Зачастую они тихонько стоят себе в углу и пылятся, всеми забытые, превращаясь в весьма удобный объект для атаки. Многие компании не утруждают себя обновлением прошивок старых моделей и не проводят аудит безопасности каждого такого устройства (например, аппарата в кабинете генерального директора). В организациях почему-то думают, что принтеры, едва ли не каждый второй из которых подключен сегодня к сетям Wi-Fi, совершенно не интересуют хакеров.
Принтеры действительно кажутся совершенно безвредными и безобидными, но именно поэтому, по мнению аналитиков, они и несут в себе угрозу. Ведь зачастую наилучшим направлением атаки является то, о котором никто не задумывается. Между тем опрос, проведенный IDC, показал, что 35% всех брешей в системе офисной безопасности связано с незащищенными принтерами и многофункциональными устройствами. И это ежегодно обходится западным компаниям в среднем примерно в 130 тыс. долл.
Почему угрозу надо воспринимать серьезно
Периферийные устройства, к категории которых относятся принтеры, обычно не являются объектами защиты. Корпоративные средства безопасности следят за состоянием сетей и компьютеров, а устаревшие принтеры, на которых установлена еще заводская прошивка, как правило, не принимаются во внимание.
«Может показаться, что принтеры не представляют опасности, но вы должны помнить, что по своей сути они являются мини-компьютерами, – подчеркнул этичный хакер Крис Викери, занимающийся исследованием вопросов безопасности в компании MacKeeper. – Контроль над принтером позволяет злоумышленнику сформировать плацдарм для будущих атак и занять удобную позицию для последующего проникновения внутрь сети».
Наиболее серьезные угрозы возникают, когда атакующий получает через принтер доступ к сети. Следует помнить и о возможности захвата любого документа, отправленного на принтер. Это способно нанести серьезный урон интеллектуальным ресурсам предприятия. Викери также припомнил недавний инцидент, когда некий документ с информацией экстремистского характера был отправлен на тысячи принтеров, у которых не был заблокирован определенный порт.
Арианна Валентини, занимающаяся исследованием проблем безопасности в IDC, заметила, что, помимо целенаправленного взлома принтера, угрозу представляют и документы, оставленные без присмотра. Во многих старых моделях нет функции, разрешающей печать только после ввода пароля непосредственно на устройстве. Сотрудники выводят документы на печать и забывают про них. В результате похищение документов становится очень легким делом для злоумышленника, который переводит их в цифровую форму и продает секреты компании.
По словам Викери, в какой-то степени проблема возникла из-за невнимания (принтеры безмолвно стоят в уголке), а в какой-то – из-за того, что производители не задумались вовремя о защите своих устройств. Одним из главных нововведений, укрепляющих безопасность принтеров, стала парольная защита по умолчанию (устройства поставляются с уже включенными паролями). Но это ничем не поможет миллионам пользователей старых моделей, так и не поменявших прошивки принтеров, в которых пароли не были задействованы.
Исследователь вопросов безопасности из Gartner Лоуренс Пингри назвал и еще одну угрозу. В организациях сферы здравоохранения и финансового сектора, где требования регуляторов значительно жестче, на принтеры следует обращать особое внимание. Ведь с ними здесь связаны не меньшие риски нарушения нормативных требований, чем с ноутбуками.
Эксперты отмечают, что нарушения требований безопасности не являются особенностью каких-то конкретных брендов. Такие проблемы существуют у старых моделей Canon, Xerox, HP и многих других, в которых не используется парольная защита и которые подключены к корпоративным сетям посредством кабельных интерфейсов или Wi-Fi.
В средствах массовой информации появлялись сообщения о недостаточной безопасности принтеров HP, но, возможно, это объясняется просто высокой популярностью бренда. По словам Пингри, в последнее время компания HP заметно укрепила безопасность своих продуктов, решив заранее принять меры для блокирования потенциальной возможности взлома.
Есть информация об уязвимостях в принтерах Ricoh. В каждом из них существует лазейка, позволяющая получить доступ к учетной записи администратора. Чтобы воспользоваться этой возможностью, достаточно пройти авторизацию в качестве супервизора без пароля. После этого меняется пароль основного администратора. А получив доступ к учетной записи администратора, вы можете сменить прошивку, включив в новый вариант собственные троянские модули.
