談企業(yè)內(nèi)網(wǎng)打印安全管理方案的設(shè)計

劉 宇

（中國航天科技集團第四研究院四十二所 湖北 441003）

0 引言

隨著企業(yè)局域網(wǎng)的發(fā)展, 實現(xiàn)了計算機聯(lián)網(wǎng), 達成信息共享、資源共享和提高企業(yè)管理水平，這時原有的打印管理模式也不斷地發(fā)展，需要對局域網(wǎng)內(nèi)的打印安全管理工作進行規(guī)劃與建設(shè)。

1 局域網(wǎng)打印管理歷程分析

1.1 共享連接方式

該種方式下，網(wǎng)絡(luò)上的共享打印機以本地安裝方式通過普通并行接口(或串行接口)連接在網(wǎng)絡(luò)上的一臺計算機上，這臺計算機與其它計算機一樣連接在大家共同使用的網(wǎng)絡(luò)上面，連接打印機的計算機或工作站將所連接的打印機設(shè)置成共享設(shè)備，供網(wǎng)絡(luò)上的其他計算機使用。其它計算機上的打印命令和打印任務(wù)傳輸?shù)竭@臺與打印機相連的計算機上，由該計算機處理打印命令和打印任務(wù)，然后通過連接的打印機將大家的打印任務(wù)打印出來。這樣，這臺計算機事實上就起到了打印服務(wù)器的作用了。

1.2 外置打印服務(wù)器連接方式

外置打印服務(wù)器連接方式是通過打印機的主板提供的并口或者USB接口的連接方式，通過一些廠商提供的一種硬件，這種硬件的一端插在打印機提供的并口或者USB接口上，另一端上有一個網(wǎng)絡(luò)接口。這樣這臺打印機同樣也能夠一個單獨的網(wǎng)絡(luò)設(shè)備直接連接在網(wǎng)絡(luò)環(huán)境上了。這種硬件常常被稱作為外置打印服務(wù)器。

需要注意的是，這種外置打印服務(wù)器和主機相連時，其工作形式和主機打印服務(wù)器工作形式并不相同，該種形式下，與打印服務(wù)器相連的電腦主機無任何打印工作負擔。

1.3 內(nèi)置網(wǎng)卡打印服務(wù)器連接方式

該種方式相當于在打印機內(nèi)置一個打印服務(wù)器，這樣就不需要單獨閑置一臺電腦用做打印服務(wù)器。這些打印機上常常會直接安裝一塊網(wǎng)絡(luò)接口卡，這塊網(wǎng)絡(luò)接口卡直接插在打印機的主板上，在網(wǎng)絡(luò)接口卡上提供一個網(wǎng)絡(luò)接口。通過一根普通的網(wǎng)線可以將打印機的網(wǎng)絡(luò)接口與辦公環(huán)境網(wǎng)絡(luò)接口直接連接上，這樣這臺打印機就以一個單獨的網(wǎng)絡(luò)設(shè)備直接連接在網(wǎng)絡(luò)環(huán)境上了。這臺打印機的地位與該網(wǎng)絡(luò)環(huán)境上的計算機是相同的。這塊網(wǎng)絡(luò)接口卡就是一個打印服務(wù)器。

在使用內(nèi)置打印服務(wù)器的時候，一些打印機上有操作面板可以為打印機設(shè)置IP地址。同時也可以采取另外一種方式，在網(wǎng)絡(luò)環(huán)境中的一臺計算機上安裝網(wǎng)絡(luò)打印軟件，通過該軟件在這臺計算機上為打印機設(shè)置IP地址。

該連接方式的特點是：

（1）適合各種規(guī)模的網(wǎng)絡(luò)環(huán)境，構(gòu)成靈活簡便，適合現(xiàn)代網(wǎng)絡(luò)系統(tǒng)布線。

（2）使用性能較高、擴展能力和工作負荷能力較強的激光打印設(shè)備。

（3）打印系統(tǒng)成本主要取決于打印機的配置，龐大的擴充部件庫價值可能不低于打印機本身。

（4）網(wǎng)絡(luò)功能極強、工作效率很高、安全管理完善、設(shè)備可靠性較高。

（5）可以同時跨接兩個以上不同協(xié)議、不同操作系統(tǒng)的網(wǎng)絡(luò)。

2 局域網(wǎng)打印管理趨勢分析

縱觀網(wǎng)絡(luò)打印的發(fā)展歷程，不難發(fā)現(xiàn)共享打印和網(wǎng)絡(luò)打印之間的前后繼承性，和相互包容的范疇性，具體來講，網(wǎng)絡(luò)打印仍然是共享打印，只不過這樣的共享打印已經(jīng)遠非昨日的共享打印所能比擬的。事實上利用PC實現(xiàn)共享打印是網(wǎng)絡(luò)打印的最原始方式，實際上并不是真正意義上的網(wǎng)絡(luò)打印。

