Kyocera Güvenlik Kılavuzu. KYOCERA MFP ve Yazıcıların Güvenliği İçin Hızlı İpuçları

Kyocera Güvenlik Kılavuzu KYOCERA MFP ve Yazıcıların Güvenliği İçin Hızlı İpuçları

İçindekiler 1 GİRİŞ 3 1.1 GENEL BİLGİLER 3 2 CİHAZ YÖNETİMİ - GÜVENLİK VE GÜNLÜKLER 4 2.1 İŞ YÖNETİMİ 4 2.1.1 İŞ BİLGİLERİ DOĞRULAMA BAŞVURUSU ONAYI 4 2.2 DENETİM GÜNLÜĞÜ 4 2.2.1 CİHAZ GÜNLÜĞÜ 4 2.2.2 GÜVENLİK İLETİŞİMİ HATA GÜNLÜĞÜ 4 2.3 GÜNLÜK YÖNETİMİ 5 2.3.1 İŞ GÜNLÜĞÜ GÖNDER (E-POSTA ADRESİ) 5 2.4 GÜVENLİK İŞLEVLERİNİN BÜTÜNLÜĞÜ DOĞRULAMASI 5 2.4.1 YAZILIM DOĞRULAMA 5 2.4.2 DİJİTAL İMZALI FİRMWARE 5 2.5 KULLANIM KISITLAMASI 5 2.5.1 ARAYÜZ ENGELLEME 6 2.5.2 USB DEPOLAMA SINIFI MANTIKSAL ENGELİ 6 2.5.3 İŞLETİM PANELİ KİLİDİ 6 2.5.4 ERİŞİM KISITLAMASI 6 3 AĞ GÜVENLİĞİ 8 3.1 AĞ GÜVENLİĞİ SEVİYESİ ARALIĞI AYARI 8 3.1.1 IP FİLTRESİ AYARLARI 8 3.1.2 PORT AYARLARI 8 3.2 DOĞRULAMA PROTOKOLÜ 8 3.2.1 IEEE802.1X 8 3.2.2 SMTP DOĞRULAMASI 9 3.2.3 SMTP ÖNCESİNDE POP 9 3.3 KYOCERA CİHAZLARI NEDEN KÖTÜ AMAÇLI YAZILIMLARA KARŞI SAVUNMASIZ DEĞİL? 10 3.4 KYOCERA TARAFINDAN TAVSİYE EDİLEN GÜVENLİK TEDBİRLERİ 10