Инновационные 3D-принтеры тоже несут угрозу
Угрозу безопасности могут нести и инновационные 3D-принтеры. Исследователи из Нью-Йоркского университета опубликовали доклад, в котором говорится о том, что злоумышленники могут использовать принтеры трехмерных объектов в целях промышленного саботажа.
К примеру, взломанный хакерами принтер, на котором изготавливают автозапчасти, может выпускать комплектующие с нераспознаваемыми на этапе производства дефектами, что создаст угрозу отзывов из продажи и судебных исков.
Хакер, скажем, может уменьшить прочность изделия, и это со временем приведет к поломке. Такие дефекты могут быть столь незначительными, что их невозможно распознать стандартными методами.
Сегодня 3D-принтеры уже используются в самолетостроении для изготовления запасных частей. И если будут распечатываться дефектные комплектующие для автомашин или самолетов, подобный саботаж может представлять угрозу для жизни людей, подчеркивают исследователи.
Возможность саботажа будет вероятнее, если производители станут заключать контракты на выпуск изделий на 3D-принтерах с ненадежными исполнителями. Еще одна опасность – хищение с принтеров файлов САПР, являющихся интеллектуальной собственностью.
Для предотвращения рисков исследователи рекомендуют отключать 3D-принтеры от Интернета и применять шифрование.
Рекомендации по улучшению безопасности принтеров
Общий совет по улучшению безопасности очень прост: замените устаревшие принтеры новыми моделями с достаточным уровнем защиты. Технологии, используемые в новейших моделях, достигли высокого уровня.
За последние полгода разработчики внедрили целый ряд весьма существенных инноваций. Модели HP PageWide используют новую технологию Sure Start, которая проверяет корректность программы BIOS. А функция HP Whitelisting позволяет убедиться в том, что прошивка не подвергалась взлому.
В марте 2016 года компания Xerox представила новую функцию, использующую шифрование для всех операций печати и сканирования. Еще одна новая функция автоматически удаляет задания на печать при включении питания. Это снижает вероятность того, что хакер сможет атаковать принтер, на котором хранятся старые задания.
«Мы вправе ожидать от производителей принтеров и разработчиков программного обеспечения новых продуктов, которые помогут организациям повысить уровень безопасности своей среды печати», – подчеркнула Валентини.
По мнению Пингри, важно также не забывать, что на самом деле принтер – это еще один сервер со своей операционной системой, подверженный атакам. А значит, о его безопасности нужно заботиться точно так же, как и о безопасности любого другого узла сети, и своевременно устранять выявленные уязвимости.
Легко упустить из виду и еще один момент. Настройкой принтера, как правило, занимается системный администратор, использующий для этого свои широкие полномочия и права доступа. Перехватывая вводимые данные, атакующий может похитить их.
Хотелось бы отметить, что существует очень много вариантов атаки. Это и загрузка неавторизованных прошивок, и захват заданий, отправленных на печать, и даже кража забытых документов из выходного лотка принтера. Важно учитывать любые возможные сценарии, даже если принтер в дальнейшем будет продолжать пылиться в углу.
– John Brandon. Think that printer in the corner isn’t a threat? Think again. CSO. May 3, 2016
Контроль, еще контроль
Принтеры, наряду с великим множеством периферийных устройств других видов, действительно являются полноценными серверами и микрокомпьютерами. Они могут служить эффективным плацдармом для атак злоумышленника на другие элементы ИТ-инфраструктуры. И в данном случае проблемой является не многообразие уязвимостей у принтеров, а подход к организации системы защиты информации в компании. Все дело в том, что так называемого информационного периметра больше не существует. С широким распространением беспроводных сетей контроль информационного периметра стал неэффективным и ненадежным. Кавалькады межсетевых экранов и систем предотвращения вторжений на границах инфраструктуры перестают быть эффективными, если существует относительно несложная возможность проникнуть в ОС принтера, подсоединившись к нему по Wi-Fi (в обход периметра).
