Tránh 5 lỗ hổng bảo mật máy in phổ biến này

Để bảo vệ cơ sở hạ tầng doanh nghiệp của bạn khỏi vi phạm dữ liệu, bạn phải tích cực loại bỏ các lỗ hổng phổ biến của máy in, bao gồm các cổng mạng không bảo mật, lệnh in không được mã hóa, chương trình cơ sở lỗi thời, thông tin xác thực quản trị viên mặc định và ổ cứng không được bảo vệ.

Hướng dẫn toàn diện sau đây phân tích năm lỗ hổng nguy hiểm nhất được tìm thấy trong môi trường in ấn doanh nghiệp hiện nay. Bằng cách hiểu cách kẻ tấn công khai thác những điểm yếu về cấu trúc này, quản trị viên CNTT và người quản lý vận hành có thể triển khai các giao thức phòng thủ mạnh mẽ để bảo vệ tài sản của họ. Dưới đây là bản phác thảo có cấu trúc về các lỗ hổng kiến ​​trúc và chiến lược giảm nhẹ được thảo luận trong phân tích này.

Cổng mạng không bảo mật và giao thức mở

Các cổng mạng không bảo mật và các giao thức lỗi thời biến các thiết bị văn phòng tiêu chuẩn thành điểm xâm nhập dễ dàng cho các tin tặc bên ngoài đang tìm cách xâm nhập mạng trái phép.

Khi phần cứng mạng được triển khai trong môi trường doanh nghiệp, nó thường đi kèm với nhiều giao thức sản xuất được kích hoạt sẵn để đảm bảo khả năng tương thích tối đa ngay từ đầu. Các giao thức cũ như Telnet, FTP và Giao thức quản lý mạng đơn giản phiên bản 1 và 2 (SNMPv1/v2) thường được duy trì hoạt động theo mặc định. Các giao thức này thiếu các khung mật mã cần thiết để chống lại các mối đe dọa mạng hiện đại. Những kẻ tấn công thường xuyên quét mạng con của công ty để tìm các cổng mở như 9100 (RAW), 515 (LPR) hoặc 631 (IPP) để thực thi mã hoặc dòng lệnh tùy ý trực tiếp trên thiết bị.

Hơn nữa, khi phần cứng công nghiệp hoặc Máy in nhiệt chuyên dụng được kết nối trực tiếp với internet mà không có cấu hình tường lửa nghiêm ngặt, chúng sẽ hiển thị trên các công cụ quét toàn cầu như Shodan. Kẻ thù từ xa có thể tận dụng các cổng mở này để vượt qua tường lửa truyền thống của công ty, khai thác trạng thái đáng tin cậy của máy in trong mạng nội bộ để vạch ra phần còn lại của cơ sở hạ tầng CNTT của công ty.

Để giảm thiểu rủi ro này, bộ phận CNTT phải tiến hành kiểm tra cổng có hệ thống và vô hiệu hóa tất cả các giao thức không cần thiết ở cấp bộ định tuyến và thiết bị. Hạn chế quyền truy cập vào các địa chỉ IP cụ thể thông qua danh sách kiểm soát truy cập (ACL) đảm bảo rằng chỉ những máy trạm được ủy quyền mới có thể giao tiếp với phần cứng. Việc triển khai các phiên bản cập nhật, bảo mật như SNMPv3 sẽ cung cấp khả năng mã hóa và xác thực cần thiết để giữ cho lưu lượng quản lý thiết bị ẩn khỏi những con mắt tò mò.

Truyền dữ liệu in không được mã hóa

Việc truyền dữ liệu in không được mã hóa cho phép tội phạm mạng chặn, đọc và thu thập các tài liệu có độ nhạy cảm cao của công ty khi chúng di chuyển qua mạng cục bộ.