1 Giriş KYOCERA MFP'lerinde (çok fonksiyonlu yazıcı)/yazıcılarında standart olarak bir işletim sistemi bulunmaktadır. Aynı bir bilgisayara olduğu gibi, MFP'ye/yazıcıya da bir HDD veya SSD kurmak mümkündür. Ofis kullanımına yönelik MFP'ler/yazıcılar, çeşitli türlerde hassas bilgileri işlerler. Ancak MFP'ler/yazıcılar, bir ağ aracılığıyla cihazlara izinsiz erişim, bir ağ üzerinde iletilmekte olan bilgilerin dökümünün alınması veya değiştirilmesi ve HDD'den bilgi sızıntısı gibi gelişmiş ve çeşitli tehditlere maruz kalabilirler. KYOCERA Document Solutions (buradan sonra KYOCERA olarak anılacaktır), müşterilerine MFP'lerde/yazıcılarda kurulu çeşitli yerleşik güvenlik işlevleri sunuyor. Müşterilerimizin KYOCERA MFP'lerini/yazıcılarını güvenli bir biçimde kullanabilmesi için bu tehditlere karşı her zaman proaktif bir şekilde karşı güvenlik tedbirleri alıyoruz. Buna ek olarak KYOCERA, güvenlik işlemlerinin üçüncü şahıs tarafından müşteri tarafında doğru olarak gerçekleştirilip gerçekleştirilmediğini objektif olarak doğrulayan Ortak Kriterler (Common Criteria, aynı zamanda ISO 15408 olarak da bilinmektedir) sertifikasına sahiptir. Bu doğrulama, uygun ürün tasarımı, üretimi ve teslimatını içeren kapsamlı bir süreci içermektedir. KYOCERA ürünleri gerekli güvenlik işlevlerine ve yeteneklerine sahip olacak şekilde tasarlanmıştır ve 2009 yılında basılı kopya cihazlarına yönelik uygulamaya giren bir uluslararası güvenlik standardı olan IEEE 2600.1'e uygun oldukları yönünde birkaç ay içerisinde belge alacaklardır. Ayrıca, ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından oluşturulan güvenlik standardıyla uyumlu Federal Bilgi İşleme Standardı (FIPS 140-2) onaylı kriptografik modül de KYOCERA cihazlarında yer almaktadır. KYOCERA, standartlar geliştikçe veya yeni teknolojiler ortaya çıktıkça KYOCERA cihazlarını korumak için daha ileri seviye güvenlik iyileştirmelerini sürekli olarak sunmaya devam edecektir. IEEE 2600-1 gibi yüksek güvenlik seviyeleri, en yüksek güvenlik standartlarını karşılamak için Data Security Kit (Veri Güvenliği Kiti) ve Kyocera Net Manager TM gibi özel işletme yazılımı uygulamaları gibi opsiyonel bileşenlerin kullanımını gerekli kılabilir. Kyocera, Kyocera cihazlarının nasıl korunacağı ve yerleşik ve opsiyonel güvenlik özelliklerinden nasıl fayda sağlanacağı konusunda müşterilere rehberlik eden kapsamlı bir Güvenlik Kılavuzu sunuyor. Bu belge, ağa bağlı Kyocera MFP'lerin ve yazıcıların kötü amaçlı saldırılara veya amaç dışı kullanıma karşı korunmasına yönelik genel bir bilgilendirme sağlamaktadır. Güvenlikle ilgili konularda daha ayrıntılı bilgi almak için KYOCERA Bilgitaş Turkey Doküman Çözümleri web sitemizi ziyaret ediniz. Güvenlik Kılavuzu; Kyocera MFP ve yazıcıların içerisinde yer alan güvenlik teknolojilerinin ve opsiyonel ürün olarak sunulan diğer güvenlik teknolojilerinin genel bir değerlendirmesini sunmaktadır. Bu nedenle bu belge sadece referans olarak ele alınmalıdır. Kyocera Veri Güvenliği Linki adresini kullanarak Kyocera Document Solutions web sitesini ziyaret ettiğinizde en son bilgileri ve belgeleri bulacaksınız. 1.1 Genel bilgiler Kyocera Net Manager TM, Kyocera Document Solutions'ın ticari markasıdır. Kötü niyetli yazılım, hedef cihazları yasa dışı ve zarar verici bir biçimde etkileme amacıyla oluşturulan kötü niyetli programların tümüne verilen addır. KYOCERA Document Solutions Europe B.V., bilgilerin kullanılması neticesinde elde edilen sonuçlarla ilgili sarih veya zımni herhangi bir garantide bulunmamaktadır.

2 Cihaz Yönetimi - Güvenlik ve Günlükler 2.1 İş Yönetimi Kuyruktaki veya günlüklerdeki işlerle ilgili bilgiler, cihaz üzerinden kontrol edilebilir. Print Job (işi yazdır), Send Job (işi gönder), Stored Job (kayıtlı iş) ve Reserved Job (ayrılmış iş) dahil olmak üzere dört durum tipi ve Print job, Send Job ve Stored Job dahil olmak üzere üç kayıt tipi mevcuttur. İhtiyaç duyulduğunda takip amaçlı olarak kullanıcı adı, zaman ve hedef gibi işe özel ayrıntılı bilgilere başvurulabilir ve bu bilgiler kullanılabilir. Ayrıca, dosyanın iş adı olarak kullanılıp kullanılmadığına bakılmaksızın, yazdırma işi sırasında yazıcı sürücüsünün kullanımı ayarlanabilir. 2.1.1 İş Günlüğü Başvurusu Onayı İş Günlüğü Başvurusu Ekranı, kullanıcının yetkisine göre değiştirilebilir. İş bilgileri ve faks iletimi günlüğüne başvurma yetkisi, sırasıyla ayrıntılı iş durumu bilgisi ve iş günlüğü için ayarlanır. Kimlik doğrulama fonksiyonu etkin olduğunda kullanıcılar yalnızca kendilerine ait iş günlüğü verilerini görüntüleyebilir ve kontrol edebilirler. Yönetici yetkisiyle oturum açıldığında tüm iş günlüğü bilgileri ekranda gösterilir. 2.2 Denetim Günlüğü MFP'ler/yazıcılar için denetim günlüğü alınabilir ve bu günlükler kullanılarak cihazın kullanıcı adı, tarih, saat ve sonuçları içeren işletim kaydı kontrol edilebilir. Denetim günlüğünün içerisinde oturum açma günlüğü, cihaz günlüğü ve güvenlik iletişimi hata günlüğü yer almaktadır. Yönetici yetkisine sahip kişiler günlüğe başvurarak cihazın güvenli bir şekilde kullanılıp kullanılmadığını ya da çeşitli riskli durumlara maruz kalıp kalmadığını kontrol edebilir. 2.2.1 Cihaz Günlüğü Aygıt yazılımı güncellemeleri ve ayar değişiklikleri MFP'lerde/yazıcılarda günlüklenebilir. Bu işlev aktifken yönetici yetkisine sahip kullanıcıların sistem menüsünde yaptıkları içerik değişiklikleri de kaydedilir. 2.2.2 İletişim Güvenliği Hata Günlüğü Yönetici ağ iletişimi güvenliği hata günlüğünü kontrol ederek ağ iletişiminin düzgün işleyip işlemediğini teyit edebilir. İletişim arızalarına dair kayıtlara sık rastlanması halinde, muhtemel bir izinsiz erişim durumunun varlığı sorgulanabilir.