В наши дни «периметр» необходимо выстраивать вокруг каждого устройства в сети. Степень доверия к внутренним принтерам, плоттерам, проекторам и прочим устройствам должна быть низкой. Конечно же, такой подход требует применения метода Secure By Design – в ИТ-инфраструктуру организации изначально должна быть заложена возможность контроля доступа в отношении «всё ко всем», иными словами, внутри сети организации не должно существовать возможности доступа с IP/MAC-принтера к другим устройствам в сети. А разрешения должны быть прописаны «узко», только на определенные устройства по определенным портам.
Вторая сторона вопроса безопасности принтеров – соблюдение конфиденциальности печатаемых документов – не может быть решена простым обновлением принтера. Даже в актуальных версиях ПО производители допускают ошибки безопасности, поэтому такой подход не будет абсолютно надежным. Отметим, что принтеров с функциями шифрования не так уж много, к тому же поддерживаются только западные стандарты криптографии. Для соблюдения конфиденциальности печатаемых документов необходим целый ряд мер по введению режима коммерческой тайны в организации. Эти меры позволят отделить конфиденциальную информацию от всей остальной. Все конфиденциальные документы должны распечатываться на выделенных принтерах, доступ к которым имеют только авторизованные сотрудники. Директор по информационной безопасности должен уделять особое внимание таким принтерам, речь идет о частоте обновлений, изоляции, дополнительных мерах защиты, видеонаблюдении и т. п.
– Денис Суховей, директор по развитию бизнеса направления баз данных компании «Аладдин Р.Д.»
Безопасность печати: о чем редко говорят
Раньше функция безопасности сводилась только к идее печати по запросу, сейчас этот вопрос необходимо рассматривать с других позиций. Существуют разные варианты взломов, проникновений, о которых и сами клиенты и производители печатной техники редко говорят.
Взлом самого МФУ, как и любого оборудования с операционной системой, возможен через установку стороннего ПО и использование уязвимостей в операционной системе. Защититься можно несколькими способами. Во-первых, это сертификация оборудования и программного обеспечения на отсутствие недекларируемых возможностей и дальнейшая регулярная проверка контрольных сумм программного обеспечения. Если коды не изменились, значит, никакое новое ПО не было установлено. Если же изменились, производится откат на предыдущую версию. Это самый эффективный способ для производителя и надежный для клиента, но и самый трудозатратный. Во-вторых, можно реализовать приложение-надстройку над системой печати на уровне МФУ или внешний аппаратный модуль, который обеспечивает проверку целостности данных в автоматическом режиме. В-третьих, можно физически изолировать МФУ от внешней среды и назначить права доступа во внутренней операционной среде.
Риски нарушения безопасности корпоративных систем стабильно растут из-за ежегодного удвоения объема данных, и поэтому растет вероятность взломов и утечек. Что же касается печатной среды, то гораздо чаще, чем внешние взломы, происходят утечки данных внутри самой организации, причин тому много – начиная от распечатанных документов, забытых в выходных лотках МФУ, заканчивая сканированием и хранением документов в общих файловых каталогах компании.
Защита печати должна начинаться с аудита ее текущего состояния, на основании которого можно выработать полноценную стратегию оптимизации среды и спланировать внедрение, например, специализированного ПО для авторизованной печати. Иногда бывает достаточно встроенного функционала безопасной печати на уровне МФУ, в том числе встраиваемого устройства идентификации пользователя. В более сложных ситуациях, когда процесс печати, копирования и сканирования полноценно встроен в систему документооборота компании, требуется интегрировать решения в области безопасности с используемыми платформами для документооборота. В этом случае лучше использовать специализированное ПО.
Отдельного упоминания заслуживают решения, которые позволяют в явном или скрытом формате маркировать документы таким образом, чтобы в случае утечки или несанкционированного доступа можно было однозначно определить сотрудника, который распечатал или скопировал данный документ.
В любом случае обеспечение безопасности документооборота, включая инфраструктуру печати, – это важная задача любой коммерческий или государственной компании, и ее игнорирование может привести к самым серьезным последствиям.
– Жамиля Каменева, директор по развитию бизнеса и маркетингу, Konica Minolta