Khi người dùng gửi lệnh in từ máy tính của họ tới thiết bị mạng, dữ liệu sẽ truyền qua các đường mạng cục bộ. Nếu dữ liệu này được truyền dưới dạng văn bản gốc mà không có bảo vệ bằng mật mã, bất kỳ ai có quyền truy cập vào mạng đều có thể sử dụng phần mềm đánh hơi gói cơ bản để xây dựng lại toàn bộ tài liệu. Điều này có nghĩa là hồ sơ tài chính bí mật, thiết kế sản xuất độc quyền hoặc tệp nhận dạng nhân viên được bảo vệ có thể bị thu thập trong quá trình vận chuyển mà không kích hoạt cảnh báo an ninh truyền thống.

Đối với các hoạt động hậu cần, kho bãi và bán lẻ, rủi ro này đặc biệt nghiêm trọng khi triển khai các giải pháp di động. Nếu nhân viên sử dụng một Máy in nhiệt di động không dây qua kết nối Wi-Fi không bảo mật hoặc được cấu hình kém để tạo mã vạch, hóa đơn hoặc biên lai thì nguy cơ bị chặn dữ liệu sẽ tăng lên đáng kể. Những kẻ độc hại ngồi trong bãi đậu xe có thể dễ dàng đánh cắp các gói dữ liệu không dây nếu đường truyền thiếu mã hóa cấp doanh nghiệp như WPA3 và TLS 1.3.

• Bước 1: Người dùng Workstation gửi lệnh in

• Bước 2: Bản rõ/Dữ liệu không được mã hóa truyền qua mạng cục bộ

• Bước 3: Packet Sniffer/Hacker chặn đường truyền

• Bước 4: Dữ liệu nhạy cảm bị đánh cắp và xâm phạm

Để loại bỏ lỗ hổng này, doanh nghiệp phải ủy quyền mã hóa đầu cuối cho tất cả hàng đợi in nội bộ. Việc sử dụng các giao thức in an toàn như Bảo mật Giao thức In Internet (IPPS) hoặc HTTPS đảm bảo rằng tất cả thông tin vẫn được mã hóa hoàn toàn kể từ thời điểm người dùng nhấp vào 'In' cho đến khi phương tiện vật lý được tạo ra. Để hiểu sâu hơn về cách các bản in công nghiệp này lưu giữ dữ liệu và xử lý sự hao mòn theo thời gian, các công ty có thể tham khảo Bản in nhiệt tồn tại được bao lâu Hướng dẫn đầy đủ về Độ bền của bản in để điều chỉnh các chính sách lưu giữ dữ liệu của họ với bảo mật đầu ra vật lý.

Thông tin xác thực quản trị viên mặc định hoặc yếu

Việc để thông tin đăng nhập của quản trị viên mặc định ở trạng thái hoạt động trên thiết bị in của bạn sẽ mang lại cho tin tặc quyền kiểm soát quản trị hoàn toàn, ngay lập tức đối với phần cứng mạng của bạn.

Một trong những lỗ hổng phổ biến nhất trên tất cả các thiết bị Internet of Things (IoT) là việc lưu giữ tên người dùng và mật khẩu mặc định của nhà sản xuất. Các nhà sản xuất thường cung cấp các thiết bị có thông tin đăng nhập giống hệt nhau, được công bố rộng rãi như 'admin/admin' hoặc '1234' để đơn giản hóa cấu hình ban đầu. Nếu nhóm CNTT triển khai hàng chục thiết bị trên nhiều chi nhánh mà không buộc phải thay đổi mật khẩu trong quá trình thiết lập, họ sẽ tạo ra một lời mời mở cho các tác nhân độc hại.

Khi kẻ tấn công giành được quyền truy cập vào giao diện quản lý dựa trên web của thiết bị, chúng có thể thay đổi hoàn toàn cấu hình hệ thống. Họ có thể sửa đổi cài đặt DNS để định tuyến lại lệnh in đến máy chủ bên ngoài, vô hiệu hóa cơ chế ghi nhật ký tích hợp để ẩn dấu vết hoặc sử dụng thiết bị làm bệ phóng cho các cuộc tấn công từ chối dịch vụ (DDoS) phân tán. Đối với phần cứng chuyên dụng của công ty, bao gồm công nghiệp khối lượng lớn Máy in nhiệt , bảng điều khiển không được bảo vệ cho phép người dùng trái phép sửa đổi cài đặt in, gây ra thời gian ngừng hoạt động hoặc thao túng nhãn độc hại.

