Segurança no MPS

Olá pessoal!!!

Hoje vamos fazer um post mais voltado para segurança nos projetos de MPS.

É um grande equívoco pensar que o MPS esta “imune” ou “blindado” a ataques de criminosos digitais.

Projetos de MPS tendem a deixar muitas portas abertas, principalmente pelo “velocidade” que são implementados para que os equipamentos comecem a produzir e gerar receita.

Um projeto de tecnologia ( SIM, MPS é Tecnologia sim mesmo sendo considerado projeto “Cowboy“ ) a pré-implementação deve ter atenção aos detalhes pois com novas leis, ataques digitais crescendo o fornecedor é sim co-responsável por vazamento de dados, por deixar portas abertas e brechas para ataques.

Mas antes de seguirmos falando sobre o MPS, vamos falar sobre os tipos de ataques que estão em pleno crescimento e principalmente no Brasil.

Em 2020, enquanto empresas estavam se adequando ao home-office e ao trabalho híbrido (não se adequou ainda ou não acredita no trabalho a distância?) os ataques cresceram 860% no Brasil…é isso mesmo, um aumento de quase 1000%. Em números absolutos foram quase 3,4 BILHÕES de tentativas de golpes, deixando o Brasil como “líder” desse ranking na América Latina e em 2021 esse número promete aumentar.

A maior parte dos ataques é do tipo RansomWare que é o “sequestro” de dados com exigência de resgate pelos dados com o vazamento de dados na web e na DarkWeb se o resgate não for pago.

TIPOS DE ATAQUES MAIS COMUNS

• Backdoor: um tipo de cavalo de tróia que dá ao invasor acesso ao sistema e permitindo controle remoto. Com isso o criminoso pode modificar, deletar, executar e instalar software maliciosos e ainda enviar emails em massa. Mesmo que o backdoor seja um trojan, não é a mesma coisa pois alguns aplicativos podem ter backdoors “puros” que já vem instalados com eles como alguns complementos como o Microsoft Silverlight que já foi responsável por escravizar mais de 770 mil PC’s a alguns anos atras.
• Ransomware: é um dos ataques mais utilizados ultimamente no mundo todo, é um processo que infecta o sistema da vítima e bloqueia o uso de todos os dados e exige um resgate, normalmente em criptomoedas. De acordo com um relatório da CISCO de 2017 é o tipo de ataque mais rentável da história. O primeiro relato documental desde tipo de ataque foi em 2005 do Estados Unidos.
• Phishing: é um método voltado para engenharia social e da confiança que um usuário tem em uma determinada marca ou produto para roubo de dados. O criminoso se passa por uma pessoa da empresa oficial para enganar o usuário. Normalmente esse tipo de ataque vem por links e emails falsos mas o objetivo é o mesmo em roubar informações confidenciais.
• Spoofing: Apesar de ser semelhante ao Phishing , o Spoofing falsifica endereços IP, DNS e emails. Com isso o ataque simula uma fonte confiável para parecer legítimo. O objetivo do Spoofing é roubar a identidade do usuário para agir como se fosse ele para atividades criminosas. Um exemplo aqui no Brasil tem sido a Claro que tem enviado emails de contas em atraso, caso você avalie o email ele “parece” ser da fonte original a não ser pelo endereço apenas .com, esse tipo de ataque é votlado para pessoas que não tem paciência e ficam desesperadas para clicar em links recebidos por email, sempre verifique por meios oficiais e os endereços, normalmente eles dão alguma “dica” que não são tão oficiais assim.
• URL: Esse tipo de ataque pode ser uma dos mais simples mas um sistema desenvolvido com base em tecnologias antigas ou não atualizados em compliance pode sim ter esse tipo de abertura. Imagine que você esta navegando em um sistema com a URL ( http://meu_sistema/dados_pagamento.html ) e se o sistema estiver mal desenvolvido, você pode simplesmente alterar para http://meu_sistema/dados_recebimentos.html ) e ter acesso a uma área que você efetivamente não tem o link pois o sistema tem um controle de acesso apenas por esconder links dos usuários, um hacker batendo o olho já sabe que o sistema prevê essa falha e faz manipulação da URL para acessar informações sigilosas. Por isso sistemas constantemente atualizados e modernos precisam estar implementados, isso previne ataques considerados simples tecnológicamente mas destrutivos
• Ataque DoS (Denial of Service): Esse tipo não se trata efetivamente de uma invasão mas sim de derrubar um dos pilares mais importantes de dados que é a “disponibilidade”, ele é chamado de Denial of Service pois o servidor recebe uma quantidade muito alta de pacotes, carregando seu processamento e parando de responder, o famoso “travou o sistema” pois o volume esta muito alto e não param de chegar pacotes. Sistemas mais modernos “entendem” e aprendem esse tipo de ataque bloqueando o emissor mas o sistema precisar ter um “pé” em segurança para tratar devidamente esse tipo de ataque.
• Ataque DDoS: A evolução do DoS que nesse caso ele distribui os ataques em vários computadores dificultando a identificação do emissor, a diferença aqui é que o DoS é um “sniper” e o DDoS é um “exército” fazendo multiplas requisições até que o servidor principal fique indisponível. Aqui os alvos são produtos em cloud pública, que tem vários usuários conectados e que dificulta ainda mais a identificação já que o sistema é feito para receber pacotes de vários pontos, muitas vezes não-confiáveis
• DMA ( Direct Memory Access ): é um tipo de ataque que permite acesso a memória do hardware sem passar pelo processador acelerando a taxa de transferência e processamento do computador.
• Eavesdropping: Aqui o hacker utiliza diferentes sistemas de e-mail, mensagens, telefonia para violar a confidencialidade da vítima, roubando dados para usá-los de forma indevida posteriormente. A tradução da palavra é bisbilhotar e é basicamente o que o hacker faz, sem modificar as informações, apenas interceptando e armazenando.
• Decoy: Nesse tipo de ataque, o criminoso simula o produto legítimo, de modo que o usuário faz o login e armazena suas informações, que poderão ser utilizadas pelo atacante.