2.3 Günlük Yönetimi Günlük Yönetimi, denetim ve iş günlüklerinin yönetilmesine yardımcı olur. Bu özelliğiyle potansiyel güvenlik problemlerinin kaynaklarını bulmayı kolaylaştırır. 2.3.1 İş Günlüğü Gönder (e-posta adresi) Günlük girdilerinin sayısı önceden belirlenmiş bir sınıra ulaştığında, ilgili günlükler yönetici tarafından tanımlanan bir adrese e-posta olarak gönderilebilir. 2.4 Güvenlik İşlevlerinin Bütünlüğü Doğrulaması Aşağıda belirtilen işlevler, ürünlerimizdeki güvenlik işlevlerinin bütünlüğünü doğrulamak için kullanılmaktadır. 2.4.1 Yazılım Doğrulama Bu, güvenlik işlevlerinin uygulama modüllerinin değiştirilmiş olup olmadığını ve düzgün bir şekilde çalışıp çalışmadıklarını doğrulamak için kullanılır. Benzer bir şekilde, güvenlik işlevlerinin kullandığı verilerin bütünlüğü de doğrulanabilir. 2.4.2 Dijital İmzalı Aygıt Yazılımı KYOCERA MFP'ler ve yazıcılar, işlevsel iyileştirmelere ve güvenlik iyileştirmelerine izin vermek üzere bakım amaçlı bir yazılım yükseltme özelliğine sahiptir. Kötü niyeti kişiler aygıt yazılımı üzerinde değişiklik yapma girişiminde bulunup cihazın çalışmasını riske atabilirler veya cihazdaki bilgilere erişip bunları kullanabilirler. Modern bir KYOCERA cihazda yüklü aygıt yazılımının güncellenmesi sırasında güçlü bir dijital imzayla güvenlik sağlanır. Bu özellik, yazılım manipülasyonunu etkili bir şekilde engeller ve böylece cihazın güvenliğine ilişkin bir tehdit ortaya çıkmasını önler. 2.5 Kullanım Kısıtlaması KYOCERA MFP'lerinde/yazıcılarında aşağıda belirtilen kullanım kısıtlamaları uygulanabilir. MFP'ler/yazıcılar üzerindeki işlemler kısıtlanabildiğinden, MFP'lerde/yazıcılarda saklanan verilere erişim de kısıtlanabilir.

