасности третьей версии платформы imageRUNNER ADVANCE, о чем и пойдет речь в статье.
Основные угрозы
Существует несколько потенциальных рисков, связанных с использованием МФУ в организациях:
- Взлом системы через несанкционированный доступ к МФУ и использование в качестве «опорной точки»;
- Использование МФУ для эксфильтрации данных о пользователях;
- Перехват данных при печати или сканировании;
- Доступ к данным лиц, не имеющих соответствующего допуска;
- Доступ к отпечатанной или отсканированной конфиденциальной информации;
- Доступ к конфиденциальным данным на устройствах, закончивших срок службы.
- Отправка документов факсом или электронной почтой по неверному адресу умышленно или в результате опечатки;
- Несанкционированный просмотр конфиденциальной информации, хранящейся на незащищенных МФУ;
- Общая стопка напечатанных заданий, принадлежащих разным пользователям.
«Действительно, современные МФУ зачастую таят в себе огромный потенциал для атакующего. Наш проектный опыт показывает, что не сконфигурированные устройства, либо устройства, без надлежащего уровня защиты дают атакующим огромную возможность расширить т.н. „поверхность атаки“. Это получение списка учетных записей, сетевой адресации, возможность отправки почтовых сообщений и многое другое. Попробуем узнать, способны ли решения, предлагаемые компанией Canon, нивелировать эти угрозы».
Для каждого типа уязвимостей в новой платформе imageRUNNER ADVANCE предусмотрен целый комплекс взаимодополняющих мероприятий, обеспечивающих многоуровневую защиту. Следует отметить, что разработки потребовали специфического подхода из-за особенностей работы МФУ. При печати и сканировании документов происходят переходы информации из цифрового вида в аналоговый или наоборот. Каждый из этих видов информации требует принципиально различных способов обеспечения защиты. Обычно на стыке технологий, вследствие их разнородности, образуется самое уязвимое место.
«Зачастую МФУ являются легкой добычей как пентестеров, так и злоумышленников. Как правило это связано с халатным отношением к настройке таких устройств и их сравнительно легкой доступности, как в офисной среде, так и в сетевой инфраструктуре. Из последних случаев – показательная атака, произошедшая 29 ноября 2018 года, когда пользователь твиттера под псевдонимом TheHackerGiraffe «взломал» более 50 000 сетевых принтеров и распечатал на них листовки с призывом подписываться на YouTube-канал некоего PewDiePie. На Reddit TheHackerGiraffe заявил, что мог скомпрометировать более 800 000 устройств, но ограничился только 50 000. При этом взломщик подчеркнул, что основная проблема состоит в том, что он никогда раньше не занимался ничем подобным, но все приготовления и сам хак заняли у него лишь полчаса».
Когда компания Canon разрабатывает технологии, продукты и услуги, то учитывается их возможное влияние на рабочую среду клиентов. Именно поэтому офисные многофункциональные принтеры Canon оснащены широким набором встроенных и дополнительных функций безопасности, которые позволяют компаниям любого размера достичь необходимого уровня защиты.
Canon использует один из самых строгих режимов проверки безопасности во всей индустрии офисного оборудования. Технологии, применяемые в устройствах, тестируются на соответствие стандартам компании. Немало внимания уделяется проверкам безопасности с проведением актуальных экспертиз, по результатам которых были получены положительные отзывы об эксплуатации устройств от таких компаний, как «Лаборатория Касперского», «COMLOGIC», «TerraLink» и «JTI Россия» и других.
«Несмотря на то, что в современных реалиях является логичным повышать безопасность своих продуктов, этому принципу следуют далеко не все компании. Компании начинают задумываться о защите после случившихся фактов взлома (и давления со стороны пользователей) тех или иных продуктов. С этой стороны основательный подход компании Canon к реализации методов и мер защиты – показателен».
Несанкционированный доступ к МФУ
Очень часто незащищенные МФУ являются одними из приоритетных целей как внутренних нарушителей (инсайдеров), так и внешних. В современных реалиях корпоративная сеть не ограничивается одним офисом, а включает в себя группу подразделений и пользователей, имеющих различную географическую локацию. Централизованный документооборот требует наличия удаленного доступа и включения МФУ в корпоративную сеть. Сетевые печатающие устройства относятся к Интернету вещей, при этом их защите зачастую не уделяется должное внимание, что приводит к общей уязвимости всей инфраструктуры.