Việc thực thi chính sách mật khẩu nghiêm ngặt trên tất cả các thiết bị ngoại vi văn phòng là rất quan trọng để ngăn chặn các cuộc tấn công này. Quản trị viên nên cập nhật ngay lập tức tất cả thông tin xác thực mặc định thành mật khẩu phức tạp, duy nhất tuân theo các tiêu chuẩn bảo mật doanh nghiệp. Hơn nữa, việc vô hiệu hóa quản lý web từ xa qua các kết nối Internet công cộng và yêu cầu xác thực đa yếu tố (MFA) hoặc quyền truy cập VPN an toàn để sửa đổi quản trị nội bộ sẽ bổ sung thêm một lớp bảo vệ không thể thiếu.

Firmware lỗi thời và thiếu bản vá

Phần sụn lỗi thời khiến các điểm cuối mạng công ty gặp phải các lỗ hổng bảo mật đã được tiết lộ công khai và đã biết mà tin tặc có thể dễ dàng khai thác.

Giống như bất kỳ thiết bị chạy bằng phần mềm nào, hệ điều hành hoặc chương trình cơ sở bên trong của máy in đều chứa các lỗi mã hóa, lỗi và lỗ hổng bảo mật. Khi các nhà nghiên cứu bảo mật phát hiện ra những lỗ hổng này, các nhà sản xuất sẽ tung ra các bản vá chương trình cơ sở để thu hẹp các lỗ hổng. Tuy nhiên, do máy in thường được coi là thiết bị văn phòng tĩnh chứ không phải là các nút mạng đang hoạt động nên các bản cập nhật chương trình cơ sở của chúng thường xuyên bị bỏ qua trong nhiều tháng hoặc thậm chí nhiều năm.

Sự sơ suất này tạo ra cơ hội nguy hiểm cho tội phạm mạng. Những kẻ tấn công thường xuyên sử dụng cơ sở dữ liệu khai thác công khai để tìm các tập lệnh tạo sẵn được thiết kế để nhắm mục tiêu vào các phiên bản chương trình cơ sở máy in cụ thể, chưa được vá. Sau khi bị khai thác, máy in có thể gặp lỗi tràn bộ đệm, cho phép kẻ tấn công thực thi mã độc, đưa phần mềm độc hại vào mạng công ty hoặc vô hiệu hóa hoàn toàn phần cứng, gây gián đoạn kinh doanh nghiêm trọng.

• Bước 1: Khai thác công khai được tiết lộ trong cơ sở dữ liệu bảo mật

• Bước 2: Firmware máy in chưa được vá là mục tiêu của tội phạm mạng

• Bước 3: Xâm phạm hệ thống xảy ra trên mạng cục bộ

• Bước 4: Thực hiện việc tiêm phần mềm độc hại và gián đoạn hoạt động

Để ngăn chặn những hành vi khai thác này, các tổ chức phải xử lý phần cứng ngoại vi theo nguyên tắc tương tự áp dụng cho máy chủ của công ty. Điều này liên quan đến việc thiết lập lịch trình quản lý bản vá định kỳ để kiểm tra, kiểm tra và triển khai các bản cập nhật chương trình cơ sở do nhà sản xuất cung cấp. Doanh nghiệp nên đầu tư vào các tùy chọn phần cứng hiện đại, chẳng hạn như ổ cứng cấp doanh nghiệp Máy in nhiệt di động không dây thường có các phương pháp cập nhật chương trình cơ sở an toàn, hợp lý để giúp nhân viên CNTT duy trì vệ sinh bảo mật phù hợp với chi phí quản trị tối thiểu.

Ổ cứng không được bảo vệ và bộ nhớ đệm dữ liệu

Ổ cứng bên trong không được bảo vệ lưu trữ các bản sao kỹ thuật số của mọi lệnh in đã xử lý, khiến chúng trở thành mục tiêu hàng đầu cho hành vi trộm cắp dữ liệu vật lý hoặc kỹ thuật số.