Agora com os tipos de ataques colocados, vamos falar sobre isso no MPS onde a grande maioria “acha” que não tem problemas com isso e que a responsabilidade é do cliente apenas.

Qualquer projeto de tecnologia precisa passar por alguns passos mínimos, vamos ve-los abaixo

• CONFIDENCIALIDADE: Informação só pode ser acessada e atualiza por pessoas autorizadas e credenciadas
• CONFIABILIDADE: é o carater de fidedignidade da informação. Deve ser assegurada ao cliente a boa qualidade da informação com a qual ele esta trabalhando
• INTEGRIDADE: É a garantia de que a informação estará completa, exatas preservada contra alterações, manipulações manuais, fraudes ou até contra destruição e sequestros
• DISPONIBILIDADE: é a garantia de que a informação estará acessível e disponível em escala contínua para as pessoas autorizadas e de direito
• AUTENTICIDADE: É o saber, por meio de registro apropriado, quem realizou acessos, atualizações, exclusões de modo que haja confirmação da autoridade e originalidade

No MPS, os equipamentos e todo o projeto passa por uma pré-implementação, a implementação propriamente dita e também a pós-implementação que visa garantir uma entrega segura e completa.

ACDI Brasil

Validamos algumas coisas em projetos de MPS que são altamente relevantes, isso acontece em todos os projetos…você conhece?, vamos (re)apresenta-los:

• Origem: É onde “nasce” o trabalho de impressão, é um ponto que requer mega-atenção pois é onde podem ocorrer uma captura de dados na origem, é necessário ter práticas como driver e spool criptografados.
• Tráfego: Por mais que você tenha trafego local, é importante assegurar que o trabalho esteja seguro desde a saída da estação até o ponto de espera e depois até a liberação no equipamento de impressão
• Saída / Output: a saída também precisa de cuidado, proteger com leis, assinaturas digitais e marcas d’agua que permitem identificar origem, credibilidade, integridade e garantia dos dados

Também existem diferenças entre Segurança de TI e Segurança da Informação

• SEGURANÇA DE TI: Cuida mesmo sobre a segurança olhando para Banco de Dados, Computadores, Impressoras, Multi-Funcionais e Servidores. Em resumo cuida do Hardware
• SEGURANÇA DA INFORMAÇÃO: Cuida de defesas dos sistemas, proteção das informações inclusive as disponíveis publicamente e prevenção de acessos a dados sigilosos. Em resumo cuida da parte de software quanto a segurança