現(xiàn)代的網(wǎng)絡(luò)打印不是傳統(tǒng)意義上的局域打印，打印機已不在是一個外設(shè)，而作為網(wǎng)絡(luò)上的一個節(jié)點存在，能夠以網(wǎng)絡(luò)的速度實現(xiàn)高速打印輸出。而共享打印則是一種低端的網(wǎng)絡(luò)打印，打印機處于PC外設(shè)的地位，主要通過PC服務(wù)器或者共享服務(wù)器實現(xiàn)簡單的網(wǎng)絡(luò)連接，但是數(shù)據(jù)傳輸仍然必須通過打印機的并口來進行，因此速度很低。在打印效率方面，它們實際上是有本質(zhì)區(qū)別的。

網(wǎng)絡(luò)打印與共享打印最大的不同是它具有管理性，易用性和高可靠性，其中最核心的是可管理性，管理軟件已經(jīng)與打印服務(wù)器并列為其兩個核心部件。網(wǎng)絡(luò)打印管理軟件可提供卓越的管理性，極大地減少了管理人員用于處理網(wǎng)絡(luò)中打印相關(guān)問題的時間。現(xiàn)在的網(wǎng)絡(luò)打印已經(jīng)可以滿足用戶日益增加的需求,也已具備很多傳統(tǒng)共享打印所沒有的優(yōu)勢，它在提高設(shè)備使用效率、打印速度和質(zhì)量、提供個性化的打印滿足以及降低整體擁有成本方面的一系列優(yōu)勢，也逐漸為用戶所認識，隨著信息化的進一步推進，無論是個人企業(yè)，還是行業(yè)用戶對網(wǎng)絡(luò)打印需求的增加，用戶選擇網(wǎng)絡(luò)打印勢在必行。

3 企業(yè)局域網(wǎng)內(nèi)網(wǎng)絡(luò)打印安全管理方案

實踐證明，完整有效的局域網(wǎng)內(nèi)網(wǎng)絡(luò)打印安全管理方案包括軟件、硬件和管理三個方面內(nèi)容。網(wǎng)絡(luò)打印安全管理方案僅僅依靠技術(shù)是有其局限性，根據(jù)經(jīng)驗，管理性要求甚至比網(wǎng)絡(luò)打印能力顯得更為重要，如果不能做到全網(wǎng)打印的統(tǒng)一管理，再強的軟件也不能發(fā)揮應(yīng)有作用。

3.1 嚴格的權(quán)限控制

權(quán)限控制策略也稱安全策略，是用來控制和管理主體對客體訪問的一系列規(guī)則，它反映網(wǎng)絡(luò)打印管理對安全的需求。安全策略的制定和實施是圍繞主體、客體和安全控制規(guī)則集三者之間的關(guān)系展開的，在安全打印管理策略的制定和實施中，要遵循下列原則：

最小特權(quán)原則：最小特權(quán)原則是指主體執(zhí)行操作時，按照主體所需權(quán)利的最小化原則分配給主體權(quán)力。最小特權(quán)原則的優(yōu)點是最大程度地限制了主體實施授權(quán)行為，可以避免來自突發(fā)事件、錯誤和未授權(quán)使用主體的危險。

最小泄露原則：最小泄露原則是指主體執(zhí)行網(wǎng)絡(luò)打印任務(wù)時，按照主體所需要知道的信息最小化的原則分配給主體權(quán)力。

多級安全策略：多級安全策略是指主體和客體間的網(wǎng)絡(luò)打印數(shù)據(jù)流向和權(quán)限控制按照安全級別的絕密、機密、秘密、內(nèi)部和非秘密五級來劃分。多級安全策略的優(yōu)點是避免敏感信息的擴散。具有安全級別的信息資源，只有安全級別比他高的主體才能夠訪問然后進行打印。