2.5.1 Arayüz Engelleme Cihazların USB cihazı, USB hostu, Opsiyonel Arayüz (Yuva 1) ve Opsiyonel Arayüz (Yuva 2) ve benzeri ara yüzleriyle erişim engellenebilir. Ağ arayüzü belli protokollere dayanarak kısıtlanabilir. 2.5.2 USB Depolama Sınıfı Mantıksal Engeli Bir USB bellek MFP'lerin/yazıcıların USB portuna takıldığında, MFP'lerde/yazıcılarda veri sızıntısı veya izinsiz erişim riskleri ortaya çıkabilir. Yönetici, USB depolama sınıfı özelliğini kapatabilir (devre dışı bırakabilir), ancak kullanıcılar MFP'lerin/yazıcıların USB hostuna ID kart okuyucu kullanarak bağlanmaya devam edebilirler. Diğer yandan KYOCERA MFP'ler/yazıcılar, USB bellek MFP'lerin/yazıcıların USB host arayüzüne takılmış olsa dahi USB belleğin kullanımını kısıtlayabilme özelliğine sahiptir. Bu özellik, USB bellek aracılığıyla USB arayüzünden veri sızıntısı olmasını ve muhtemel virüslerin yayılmasını önler. 2.5.3 İşletim Paneli Kilidi MFP'lerin/yazıcıların işletim paneli üzerinden yapılan işlemlere kısıtlama getirilebilir. Kısmi Kilit işlevinin üç aşaması bulunmaktadır: panel aracılığıyla girişe/çıkışa ilişkin ayar, işin yürütülmesine ilişkin ayar ve kağıtlara ilişkin ayar. Bu ayarlar yöneticinin istediği kısıtlama seviyesine göre etkinleştirilebilir. İşletim paneli kilidi ile bir sistem menüsü işlemini ve/veya bir iş iptal etme işlemi yasaklanabilir. Bu şekilde MFP'lerde/yazıcılarda izinsiz işlemlerin gerçekleştirilmesi önlenir. 2.5.4 Erişim Kısıtlaması MFP lerin içinde veri saklamaya yarayan Kullanıcı Kutusu, İş Kutusu ve Faks Kutusu gibi alanlar oluşturularak bunlarda saklanan verilere erişim kısıtlanabilir. 2.5.4.1 Kullanıcı Kutusu Kullanıcılar, MFP'lerde veri saklamak için "Kullanıcı Kutusu" oluşturabilir. İlgili kutular için kutu kullanımı kısıtlaması, veri koruma süresi ve şifre ayarlanabilir. Kutu Şifresi Kullanıcıların belli bir kutuya erişimleri; söz konusu kutu için bir şifre belirlenerek kısıtlanabilir. Kısıtlama durumunda kullanıcıların ilgili kutudaki verilere erişebilmeleri için önceden belirlenmiş, uzunluğu 16 karaktere (büyük harf, küçük harf, sayı ve özel karakterler başta olmak üzere çeşitli karakterlerin kullanıldığı) kadar artabilen uygun bir şifreyi girmeleri gerekir.

Silme Zamanlaması Saklanan veriler, uzun bir süre saklanmasının önüne geçmek üzere belirli bir sürenin ardından otomatik olarak silinebilir. Böylece, veri sızıntısı riski azaltılmış olur. Sahip Ayarı Bir kutuya yalnızca ilgili kutunun sahibi olarak kaydedilmiş bir kullanıcı erişebilir. Böylece yetkisiz kullanıcıların klasöre erişimi engellenmiş olur. "Ortak Kutu" seçeneğiyle bir kutunun paylaşılıp paylaşılmayacağı ayarlanabilir. Ortak olarak paylaşılan kutulara sahip olarak kaydedilmemiş kullanıcılar da erişim sağlayabilir. Bu ayarın sağladığı kullanım kolaylığıyla kutular izinsiz erişime karşı etkin biçimde korunur ve güvenlik süreçleri gerektiği gibi sürdürülür. Belge Saklama Süresi Saklanan belge verileri, uzun saklama sürelerinin önüne geçmek amacıyla belirli bir sürenin ardından otomatik olarak silinebilir. Böylece, veri sızıntısı riski azaltılmış olur.

