Sicherheitsrisiken, Funktionen und Handlungsfelder bei Outputsystemen

Präsentation zum Thema: "Sicherheitsrisiken, Funktionen und Handlungsfelder bei Outputsystemen"—  Präsentation transkript:

1 Sicherheitsrisiken, Funktionen und Handlungsfelder bei Outputsystemen
Peter Hecker Lexmark Deutschland

2 Sicherheit im Output-Markt
Die jüngsten Lücken von Hackerangriffen zeigen, wie wichtig ein solides Sicherheitskonzept für Outputgeräte ist. Angriffe und unbeabsichtigte Verletzungen bestehender Richtlinien können zu kritischen Compliance-Lücken und Offenlegung von sensiblen Daten führen. Mögliche Folgen sind Kontrollverlust und signifikante Schadensersatzforderungen. Outputsysteme sind heute nahezu vollwertige Computer. Gefahren lauern von extern aber auch intern. Offen liegende Dokumente, fehlende Sicherung von Webservern, können nach BDSG Paragraf 43 Absatz 2 (Verlust von personenbezogenen Daten) teuer werden. 2014 war laut CNET „das Jahr der Hackerangriffe” und der Trend steigt leider auch im Jahr 2015 weiter an. Wie Sie sicherlich wissen, haben eine Anzahl bekannter öffentlicher Unternehmen durch Hackerangriffe Verluste im Wert von Hunderten Millionen Dollar eingebüßt. Es geht allerdings nicht alleine um schädliche Angriffe. Unbeabsichtigte Verletzungen im Bereich der Sicherheit können zu kostenintensiven Compliance-Verstößen und Datenverlusten führen, die Geschäftsunterbrechungen nach sich ziehen. Sicherheitslücken können auch zu Beeinträchtigungen in Bezug auf Mitarbeiterfrustration, Verlust der Privatsphäre, negativen finanziellen Auswirkungen und verschwendeter Zeit führen. Durch Verletzungen, die in den Medien stark diskutiert wurden, wie beispielsweise „Heartbleed” in OpenSSL (zum Schutz des weltweiten Webdatenverkehrs) ist die Sicherheit noch weiter ins Rampenlicht gerückt. Dadurch haben Unternehmen heutzutage die Sicherheit ganz besonders im Blick, sei es bei Geräten, der Flotte oder im Netzwerk.

3 Ungesicherter Druck = Ungesicherte IT
10/30/2017 Ungesicherter Druck = Ungesicherte IT 1 80% der Organisationen 25% der Unternehmen Gegenwärtige Sicherheitsrichtlinien für den Zugriff auf Dokumente sowie das Speichern von Informationen 63% Informieren ihre Mitarbeiter nicht über Sicherheitsrisiken bei Druckern und MFPs der Organisationen Sicherheitsrichtlinien über Drucker und MFPs, die den Funktionsumfang Anwenderbasiert definiert 25% der Organisationen Erhebliche IT-Sicherheitslücken im Bereich Outputmanagement qq Unternehmen müssen das Risiko durch unternehmensweite IT-Sicherheitspraktiken für Druck-, Kopier-, Fax- und Scanfunktionen minimieren. Zusammenfassung: Laut den Ergebnissen der von IDC durchgeführten Studie „Print Security Survey” (IDC #US ) © 2016 Lexmark International, Inc. Alle Rechte vorbehalten.

