Varnost tiskalnikov: nova zahteva za informacijsko tehnologijo · nadzorni mehanizmi tiskalnikov...
Transcript of Varnost tiskalnikov: nova zahteva za informacijsko tehnologijo · nadzorni mehanizmi tiskalnikov...
Varnost tiskalnikov: nova zahteva za informacijsko tehnologijoRaziskava kaže, da je »skromen« tiskalnik slepa točka na področju varnosti
Kazalo
Uvod . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Tveganja za podjetje . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
Težava z dojemanjem . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
Trenutne prakse . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .7
Naproti celoviti varnosti tiskalnikov . . . . . . . . . . . . . . . . . . . . . . 11
O raziskavi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12
Čeprav se na področju varnosti informacijske tehnologije pojavlja vedno več
groženj, jim prizadevanja za varnost strojne opreme pogosto ne sledijo . Morda
to ni nikjer tako dobro vidno kot pri tiskalnikih . Čeprav se strokovnjaki za
informacijsko tehnologijo vedno bolj zavedajo nevarnosti, ki jih predstavljajo
nezaščiteni tiskalniki za omrežje, se tiskalniki še naprej skrivajo na slepih
varnostnih točkah, večina med njimi s premajhno zaščito .
»Ranljivosti se razkrivajo na vseh vrstah naprav, povezanih v omrežje, vključno
s skromnim omrežnim tiskalnikom«, pravi Ben Vivoda, direktor tiskalniških
sistemov HP za območje južnega Tihega oceana . »Pogosto opazimo, da je
tiskalnik zapostavljen in prezrt in tako izpostavljen. Podjetja si ne morejo
več privoščiti, da bi prezrla tiskanje, ko govorimo o celoviti strategiji spletne
varnosti informacijske tehnologije.«1
Pravzaprav so tiskalniki glede na nedavno raziskavo, ki so jo izvedli v podjetju
Spiceworks, izvor vedno večjega števila varnostnih groženj . Danes je 68 %
večja verjetnost, da je tiskalnik izvor zunanje grožnje ali kršitve, kot je bilo to
leta 2016, in 118 % večja verjetnost, da je izvor notranje grožnje ali kršitve .
Toda kljub temu se samo 30 % strokovnjakov za informacijsko tehnologijo
zaveda, da tiskalniki predstavljajo varnostno tveganje . Čeprav se je ta številka
od leta 2016 skoraj podvojila, je še vedno prenizka in odraža nevarno realnost .
Videti je, da imajo številni strokovnjaki za informacijsko tehnologijo zastarel
pogled na varnost tiskalnikov, morda zaradi starega prepričanja, da so tiskalniki
varni znotraj obsega omrežja .
Tudi za tiste strokovnjake za informacijsko tehnologijo, ki so prepoznali
tveganje, ima zaščita številnih naprav za končne uporabnike najvišjo prioriteto,
pri čemer ostajajo tiskalniki na široko odprti, omrežja pa ranljiva .2 Čeprav je
razumljivo, da je bila varnost tiskalnikov v preteklosti v primerjavi z drugimi
končnimi točkami v ozadju, je bistvenega pomena, da začno organizacije za
informacijsko tehnologijo obravnavati tveganja, ki jih predstavljajo nezaščiteni
tiskalniki za širšo infrastrukturo informacijske tehnologije in splošno upravljanje
tveganj v podjetju .
3Uvod
Uvod
Ali so tiskalniki v resnici problematični? Z eno besedo, da . V času, ko se nove
varnostne grožnje pojavljajo vsako uro, je tiskalnik lahka tarča . »Sodobni
tiskalniki so v osnovi napredni, specializirani omrežni gostitelji in kot takšni
bi morali biti deležni enake ravni zaščite kot tradicionalni računalniki«, je za
revijo in Entrepreneur .2 izjavil Kevin Pickhardt . »Pisarniški tiskalniki niso samo
potencialni viri za izgubo podatkov in težave z zaupnostjo, pač pa tudi točke
napadov, ki jih lahko izkoriščajo napadalci .« Primer: v lanskem letu je napadalec
domnevno s pomočjo avtomatiziranega skripta dostopil do 150 .000 javno
dostopnih tiskalnikov, vključno s številnimi tiskalniki računov, in jim dal navodilo
za tiskanje lažnega tiskalniškega posla .3
Industrijski analitiki so soglasni . V skladu s poročilom podjetja IDC »ima večina
tiskalnikov obsežen dostop do notranjega omrežja . Napadalec, ki ogrozi
tiskalnik, si lahko zagotovi prost dostop do omrežja, aplikacij in podatkov
podjetja.« 4
Kako je videti premalo zaščiten omrežni tiskalnik? Ni zavarovan in zato na
široko odprt za različne omrežne protokole .
