Yazıcı Ağ Güvenliği: Sık Atlanan 6 Temel Önlem

Yazıcı Neden Ağdaki En Az Korunan Cihazdır?

Kurumsal ağlarda sunucular, dizüstü bilgisayarlar ve güvenlik duvarları düzenli olarak denetlenir; yama takvimleri, erişim politikaları ve kayıt incelemeleri bellidir. Aynı ağa bağlı çok fonksiyonlu yazıcılar ise çoğu zaman kurulum günündeki ayarlarıyla yıllarca çalışır. Oysa bugünün bir fotokopi makinesi; işletim sistemi, web sunucusu, depolama birimi, e-posta istemcisi ve ağ servisleri olan küçük bir bilgisayardır. Taradığı belgeleri e-postaya ya da paylaşılan klasöre gönderir, adres defterinde kullanıcı bilgileri tutar, bazı modellerde iş geçmişini diskinde saklar.

Bu cihazlar genellikle "BT'nin değil, idari işlerin" ya da "kiralayan firmanın" sorumluluğunda görüldüğü için güvenlik denetimlerinin arasından kayar. Kiralama ve servis firması cihazı kurar, sayaç okumasını ve toner gönderimini ayarlar; müşterinin BT ekibi ise cihazı kendi envanterinde bir ağ uç noktası olarak hiç ele almayabilir. Sonuçta kimsenin tam olarak sahiplenmediği, varsayılan ayarlarla çalışan bir cihaz ortaya çıkar.

Bu yazıda yazıcı ve çok fonksiyonlu cihaz (MFP) güvenliğinde en sık atlanan altı temel önlemi ele alıyoruz. Önerilerin hiçbiri ek ürün satın almayı gerektirmez; çoğu cihazın kendi yönetim arayüzünden yapılabilen ayarlardır. Ancak her birinin, servis firmasının uzaktan izleme ve sayaç okuma süreçleriyle birlikte düşünülmesi gerekir.

1. Varsayılan Yönetici Parolasını Değiştirmek

Her yazıcının bir yönetim arayüzü vardır: tarayıcıdan cihazın IP adresine girildiğinde açılan gömülü web sunucusu (HP'de EWS, diğer üreticilerde farklı adlarla). Bu arayüzden ağ ayarları, tarama hedefleri, adres defteri ve güvenlik seçenekleri değiştirilebilir. Pek çok cihazda bu arayüzün yönetici parolası fabrikadan boş ya da kılavuzda yazan standart bir değerle gelir.

Varsayılan parola, ağa erişimi olan herkesin cihazın ayarlarını değiştirebilmesi demektir. Saldırgan açısından en kolay senaryo, tarama hedefini kendi kontrol ettiği bir klasöre ya da e-posta adresine yönlendirmektir. Daha sıradan bir senaryoda ise bir kullanıcı iyi niyetle ayarları kurcalar ve cihazın IP adresini değiştirir; bunun sonuçlarını ağ yazıcısında IP adresi değişimi yazısında ayrıntılı anlattık.

Uygulamada dikkat edilmesi gerekenler:

• Yönetici parolası cihaz bazında farklı olmalı ya da en azından müşteri bazında ayrıştırılmalıdır. Bütün filoda aynı parolayı kullanmak, tek bir sızıntının tüm cihazları açması anlamına gelir.
• Parolalar teknisyenin not defterinde değil, erişimi kayıt altında tutulan bir parola kasasında saklanmalıdır.
• HP cihazlarda EWS parolasının yanında PJL (Printer Job Language) parolası da ayrıca ele alınmalıdır. Pennsylvania Üniversitesi'nin HP yapılandırma rehberi, PJL parolası tanımlanmamış cihazlarda bazı depolanmış içeriklere uzaktan erişilebildiği konusunda uyarır.

2. Kullanılmayan Protokol ve Servisleri Kapatmak

Yazıcılar fabrikadan olabildiğince "her ortamda çalışsın" diye çıkar. Bu nedenle aynı anda çok sayıda baskı ve yönetim protokolü açık gelir: ham soket baskısı (port 9100), LPD/LPR (port 515), IPP (port 631), WSD, SMB, FTP, Telnet, SNMP ve bazı modellerde eski ağ protokolleri. Kurumun gerçekte kullandığı genellikle bunların bir veya ikisidir.

Üniversitelerin yayımladığı MFP sertleştirme kontrol listeleri (Northwestern, Texas Üniversitesi gibi) ortak bir ilkeyi tekrarlar: kullanılmayan her servis kapatılmalıdır. Özellikle Telnet ve FTP kimlik bilgilerini şifresiz taşıdığı için öncelikli olarak kapatılmalı, yönetim arayüzüne yalnız HTTPS ile erişilmelidir.

Burada iki uyarı önemlidir:

• Port 9100'ü körlemesine kapatmayın. Birçok sürücü, özellikle HP sürücüleri, varsayılan olarak ham soket baskısını kullanır. Bu portu kapatmak baskıyı durdurabilir. Önce yazdırma sunucusunun ve istemcilerin hangi protokolü kullandığını doğrulayın.
• IPP gerekiyorsa şifreli biçimini tercih edin. Cihaz destekliyorsa IPP yerine TLS üzerinden çalışan IPPS kullanılmalıdır.

