Avec l'augmentation des fonctions intégrées, les MFP de bureau ont longtemps dépassé la simple numérisation / impression. Maintenant, ils sont devenus des appareils indépendants à part entière intégrés dans des réseaux locaux et mondiaux de haute technologie reliant les utilisateurs et les organisations non seulement au sein du même bureau, mais dans le monde entier.
Dans cet article, en collaboration avec l'expert en sécurité des informations pratiques Luka Safonov
LukaSafonov, nous examinerons les principales menaces pesant sur les MFP de bureau modernes et les moyens de les prévenir.
Les équipements de bureau modernes ont leurs propres disques durs et systèmes d'exploitation, grâce auxquels les MFP peuvent effectuer eux-mêmes une large gamme de tâches de flux de travail, en supprimant la charge des autres appareils. Cependant, un équipement aussi technique a un inconvénient. Étant donné que les MFP sont activement impliqués dans la transmission de données sur le réseau, sans protection adéquate, ils deviennent des vulnérabilités dans l'ensemble de l'environnement réseau de l'organisation. La sécurité de tout système est déterminée par le degré de protection du maillon le plus faible. Par conséquent, les coûts des mesures de protection pour les serveurs et les ordinateurs de l'entreprise perdent leur sens s'il reste une faille dans le MFP pour l'attaquant. Comprenant le problème de la protection des informations confidentielles, les développeurs Canon ont augmenté le niveau de sécurité de la troisième version de la plate-forme
imageRUNNER ADVANCE , qui sera abordée dans l'article.
Menaces principales
Il existe plusieurs risques potentiels associés à l'utilisation des IFI dans les organisations:
- Piratage du système via un accès non autorisé au MFP et utilisation comme «point de référence»;
- Utiliser un MFP pour exfiltrer les données des utilisateurs;
- Interception de données lors de l'impression ou de la numérisation;
- Accès aux données des personnes sans accès approprié;
- Accès à des informations confidentielles imprimées ou numérisées;
- Accédez à des données confidentielles sur des appareils en fin de vie.
- Envoi de documents par fax ou e-mail à la mauvaise adresse intentionnellement ou à la suite d'une faute de frappe;
- Affichage non autorisé d'informations confidentielles stockées sur des MFP non protégés;
- Une pile commune de travaux imprimés appartenant à différents utilisateurs.
«En effet, les MFP modernes ont souvent un énorme potentiel pour un attaquant. Notre expérience de projet montre que les appareils non configurés, ou les appareils sans un niveau de protection approprié, donnent aux attaquants une énorme opportunité d'étendre ce que l'on appelle «Attaque de surface». Cela permet d'obtenir une liste de comptes, l'adressage réseau, la possibilité d'envoyer des e-mails et bien plus encore. Nous essaierons de savoir si les solutions proposées par Canon sont capables d'atténuer ces menaces. "
Pour chaque type de vulnérabilité, la nouvelle plate-forme imageRUNNER ADVANCE propose une gamme d'activités complémentaires offrant une protection à plusieurs niveaux. Il convient de noter que l'élaboration a nécessité une approche spécifique en raison des spécificités du travail des IFI. Lors de l'impression et de la numérisation de documents, les informations sont transférées du numérique vers l'analogue ou vice versa. Chacun de ces types d'informations nécessite des moyens fondamentalement différents d'assurer la protection. Habituellement à la jonction de la technologie, en raison de leur hétérogénéité, le point le plus vulnérable se forme.
«Souvent, les MFP sont des proies faciles pour les pentesters et les intrus. En règle générale, cela est dû à une attitude négligente envers la configuration de ces appareils et leur disponibilité relativement facile, à la fois dans l'environnement de bureau et dans l'infrastructure réseau. Parmi les cas récents, une attaque importante s'est produite le 29 novembre 2018, lorsqu'un utilisateur de Twitter, sous le pseudonyme TheHackerGiraffe, a «piraté» plus de 50000 imprimantes réseau et dépliants imprimés les incitant à s'abonner à une certaine chaîne YouTube PewDiePie. Chez Reddit, TheHackerGiraffe a déclaré qu'il aurait pu compromettre plus de 800 000 appareils, mais l'a limité à seulement 50 000. Dans le même temps, le pirate a souligné que le principal problème était qu'il n'avait jamais rien fait de tel auparavant, mais il n'avait pris que toutes les préparations et le piratage de sa part. une demi-heure. "
Lorsque Canon développe des technologies, des produits et des services, son impact potentiel sur les environnements de travail des clients est pris en compte. C'est pourquoi les imprimantes multifonction de bureau Canon sont équipées d'une large gamme de fonctions de sécurité intégrées et supplémentaires qui permettent aux entreprises de toute taille d'atteindre le niveau de protection requis.