Prav tako ne zahteva nadzora dostopa (celo nastavitev skrbniškega gesla je
pogosto prezrta) . Omogoča tiskanje občutljivih dokumentov brez overjanja,
dokumenti pa lahko ves dan čakajo na izhodnem pladnju . Prek omrežja pošilja
nešifrirane podatke . Uporablja zastarelo vdelano programsko
opremo in ne izvaja nadzora nad varnostnimi grožnjami .
Te različne varnostne napake imajo posledice . V podjetju
Gartner predvidevajo, da bo do leta 2020 več kot polovica
projektov interneta stvari (IoT) izpostavila občutljive informacije,
ker uporabniki ne bodo izkoristili varnostnih funkcij strojne
opreme, z manj kot 5 % v tem trenutku .4
4tveganje za podjetje
Tveganje za podjetje
5
Zaznana raven varnostnega tveganja
Skupaj Severna Amerika EMEA APAC
Namizni/ prenosni
računalniki
Mobilne naprave
30 %22 %
35 %33 %
71 %71 %
75 %68 %
67 %68 %69 %
64 %
težava z dojemanjem
Težava z dojemanjem
Navkljub raziskavi strokovnjaki za informacijsko tehnologijo še vedno ne
prepoznavajo tveganj, ki jih predstavljajo tiskalniki . V Severni Ameriki niti četrtina
strokovnjakov za informacijsko tehnologijo (22 %) ne prepoznava tiskalnikov kot
varnostnega tveganja, medtem ko je številka v Evropi, na Bližnjem vzhodu in
v Afriki (EMEA) le nekaj več kot tretjina, 35 % .
Za primerjavo so strokovnjaki za informacijsko tehnologijo uvrstili tveganje,
ki ga predstavljajo namizni in prenosni računalniki, na 71 %, tveganje, ki ga
predstavljajo mobilne naprave, pa na 67 % .
Tiskalniki
Raziskava podjetja Spiceworks nadalje razkriva, da so strokovnjaki za
informacijsko tehnologijo, ki so se odločili za varnostne ukrepe, uporabili zelo
razdrobljen pristop, kar pa glede na obseg varnostnih zahtev ni presenetljivo .
Niti ena posamezna rešitev ni zadostna; sam požarni zid na primer ni zadosti .
Tako kot pri kateri koli drugi omrežni napravi je tudi varnost tiskalnikov treba
obravnavati z več vidikov . In kot pri kateri koli drugi varnostni strategiji bodo
najučinkovitejše rešitve vgrajene, avtomatizirane in preproste za uporabo ter
upravljanje .
Izziv je še večji zaradi dejstva, da vsaka znamka tiskalnika uporablja svojo
lastniško programsko opremo in operacijske sisteme . Številni strokovnjaki
za informacijsko tehnologijo nimajo zadostnega znanja, ki bi jim omogočalo
konfiguriranje programske opreme tiskalnikov tako, da bi ustrezali njihovim
varnostnim pravilnikom .
6težava z dojemanjem
Trenutne prakse
Strokovnjaki za informacijsko tehnologijo uporabljajo različne pristope k zaščiti
tiskalnikov, s čimer ustvarjajo prilagojeno mešanico varnostnih praks in funkcij,
ki temelji na orodjih, ki jih imajo na voljo, in na njihovem razumevanju teh orodij .
V grobem gledano lahko trenutne pristope za zaščito tiskalnikov razdelimo v
šest kategorij .
Raziskava je razkrila, da strokovnjaki za informacijsko tehnologijo znotraj teh
kategorij izvajajo številne bistvene zaščitne korake, toda žal v zelo majhnem
obsegu .
Odstotek anketirancev, ki za tiskalnike trenutno uporabljajo spodaj navedene varnostne prakse
Varnost dokumentov
Varnost omrežja
Nadzor dostopa
42 %
40 %
39 %
Varnost
naprav
Nadzor nad
zaščito
Zaščita
podatkov
31 %
30 %
28 %
Zapiranje
neuporabljenih
odprtih vrat
25 %
Omogočanje
funkcije
»poslano iz«
25 %
Varen dostop do
popravil tiskalnika
25 %
Izvajanje tiskanja
izbranih
dokumentov
24 %
Rutinsko brisanje
trdih diskov
tiskalnikov
21 %
Še manj strokovnjakov za informacijsko tehnologijo na podlagi
urnika določi potek ali čiščenje poslov, zahteva skrbniški dostop
za konfiguracijske spremembe ali avtomatizira upravljanje potrdil .