Bir protokolü kapatmadan önce cihazı kimin, hangi yoldan kullandığını bilmek gerekir. Bu da envanterin güncel olmasına bağlıdır; filodaki cihazların konum, IP ve model bilgisinin nasıl çıkarılacağını yazıcı filosu envanteri yazısında anlattık.

3. SNMP'yi Güvenli Sürüme Taşımak

SNMP (Simple Network Management Protocol), yazıcının sayaç değerlerini, toner seviyelerini ve hata durumlarını ağ üzerinden okumaya yarayan protokoldür. Servis firmaları için vazgeçilmezdir: uzaktan sayaç okuma ve toner takibi büyük ölçüde SNMP'ye dayanır. Nasıl çalıştığını SNMP ile yazıcı sayaç okuma yazısında ayrıntılı ele aldık.

Sorun, cihazların büyük çoğunluğunun SNMPv1/v2c ile ve "public" gibi varsayılan topluluk adlarıyla gelmesidir. Bu sürümlerde topluluk adı bir tür parola işlevi görür ama ağ üzerinde şifresiz taşınır. Yazma (set) yetkisi açık bırakılmış bir topluluk adı, cihaz ayarlarının uzaktan değiştirilmesine de kapı açar.

Önerilen yaklaşım:

• Cihaz destekliyorsa kimlik doğrulama ve şifreleme ile yapılandırılmış SNMPv3'e geçin ve SNMPv1'i kapatın.
• SNMPv3 hemen mümkün değilse en azından varsayılan topluluk adını değiştirin ve yazma erişimini kapatın; yalnız okuma yetkisi bırakın.
• SNMP sorgularını yalnız izleme sunucusunun IP adresinden kabul edecek şekilde erişim listesi tanımlayın.

Bu adım servis firmasıyla birlikte planlanmalıdır. SNMP ayarı değiştiğinde uzaktan sayaç okuma sessizce durabilir ve sorun ancak ay sonu faturalandırmasında fark edilir. Bu yüzden geçişten önce izleme aracının SNMPv3'ü destekleyip desteklemediği kontrol edilmeli, geçişten sonra da her cihazın verisinin yeniden geldiği doğrulanmalıdır. Sayaç takip programı kullanan firmalar için en pratik kontrol, değişiklikten sonraki ilk okuma döngüsünde veri göndermeyen cihazların listesine bakmaktır.

4. Yönetim Erişimini ve Ağ Konumunu Sınırlamak

Yazıcının ağa bağlı olması, ağdaki herkesin ona her şekilde erişebilmesi gerektiği anlamına gelmez. Kullanıcıların yalnız baskı göndermesi, yönetim arayüzüne ise yalnız BT ekibi ve servis firmasının erişmesi yeterlidir.

Bu ayrımı sağlamanın yolları:

• IP erişim listesi: Pek çok cihaz, yönetim arayüzüne ve baskı portlarına hangi IP aralıklarından erişilebileceğini tanımlamaya izin verir.
• Ağ ayrıştırması: Yazıcıları ayrı bir VLAN'a almak ve yalnız yazdırma sunucusunun bu ağa baskı gönderebilmesini sağlamak, ele geçirilmiş bir cihazın diğer sistemlere yayılmasını zorlaştırır.
• İnternete doğrudan açık cihaz olmaması: Yazıcının yönetim arayüzü veya baskı portu hiçbir koşulda doğrudan internete açılmamalıdır. Uzaktan erişim gerekiyorsa VPN ya da üreticinin güvenli bulut bağlantısı kullanılmalıdır.
• Kullanılmayan uzaktan özellikler: Bulut baskısı, Wi-Fi Direct ve uzaktan yönetim gibi özellikler kullanılmıyorsa kapatılmalıdır.

Ağ ayrıştırması, Windows yazdırma kuyruğu (Print Spooler) gibi istemci tarafı bileşenlerdeki açıkların etkisini de sınırlar. 2021'de PrintNightmare adıyla bilinen yazdırma kuyruğu açığı, yazdırma altyapısının yalnız cihazdan ibaret olmadığını hatırlatmıştı.

5. Firmware'i Planlı Biçimde Güncel Tutmak

Yazıcı firmware'i, cihazın işletim sistemidir. Üreticiler güvenlik açıklarını firmware güncellemeleriyle kapatır. Kurulumdan sonra hiç güncellenmemiş bir cihaz, o tarihten bu yana yayımlanmış bütün açıkları taşır.

Ancak firmware güncellemesi rastgele yapılacak bir iş de değildir. Güncelleme sürücü uyumluluğunu, tarama hedeflerini ya da bazı durumlarda üçüncü taraf sarf malzemesi desteğini etkileyebilir. Bu dengeyi yazıcı firmware güncellemesinin faydaları ve riskleri yazısında ele aldık.

