A ameaça ignorada
Quando as equipes de segurança inventariam sua superfície de ataque, normalmente pensam em servidores, endpoints, identidades na nuvem e dispositivos móveis. Poucas organizações tratam a impressora multifuncional de escritório (MFP) como um ativo de segurança de primeira linha. Isso é um grande erro. As impressoras compartilham a mesma rede que todo o resto, mas muitas vezes ficam fora dos programas de atualização, das políticas de segmentação e do monitoramento, exatamente o tipo de negligência que os invasores adoram.
No contexto de empresas centradas em Apple, em que a gestão de dispositivos como o DEP da Apple e a segurança baseada em identidade são maduras, a impressora continua sendo um resquício do passado. O AirPrint torna trivial enviar um documento para uma impressora, mas os serviços que viabilizam essa conveniência também abrem uma porta para tráfego malicioso. Se uma única impressora for comprometida, ela pode se tornar um ponto de pivô para servidores, compartilhamentos de arquivos ou até APIs de gerenciamento em nuvem.
Por que as impressoras são especialmente inseguras
Não existe uma única falha de design que faça das impressoras o equipamento menos seguro. Em vez disso, uma combinação de fatores cria um perfil de risco particularmente ruim.
Negligência do firmware
Diferentemente dos laptops, que recebem atualizações de segurança mensais, as impressoras frequentemente passam anos sem um único patch. Muitas equipes de TI tratam uma impressora como um eletrodoméstico: conecta, configura uma vez e esquece. Os próprios fornecedores muitas vezes oferecem correções de firmware apenas de forma esporádica, sem um canal formal de alertas de segurança. Quando uma vulnerabilidade crítica é divulgada, a resposta costuma ser lenta demais para impedir a exploração em andamento. As impressoras em fim de vida útil são ainda piores - elas não recebem atualizações, deixando falhas conhecidas expostas indefinidamente.
Credenciais padrão e protocolos abertos
Ao sair da caixa, as impressoras tendem a ter interfaces administrativas simples com credenciais padrão como "admin:password" ou "admin:1234". Os invasores escaneiam dispositivos com a porta 9100 aberta (impressão bruta), 515 (LPD) ou 631 (IPP) e tentam esses padrões. Mesmo quando as credenciais são alteradas, os servidores web embutidos muitas vezes expõem informações detalhadas do sistema que ajudam em ataques posteriores.
Posições privilegiadas na rede
As impressoras não ficam em um canto travado. Elas ficam dentro das salas de escritório, normalmente na mesma sub-rede das estações de trabalho. A partir dali, podem iniciar conexões de saída, receber tráfego de entrada não solicitado e se comunicar com qualquer outro dispositivo da rede. Isso viola o princípio de zero trust: cada dispositivo deve ter apenas o acesso de que realmente precisa. Raramente uma impressora precisa se comunicar com todos os computadores dos funcionários, muito menos com todos os servidores ou com a internet.
Empresas Apple não estão isentas
Pode ser tentador pensar que um ambiente totalmente Mac é inerentemente mais seguro. Isso é verdade para os endpoints em si, mas as impressoras são independentes de plataforma. Uma impressora AirPrint usa o Bonjour para anunciar seus serviços, o que facilita para qualquer Mac, iPhone ou iPad encontrá-la. O problema é que a descoberta via Bonjour também funciona para invasores que já estão na rede local. Eles podem enumerar impressoras e tentar acessar as interfaces de gerenciamento sem nem parecer suspeitos.
Além disso, à medida que a Apple continua promovendo um ecossistema conectado, cada vez mais dispositivos estão sendo trazidos para o ambiente corporativo. Isso significa mais dados circulando pelos fluxos de impressão e mais oportunidades para uma impressora comprometida espionar ou exfiltrar documentos sensíveis. A impressora deixou de ser apenas um hardware que move papel; ela é um endpoint de rede com visibilidade total do escritório.
Como reforçar o dispositivo menos seguro
Felizmente, há medidas diretas que podem remover a maior parte do risco sem sacrificar a produtividade.