Canon utilise l'un des modes de contrôle de sécurité les plus rigoureux de toute l'industrie du matériel de bureau. Les technologies utilisées dans les appareils sont testées pour la conformité aux normes de l'entreprise. Une grande attention est accordée aux audits de sécurité avec les examens en cours, qui ont abouti à des commentaires positifs sur le fonctionnement des appareils de sociétés telles que Kaspersky Lab, COMLOGIC, TerraLink, JTI Russia et autres.
«Malgré le fait que dans les réalités modernes, il est logique d'augmenter la sécurité de leurs produits, toutes les entreprises ne suivent pas ce principe. Les entreprises commencent à penser à la protection après les faits de piratage (et la pression des utilisateurs) de certains produits. De ce côté, l’approche solide de Canon pour mettre en œuvre des méthodes et des mesures de sécurité est indicative. »
Accès non autorisé aux MFP
Très souvent, les IMF non protégées sont l'un des objectifs prioritaires des contrevenants internes (initiés) et externes. Dans les réalités modernes, le réseau d'entreprise n'est pas limité à un seul bureau, mais comprend un groupe de divisions et d'utilisateurs avec des emplacements géographiques différents. Le flux de travail centralisé nécessite un accès à distance et l'inclusion d'un MFP dans un réseau d'entreprise. Les périphériques d'impression réseau appartiennent à l'Internet des objets, et leur protection n'est souvent pas dûment prise en compte, ce qui conduit à une vulnérabilité commune de l'ensemble de l'infrastructure.
Les mesures suivantes ont été mises en œuvre pour se protéger contre de telles menaces:
- Filtre d'adresse IP et MAC - configurez l'autorisation de communiquer uniquement avec les appareils qui ont des adresses IP ou MAC spécifiques. Cette fonction régule le transfert de données à la fois au sein du réseau, donc la sortie au-delà de ses limites.
- Configuration du serveur proxy - grâce à cette fonction, vous pouvez déléguer la gestion des connexions MFP au serveur proxy. Cette fonction est recommandée lors de la connexion à des appareils en dehors du réseau d'entreprise.
- L'authentification IEEE 802.1X est une autre protection contre la connexion de périphériques non autorisés par le serveur d'authentification. L'accès non autorisé est bloqué par le commutateur LAN.
- Connexion via IPSec - protège contre les tentatives d'interception ou de décryptage des paquets IP transmis sur le réseau. Recommandé pour une utilisation avec le chiffrement de communication TLS en option.
- Gestion des ports - conçue pour protéger contre l'assistance d'initiés aux cybercriminels. Cette fonction est chargée de configurer la configuration des paramètres de port conformément à la politique de sécurité.
- Enregistrement automatique des certificats - cette fonction offre aux administrateurs système un outil pratique pour émettre et mettre à jour automatiquement les certificats de sécurité.
- Wi-Fi direct - cette fonction est conçue pour une impression sûre à partir d'appareils mobiles. Pour ce faire, l'appareil mobile n'a pas besoin d'être connecté au réseau d'entreprise. À l'aide de Wi-Fi direct, une connexion MFP périphérique à périphérique locale est créée localement.
- Surveillance des journaux - tous les événements liés à l'utilisation des MFP, y compris les demandes de connexion bloquées, sont enregistrés dans divers journaux système en temps réel. En analysant les enregistrements, vous pouvez détecter les menaces potentielles et existantes, élaborer une politique de sécurité préventive et effectuer une évaluation experte d'une fuite d'informations déjà survenue.
- Cryptage des données lors de l'interaction avec le périphérique - cette option crypte les travaux d'impression lorsqu'ils sont envoyés à partir d'un PC utilisateur vers une imprimante multifonction. Vous pouvez également crypter les données numérisées au format PDF en activant un ensemble universel de fonctions de sécurité.
- Impression d'invité à partir d'appareils mobiles. Le logiciel de gestion d'impression et de numérisation en réseau sécurisé élimine les problèmes de fréquence associés à l'impression de sécurité à partir d'appareils mobiles et à l'impression en tant qu'invité en fournissant des moyens externes d'envoyer des travaux d'impression tels que le courrier électronique, Internet et une application mobile. Cela garantit que le MFP fonctionne avec une source sûre, minimisant les risques de piratage.
