Вопрос или проблема
Уже как минимум год сетевой принтер в моем офисе случайным образом печатает страницы с абракадаброй. Или, по крайней мере, большая часть из этого – абракадабра, но часть похожа на HTTP-запросы. Это выглядит так, как оформляет принтер, когда вы отправляете ему текстовый файл без стилистической информации. Эти страницы печатаются в любое время дня, иногда в ранние утренние часы, иногда поздно ночью. Мы озадачены причинами, и я обеспокоен, что это может быть какой-то проблемой безопасности. Я приложил фотографию некоторых страниц, которые он распечатал. Количество страниц довольно изменчиво, иногда одна или две в день, иногда 30 или 40. Есть идеи?
Дополнение: Я кратко работал в двух других местах в нашей организации, где наблюдалась эта проблема. В одном другом, где не было. Каждое место имеет свой набор постоянных сотрудников.
часть похожа на HTTP-запросы
Это действительно HTTP-запросы. Ваш принтер доступен из Интернета – кто-то дал ему публичный IP-адрес и, по-видимому, забыл поставить его за любой видом защитного экрана – и теперь он распечатывает каждую проверку ботнета, которая через него проходит.
“Мусорная” страница выглядит так, будто на ней напечатана рукопожатие TLS (пакет ClientHello).
На двух других распечатках заголовок Host: содержит фактический адрес, который доступен (может быть, сам принтер, может быть, маршрутизатор с “переадресацией порта”), а :9100 – это один из стандартных сетевых портов печати (JetDirect или “raw”, как это называет Windows), который обычно принимает задания в форматах PCL5 и подобных, но действительно также будет печатать любой полученный простой текст.
Ответ или решение
Конечно, давайте разберемся в вопросе и узнаем, почему ваш сетевой принтер печатает ненужные страницы с символами и HTTP-запросами.
Теория
Для начала стоит понять, что проблема, с которой вы столкнулись, скорее всего, связана с безопасностью вашей сети и неправильной конфигурацией принтера. Ваша жалоба о том, что документы содержат "шум" и неструктурированную информацию, включая HTTP-запросы, указывает на то, что принтер получает команды для печати из источников, которые он изначально не должен обрабатывать.
Принтеры сегодня являются сетевыми устройствами, которые могут использовать протоколы Интернет-соединений, включая HTTP, для выполнения команд печати. Если принтер напрямую подключен к Интернету без какой-либо защиты, он становится уязвимым для несанкционированных запросов, что и может быть причиной проблемы. Злоумышленники или автоматические системы сканирования ботов часто ищут уязвимости в сетях и устройствах, подключенных к Интернету. Ваш принтер, судя по описанию, принял часть таких запросов и попытался их распечатать, что и привело к возникновению застолбленных страниц.
Пример
Обратите внимание на страницы с HTTP-запросами и другими данными, которые принтер интерпретировал как команду на печать. В условиях открытого доступа ваш принтер изолирован от стандартных методов аутентификации и верификации, что делает его легкой жертвой для наружных воздействий. Малейшая неправильная конфигурация, например, открытие порта 9100 без ограничения доступа, может привести к подобным последствиям.
В описанном вами случае порты вашей сети не защищены должным образом, и принтер, возможно, находится в общем доступе в Интернете. Стандартный порт для протокола JetDirect (также известного как сырой режим в Windows) действительно открыт для приема различных типов данных, включая простые текстовые команды, что было использовано ботами или злоумышленниками для генерации "мусорных" страниц.
Применение
Для решения этой проблемы и предотвращения ее повторного возникновения, вам следует предпринять ряд шагов:
-
Изоляция принтера от Интернет-доступа: Убедитесь, что принтер настроен для работы только внутри вашей локальной сети. Для этого важно настроить маршрутизатор и брандмауэр таким образом, чтобы любой внешний доступ был заблокирован.
-
Блокировка несанкционированных портов: Проверьте все сетевые порты, используемые вашим принтером, и убедитесь, что только те порты, которые необходимы, остаются открытыми для доступа. Порт 9100, упомянутый в одном из запросов, может быть закрыт или ограничен для доступа только ваших локальных IP-адресов.
-
Обновление прошивки и драйверов принтера: Часто производители выпускают обновления, которые исправляют существующие уязвимости. Убедитесь, что ваш принтер использует последнее программное обеспечение, предоставленное производителем.
-
Введение мер безопасности: Используйте шифрование данных и аутентификацию пользователей перед тем, как разрешать отправку данных на печать. Это поможет предотвратить несанкционированный доступ к устройству.
-
Аудит безопасности сети: Проводите регулярные проверки конфигурации сети и устройств для выявления и устранения уязвимостей.
Заключение: Проблема, с которой вы столкнулись, скорее всего, связана с тем, что ваш сетевой принтер неправильно настроен и открыт для несанкционированного доступа из Интернета. Приняв меры для защиты вашей сети и устройства, вы сможете предотвратить повторение таких инцидентов и обезопасить IT-инфраструктуру вашей организации от потенциальных угроз и атак.