Безопасность сетевых МФУ в офисе: пароли по умолчанию, открытые порты, прошивки и сканы в общих папках

Офисное МФУ — сетевой узел со своей ОС, веб-сервером, файловым клиентом и адресной книгой, хотя по привычке его держат на уровне периферии. Серверы регулярно обновляют, а аппарат в коридоре годами живёт с заводскими учётными данными, включёнными FTP и Telnet и учётной записью для сканов, у которой прав больше, чем у половины сотрудников. Тот, кто попал в его веб-интерфейс, может воспользоваться сохранёнными там учётными данными и узнать путь к папке со сканами. 

4 зоны риска и с чего начать

Сетевое МФУ — полноценный узел сети с собственной ОС, веб-интерфейсом и набором служб. Типовые проблемы безопасности сетевых МФУ сводятся к четырём зонам: пароль по умолчанию и открытый веб-интерфейс устройства, лишние службы и открытые порты, не обновлявшаяся прошивка и сканы в общих папках под широкой учётной записью. 

Начинать стоит с инвентаризации парка, затем закрыть доступ к управлению, выключить лишние службы, ввести сегментацию сети и VLAN для печати, регламент обновления прошивки и навести порядок с правами на сетевую папку.

Перечень служб и названия настроек у производителей различаются: сверяйтесь с руководством администратора и бюллетенем безопасности производителя своего аппарата. Всё описанное касается только вашего парка, в вашей сети и с санкции владельца инфраструктуры.

Аудит парка печати за один день

Первый день посвящён сбору достоверной картины парка печати — изменений пока не делают: 

1. Составить список аппаратов: сколько, где стоят, какие адреса получают, кто отвечает.

2. Отметить, закреплён ли адрес: от этого зависят правила доступа по адресам.

3. С обычного рабочего места проверить, открывается ли веб-интерфейс устройства и пускает ли он без пароля или с заводскими учётными данными.

4. Собрать версии прошивок и выписать включённые службы.

5. По каждому аппарату выяснить, под какой учётной записью он пишет сканы, её права на сетевую папку и в домене, кто ещё видит папку.

6. Расставить работы по соотношению «риск — трудоёмкость».

Результат — карта парка печати:

Инвентаризация парка обычно находит аппараты вне учёта: МФУ подрядчика, переехавший принтер, забытый старый аппарат. Именно они и становятся точкой входа. По сканированию типовые находки такие: одна учётная запись на весь парк, права администратора домена «чтобы точно работало», папка с доступом для всех и архив сканов за годы. 

Пароли по умолчанию и доступ к веб-интерфейсу

Заводские учётные данные печатающих устройств легко найти: они есть в руководствах и повторяются внутри линеек. Пока смена пароля администратора не сделана, аппарат фактически работает без аутентификации. Замену заводского пароля требуют рекомендации по защите МФУ — например, у ИТ-службы Мичиганского университета и у офиса информационной безопасности Калифорнии.

Смена пароля администратора на всём парке

Мера засчитывается только на всём парке целиком. Единый пароль для всех аппаратов просто переносит риск на другой уровень: утечёт один — откроются все. Смена пароля администратора означает уникальный пароль на каждый аппарат, который хранят в менеджере паролей — общий чат для этого не подходит. Подрядчику доступ дают на время работ, потом пароль меняют снова. Сброс к заводским настройкам, как предупреждают в Мичиганском университете, возвращает и заводские учётные данные, поэтому новый пароль ставят при вводе в эксплуатацию и после каждого сброса.

Роли и ограничение доступа к управлению

Тому, кто меняет картридж, не нужны сетевые настройки и адресная книга. На большинстве аппаратов роли и права доступа разделяются: администратор настраивает, оператор обслуживает, пользователи печатают. Роли и права доступа лучше брать из службы каталога, если аппарат умеет.

Доступ к управлению ограничивают дважды: списком адресов на аппарате и правилами на межсетевом экране. Целевое состояние: печать работает для всех, а веб-интерфейс устройства отвечает только сегменту управления, по HTTPS с сертификатом устройства. В интернет его не публикуют: сертификат устройства и пароль не заменяют закрытый периметр.

Открытые порты и лишние службы

Из коробки аппарат поднимает почти все службы, чтобы заработать в любой сети, но в офисе большая часть не нужна. Подход простой: оставить минимум под реальный способ печати и сканирования, остальное выключить, а то, что старый аппарат выключить не даёт, закрыть сегментацией.