Pratik bir firmware politikası şunları içermelidir:

• Filodaki her modelin mevcut firmware sürümünün bilinmesi,
• Üreticinin güvenlik bültenlerinin düzenli takip edilmesi,
• Güncellemenin önce tek bir cihazda denenip sonra yaygınlaştırılması,
• Güncellemeden sonra güvenlik ayarlarının yeniden kontrol edilmesi; bazı güncellemeler ayarları varsayılana döndürebilir.

Son madde sıklıkla atlanır. Üniversitelerin MFP sertleştirme kontrol listeleri, yama ve üretici bakımı sonrasında güvenlik yapılandırmasının yeniden doğrulanmasını önerir. Servis ziyareti sırasında yapılan bir sıfırlama, aylarca önce kapatılmış bir protokolü yeniden açabilir.

6. Cihazdaki Veriyi Ömrü Boyunca Korumak

Çok fonksiyonlu cihazların önemli bir kısmında sabit disk ya da SSD bulunur. Bu depolama birimi kuyruktaki işleri, taranan belgeleri, faks arşivini ve adres defterini tutabilir. Cihaz çalışırken bu veri yetkisiz erişime, cihaz servisten çıktığında veya kiralama bitip başka bir müşteriye gittiğinde ise doğrudan sızıntıya açıktır.

Atılması gereken adımlar:

• Disk şifreleme: Cihaz destekliyorsa depolama biriminin şifrelemesi etkinleştirilmelidir.
• Otomatik iş silme: Tamamlanan baskı ve tarama işlerinin diskten belirli aralıklarla ya da iş bitiminde silinmesi sağlanmalıdır.
• Güvenli baskı: Hassas belgelerin kullanıcı cihaza gelip kimliğini doğrulayana kadar yazdırılmaması, çıktıların tepside unutulmasını engeller.
• İade ve hurdaya ayırma prosedürü: Kiralama sonunda geri alınan ya da başka bir müşteriye gönderilecek cihazlarda depolama birimi üreticinin güvenli silme özelliğiyle temizlenmeli veya sökülerek imha edilmelidir. Bu işlemin hangi cihazda, kim tarafından ve ne zaman yapıldığı kayda geçirilmelidir.

Son madde servis ve kiralama firmaları için ayrıca önemlidir. Bir cihazın müşteriden müşteriye geçişini seri numarası üzerinden izlemek, silme işleminin atlanmadığını kanıtlamanın en güvenilir yoludur. Bu konuyu seri numarası ile cihaz takibi yazısında ele aldık.

Güvenlik Ayarlarını Servis Sürecine Bağlamak

Yukarıdaki önlemlerin ortak noktası, hepsinin bir kez yapılıp unutulamamasıdır. Yeni cihaz kurulumu, firmware güncellemesi, anakart değişimi ya da fabrika ayarlarına dönüş gibi her müdahale güvenlik yapılandırmasını bozabilir. Bu yüzden güvenlik kontrolü teknik servis sürecinin bir adımı olarak tanımlanmalıdır.

Uygulanabilir bir model şöyle olabilir:

1. Her müşteri için bir güvenlik temel yapılandırması belirlenir: hangi protokollerin açık kalacağı, SNMP sürümü, erişim listesi, disk şifreleme durumu. 2. Kurulum iş emrinin kapanış adımlarına bu yapılandırmanın uygulandığının onayı eklenir. 3. Firmware güncellemesi veya fabrika ayarlarına dönüş içeren iş emirlerinde aynı kontrol yeniden istenir. 4. Uzaktan izleme verisi kesilen cihazlar ayrıca incelenir; çünkü ağ veya SNMP ayarındaki bir değişiklik çoğu zaman ilk olarak burada kendini gösterir.

Bu kontrollerin iş emri üzerinde tutulması, sonradan "bu cihazda Telnet neden açık?" sorusunun cevabını bulmayı kolaylaştırır. PrintBeacon gibi bir servis yönetim sisteminde kurulum ve bakım iş emirlerine kontrol adımı eklemek, güvenlik ayarının teknisyenin hafızasına bırakılmasını önler. Benzer kontrol akışlarını teknik servis yönetimi sayfamızda ve diğer çözümlerimizde bulabilirsiniz.

Kontrol Listesi

Bir sonraki cihaz kurulumunda ya da filo denetiminde şu sorulara cevap verin:

• Yönetici parolası (ve HP cihazlarda PJL parolası) varsayılandan farklı mı?
• Telnet, FTP ve kullanılmayan baskı protokolleri kapalı mı? Yönetim arayüzüne yalnız HTTPS ile mi erişiliyor?
• SNMP v3'e taşındı mı; değilse topluluk adı değiştirildi ve yazma yetkisi kapatıldı mı?
• Yönetim arayüzüne erişim IP veya VLAN ile sınırlı mı? Cihaz internetten erişilebilir durumda mı?
• Firmware sürümü biliniyor mu ve son güncellemeden sonra ayarlar yeniden kontrol edildi mi?
• Disk şifreleme açık mı ve cihaz iade edildiğinde güvenli silme kaydı tutuluyor mu?

Bu altı soruya "evet" diyebilen bir filo, yazıcıdan kaynaklanan risklerin büyük kısmını sıradan ayarlarla kapatmış olur.