3.2 數(shù)據(jù)加密管理

對數(shù)據(jù)進行加密，是解決泄密的最好方法，數(shù)據(jù)加密要求只有在指定的用戶或網(wǎng)絡(luò)下，才能解除密碼而獲得原來的數(shù)據(jù)，在未知網(wǎng)絡(luò)或者未授權(quán)用戶使用的情況下，數(shù)據(jù)顯示為密文。加密技術(shù)，能在源頭上保護數(shù)據(jù)。

按照作用的不同,數(shù)據(jù)加密技術(shù)可以分為數(shù)據(jù)傳輸加密、數(shù)據(jù)存儲加密、數(shù)據(jù)完整性加密管理等。數(shù)據(jù)傳輸加密是對傳輸中的數(shù)據(jù)流進行加密,常用的方法有鏈路加密、節(jié)點加密和端到端加密三種。數(shù)據(jù)存儲加密,是為了防止在存儲環(huán)節(jié)中造成信息泄露,分為密文存儲和存取控制兩種。數(shù)據(jù)完整性鑒別技術(shù)是對接入信息的傳送、存取、處理的人的身份和相關(guān)數(shù)據(jù)內(nèi)容進行驗證,達到保密的要求。

鏈路加密,對于在兩個網(wǎng)絡(luò)節(jié)點的某一次通信鏈路,鏈路加密能為網(wǎng)上傳輸?shù)臄?shù)據(jù)提供安全保證,所有的信息均以密文形式出現(xiàn),掩蓋了被傳輸消息的源點和終點,從而防止了對通信業(yè)務(wù)的分析。但是鏈路加密通常在點對點的同步或異步線路上,要求先對在鏈路兩端的加密設(shè)備進行同步,然后使用一種鏈模式對鏈路上傳輸?shù)臄?shù)據(jù)進行加密,這給網(wǎng)絡(luò)的性能和可管理性帶來了副作用。

節(jié)點加密,同鏈路加密操作方式類似,均在通信鏈路上為傳輸?shù)南⑻峁┌踩?這種方法對于防止攻擊者分析通信業(yè)務(wù)是脆弱的,同樣也會給網(wǎng)絡(luò)性能帶來不良影響。

端到端的加密,允許數(shù)據(jù)在從源點到終點的傳輸過程中始終以密文形式存在。采用端到端加密(又稱脫線加密或包加密),消息在被傳輸?shù)竭_終點之前不進行解密,因為消息在整個傳輸過程中均受到保護,所以即使有節(jié)點被損壞也不會使消息泄露,端到端的加密系統(tǒng)成本較低,并且與鏈路加密和節(jié)點加密相比更加可靠,更容易設(shè)計、實現(xiàn)和維護。端到端加密還避免了其它加密系統(tǒng)所固有的同步問題,因為每個數(shù)據(jù)包均是獨立加密的,所以一個報文包所發(fā)生的傳輸錯誤不會影響后續(xù)的報文包。此外,從用戶對安全需求的直覺上講,端到端加密更自然些。

從上述分析可以看出,采用鏈路加密或者節(jié)點加密,整個數(shù)據(jù)包都采用密文形式進行傳輸,這樣會造成網(wǎng)絡(luò)結(jié)構(gòu)的改變或網(wǎng)絡(luò)性能的降低,并且成本太高。

由于網(wǎng)絡(luò)打印安全系統(tǒng)工作在局域網(wǎng)中,采用集線器將用戶PC和網(wǎng)絡(luò)打印機進行連接,不涉及中間節(jié)點,按照不對網(wǎng)絡(luò)結(jié)構(gòu)做較大改動的要求,采用端到端的加密技術(shù)最為合適。在不改變網(wǎng)絡(luò)打印機傳輸網(wǎng)絡(luò)數(shù)據(jù)協(xié)議的基礎(chǔ)上,只對數(shù)據(jù)包內(nèi)容進行加密,網(wǎng)絡(luò)數(shù)據(jù)包以密文的形式在線路上進行傳輸,在網(wǎng)絡(luò)打印機的前端配置解密平臺對數(shù)據(jù)包進行解密。

3.3 安全審計

審計是對訪問控制的必要補充，是訪問控制的一個重要內(nèi)容。審計會對用戶使用何種信息資源、使用的時間、以及如何使用(執(zhí)行何種操作)進行記錄與監(jiān)控。日志用于全程記錄系統(tǒng)所有操作，便于分析判斷違規(guī)行為。日志分為打印任務(wù)日志、回收任務(wù)日志和系統(tǒng)日志。