3 Ağ Güvenliği 3.1 Ağ Güvenliği Seviyesi Aralığı Ayarı KYOCERA MFP'ler/yazıcılar, bir ağ üzerindeki iletişimleri belirli bir IP adresi ve Port numarası aralığı ile sınırlandırabilir. 3.1.1 IP Filtresi Ayarları IP filtresi, IP adreslerinin aralıklarını veya protokol tiplerini ayarlayarak MFP'lere/yazıcılara olan ağ erişimini kısıtlayan bir işlevdir. Bu işlev, erişimine izin verilecek olan IP adreslerinin aralığını (ve alt ağ maskesi kombinasyonunu) belirler ve sadece belirtilen aralıktaki IP adresine sahip olan istemcilerin makinelere erişimine izin verir. Bu ayar kullanılarak ayrıca izin verilen iletişim protokolleri de seçilip etkin hale getirilebilir. IPv4 ve IPv6 desteği olarak, tek veya birden fazla bilgisayardan iletişimin yanı sıra IPP (yazdırma işlerinin uzaktan yönetimi için ağ protokolü) ve HTTP (web sunucusu ve web tarayıcısı arasında veri iletimi protokolü) ayarlanabilir. Söz konusu ayarlar MFP'lere/yazıcılara izinsiz erişimi engellemeye yardımcı olur. 3.1.2 Port Ayarları IPP veya SMTP gibi protokolleri kullanarak iletişim kurmak için sadece gerekli port numaraları ayarlanır ve böylece izin verilmeyen port numaraları devre dışı bırakılır. - Port numaraları ve ayarlar hakkında ayrıntılı bilgi, Kyocera MFP ve Yazıcı Güvenlik Kılavuzu nda mevcuttur. 3.2 Doğrulama Protokolü Doğrulama protokolü, güvenli iletişim için doğrulama elde etmeyi amaçlayan bir iletişim protokolüdür. KYOCERA MFP'ler/yazıcılar, IEEE802.1x ağ doğrulamasını, SMTP doğrulamasını ve e-posta gönderme özelliğiyle birlikte SMTP öncesi POP doğrulama protokolünü destekler. Bu protokol IP maskelemeyi engeller. 3.2.1 IEEE802.1x IEEE802.1x, IEEE (Elektrik ve Elektronik Mühendisleri Enstitüsü) tarafından tanımlanmış olan, port tabanlı doğrulamalara ilişkin bir standarttır. Bu protokol, ağa bağlantı sırasında sadece izin verilen kullanıcıların (doğrulanmış cihazlar) iletişimine izin verir ve böylece izinsiz cihazların ağa bağlanmasını önler. Yukarıda görebileceğiniz üzere KYOCERA cihazları, doğrulanmamış istemciler tarafından ağa izinsiz erişime izin vermeyerek bilgilerin izinsiz bir şekilde ifşa edilmesini engelleyen IEEE802.1x'i destekler. KYOCERA MFP'ler/yazıcılar, aşağıda anlatıldığı şekilde dört doğrulama modu kullanmaktadır.

PEAP-TLS/PEAP (Korumalı Genişletilebilir Kimlik Doğrulama Protokolü-Aktarım Katmanı Güvenliği) İstemci, ID ve sertifikaya dayanarak doğrulanır ve doğrulama sunucusunun sertifikası aynı anda kontrol edilir. EAP-PEAP (Genişletilebilir Kimlik Doğrulama Protokolü-Korumalı Genişletilebilir Kimlik Doğrulama Protokolü) İstemci, kullanıcı adına (ID)/şifreye dayanarak doğrulanır ve sadece doğrulama sunucusu sertifikasının ortak adı kontrol edilir. EAP-FAST (Genişletilebilir Kimlik Doğrulama Protokolü-Güvenli Tünel ile Esnek Kimlik Doğrulama) EAP-FAST, Cisco System, Inc. tarafından geliştirilen bir IEEE802.1.x/EAP doğrulama yöntemidir. Kullanıcı ID'si ve şifresine dayanarak istemci ve doğrulama sunucusunda karşılıklı olarak doğrulama gerçekleştirilir ve PAC (Korumalı Erişim Referansı), benzersiz ortak gizli anahtara dayanarak kullanıcı için bir tünel belirler. EAP-TTLS (Genişletilebilir Kimlik Doğrulama Protokolü-Tünelli Aktarım Katmanı Güvenliği) İstemci ID ve şifreye dayanarak, doğrulama sunucusu da elektronik sertifikaya dayanarak doğrulanır. EAP-TLS'de doğrulama için istemci ve sunucu elektronik sertifikaları gerekirken, EAP-TTLS'de ise istemci sertifikası yerine kullanıcı ID'si ve şifresi kullanılır. Bu, EAP-TLS ile karşılaştırıldığında EAP-TTLS'nin kullanımını daha kolay kılar. Elektronik sertifikalar, doğrulama sunucusunun geçerliliğini kanıtlamak üzere kullanılır. Böylece iletişim daha güvenli biçimde sağlanır. 3.2.2 SMTP Doğrulaması SMTP doğrulaması, ancak ID ve şifre SMTP sunucusunda başarılı bir şekilde doğrulandığında e-posta gönderilmesine izin veren bir işlevdir. Bu işlev, SMTP sunucusuna erişimi sınırlandırarak izinsiz kullanıcıların SMTP sunucusu aracılığıyla e-posta göndermesini engeller. 3.2.3 SMTP Öncesinde POP SMTP Öncesinde POP, SMTP sunucusundan e-posta gönderilmesinden önce POP doğrulaması yapar. E-postalar, POP doğrulamasının tamamlanmasının ardından belirli bir süre