4 Sicherheitsanforderungen verändern sich stetig
Einhaltung regulatorischer Bestimmungen Implementieren der richtigen Sicherheitskontrolle und Einhaltung der Richtlinien Schutz der Netzwerkinfrastruktur Sichere Verwaltung der Daten auf Druckern (vertrauliche Dokumente, vertrauliche Informationen in den Geräteeinstellungen) Schutz vertraulicher Daten Firewalls sind keineswegs undurchdringliche Hürden, um an vertrauliche Daten zu gelangen Zugriffskontrolle Maßnahmen zur Authentifizierung und Autorisierung von Anwendern, damit diese nur die erforderlichen Berechtigungen erhalten Managed Print Services Kunden müssen und können ihre Flotte effizient verwalten Die Weiterentwicklung von Bewusstsein und Technologie zieht eine Weiterentwicklung der erforderlichen Anforderungen zum Schutz der Organisationen und ihrer Daten nach sich. Die Einhaltung von Richtlinien und Vorschriften ist eine ganz besonders wichtige Voraussetzung. Während Behörden und Genehmigungsstellen Standards zum Erfassen, Bearbeiten und Speichern von Informationen erarbeiten und entwickeln, überprüfen Unternehmen erneut die Handhabung und das Speichern von Daten und Informationen. Der notwendige Schutz der Netzwerkinfrastruktur erhebt nicht nur Zweifel an den auf Druckern und MFPs gespeicherten Daten, sondern auch an den auf diesen Geräten gedruckten Inhalten und an der Intelligenz der eigentlichen Geräte. Firewalls sind nicht zwangläufig ein Garant für Sicherheit. Die Zugriffskontrolle spielt dabei eine besonders wichtige Rolle. Administratoren suchen nach Mitteln, den Zugriff auf MFPs und Netzwerkdrucker zu kontrollieren (und einzuschränken) und benötigen zuverlässige Authentifizierungsmechanismen zur Überprüfung und Verfolgung der Nutzungsdaten, für die Sicherung des Zugriffs auf Dokumente (z.B. Print Release) und zur Druckkostensenkung. In einer sich ständig ändernden Umgebung suchen Unternehmen nach den Best Practices, um ihre Geräteflotte effizient zu schützen und zu verwalten, während sie den Wert von Managed Print Services erkennen.

5 Eine Philosophie: Vollumfängliche Sicherheit
Software Anforderungen des Unternehmens Besondere Schwachpunkte Anwender Netzwerk Inhalte Hardware Netzwerk Architektur Sichere Umgebung Software Um eine Umgebung sichern zu können, ist ein umfangreiches Verständnis der IT, der Mitarbeiter und der System- Komponenten erforderlich Hardware Eine Unternehmensumgebung zu sichern erfordert ein umfassendes Verständnis der Software, Hardware, Netzwerkarchitektur, der Inhalte, die das Netzwerk durchlaufen, der menschlichen Faktoren sowie der spezifischen Sicherheitslücken und Ziele der jeweiligen Organisation. Außerdem ist Expertenwissen und praktische Erfahrung notwendig, um die theoretischen Sicherheitskonzepte in sichere Produkte und Services umzusetzen. Lexmark ist sich der zahlreichen Bedrohungen bewusst und reagiert darauf mit einem ganzheitlichen Ansatz, der das Gerät, die Geräteflotte und die gesamte Netzwerkinfrastruktur systematisch schützt. Wir verstehen Netzwerkumgebungen sowie deren Druckeranforderungen und können Sie in Bezug auf diese Anforderungen beraten. Unsere langjährige Erfahrung mit Kunden in einigen der am stärksten regulierten Umgebungen ist unsere Kernkompetenz und der Vorteil gegenüber unserer Konkurrenz. Daher ist es auch keine Überraschung, dass Drittanbieter wie Gartner unsere Sicherheitsvorkehrungen überprüft haben und davon beeindruckt sind. Der aktuelle Managed Print Service (MPS)-Bericht von Gartner lobt: „Die Sicherheitslösungen von Lexmark bieten eine besonders große Reichweite an Gefahrenschutz, von den Druckereinstellungen über Nutzerverhalten bis hin zur allgemeinen Strategie.” Flottensicherheit Gerätesicherheit Netzwerksicherheit