- Coloque as impressoras em uma VLAN isolada ou em uma rede de impressão dedicada com regras rígidas de firewall. Permita apenas comunicações específicas e necessárias, como trabalhos de impressão de dispositivos autorizados e tráfego de gerenciamento de uma sub-rede administrativa.
- Crie um cronograma de atualização de firmware. Assim como nos sistemas operacionais, defina um lembrete trimestral ou até mensal para verificar e implantar patches das impressoras. Faça disso parte do processo padrão de gestão de ciclo de vida.
- Desative todos os serviços não utilizados, incluindo FTP, Telnet, HTTP quando não for necessário, e a porta bruta 9100 quando as impressoras de rede puderem usar protocolos mais seguros como IPPS. Também restrinja SNMP e as community strings para apenas leitura.
- Altere as senhas padrão em todos os dispositivos de impressão e exija credenciais administrativas fortes. Use cofres centrais ou serviços de diretório para gerenciá-las.
- Ative o logging e integre as impressoras à sua ferramenta de gestão de informações e eventos de segurança (SIEM). Monitore impressões em rajada incomuns, logins de administradores fora do horário comercial e comportamento de varredura de saída.
- Faça uma avaliação anual de segurança das impressoras. Isso deve incluir a revisão dos alertas de segurança do fabricante, a avaliação do status EOL do modelo e a verificação da configuração do dispositivo em relação a uma linha de base. Ao substituir impressoras, exija modelos com compromissos de atualização verificáveis e recursos de secure boot.
Além das mudanças de configuração, as empresas também devem pensar na segurança física das impressoras. Muitos dispositivos têm discos rígidos removíveis que armazenam imagens dos trabalhos de impressão, então os procedimentos de desativação precisam incluir a limpeza segura do disco. Em áreas compartilhadas ou abertas, a impressão deve exigir autenticação no próprio dispositivo, como liberação por crachá ou PIN, para evitar que documentos sensíveis sejam deixados na bandeja.
Além da caixa: cultura e política
Proteger impressoras não é apenas um problema técnico. O motivo de elas continuarem inseguras muitas vezes é cultural. Em muitas organizações, as impressoras são gerenciadas por facilities ou office managers, não pelas equipes de segurança. Isso faz com que fiquem fora da lista de ativos e do roadmap de segurança. Para corrigir isso, atribua a responsabilidade explícita pela segurança das impressoras à equipe de operações de TI e garanta que ela tenha orçamento e mandato para agir.
Também vale repensar os dados imprimíveis. Os trabalhos de impressão muitas vezes contêm informações pessoais identificáveis, registros financeiros ou documentos proprietários. Muitas impressoras modernas armazenam imagens em discos, que podem ser acessados após a desativação. Políticas fortes sobre desativação de dispositivos, limpeza de discos e impressão segura por liberação farão grande diferença na redução do risco.
A educação é igualmente importante. Os usuários não devem conseguir contornar medidas de segurança nem instalar drivers de terceiros que abram outros vetores. Em um ambiente centrado em Apple, os administradores podem aproveitar perfis para restringir a descoberta de dispositivos AirPrint e exigir criptografia para dispositivos Apple que se comuniquem com impressoras. No entanto, essas configurações protegem apenas o lado da Apple; a impressora em si continua vulnerável se não for reforçada e corrigida.
O caminho adiante: construir uma defesa completa
Como esta análise sugere, as impressoras são o equipamento menos seguro na maioria das organizações não porque sejam inerentemente malignas, mas porque são ignoradas. Atenção traz progresso. Para administradores Apple, em particular, o roteiro é claro: integrar impressoras à postura de segurança corporativa, exigir padrões seguros por padrão e aplicar governança com o mesmo rigor usado em Macs e iPhones. Quando isso acontecer, a impressora deixará de ser o ponto fraco de defesas que, de outro modo, são robustas.
Em uma era em que os atacantes procuram continuamente pontos fracos, deixar uma classe inteira de dispositivos sem gestão e sem possibilidade de patch não é apenas uma omissão - é um convite. Da próxima vez que passar pela impressora do escritório, olhe de novo. Ela pode ser o equipamento mais perigoso que você tem.
Este artigo é baseado na cobertura da 9to5Mac. Leia o artigo original.
Originally published on 9to5mac.com