«Le partage de ces appareils en plus de la commodité et de la réduction des coûts entraîne des risques d'accès aux informations de tiers. Cela peut être utilisé non seulement par des attaquants, mais aussi par des employés sans scrupules pour extraire un profit personnel ou obtenir des informations d'initiés. Et le grand potentiel des informations traitées - des secrets technologiques à la documentation financière - est une priorité importante en cas d'attaque ou d'utilisation illégitime. »
Une innovation de la nouvelle version de la plate-forme imageRUNNER ADVANCE est la possibilité de connecter des périphériques d'impression à deux réseaux. Ceci est très pratique lorsque le MFP est utilisé simultanément en mode entreprise et en mode invité.
Protection des données du disque dur
Une imprimante multifonction stocke toujours une grande quantité de données à protéger, des travaux d'impression dans la file d'attente aux télécopies reçues, aux images numérisées, aux carnets d'adresses, aux journaux d'activité et à l'historique des travaux.
En fait, le disque n'est qu'un stockage temporaire et la recherche d'informations sur celui-ci plus longtemps que nécessaire augmente la vulnérabilité du système de sécurité de l'entreprise. Pour éviter cela, dans les paramètres, vous pouvez définir les règles de nettoyage du disque dur. En plus du fait que les travaux d'impression sont effacés immédiatement après l'exécution ou lorsque l'impression échoue, d'autres fichiers peuvent être supprimés selon un calendrier avec nettoyage des données résiduelles.
«Malheureusement, même de nombreux informaticiens connaissent mal le rôle du disque dur dans les périphériques d'impression modernes. La présence d'un disque dur peut réduire considérablement la durée de la phase préparatoire de l'impression. Les disques durs stockent généralement des informations système, des fichiers image et des images tramées pour imprimer des copies. En plus de l'élimination inappropriée des MFP et de la possibilité de fuite de données, il existe une possibilité de démontage / vol du disque dur pour analyse, ou de mener des attaques spécialisées pour exfiltrer les données, par exemple en utilisant le Printer Exploitation Toolkit. "
Les appareils Canon offrent une gamme d'outils pour protéger les données à toutes les étapes du cycle de vie de l'appareil, ainsi que pour préserver leur confidentialité, leur intégrité et leur disponibilité.
Une grande attention est accordée à la protection des données sur le disque dur. Les informations qui y sont stockées peuvent avoir différents degrés de confidentialité. Par conséquent, sur les 26 modèles d'appareils au sein de 7 séries différentes de la nouvelle version de la plate-forme imageRUNNER ADVANCE, le cryptage du disque dur est utilisé. Il est conforme à la norme de sécurité FIPS 140-2 niveau 2 adoptée par le gouvernement américain, ainsi qu'à l'équivalent japonais de JCVMP.
«Il est important d'avoir un système d'accès à l'information qui tienne compte des rôles des utilisateurs et des niveaux d'accès. Par exemple, dans de nombreuses entreprises, la discussion des salaires entre les employés est strictement interdite, et la fuite d'une feuille de salaire ou d'informations sur les primes peut provoquer un grave conflit au sein de l'équipe. Malheureusement, je connais de tels cas, dans l'un d'eux, cela a conduit au licenciement de l'employé responsable d'une telle fuite. "
- Cryptage du disque dur. Les appareils ImageRUNNER ADVANCE chiffrent toutes les données de votre disque dur pour une sécurité accrue.
- Nettoyage du disque dur. Certaines données, telles que les données des images copiées ou numérisées, ainsi que les données des documents imprimés à partir d'un ordinateur, sont stockées sur le disque dur de l'imprimante pendant une durée limitée et sont supprimées une fois la tâche correspondante terminée.
- Initialisation de toutes les données et paramètres. Pour éviter la perte de données lors du remplacement ou de l'élimination d'un disque dur, vous pouvez remplacer tous les documents et données sur le disque dur, puis rétablir les valeurs par défaut.
- Disque dur de sauvegarde. Les entreprises ont pu sauvegarder les données du disque dur de l'appareil sur un disque dur en option. Lors de la sauvegarde des données sur les deux disques durs sont entièrement cryptées.
- Un ensemble de disque dur amovible. Cette option vous permet de retirer le disque dur de l'appareil pour un stockage sûr lorsque l'appareil n'est pas utilisé.
Fuite de données critiques
Toutes les entreprises traitent des documents confidentiels tels que les contrats, les accords, les documents comptables, les données clients, les plans du service de développement et bien plus encore. Dans le cas où de tels documents tombent entre de mauvaises mains, les conséquences peuvent aller de l'atteinte à la réputation à des amendes importantes ou même à des poursuites. Les attaquants peuvent prendre le contrôle des actifs de l'entreprise, des initiés ou des informations confidentielles.