6 Netzwerksicherheit Eingebettete Funktionen gewährleisten, dass nur authentifizierte Benutzer auf Informationen zugreifen und diese ändern können Sperrt Anschlüsse, schränkt den Datenverkehr zu bestimmten IP-Adressen ein, kommuniziert mit 802.1x- Umgebungen und verhindert, das die Kommunikation über die Faxleitung das interne Netzwerk gefährdet Funktionen zur Netzwerksicherheit: Filterung von TCP-Verbindungen Port-Filterung 802.1x-Anschlussauthentifizierung Sicheres NTP (Zeitserver) Trennung von Fax/Netzwerk Trennung WLAN / LAN Funktionen für eine sichere Kommmunikation: Zertifikatsverwaltung IPSec HTTPS Moderne IT wird um das Netzwerk herum konstruiert. Doch gerade diese Konnektivität, die autorisierten Benutzern den Zugriff auf vernetzte Geräte ermöglicht, würde ohne die Sicherheitstechnologie von Lexmark Geräten die Integrität des Netzwerks und Ihrer wertvollen Informationen gefährden. Lexmark Drucker und MFPs können so konfiguriert werden, dass nur TCP/IP-Verbindungen von festgelegten TCP/IP-Adressen zugelassen werden. Das Ablehnen aller TCP-Verbindungen von anderen Adressen schützt das Gerät vor nicht autorisierter Nutzung und Konfiguration.  Die Netzwerkanschlüsse, über die Drucker und MFPs Netzwerkdaten senden und empfangen, sind konfigurierbar und bieten so ein hohes Maß an Kontrolle über die Netzwerkaktivität des Geräts. Durch das Herausfiltern von Datenverkehr über bestimmte Netzwerkanschlüsse können bestimmte Protokolle explizit gesperrt werden. Bei Verwendung der 802.1x-Anschlussauthentifizierung müssen sich Drucker und MFPs in Kabelnetzwerken und WLANs zunächst authentifizieren, bevor sie auf das Netzwerk zugreifen können. Das Secure Network Time Protocol (SNTP) ermöglicht die Zeitsynchronisierung zwischen verschiedenen Geräten im Netzwerk. Unsere Geräte unterstützen innerhalb der SNTP-Konfiguration ein Authentifikator- und Berechtigungsfeld – die Hauptanforderung an sichere SNTP-Implementierungen.  Auf MFPs, die sowohl eine Netzwerkverbindung als auch ein Faxmodem anbieten wird eine direkte Interaktionen zwischen Modem und Netzwerkadapter verhindert. Unsere Drucker und MFPs verwenden Zertifikate zur HTTPS-, SSL-, IPsec- und 802.1x-Authentifizierung. Unsere Zertifikatsverwaltung ermöglicht die Integration von Geräten in eine PKI-Umgebung, indem die Zertifikate signiert werden. Zusätzlich werden die Geräte innerhalb der PKI-Umgebung für vertrauenswürdige Zertifizierungsstellen registriert.  Die IPsec-Protokolloption sichert den Netzwerkdatenverkehr von und zu Lexmark Geräten durch Verschlüsselung und Authentifizierung. Auf diese Weise werden Druckdaten und Inhalte von Aufträgen geschützt, die an ein bestimmtes Ziel gescannt werden. 