Máy in thương mại hiện đại chứa ổ cứng bên trong hoặc chip lưu trữ thể rắn được thiết kế để lưu trữ hàng đợi in lớn và quản lý các tệp đồ họa phức tạp. Điều mà nhiều doanh nghiệp không nhận ra là những bản sao kỹ thuật số này thường vẫn được ghi trên bộ nhớ trong rất lâu sau khi trang vật lý được lấy ra khỏi khay. Nếu các ổ đĩa bên trong này không được mã hóa hoặc nếu dữ liệu cũ không được xóa đúng cách thì bất kỳ ai có quyền truy cập kỹ thuật số vào thiết bị đều có thể trích xuất các tệp in cũ.

Lỗ hổng này cũng gây ra rủi ro đáng kể trong giai đoạn xử lý tài sản. Khi một công ty nâng cấp phần cứng của mình, các thiết bị cũ thường được bán, tái chế hoặc trả lại cho các công ty cho thuê mà không xóa ổ đĩa bên trong một cách an toàn. Kẻ trộm dữ liệu có thể mua những chiếc máy đã qua sử dụng này, trích xuất ổ cứng và khôi phục hàng nghìn trang dữ liệu độc quyền của công ty, bao gồm hồ sơ nhân viên, thông tin y tế hoặc hợp đồng pháp lý.

• Bước 1: Lệnh in do người dùng hoàn thành

• Bước 2: Dữ liệu vẫn được lưu vào bộ nhớ đệm trên Ổ đĩa trong hoặc bộ lưu trữ thể rắn

• Bước 3: Tái chế thiết bị mà không cần lau hoặc vệ sinh đúng cách

• Bước 4: Dữ liệu bị kẻ trộm trích xuất từ ​​các thành phần vật lý

Khắc phục rủi ro này đòi hỏi sự kết hợp giữa cài đặt phần mềm tự động và chính sách bảo mật vật lý. Quản trị viên phải bật cài đặt ghi đè dữ liệu tự động để xóa bộ nhớ đệm ngay sau khi lệnh in hoàn tất. Hơn nữa, việc đảm bảo mã hóa toàn bộ ổ đĩa trên tất cả các ổ đĩa máy in bên trong sẽ bảo vệ dữ liệu được lưu trữ không bị đọc ngay cả khi ổ đĩa bị tháo ra khỏi máy về mặt vật lý. Đối với các tổ chức sử dụng hiệu suất cao Máy in nhiệt để xử lý nhật ký nhận dạng và vận chuyển nhạy cảm, việc theo dõi toàn bộ vòng đời của cả phương tiện in vật lý và bộ đệm kỹ thuật số là rất quan trọng. Để tìm hiểu xem các bản in chuyên dụng vẫn có thể đọc được trong bao lâu và cách xử lý tình trạng xuống cấp dữ liệu một cách an toàn theo thời gian, các tổ chức có thể tham khảo phân tích chi tiết trong Bản in nhiệt tồn tại được bao lâu Hướng dẫn đầy đủ về độ bền của bản in.

Các phương pháp hay nhất để bảo mật máy in nhiệt của công ty

Thực hiện chiến lược an ninh mạng nhiều lớp là cách hiệu quả duy nhất để bảo vệ cơ sở hạ tầng in ấn thương mại khỏi các mối đe dọa hiện đại tinh vi.

Việc bảo mật môi trường in của bạn không thể được thực hiện chỉ bằng một cài đặt hoặc điều chỉnh một lần. Thay vào đó, nó đòi hỏi một cách tiếp cận toàn diện, tích hợp cấu hình thiết bị, cách ly mạng và đào tạo nhân viên nhất quán. Bằng cách áp dụng các biện pháp kiểm soát phòng thủ có cấu trúc, doanh nghiệp có thể đảm bảo rằng hoạt động hàng ngày của họ diễn ra hiệu quả mà không khiến mạng công ty phải chịu những khoản nợ nghiêm trọng từ bên ngoài.