«Non seulement les concurrents ou les escrocs volent des informations précieuses. Il y a des cas fréquents où les employés ont décidé de développer leur entreprise ou ont secrètement gagné de l'argent en vendant des informations à côté. Dans de telles situations, l'imprimante devient leur assistant principal. Tout transfert de données au sein de l'entreprise est facile à suivre. De plus, l'accès à des informations précieuses est loin des employés ordinaires. Et quoi de plus simple pour le gestionnaire moyen que de voler un précieux document inutilisé? Chacun fera face à une telle tâche. Les documents imprimés n'ont pas toujours besoin d'être déplacés à l'extérieur de l'organisation. Il est assez rapide de photographier les documents inactifs sur un téléphone avec un bon appareil photo. "
Canon propose une gamme de solutions de sécurité pour vous aider à protéger les documents sensibles tout au long de leur cycle de vie.
Confidentialité d'impression
L'utilisateur peut définir le code PIN d'impression de sorte que l'impression du document ne démarre qu'après avoir entré le code PIN correct sur l'appareil. Cela protège les documents confidentiels.
«Souvent, les IMF peuvent être vues dans les lieux publics de l'organisation - pour la commodité des utilisateurs. Il peut s'agir de salles et de salles de réunion, de couloirs et de salles de réception. Seule l'utilisation d'identifiants (codes PIN, cartes à puce) garantira la sécurité des informations dans le cadre d'un niveau d'accès utilisateur. Il y a des cas notables où les utilisateurs ont eu accès aux documents précédemment envoyés, aux scans de passeport, etc. en raison d'un contrôle inadéquat et du manque de fonctions de nettoyage des données. »
Sur le périphérique imageRUNNER ADVANCE, l'administrateur peut suspendre tous les travaux d'impression soumis - ainsi, pour l'impression, les utilisateurs devront se connecter, protégeant ainsi la confidentialité de tous les documents imprimés.
Les travaux d'impression ou les documents numérisés peuvent être stockés dans des boîtes aux lettres pour un accès à tout moment. Les boîtes aux lettres peuvent être protégées par un code PIN afin que seuls les utilisateurs désignés puissent accéder à leur contenu. Les documents fréquemment imprimés (par exemple, formulaires et formulaires) qui nécessitent une manipulation soigneuse peuvent être stockés dans cet espace sécurisé de l'appareil.
Contrôle total sur l'envoi de documents et de télécopies
Pour réduire le risque de fuite d'informations, les administrateurs peuvent restreindre l'accès à diverses destinations, par exemple celles qui ne figurent pas dans le carnet d'adresses sur le serveur LDAP, qui ne sont pas enregistrées sur le système ou sur un domaine spécifique.
Pour empêcher l'envoi de documents aux mauvais destinataires, il est nécessaire de désactiver les adresses e-mail de saisie semi-automatique.
La définition d'un code PIN pour la protection protégera le carnet d'adresses de l'appareil contre les utilisateurs non autorisés .
Demander aux utilisateurs de ressaisir le numéro de fax empêchera l'envoi de documents aux mauvais destinataires.
La protection des documents et des télécopies dans un dossier confidentiel ou PIN garantira un stockage fiable des documents en mémoire sans les imprimer.
Vérification de la source et de l'authenticité du document
La signature de l'appareil peut être ajoutée aux documents numérisés au format PDF ou XPS à l'aide de la clé et du mécanisme de certification - de cette façon, le destinataire peut vérifier la source et l'authenticité du document.
«Dans un document électronique, une signature numérique électronique (EDS) est son attribut, destinée à protéger ce document électronique de la contrefaçon, et permet d'identifier le propriétaire du certificat de clé de signature, ainsi que d'établir l'absence de distorsion des informations dans le document électronique. Cela garantit la sécurité du document transmis et l'identification précise de son propriétaire, ce qui vous permet de maintenir l'exactitude des informations. "
La signature utilisateur vous permet d'envoyer des fichiers PDF ou XPS avec une signature utilisateur numérique unique reçue d'une entreprise de certification. De cette façon, le destinataire pourra vérifier qui a signé le document.
Intégration avec ADOBE LIFECYCLE MANAGEMENT ES
PDF-̆ , ̆ . , ̆. ̆ imageRUNNER ADVANCE Adobe ES.
uniFLOW MyPrintAnywhere — ̆ ̆ ̆ .
̆ , . .
/ – , ̆ .
uniFLOW NTware ( Canon) .
uniFLOW iW SAM Express , ̆, .
.
– ̆ , ̆ ̆ ̆, . ̆ ̆, . TL- QR-.
« imageRUNNER ADVANCE III IT-. ».
̆ ̆ imageRUNNER ADVANCE ̆ , ̆. ̆ ̆ ̆. , , ̆ - .
« , , ».
– ,
, .