7 Gerätesicherheit Datenschutz verhindert, dass böswillige Nutzer auf die gespeicherten Daten des Gerätes zugreifen können. Verschlüsselt Daten auf dem Gerät Löscht Daten, wenn das Gerät stillgelegt wird Sicherer Zugriff verhindert die unbefugte Nutzung eines Geräts Technologien und Lösungen bieten eine zuverlässige Authentifizierung auf dem Gerät Der umfassende Schutz des Betriebssystems stellt sicher, dass nur genehmigte Anwendungen oder Updates auf dem Gerät ausgeführt werden können Durch digital signierte Updates ist die Installation von Schadsoftware nicht möglich Funktionen: Festplattenverschlüsselung Löschen von Festplattendaten Löschen des nichtflüchtigen Speichers Diebstahlschutz Funktionen: Geschützte USB-Anschlüsse Flexible Authentifizierung und Autorisierung Sicherheitsvorlagen Benutzer -und Gruppensicherheit Zugriffskontrollen Anmeldeeinschränkungen Bedienfeldsperre Vertraulicher Druck Halten eingehender Faxe Smart-Card-Unterstützung Funktionen: Digital signierte Firmware-Updates Digital signierte Anwendungen (eSF) Überwachungsprotokolle (Audit-Log) Sicherheit auf Geräteebene beinhaltet den Schutz gespeicherter Daten auf dem Drucker oder MFP, die Kontrolle über den Zugriff auf das Gerät und den Schutz des Betriebssystems auf dem Gerät. Drucker und MFPs mit internen Festplatten verfügen über eine Fülle von sorgfältig entwickelten Funktionen, um die Sicherheit der auf der Festplatte gespeicherten Daten zu erhöhen und zu verhindern, dass böswillige Benutzer Zugriff auf vertrauliche Informationen erhalten. Auf der Festplatte gespeicherte Daten können verschlüsselt werden, um nur dann einen Zugriff zu ermöglichen, wenn die Festplatte auf der ursprünglichen Hardware installiert wird. Daten, die beim Drucken, Scannen, Faxen oder Kopieren vorübergehend auf die Festplatte geschrieben werden, können entweder nach Fertigstellung des Auftrags oder nach dem Drucken eines angehaltenen Auftrags für einen Benutzer gelöscht werden.  Das Löschen von Daten (außer Betrieb) reinigt sowohl die Festplatte als auch den nichtflüchtigen Speicher, wenn ein Drucker oder MFP stillgelegt oder an einen anderen Ort gebracht wird. Der Diebstahlschutz bewahrt das Gerät ebenfalls vor Manipulationen und Entwendung. Die meisten digitalen Sicherheitsverletzungen geschehen, indem Benutzer sich als eine andere Person ausgeben. Lexmark Geräte bieten legitimen Benutzern ungehinderten Zugriff und halten nicht autorisierte Benutzer fern. Funktionen zum sicheren Zugriff: Mechanismen, die böswillige Angriffe auf USB-Anschlüsse verhindern Die Möglichkeit, ein Gerät so zu konfigurieren, dass die Anmeldeinformationen der Benutzer geprüft und Gerätefunktionen eingeschränkt werden können. Zur Bereitstellung dieser Funktionen werden Active Directory oder andere Verzeichnisserver-Plattformen sowie interne Konten, NTLM, Kerberos 5, LDAP, LDAP+GSSAPI, Kennwort und PIN verwendet Mithilfe der Sicherheitsvorlagen können Administratoren den Zugriff durch eine gewünschte Kombination aus Gruppenberechtigungen, Zugriffskontrollen und Authentifizierung einschränken und die Steuerung wichtiger Sicherheitseinstellungen ermöglichen Mithilfe der Sicherheitseinstellungen für einzelnen Benutzer und Gruppen von Benutzern können die Zugriffsberechtigung für bestimmte Gerätefunktionen erteilt und die Nutzung dieser Funktionen für andere Benutzer und Gruppen eingeschränkt werden Über 50 Zugriffssteuerungen ermöglichen die Steuerung des lokalen und Remote-Zugriffs auf bestimmte Menüs, Funktionen und Workflows Anmeldeeinschränkungen, die das Gerät sperren und so eine unbefugte Nutzung nach einer Reihe aufeinander folgender Fehlversuche bei der Anmeldung verhindern – und solche Ereignisse zudem mithilfe der integrierten Auditfunktionalität verfolgen Eine Bedienfeldsperre ermöglicht das Sperren eines MFPs, sodass Benutzereingaben und Konfigurationsänderungen über das Bedienfeld nicht mehr möglich sind Vertraulicher Druck, der die Druckaufträge so lange auf dem Gerät hält, bis der vorgesehene Empfänger die richtige PIN eingibt Das Halten eingehender Faxaufträge kann so eingestellt werden, dass diese so lange gehalten werden, bis ein bestimmter Benutzer sich am Gerät authentifiziert Betriebssystemschutz und sichere Updates gewährleisten, dass nur genehmigte und digital signierte Anwendungen oder Updates auf einem Drucker oder MFP ausgeführt werden können und erstellt Überwachungsprotokolle für ein Update.