Um provedor de MPS precisa ter no seu time, sendo terceiro ou não, profissionais que possam responder por ambas citadas acima, saber como instalar uma impressora em um Windows não faz do analista um especialista em segurança, é necessário profundidade, credibilidade, certificação e experiência. Para esses casos, a ACDI tem o contrato de ACDI MPS IT Services Support que ajuda o nosso parceiro a obter essa especialização para cada cliente. Clique aqui para conferir mais sobre o nosso contrato de suporte ACDI MPS IT Service Support.

A ACDI passa por inúmeras validações de segurança em seus clientes, o PaperCut atualmente esta instalado ativamente em uma instituição que além de muito conhecida, que á a NASA, exatamente, e que é uma das instituições mais atacadas do mundo, todo hacker ou criminoso “sonha” em invadir a NASA mas quando falamos de invasão pela porta de impressão, é a ACDI com o PaperCut quem cuida dessa barreira, pelas portas de sistemas e sub-sistemas de impressão não serão atacados. O crivo da NASA é detalhado para uma solução poder fazer parte do seu ambiente, o relatório de vulnerabilidade é extenso e tudo é testado minuciosamente e a ACDI como provedora de serviço e a PaperCut como desenvolvedora do software foram aprovados, ou seja, cumprimos todos os requisitos necessários…e, é o mesmo PaperCut que você conhece, a PaperCut não tem versões diferentes ou específicas para nenhum cliente. Basta utilizar o poder de segurança que o PaperCut tem para ter uma tranquilidade no seu MPS.

É possível validar, por exemplo brechas como empresas que “implementam” seus equipamentos com senhas padrão…é muito comum fazermos uma varredura e verificar que os equipamentos estão com as famosas( e super conhecidas ) senhas padrão que vem de fabrica…talvez na falta de conhecimento, falta de foco ou até velocidade nas implementações, muitos deixam assim e mal sabem que abrem portas para falhas de segurança grave pois em um equipamento de impressão pode-se roubar documentos impressos, documentos que estão esperando liberação ( caso utilizada a função padrão/nativa do equipamento ) e entre outras possibilidades.

Outra briga grande é o lance entre servidor de impressão ou ambientes sem servidor de impressão.

Muitos dizem que não precisam ou não querem servidores de impressão mas se você pensar sobre a ótica de segurança, um ambiente com servidor de impressão é muito mais interessante pois reúne algumas práticas que podem diminuir o impacto de ataques como:

• Redução de pontos de vulnerabilidade ( ambientes sem servidor aumenta pontos de vulnerabilidade em cada estação )
• Redução dos pontos de atenção, atualização e práticas de segurança (sem servidor, é necessário atualiar todas as estações de trabalho, e se uma falhar, ela se torna uma vulnerabilidade ainda maior)
• Servidores possuem equipe cuidando dele 24×7 em alguns casos e ainda contam sempre com as atualizações do time de segurança, são sempre o ponto mais bem cuidado de um ambiente de produção, serviços de impressão precisam do mesmo cuidado ou até mais…
• Com servidores, equipamentos de impressão podem ser configurados com proteções para aceitar trabalhos apenas vindo de endereços de servidor, não aceitando nenhuma conexão de entrada e saída de conexões, fazendo o ambiente ainda mais seguro.

Claro que ambientes sem servidor de impressão também podem ser seguros, sem dúvida, mas o trabalho para mante-los assim é muito, infinitamente, maior do que um ambiente com servidores de impressão e vai precisar de muito mais ações que por muitas vezes tornam-se inviáveis para distribuir isso em uma rede.