Для защиты от такого рода угроз реализованы следующие меры:
- Фильтр IP- и MAC-адресов – настройка разрешения связи только с устройствами, имеющими определенные IP- или MAC-адреса. Эта функция регламентирует передачу данных как внутри сети, так вывод за ее пределы.
- Конфигурация прокси-сервера – благодаря этой функции можно делегировать управление подключениями МФУ прокси-серверу. Эта функция рекомендована при подключении к устройствам вне корпоративной сети.
- Аутентификация по IEEE 802.1X – еще одна защита от подключения устройств, неавторизованных сервером аутентификации. Несанкционированный доступ блокируется LAN-коммутатором.
- Подключение через IPSec – защищает от попыток перехвата или расшифровки IP-пакетов, передаваемых по сети. Рекомендовано использовать с дополнительным шифрованием связи TLS.
- Управление портами – предназначено для защиты от инсайдерской помощи злоумышленникам. Эта функция отвечает за настройку конфигурации параметров портов в соответствие с политикой безопасности.
- Автоматическая регистрация сертификатов – эта функция дает системным администраторам удобный инструмент для автоматического выпуска и обновления сертификатов безопасности.
- Wi-Fi direct – функция предназначена для безопасной печати с мобильных устройств. Для этого мобильное устройство не нужно подключать к корпоративной сети. С помощью Wi-Fi direct создается локальное одноранговое соединение устройство-МФУ.
- Мониторинг журналов – все события по использованию МФУ, в том числе и заблокированные запросы на подключение, фиксируются в различных системных журналах в режиме реального времени. Анализируя записи, можно обнаруживать потенциальные и существующие угрозы, строить превентивную политику безопасности и проводить экспертную оценку уже произошедшей утечки информации.
- Шифрование данных при взаимодействии с устройством — эта опция шифрует задания печати при их отправке с пользовательского ПК на многофункциональный принтер. Вы также можете шифровать отсканированные данные в формате PDF, активировав универсальный набор функций безопасности.
- Гостевая печать с мобильных устройств. Программное обеспечение для управления безопасной сетевой печатью и сканированием устраняет частотные проблемы, связанные с безопасностью печати с мобильных устройств и гостевой печати, предоставляя внешние способы отправки заданий на печать, такие как электронная почта, интернет и мобильное приложение. Это обеспечивает работу МФУ с безопасным источником, минимизируя вероятность взлома.
«Совместное использование такого рода устройств помимо удобства и сокращения расходов влечет и риски доступа к сторонней информации. Этим могут воспользоваться не только злоумышленники, но и недобросовестные сотрудники для извлечения личной выгоды либо получения инсайдерской информации. А большой потенциал обрабатываемой информации – от технологических секретов до финансовой документации – является значимым приоритетом для атаки или нелегитимного использования».
Новшеством новой версии платформы imageRUNNER ADVANCE является возможность подключения устройств печати к двум сетям. Это очень удобно, когда МФУ используется одновременно в корпоративном и гостевом режиме.
Защита данных на жестком диске
На многофункциональном принтере всегда хранится большой объем данных, которые необходимо защищать, — от заданий на печать, находящихся в очереди, до полученных факсов, отсканированных изображений, адресных книг, журналов активности и истории заданий.
По сути, диск является только временным хранилищем, и нахождение на нем информации дольше необходимого времени повышает уязвимость корпоративной системы безопасности. Чтобы этого не происходило, в настройках можно задавать регламент очистки жесткого диска. Помимо того, что задания на печать очищаются сразу после выполнения или при сбоях печати, прочие файлы могут удаляться по расписанию с очисткой остаточных данных.
«К сожалению, даже многие ИТ-специалисты слабо осведомлены о роли жесткого диска в современных печатных устройствах. Наличие жесткого диска позволяет существенно сократить длительность подготовительного этапа печати. На жестких дисках обычно хранится системная информация, графические файлы, растрированные изображения для печати копий. Помимо неправильно утилизации МФУ и возможности утечки данных существует вероятность демонтажа/кражи жесткого диска для анализа, либо проведения специализированных атак для эксфильтрации данных, например с помощью Printer Exploitation Toolkit».
Устройства Canon предлагают ряд инструментов для защиты данных на всех этапах жизненного цикла устройства, а также для сохранения их конфиденциальности, целостности и доступности.