8 Flottensicherheit Flottenverwaltungstools verringern den Aufwand bei der Verwaltung mehrerer Geräte und sorgen dafür, dass diese einheitlich konfiguriert sind Gerätesuche, Implementieren von Sicherheitseinstellungen und Wartung der Konfiguration mithilfe kontinuierlicher Überwachung Managed Print Services (MPS) bietet eine proaktive Verwaltung und Optimierung der Ausgabegeräte und druckbezogener Geschäftsprozesse Zertifizierungen gewährleisten die Einhaltung strenger Sicherheitsrichtlinien Unsere Flottenverwaltungstools mindern die Arbeitslast bei der Verwaltung mehrerer Geräte und sorgen dafür, dass diese mit den richtigen Sicherheitseinstellungen konfiguriert sind. Leistungsstarke Geräte-Tools wie MarkVision Enterprise bieten vollständige Transparenz und suchen Geräte, konfigurieren und implementieren Sicherheitseinstellungen mithilfe regelmäßiger Scans und stellen Firmware-Updates in der Geräteflotte bereit. Zusätzlich verwenden Lexmark Drucker und MFPs das Kommunikationsprotokoll HTTPS. Es ermöglicht die Verschlüsselung des Webdatenverkehrs und damit eine sichere Remote-Verwaltung über die Webseite des Geräts. MPS (Managed Print Services) verkörpert das gesamte umfangreiche Spektrum unseres Sicherheitsansatzes. Der erste Schritt ist ein ganzheitlicher Ansatz bei der Bewertung, dem Design und der Bereitstellung von MPS für unsere Kunden. Wir verwenden eine bewährte Methode, bei der Sicherheit als wesentlicher Teil der proaktiven Optimierung der Infrastruktur und des Geschäfts angesehen wird. MPS baut diesen Ansatz mit Fachwissen aus. Unsere Sicherheitsberater und -spezialisten entwickeln Richtlinien und Strategien, die sich auf eine sichere Ausgabe in Ihrer individuellen Umgebung konzentrieren. So können Sie nicht nur Ihre Ziele erreichen, sondern auch die Herausforderungen beim Change Management meistern. Unsere MPS-Tools und Systeme überwachen außerdem die bereitgestellte Geräteflotte kontinuierlich und ermöglichen nicht nur die Steuerung der Sicherheitsrichtlinie, sondern bieten auch bessere Einblicke und Warnungen bei Vorfällen, die die Geräteflotte betreffen. Dass seine Produkte sicher seien, kann jeder behaupten. Lexmark beantragt und erhält Zertifizierungen für umfangreiche Industrie- und Behördenstandards wie FIPS und Common Criteria. <ZUSÄTZLICHE HINWEISE:> FIPS (Federal Information Processing Standards) ist eine unabhängige Überprüfung der in unseren Geräten verwendeten kryptographischen Algorithmen auf ordnungsgemäße Implementierung. Common Criteria stellt ein Framework zur Überprüfung der Sicherheitseigenschaften von Computersystemen zur Verfügung. Lexmark Geräte werden durch ein von der National Information Assurance Partnership (NIAP)-zugelassenes Prüflabor mit Sitz in den USA gemäß den neuesten Richtlinien überprüft. Eine solche Überprüfung durch eine unabhängige Stelle belegt, dass das Gerät durch Sicherheitsfunktionen so wirksam geschützt wird wie vom Hersteller behauptet. Flottenverwaltungstools: Konfigurieren und Durchsetzen von Sicherheitseinstellungen Bereitstellen von Firmware-Updates HTTPS SNMPv3 Funktionen von MPS: Ganzheitlicher Ansatz Sicherheitskonzepte Laufende Überwachung Zertifizierungen: FIPS Common Criteria

9 Erhaltung der Netzwerkintegrität – Beispiel
Spricht Risiken an, die entstehen können, wenn das Faxmodem des MFPs für einen Zugriff auf das Gerät oder das Netzwerk genutzt wird Dies scheint ein diskussionsbedürftiges Problem zu sein Modem und Netzwerkkarte sind vollkommen getrennt Lexmark MFPs verwenden ein Modem unter dem Standard der Klasse 1 Das Gerät kann nur Bilddaten empfangen; bei Übertragung aller anderen Daten legt das Gerät sofort auf Das Gerät kann nicht durch das Modem angeschlossen und/oder konfiguriert werden Das Faxmodem auf Lexmark MFPs wurde von der National Information Assurance Partnership (NIAP) getestet, bewertet und zertifiziert Telefonleitung: Grundsätzlicher freier Zugriff Grundsätzlich ungeschützt Grundsätzlich bidirektional Internes Netzwerk: Gesichert Eingeschränkter Zugriff