Обязательный минимум

Сначала выясните, как у вас печатают: через сервер печати, напрямую на адрес аппарата или по протоколу IPP и IPPS. Потом выключайте всё, что в схеме не участвует.

Порт печати 9100 — прямая печать без аутентификации. Если печать идёт через сервер печати, порт печати 9100 открывают только для него, а с рабочих станций порт печати 9100 закрывают. Протокол IPP и IPPS — стандарт сетевой печати: IPPS — это IPP поверх защищённого соединения; где клиенты его поддерживают, оставляют именно его. LPD — устаревшая очередь печати. WSD и обнаружение по mDNS помогают найти аппарат при установке драйвера, но при фиксированных адресах только раскрывают его соседям.

Отдельно — SNMP и сообщество доступа. Мониторингу опрос нужен, но заводское публичное сообщество доступа известно всем, а в версиях 1 и 2c сообщество доступа передаётся открытым текстом. Поэтому переходят на SNMP версии 3, где есть модель пользователей и аутентификации. Если SNMP версии 3 аппарат не поддерживает, опрос разрешают только с адресов системы мониторинга, а сообщество доступа меняют на нестандартное. FTP и Telnet на устройстве выключаются почти всегда без последствий — рекомендации по защите МФУ прямо советуют их выключить.

Сегментация печати

Сегментация сети и VLAN оставляет аппарат доступным для печати и мониторинга, но убирает его из соседства с рабочими станциями и серверами. Типовая схема:

• под печать выделяется отдельная подсеть и VLAN;

• из пользовательских сегментов разрешена только печать, например по IPPS, а если печатают напрямую — на порт печати 9100;

• аппаратам разрешено ходить на файловый ресурс для сканов и на почтовый сервер;

• управление доступно только из сегмента администрирования;

• всё остальное закрыто на межсетевом экране, у гостевой сети доступа к парку нет.

Для старых аппаратов, которым нужны устаревшие протоколы и для которых не выходит обновление прошивки, сегментация сети и VLAN — единственная мера, которая реально работает. Изолировать МФУ в своём сегменте советует и офис информационной безопасности Калифорнии.

Устаревшие прошивки: регламент обновления

В прошивке помимо печати живут сетевой стек, веб-сервер, службы обнаружения, клиенты файловых служб и почты. С версиями меняются поддерживаемые протоколы и настройки по умолчанию, а производитель закрывает найденные проблемы. Поэтому обновление прошивки — регламентная работа, а не реакция на поломку:

1. Раз в квартал проверять версии по карте парка, а при выходе нового бюллетеня безопасности производителя — внепланово.

2. Сверять версии с бюллетенями и разделом поддержки.

3. По каждому аппарату решить: обновить сейчас, в плановое окно обслуживания или не обновлять, записав обоснование.

4. Предупредить владельцев сервиса.

5. Обновить сначала один аппарат модели, затем остальные волнами; при сбое откатиться на прежнюю версию.

6. Проверить печать, сканирование и мониторинг, записать результат в карту парка.

Надёжные источники сведений о версиях и известных проблемах аппарата — раздел поддержки, руководство администратора и бюллетень безопасности производителя на дату работ. Где решение затрагивает требования к защите информации, согласуйте его со своим специалистом по информационной безопасности.

Сценарий сканирования проверяют после каждого обновления прошивки: оно может сбросить настройки или изменить требования к SMB и версии протокола. Файл берут только из раздела поддержки производителя. Если аппарат проверяет подпись прошивки, проверку не отключают: подпись прошивки гарантирует, что в аппарат попадёт код производителя, а не чужая сборка. При ручной загрузке подпись прошивки или контрольную сумму сверяют с данными производителя. Главные риски — пропадание питания и несовместимость со сканированием или мониторингом, поэтому один аппарат модели идёт первым.

Подписанный драйвер печати

Драйвер печати работает на рабочем месте с высокими правами, поэтому то, где взять драйвер для принтера, — вопрос безопасности, а не удобства. Источник — только сайт производителя аппарата или внутренний репозиторий. Подписанный драйвер печати проверяют по цифровой подписи, «сборки драйверов» с сайтов-агрегаторов не ставят. Права на установку у пользователей не нужны: работает централизованная раздача драйверов через сервер печати или систему управления рабочими местами, и только подписанный драйвер печати попадает в неё.

