Riesgo de seguridad de un servicio que permite a un usuario probar la conectividad de un servidor a una impresora

Question

Riesgo de seguridad de un servicio que permite a un usuario probar la conectividad de un servidor a una impresora

#1 de Rоry McCune (2 votos)
#2 de sebastian nielsen (1 votos)

1

¿Cuáles son los riesgos de seguridad al agregar una función a una aplicación que permite a los usuarios probar la conectividad de un servidor a una impresora?

Estoy planeando agregar una función a mi aplicación para permitir a los usuarios hacer clic en un botón que probará si el servidor puede conectarse a una impresora. El botón no permitirá que el usuario envíe ningún dato, pero podrá especificar la dirección IP y el puerto de la impresora al que se conectará.

Me preocupan los riesgos de que un usuario malintencionado pueda usar esta función para realizar el escaneo de la red desde la perspectiva del servidor.

¿Cuáles serían algunos buenos controles para agregar a este tipo de instalaciones para minimizar los riesgos de seguridad? Por ejemplo, tal vez podría limitarlo a un puerto o puertos específicos que se usan para la configuración de la impresora o limitar la función para que solo pueda ser utilizada por un usuario privilegiado.

network webserver

pregunta Walfrat 29.02.2016 - 16:35

fuente

2 respuestas

1

Puede limitarlo al puerto 9100, que es un puerto de impresora común. No es necesario que sus impresoras estén configuradas para la impresión sin formato para poder probar "¿es esta IP una impresora?", Porque incluso si sus hosts están configurados para imprimir a través de IPP o similar, la impresora generalmente responde en la 9100 puerto sin procesar de todos modos.

631 es el puerto común para la impresión IPP.

515 es el puerto común para la impresión LPD.

Una buena idea aquí es que podría tener una entrada de forma libre, que permita CUALQUIER una IP de impresora válida (y un puerto arbitrario), O un puerto de impresión válido (pero una IP arbitraria). Y, por supuesto, puede configurarlo para que ciertos usuarios tengan la posibilidad de realizar exploraciones arbitrarias (por ejemplo, especificar una IP arbitraria y un altoguetro de puerto).

Para proteger aún más contra el abuso, por ejemplo, software automatizado y malware, sugeriría implementar un captcha, por lo que cada escaneo debe ser verificado por un humano, y solo se puede escanear una única IP a la vez.

Para fortalecer aún más la posibilidad de abusar, también puede tener un límite de tiempo establecido entre cada análisis, tanto globalmente (para todos los usuarios) como para cada usuario (ya sea identificado por IP, nombre de usuario / contraseña o ambos)

respondido por el sebastian nielsen 01.03.2016 - 16:17

fuente

Lea otras preguntas en las etiquetas network webserver

Archivo adjunto inesperado dentro de PDF Intercambiabilidad POST y POST

score 2 · Accepted Answer

Tiene razón al decir que, dependiendo de cómo se implementa la aplicación y quiénes son los usuarios, podría haber algunos riesgos al permitir que los usuarios hagan esto.

Algunos controles que probablemente ayuden en este tipo de escenario

Permitir que los administradores especifiquen una lista de impresoras válidas, y luego permitir que los usuarios solo elijan de esa lista de impresoras. Esta es probablemente la mejor opción, ya que elimina la capacidad del usuario para ingresar direcciones IP y puertos arbitrarios a la aplicación.
Como se mencionó, la restricción a puertos específicos puede reducir el riesgo, sin embargo, algunas impresoras operan en los puertos web comunes, por lo que es de uso limitado.
También restringir qué usuario puede usar la instalación reduciría el riesgo.
Registrar todas las acciones, aunque no evitará el abuso, podría ser una función útil para permitir que los administradores detecten y reaccionen a ese abuso después del hecho.