SEGURANÇA NOS EQUIPAMENTOS

Aproveitando a citação acima de como um ambiente com servidor de impressão pode ser mais seguro, ainda precisamos olhar para o equipamento em si…quem faz MPS ( não locação de equipamentos ) pode mapear o transito de informações como por exemplo:

• ACESSOS: quem pode ou não acessar o browser do equipamento, abrir e fechar portas e webservices do equipamento
• RECEBIMENTO: Sanitizar endereços que podem enviar trabalhos ou solicitar conexão com o equipamento
• DRIVERS: Necessário contar com drivers oficiais tanto os universais quanto os de modelo pois eles contam com segurança avançada, o PaperCut conta com um driver universal que aplica criptografia nos trabalhos de impressão desde a origem até o destino, protegendo ainda mais seu ambiente
• EMBARCADOS: quando há software embarcado no equipamento, a segurança é ainda mais crítica pois os equipamentos de impressão normalmente tem plataformas proprietárias e, algumas vezes, desatualizadas, é dever de quem desenvolve o embarcado fechar portas, eliminar vulnerabilidades e ainda dar o poder de criptografia para que o trabalho seja descriptografado apenas pelo embarcado que tem a chave correta, não permitindo interceptação….ah, o embarcado precisa ser reconhecidamente oficial do fabricante, isso significa que ele passou por vários crivos antes de ser liberado
• PROTOCOLOS DE GERENCIAMENTO: com o uso do SNMP para gerenciar os equipamentos, é um protocolo de rede ele não é específico de impressão, ele é usado para qualquer outro dispositivo de rede como um switch, roteador responda a comandos UDP normalmente, é uma porta de ataques e necessário atenção, principalmente no transito da informação e a possibilidade de acesso, pelo SNMP um ataque pode ser destrutivo para um equipamento.
• IMPRESSÃO SEGURA: é um assunto que pode causar confusão…se é impressão “segura” o que posso ter de problemas?? … Verdade, mas veja que a impressão RETIDA é o termo mais adequado ao falar de impressões que são enviadas e não são impressas de imediato, precisam de uma autenticaçào do usuário que enviou para serem emitidas. A impressão SEGURA mesmo é feita por RETENÇÃO + CRIPTOGRAFIA + SEGURANÇA como marca d’agua, validação do emissor e entre outros processos que o software que fornece precisa aplicar. O PaperCut faz a impressão retida tornar-se segura pois não armazena o trabalho no equipamento, o trabalho é entregue ao equipamento escolhido pelo usuário ainda criptografado e o embarcado do PaperCut é quem decriptografa e libera a impressão sem deixar rastros na memória do equipamento, um ataque veria o equipamento como “vazio”

Ainda falando de MPS, precisamos pensar em proteções tanto da infra-estrutura que é o que falamos até o momento mas também na segurança da produção que é a citei no último item da lista acima, proteger a produção inibe espionagens, roubos de dados e ataques menos intensos com objetivos específicos de roubo e espionagem de dados.

A ACDI e a PaperCut contam com o que chamamos de segurança End-to-End que atua em TODAS as etapas da impressão, ANTES – DURANTE – DEPOIS, vamos olhar cada um deles ( clique aqui para saber mais )

• ANTES: Sistema de controle de acesso + Embarcados com Dispositivos Seguros + Software de Segurança de impressão + Criptografia de Spool
• DURANTE: Impressão SEGURA + Gerenciamento de erro no equipamento + Duplo-fator de Autenticação
• DEPOIS: Trilhas de auditoria + Marcas D’agua + Assinaturas Digitais + Arquivamento de Impressão + LGPD

Como os dados do PaperCut MF ficam em banco de dados, normalmente localmente no cliente pois são dados sensíveis e de propriedade do cliente, nosso parceiro pode ficar tranquilo, os dados estão seguros e residem na localidade do proprietário, sem cópias, sem manipulação, aplicando todas as regras de propriedade de dados que um fornecedor precisa para proteger seu contrato.

Atender LGPD não é diferencial, é simplesmente atender a LEI!

Dito isso tudo pessoal, vocês ainda acham que no MPS estamos “imunes” a ataques? esse post serve para alerta para quem não liga para o assunto ou não leva a ‘serio, isso pode causar um prejuízo inestimável para a saúde financeira da sua empresa e a sua credibilidade, conte com produtos que fazem isso de forma nativa, recorrente, contínua…conte com a ACDI e a PaperCut.

Para tornar-se parceiro ACDI basta clicar aqui!

Obrigado

Fonte: google, ACDI, PaperCut, inforchannel, folha vitória