içerisinde gönderilebilir. Bir e-posta gönderilmeden önce POP doğrulamasının yapılması IP maskelemeyi önler. 3.3 KYOCERA cihazları neden kötü amaçlı yazılımlara karşı savunmasız değil? Bilgisayar kötü amaçlı yazılımın gömülü olduğu bir PDF dosyası eki içeren bir e-posta aldığında ve bu ek açıldığında, PDF içerisine gömülü olan kötü amaçlı yazılım otomatik olarak çalışır ve bilgisayara bulaşır. Kötü amaçlı yazılım içeren bir PDF dosyası ve/veya kötü amaçlı yazılım içeren bir PDF dosyası ekine sahip bir e-posta KYOCERA MFP'lerine veya yazıcılarına gönderildiğinde, cihaz alınan PDF dosyasını sadece bir yazdırma verisi olarak yorumlar. Böylece PDF dosyasının içerisinde gömülü olan kötü amaçlı yazılım kendisini çalıştıramaz ve KYOCERA cihazına virüs bulaşmaz. 3.4 KYOCERA tarafından tavsiye edilen güvenlik tedbirleri KYOCERA MFP'lerin ve yazıcıların yerleşik güvenlik özelliklerinden faydalanabilmeniz için aşağıda belirtilen güvenlik tedbirlerini almanızı tavsiye ederiz: 1. Mobil cihazlar, sunucular, iş istasyonları, bilgisayarlar ve ayrıca MFP'ler ve yazıcılar gibi ağa bağlı tüm cihazlarınızı korumak için ağınızda bir güvenlik duvarı oluşturun. 2. Mobil cihazlarınızı, sunucularınızı, iş istasyonlarınızı ve bilgisayarlarınızı güncel antivirüs yazılımları kullanarak koruma altına alın. 3. KYOCERA MFP'ler ve yazıcılardaki varsayılan ayarları değiştirin (ilgili belgelere bakınız). a. Cihazın/cihazların web arayüzüne ilişkin varsayılan şifreyi kişisel şifre / şirket şifresi* ile değiştirin. b. SNMP ayarlarını v3'e değiştirin ve Okuma-Yazma ayarını "herkese açık" seçeneğinden özel bir seçeneğe* çevirin. c. Protokolleri güvence altına almak ve mevcut güvenlik ayarlarını etkinleştirmek için varsayılan protokolleri değiştirin. 4. KYOCERA, geniş bir ürün yelpazesine yönelik bir güvenlik yazılımı seçeneği olarak Data Security Kit i sunmaktadır. Orta ve yüksek düzeyde güvenlik gereksinimleri için bu kitin kurulması tavsiye edilir.

5. KYOCERA tarafından sunulan en son yazılım ve aygıt yazılımı sürümünü kullandığınızdan emin olun. Önemli Not: Bu tedbirlerin, KYOCERA MFP'lerin ve yazıcıların ilk kullanımı öncesinde uygulamaya sokulmuş olduğundan emin olun. Aşağıda belirtilen tavsiyelere uyarak, ister kişisel amaçlı ister şirket ortamında kullanılan tüm cihazlar için asgari bir koruma seviyesi sağlanması tavsiye edilmektedir: 3.1; 3.2; 3.3 a,b ve 3.5. *Değiştirilen kişisel şifrenin/şirket şifresinin güvenli bir yerde saklanması kesinlikle tavsiye edilmektedir!