Để bảo vệ việc triển khai phần cứng của bạn, hãy triển khai ngay các biện pháp bảo mật sau trên toàn bộ hệ thống in ấn của công ty bạn:

1. Cách ly và phân đoạn mạng nâng cao

• Triển khai Vlan: Đặt tất cả các thiết bị in của công ty trên Mạng cục bộ ảo (VLAN) biệt lập, tách biệt với các máy chủ cơ sở dữ liệu nhạy cảm và máy trạm của người dùng chính.

• Quy tắc tường lửa: Định cấu hình các quy tắc tường lửa nội bộ nghiêm ngặt để chỉ cho phép liên lạc giữa các máy chủ in được chỉ định và VLAN máy in bị cô lập, chặn tất cả lưu lượng truy cập qua mạng trái phép.

• Danh sách kiểm soát truy cập (ACL): Hạn chế quyền truy cập quản lý thiết bị dành riêng cho các địa chỉ IP cụ thể được nhóm quản trị của bộ phận CNTT sử dụng.

2. Cấu hình và tăng cường thiết bị toàn diện

• Vô hiệu hóa các giao diện vật lý không được sử dụng: Bảo mật về mặt vật lý hoặc vô hiệu hóa các cổng kết nối USB, Bluetooth hoặc kết nối cũ không cần thiết trên phần cứng để ngăn chặn giả mạo cục bộ.

• Buộc xoay vòng mật khẩu: Bắt buộc cập nhật toàn diện tất cả thông tin xác thực mặc định của nhà sản xuất trên mọi phần cứng trước khi đưa nó vào môi trường mạng trực tiếp.

• Vô hiệu hóa các dịch vụ không cần thiết: Tắt tất cả các giao thức in và khám phá không an toàn, chỉ để lại các tùy chọn có độ bảo mật cao như IPPS và HTTPS hoạt động.

3. Giám sát tự động và vá lỗi liên tục

• Kiểm tra nhật ký tập trung: Liên kết tất cả các thiết bị mạng với hệ thống Quản lý sự kiện và thông tin bảo mật (SIEM) tập trung của bạn để giám sát các nỗ lực đăng nhập hoặc truyền dữ liệu bất thường.

• Triển khai chương trình cơ sở tự động: Sử dụng phần mềm quản lý doanh nghiệp để tự động đẩy các bản vá bảo mật và bản cập nhật chương trình cơ sở đã được xác minh cho tất cả các thiết bị ngay khi chúng được nhóm CNTT nội bộ của bạn xác thực.

Phần kết luận

Việc đảm bảo phạm vi doanh nghiệp đòi hỏi phải có tầm nhìn xa hơn máy tính xách tay, điện thoại di động và máy chủ đám mây chính. Máy in mạng đại diện cho các thiết bị điện toán được kết nối đầy đủ, có khả năng cao, nắm giữ chìa khóa dẫn đến các đường dẫn dữ liệu bí mật. Bằng cách chủ động xác định và đóng các lỗ hổng như cổng mạng mở, đường truyền không được mã hóa, mật khẩu mặc định yếu, chương trình cơ sở chưa được vá và bộ đệm lưu trữ bị lộ, tổ chức của bạn có thể giảm đáng kể tổng bề mặt tấn công.

Cho dù công ty của bạn dựa vào một nhóm phần cứng văn phòng tiêu chuẩn hay chuyên sử dụng số lượng lớn Máy in nhiệt để thúc đẩy hoạt động của chuỗi cung ứng, bảo mật ngoại vi phải được tích hợp trực tiếp vào kế hoạch quản lý rủi ro công ty của bạn. Việc xử lý các thiết bị thiết yếu này bằng các tiêu chuẩn an ninh mạng nghiêm ngặt tương tự áp dụng cho cơ sở hạ tầng cốt lõi sẽ đảm bảo rằng dữ liệu, nhân viên và hoạt động kinh doanh của bạn vẫn an toàn trước việc khai thác kỹ thuật số bất ngờ.