Сканы в общих папках

Сканирование в сетевую папку — правильный сценарий. Вопрос в том, под какой записью он пишет, кто ещё видит папку и сколько там лежат документы. Здесь только требования безопасности, настройку мы разбирали в материале о сканировании с МФУ сразу в PDF.

Аппарат хранит учётные данные для доступа к папке и почте в своих настройках. Доступ к веб-интерфейсу устройства — это доступ и к ним.

Сервисная учётная запись и права на папку

Аппарат не должен ходить в папку ни под администратором домена, ни под личной записью сотрудника: учётные данные хранятся в настройках, и воспользоваться ими может любой, кто получил доступ к управлению. Сервисная учётная запись создаётся отдельно, с минимальными правами на одну папку, без интерактивного входа и с длинным паролем. Одну запись на весь парк разделяют по аппаратам или группам.

Права на сетевую папку настраивают так: аппарат только пишет, читают только адресаты, доступа для всех нет. Права на сетевую папку периодически сверяют, старые сканы удаляют по регламенту. Пароль сервисной учётной записи меняют, когда уходят администраторы, которые его знали.

Адресная книга, почта и старые аппараты

В адресной книге устройства годами копятся адреса сотрудников и контрагентов, сетевые пути, иногда сохранённые пароли, и всё это уходит в резервную копию настроек. Адресную книгу устройства чистят, а изменять её разрешают только администратору. Для сканов на почту заводят отдельный ящик с правом отправки только от своего имени. Учётные данные SMTP на аппарате — от него, а не от сотрудника: иначе вместе с настройками МФУ утекают учётные данные SMTP от чужой почты.

Отдельный вопрос — SMB и версии протокола. Часть старых аппаратов пишет в папку только по SMB1. В Windows этот протокол давно не устанавливается по умолчанию, и Microsoft прямо не рекомендует возвращать его из-за известных проблем безопасности, а советует запросить у производителя устройства обновление с поддержкой SMB2 и выше. Без обновления аппарат изолируют и планируют замену, а не ослабляют защиту файловой службы ради одного МФУ.

Накопитель, выпуск печати и журналы

МФУ, помимо роли сетевого узла, — ещё и носитель данных. Встроенный накопитель аппарата или его энергонезависимая память хранят буфер заданий, отложенную печать, журналы и адресную книгу, а остаточные данные задания могут лежать там дольше, чем кажется. Штатная защита — шифрование накопителя, очистка заданий и запрет хранить документы на аппарате. Если аппарат поддерживает шифрование накопителя, а с завода оно выключено, его включают до ввода в работу. 

Недооценённый сценарий — аппарат уезжает из организации: списан, продан, возвращён арендодателю или отправлен в сервис вместе со встроенным накопителем аппарата. Перед передачей:

1. Выполнить затирание данных штатными средствами производителя или извлечь и уничтожить накопитель.

2. Сбросить настройки и очистить адресную книгу.

3. Отозвать сервисную запись и почтовый ящик, которые использовал аппарат.

4. Записать выполненное в акт.

Надёжнее сразу закладывать в договоры право оставить накопитель себе при ремонте и списании — так советует офис информационной безопасности Калифорнии.

Забытые в лотке документы закрывает безопасный выпуск печати по PIN или аутентификация по карте: задание выходит, только когда сотрудник у аппарата. А журналирование событий настраивают так, чтобы видеть входы в веб-интерфейс и неудачные попытки, изменения настроек и прошивки, задания сканирования с получателями. Журналы выгружают на внешний приёмник: на аппарате они могут пропасть при сбросе.

Частые ошибки при наведении порядка

Коротко о главном

У сетевого МФУ четыре зоны риска: доступ к управлению, лишние службы, прошивка и сканы. Порядок работ — инвентаризация парка, пароли и доступ, службы и сегментация сети и VLAN, регламент обновления прошивки, права на папки, а на выходе два документа: карта парка и регламент обновления.

Большая часть этого не требует бюджета, важно довести работу до конца по всему списку аппаратов. Бюджет нужен там, где аппарат уже не поддерживает современные протоколы и защищённость парка печати упирается в замену. Для таких случаев — раздел каталога МФУ на сайте XCOM-SHOP.

А как у вас: МФУ живут в отдельном сегменте или в общей сети? И находился ли при инвентаризации аппарат, о котором никто не знал?