Strokovnjaki za informacijsko tehnologijo izvajajo nadzor nad zaščito tiskalnikov
pogosteje kot druge dejavnosti, toda številke so še vedno zelo nizke, saj samo
39 % strokovnjakov za informacijsko tehnologijo pravi, da redno pregledujejo
dnevnike tiskalnika, od tega v Severni Ameriki samo 31 % . Samo 13 % med njimi
poroča, da so povezali tiskalnike z orodji SIEM . Če strokovnjaki za informacijsko
tehnologijo ne nadzorujejo dnevnikov tiskalnikov in tiskalnikov ne integrirajo
z orodji SIEM, tavajo v temi, ne da bi vedeli, da so se spletni kriminalci prek
nenadzorovane infrastrukture skrili v omrežje in pridobivajo podatke .
8
Pregledovanje dnevnikov varnostnih dogodkov tiskalnikov Povezovanje z orodjem SIEM
31 %39 % 43 % 43 %
9 %13 % 13 % 17 %
trenUtne prakse
Nadzorovanje tiskalnikov
Skupaj Severna Amerika EMEA APAC
Raziskava razkriva tudi druge geografske razlike na specifičnih
področjih zaščite tiskalnikov, pri čemer Severna Amerika zopet zaostaja . To še
posebej velja za nadzor dostopa in šifriranje . Verjetnost, da bodo strokovnjaki
za informacijsko tehnologijo v državah iz območja APAC šifrirali podatke med
pošiljanjem, zahtevali overjanje v napravi in uvedli nadzor dostopa na podlagi
vloge uporabnika, je veliko večja kot pri tistih iz Severne Amerike .
9
Uvedene prakse za zaščito tiskalnikov
Skupaj Severna Amerika EMEA APAC
trenUtne prakse
Overjanje uporabnikov
54 %42 %
59 %61 %
Šifriranje podatkov
med pošiljanjem42 %
34 %44 %
49 %
Nadzor dostopa na podlagi vlog
40 %
46 %46 %
27 %
Ko gre za skladnost z uredbami za zaščito podatkov, se strokovnjaki za
informacijsko tehnologijo zopet zanašajo na več pristopov, pri čemer so nekateri
nadzorni mehanizmi tiskalnikov vključeni v splošno strategijo upoštevanje
predpisov . V raziskavi, ki jo je opravilo podjetje Spiceworks, so strokovnjakom
za informacijsko tehnologijo zastavili vprašanje, katere kontrolne mehanizme
za nadzor skladnosti so uporabili glede na »kontrolne mehanizme CIS V7«, ki jih
določil Center for Internet Security .5
Ti podatki razkrivajo, da strokovnjaki za informacijsko tehnologijo pogosto
spregledajo najosnovnejše varnostne ukrepe na tiskalnikih, na primer
posodabljanje vdelane programske opreme, saj ga samo tretjina med njima
izvaja kot rutinski del dejavnosti za zagotavljanje skladnosti s predpisi .
Industrijska raziskava se sovpada s temi ugotovitvami . Glede na IDC tiskalniki
običajno niso nadgrajeni z najnovejšo vdelano programsko opremo, ker
organizacije pogosto podcenijo tveganje .4 Poleg tega jim pogosto primanjkuje
časa za pregledovanje, preskušanje in sprejem nove vdelane programske
opreme za tiskalnike v celotni skupini naprav .
10trenUtne prakse
Protiukrepi za
zlonamerne napade
Ocene
ranljivosti
Preverjanja integritete
sistema
Procesi za zaščito
dokumentov
Fizična
varnost
Zaščita pred
vdoriAnaliza nadzora
in poročanje
Posodabljanje strojne/
programske opreme
Uporabljeni kontrolni mehanizmi za nadzor skladnosti
11
Od 84 % strokovnjakov za informacijsko tehnologijo, ki je poročalo o
uporabi varnostnega pravilnika, jih samo 64 % pravi, da so v ta pravilnik
vključeni tudi tiskalniki. S Severni Ameriki je ta delež samo 52 %. To je
eden od razlogov, zaradi katerih je tako pomembno zagotoviti vgrajene in
avtomatizirane kontrolne mehanizme za zaščito tiskalnikov ter jih dejansko
izvajati . Tiskalniki z vgrajenimi varnostnimi funkcijami pomagajo zmanjšati
tveganje, pri tem pa povečujejo učinkovitost naložb v informacijsko tehnologijo .