Большое внимание уделено защите данных на жестком диске. Хранимая там информация может иметь разную степень конфиденциальности. Поэтому на всех 26 моделях устройств в рамках 7 различных серий новой версии платформы imageRUNNER ADVANCE применяется шифрование HDD. Оно соответствует стандарту безопасности FIPS 140-2 уровня 2, принятому правительством США, а также японскому аналогу JCVMP.
«Важно иметь систему доступа к информации, учитывающую роли пользователей и уровни доступа. Например, во многих компаниях обсуждение зарплат среди сотрудников строго запрещено, а утечка зарплатной ведомости или информации о премировании может спровоцировать серьезный конфликт в коллективе. К сожалению, мне такие случаи известны, в одном из них это привело к увольнению сотрудника, ответственного за такого рода утечку».
- Шифрование жесткого диска. Устройства imageRUNNER ADVANCE шифруют все данные на жестком диске для повышения уровня безопасности.
- Очистка жесткого диска. Некоторые данные, например данные скопированных или отсканированных изображений, а также данные документов, распечатанных с компьютера, хранятся на жестком диске принтера ограниченное время и удаляются после выполнения соответствующего задания.
- Инициализация всех данных и параметров. Чтобы предотвратить утерю данных при замене или утилизации жесткого диска, можно перезаписать все документы и данные на жестком диске, а затем выполнить сброс настроек до значений по умолчанию.
- Резервный жесткий диск. Компании получили возможность выполнять резервное копирование данных с жесткого диска устройства на дополнительно приобретаемый жесткий диск. При резервном копировании данные на обоих жестких дисках проходят полное шифрование.
- Комплект съемного жесткого диска. Эта опция позволяет извлекать жесткий диск из устройства для его безопасного хранения, пока устройство не используется.
Утечка критичных данных
Все компании имеют дело с конфиденциальными документами, такими как контракты, соглашения, бухгалтерские документы, данные о клиентах, планы отдела разработки и многое другое. В случае если такие документы попадут в чужие руки, последствия могут варьироваться от подрыва репутации до крупных штрафов или даже судебных исков. Злоумышленники могут получить контроль над активами компании, инсайдерской или конфиденциальной информацией.
«Хищением ценной информации промышляют не только конкуренты или мошенники. Нередки случаи, когда работники решали развивать свой бизнес или втайне подрабатывали, продавая информацию на сторону. В таких ситуациях принтер становится их главным помощником. Любой трансфер данных внутри компании легко отследить. К тому же доступом к ценной информации обладают отнюдь не рядовые сотрудники. А что может быть проще для рядового менеджера, чем похитить лежащий без дела ценный документ? С такой задачей справится каждый. Распечатанные документы даже не всегда нужно выносить за пределы организации. Достаточно быстро сфотографировать валяющиеся без дела материалы на телефон с хорошей камерой».
Canon предлагает ряд решений для обеспечения безопасности, которые помогут вам защитить конфиденциальные документы на протяжении всего их жизненного цикла.
Конфиденциальность печатных документов
Пользователь может задать PIN-код печати, чтобы печать документа начиналась только после ввода правильного PIN-кода на устройстве. Это позволяет защитить конфиденциальные документы.
«Зачастую МФУ можно увидеть в общедоступных местах организации – для удобства пользователей. Это могут быть холлы и переговорные, коридоры и приемные. Только использование идентификаторов (ПИН-коды, смарт-карты) позволят гарантировать сохранность информации в контексте пользовательского уровня доступа. Примечательны случаи, когда пользователи получали доступ к ранее отправленным документам, сканам паспортов и т.д. в результате ненадлежащего контроля и отсутствию функций очистки данных».
На устройстве imageRUNNER ADVANCE администратор может приостановить все отправленные задания на печать — таким образом для печати пользователям необходимо будет выполнить вход в систему, за счет чего обеспечивается защита конфиденциальности всех печатных материалов.
Задания на печать или отсканированные документы можно хранить в почтовых ящиках для доступа в любое удобное время. Почтовые ящики можно защитить PIN-кодом, чтобы только назначенные пользователи могли осуществлять доступ к их содержимому. В этом защищенном пространстве на устройстве можно хранить часто печатаемые документы (например, бланки и формы), которые требуют осторожного обращения.