10 Sicherheit Sicherheit ist das sich ständig wechselnde Ziel der Kunden
Ständig mehr Sicherheitsfunktionen Muss die wachsenden Anforderungen der Kunden erfüllen Die Funktionsvielfalt wächst stetig… + Verbesserte Active Directory Integration + Remote HDD-Verschlüsselung + Remote-Löschen nach Außerbetriebnahme + Automatisierte CA-Installation + Automatisierte Gerätezertifikatsregistrierung + Verbesserte Smart Card-Authentifizierungsfunktion + Verbesserte Zugangskontrollen für eSF + Mehr IPSec-Verbindungen + Automatische Registrierung des Gerätekontos + Löschfunktionen des nichtflüchtigen Speichers + FIPS-zertifizierte Algorithmen + Verbesserte Fehlerbehebungsfunktionen + Erhöhte Filterung von TCP-Verbindungen + Benutzerautorisierung + Zusätzliches Löschen der HDD (automatisch und geplant) + Durch Benutzerkennwort geschützte / nicht sichtbare Menüs + Überwachungsprotokolle + SMTP-Server-Authentifizierung + Sichere -Übertragung + Benutzerdefinierte Zugriffssteuerungen + Erweiterte EWS-Steuerungen + Sicheres Zurücksetzen des Geräts + Erweiterte Adressbuchsuche + Erweiterte Kartenleserfunktionen + Geschützte PDF-Dateien +Serverbasierte PrintCryption + Zusätzliche USB-Steuerungen + Zusätzliche Konfigurationsoptionen für die Authentifizierung + Manuelles Löschen der HDD + Verschlüsselte Scandaten + Konfigurierbares Abmelden Bereitschaftsmodus + -Domänkontrolle + Fax-Sperre (Zeitgesteuert) + Faxweiterleitung + Sperrung des Geräts + Benutzer-/erweiterte Passwörter + Eingebettete Anwendungen + ISO Compliance + PrintCryption + HDD-Verschlüsselung + HTTPS + IPSec x + SNMPv3 + USB-Stick-Steuerungen + PIN für das Bedienfeld + Verbesserte Port-Filterung + Verbesserungen der Druckkonfiguration + IP-Adressenfilterung Einfache Gerätepasswörter IP-Adressenfilterung LDAP (Anonym) + Verbesserte Authentifizierung - Einfache Bindung - Kerberos - GSSAPI - SSL + Beschränkte Port-Filterung Vor 2004 2011 bis heute

11 Zusammenfassung Umfassend Stabilität Benutzerfreundlich Flexibel
Sichere Verwaltung Remote (über HTTPS, IPSec, Markvision) Lokal – Zugriff beschränken oder verweigern Schutz der Daten im ganzen Netzwerk Druck-, Scan- und Verwaltungsdaten Geräteabsicherung Deaktivieren nicht benötigter Anschlüsse und Protokolle IP-Adressenfilterung zur Kontrolle von TCP-Verbindungen Sichere Festplatten durch Verschlüsselung und Löschfunktion Stabilität Starke Verschlüsselung HTTPS für sicheren Internetzugriff AES für Festplattenverschlüsselung 802.1x-Unterstützung Festplattensicherheit Verschlüsselung der gesamten Festplatte Entschlüsselung gestohlener Festplatten nicht möglich Löschen von Festplattendaten Physischer Schutz mit Kabelsperren Benutzerfreundlich Einmaliges Anmelden Benutzeranmeldung mit Standardinformationen für das Netzwerk Automatisches Einfügen der Benutzer-ID in s Intuitiver vertraulicher Druck Einfacher Abruf von Aufträgen Numerische Tastatur am vorderen Bedienfeld Automatisches Löschen alter Aufträge Flexibel Benutzerauthentifizierung und -autorisierung Für zahlreiche Umgebungen konfigurierbar Umfassende Kompatibilität Umfangreiche Verzeichniskompatibilität LDAP, LDAP + GSSAPI, Kerberos und NTLM Anpassbares Bedienfeld Entfernen nicht verwendeter Symbole, sicherer Zugriff

12 © 2015 Lexmark International, Inc. All rights reserved.
VIELEN DANK FÜR IHRE AUFMERKSAMKEIT © 2015 Lexmark International, Inc. All rights reserved.