Analitiki podjetja IDC so ugotovili tudi to: »Zaščito tiskalnikov je veliko težje
okrepiti, ko so ti enkrat dobavljeni, zato se poudarja pomen izbire tiskalnikov, ki
so že bogato opremljeni z osnovnimi in naprednimi varnostnimi funkcijami .«” 4
V podjetju Gartner pravijo tako: »Da bi lahko izkoriščali nastajajočo dinamiko
na trgu tiskanja, morajo strateški načrtovalci tehnologije izdelati obsežno
ponudbo rešitev za varnost tiskanja z uporabo plasti rešitev, ki presegajo
najboljše prakse varnostne industrije . Te rešitve je nato treba integrirati s širšim
ekosistemom varnostnih rešitev .«6
Ponudniki vodenih storitev tiskanja razširjajo svoje storitve, da bi pomagali
oddelkom za informacijsko tehnologijo, katerih osebje nima zadosti znanja,
da bi lahko obravnavalo varnost tiskalnikov . Pri podjetju IDC pravijo tako:
»Ponudniki zagotavljajo razširjen obseg storitev za zaščito na ravni naprav
in podatkov, od katerih jih je veliko oblikovanih tako, da se integrirajo z
obstoječimi sistemi za upravljanje dokumentov in vsebine podjetja (ECM) ter
zagotavljajo nadaljnjo zaščito in obravnavajo težave s skladnostjo z upravnimi
zahtevami .«7
Na srečo strokovnjakov za informacijsko tehnologijo sodobni napredni tiskalniki
zagotavljajo veliko vdelanih varnostnih funkcij za zaščito tiskalnikov, vključno
z odkrivanjem groženj, zaščito, obveščanjem in samodejnim odpravljanjem
napak, zato je lažje kot kdaj koli prej okrepiti eno od najranljivejših končnih
točk v omrežju - skromni tiskalnik .
Čas je, da okrepite varnost tiskanja.
naproti celoviti varnosti tiskalnikov
Več informacij
Naproti celoviti varnosti tiskalnikov
O raziskaviHP je maja 2018 za izvedbo raziskave pooblastil podjetje Spiceworks . Raziskava je bila usmerjena na osebe, ki sprejemajo odločitve v povezavi z informacijsko tehnologijo, vključno direktorji, vodji in drugim osebjem oddelkov za informacijsko tehnologijo, z namenom pridobitve vpogleda v trenutne varnostne prakse tiskalnikov in določitvijo področij tveganja . Rezultati raziskave so vključevali odgo-vore približno 500 sodelujočih iz Severne Amerike ter iz držav na področju EMEA in APAC, ki delajo v organizacijah z 250 ali več zaposlenimi .
Viri1 McLean, Asha, »Nezaščiteni tiskalniki predstavljajo šibki člen v številnih organizacijah: HP«, ZDNet, 18 . april 2017 . https://www .zdnet .com/article/unsecured-printers-a-security-weak-point-for-many-organisations-hp/
2 Pickhardt, Kevin, »Zakaj je lahko vaš nedolžni pisarniški tiskalnik tarča napadalcev«, Entrepreneur, 31 . januar 2018 . https://www .entrepreneur .com/article/308273
3 Peyser, Eve, »Napadalec trdi, da je napadel 150 .000 tiskalnikov, da bi izboljšal ozaveščenost o vdorih«, Gizmodo, 6 . februar 2017 . https://gizmodo .com/hacker-claims-he-hacked-150-000-printers-to-raise-aware-1792067012
4 Brown, Duncan in drugi, »Indeks varnosti naprav, ki jih je v letu 2018 nabavila vlada«, IDC, maj 2018 .
5 »Kontrolni mehanizmi CIS«, Center for Internet Security, marec 2018 . https://www .cisecurity .org/controls/
6 Von Manowski, Kristin Merry in Deborah Kish, »Vpogled na trg: vrzeli na področju varnosti interneta stvari izpostavljajo nastajajoče priložnosti na trgu tiskanja«, Gartner, 31 . oktober 2017 https://www .gartner .com/doc/reprints?id=1-4OCKFKG&ct=180110&st=sb
7 Palmer, Robert in Allison Correia, »IDC MarketScape: ocena ponudnikov varnostnih rešitev in storitev po vsem svetu v letu 2017, IDC, 2017 .