Полный контроль над отправкой документов и факсов
Чтобы сократить риски утечки информации, администраторы могут ограничить доступ к различным адресатам, например отсутствующим в адресной̆ книге на сервере LDAP, не зарегистрированным в системе или на определенном домене.
Для предотвращения отправки документов неверным адресатам, необходимо отключить автозаполнение адресов электронной̆ почты.
Установка PIN-кода для защиты оградит адресную книгу устройства от несанкционированного доступа пользователей̆.
Запрос повторного ввода номера факса пользователями предотвратит отправку документов неправильным адресатам.
Защита документов и факсов в конфиденциальной папке или PIN-кодом обеспечит надежное хранение документов в памяти без их печати.
Проверка источника и подлинности документа
Подпись устройства можно добавить на отсканированные документы в форматах PDF или XPS с помощью ключа и механизма сертификации — таким образом получатель сможет проверить источник и подлинность документа.
«В электронном документе электронная цифровая подпись (ЭЦП) является его реквизитом, предназначенным для защиты данного электронного документа от подделки и позволяет идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе. Таким образом гарантируется сохранность передаваемого документа и точная идентификация его владельца, что позволяет сохранить достоверность информации».
Подпись пользователя позволяет отправлять файлы PDF или XPS с уникальной цифровой подписью пользователя, полученной от сертифицирующей компании. Таким образом получатель сможет проверить, кто поставил подпись под документом.
Интеграция с ADOBE LIFECYCLE MANAGEMENT ES
Пользователи могут защищать PDF-файлы и применять к ним единообразные и динамические политики для контроля доступа и прав пользования, а также защиты конфиденциальной и ценной информации от неумышленного или злоумышленного разглашения. Политики безопасности поддерживаются на уровне сервера, поэтому права можно изменить даже после распределения файла. Устройства серии imageRUNNER ADVANCE можно настроить для интеграции с Adobe ES.
Безопасная печать uniFLOW MyPrintAnywhere — это отправка заданий на печать через универсальный драйвер и их печать на любом принтере сети.
Предотвращение создания дубликатов
Драйверы позволяют печатать на странице видимые отметки, которые располагаются поверх содержимого документа. Это можно использовать для информирования сотрудников о конфиденциальности документа и предотвратить его копирование.
Печать/копирование с невидимыми водяными знаками – документы будут печататься или копироваться со встроенным скрытым текстом на фоне, который будет проявляться при создании дубликата и играть роль сдерживающей меры.
Возможности программного обеспечения uniFLOW от NTware (входит в группу компаний Canon) дают дополнительные эффективные инструменты обеспечения безопасности документооборота.
Использование uniFLOW в сочетании с iW SAM Express позволит выполнять оцифровку и архивирование документов, отправленных на принтер или полученных с устройства, а также анализировать текстовые данные и атрибуты при реагировании на угрозы безопасности.
Отслеживание источника документа посредством встроенного кода.
Блокировка сканирования документов – эта опция встраивает в печатные документы и копии скрытый код, который предотвращает их дальнейшее копирование на устройстве, на котором активирована эта функция. Администратор может использовать этот параметр для всех заданий или только заданий, выбранных пользователем. Для встраивания доступны TL- и QR-коды.
«В результате тестов и ознакомлением с функционалом технологии imageRUNNER ADVANCE III удалось подтвердить основные соответствия современным политикам IT-безопасности. Вышеперечисленные защитные меры отвечают основным требованиям к безопасности и способны минимизировать риски нарушения информационной безопасности».
Новейшие устройства imageRUNNER ADVANCE оснащены функцией политики безопасности, которая позволяет администратору управлять всеми параметрами безопасности в одном меню и редактировать их до применения в качестве конфигурации устройства. После применения использование устройства и изменение параметров должны происходить в соответствии с этой политикой. Политику безопасности можно защитить отдельным паролем, чтобы она обеспечивала дополнительные возможности управления и защиты, а доступ к ней был только у ответственного специалиста по ИТ- безопасности.
«Необходимо найти и удержать баланс между безопасностью и удобством, грамотно используя технологические достижения и технические решения для защиты информации, использовать квалифицированные кадры и умело распоряжаться предоставленными средствами для обеспечения безопасности компании».
Помощь в подготовке материала – Лука Сафонов, руководитель Лаборатории практического
анализа защищенности, Инфосистемы Джет.
Автор: Canon_for_business