打印任務(wù)日志對于打印任務(wù)從發(fā)起到輸出至打印機前的各個事件和狀態(tài)變化進行完整記錄，可追溯打印過程中發(fā)生的打印任務(wù)提出、審批、進入打印隊列、打印輸出等環(huán)節(jié)的關(guān)鍵信息。

回收任務(wù)日志記錄了回收任務(wù)各環(huán)節(jié)的關(guān)鍵信息。日志記錄了回收任務(wù)從發(fā)起請求至監(jiān)督確認的各個環(huán)節(jié)的關(guān)鍵信息。主要記錄了文檔編號、文件名稱、打印人、密級、文件用途、審批人、監(jiān)銷人、操作類型、操作結(jié)果、操作時間、打印機名、打印內(nèi)容、任務(wù)狀態(tài)、回收份數(shù)、回收銷毀頁數(shù)、已回收份數(shù)、申請回收份數(shù)、申請回收頁數(shù)等信息。

系統(tǒng)日志中詳細記錄了所有類型用戶除查詢外的所有操作日志，可以通過選擇開始時間以及結(jié)束時間來檢索要查看的系統(tǒng)日志。系統(tǒng)日志記錄了操作人、事件類型、操作時間、操作結(jié)果。

對于打印來說，打印內(nèi)容也是日志的一部分，但是其占用空間相對較大，管理員可以根據(jù)需要設(shè)置自動刪除的策略，或者手動刪除，為新的打印任務(wù)騰出空間。

3.4 打印機隔離

隨著網(wǎng)絡(luò)打印機技術(shù)的發(fā)展,現(xiàn)在的網(wǎng)絡(luò)打印機通過內(nèi)置打印服務(wù)器,使用獨立的網(wǎng)絡(luò)接口卡,擁有自己的IP地址,使用的網(wǎng)絡(luò)協(xié)議也是多種多樣,有些高端網(wǎng)絡(luò)打印機甚至內(nèi)置操作系統(tǒng)、存儲設(shè)備和IP協(xié)議棧。

從網(wǎng)絡(luò)角度來看,網(wǎng)絡(luò)打印機作為網(wǎng)絡(luò)中的一個獨立節(jié)點,不需要依附于網(wǎng)絡(luò)中的任何一臺電腦主機,通過自身攜帶的網(wǎng)絡(luò)端口和網(wǎng)絡(luò)連接,網(wǎng)絡(luò)中的任何一臺主機只要和該打印機在同一個局域網(wǎng)中,都可以訪問到該網(wǎng)絡(luò)打印機,并且任何一臺主機的開/關(guān)都不影響網(wǎng)絡(luò)打印機的正常使用。網(wǎng)絡(luò)打印機己經(jīng)從一個啞終端變成了一個獨立的同普通PC一樣的網(wǎng)絡(luò)設(shè)備,但是由于網(wǎng)絡(luò)打印機其自身的特殊性,不能像普通PC一樣通過安裝軟件來抵抗網(wǎng)絡(luò)攻擊,這就給網(wǎng)絡(luò)打印機的安全造成很大的威脅,所以要針對網(wǎng)絡(luò)打印機自身的特點尋求增強其抗攻擊能力的方法。

從目前情況來看,網(wǎng)絡(luò)打印機主要存在兩方面的漏洞:第一,內(nèi)置的FTP服務(wù)器不限制FTP PORT命令的使用,利用該漏洞,黑客可以通過FTP服務(wù)器任意連接系統(tǒng)；第二,內(nèi)置的HTTP服務(wù)器不能正確驗證特定HTTP請求,這樣黑客就可以任意更改系統(tǒng)配置,或發(fā)動DoS攻擊。

鑒于網(wǎng)絡(luò)打印機自身存在的安全漏洞及其特殊性,本文提出采用防火墻技術(shù)增強網(wǎng)絡(luò)打印機的安全性能,由于無法在其自身系統(tǒng)上安裝防火墻軟件以增強其自身安全性,可以通過在網(wǎng)絡(luò)打印機前端安裝一個嵌入式防火墻系統(tǒng)來解決這個問題。根據(jù)網(wǎng)絡(luò)打印機所處的環(huán)境,采用兩級過濾模式在兩個不同的過濾點進行網(wǎng)絡(luò)數(shù)據(jù)包的過濾,第一級在內(nèi)核下采用內(nèi)核模塊過濾的方式過濾發(fā)往網(wǎng)絡(luò)打印機的數(shù)據(jù)包,第二級在用戶層采用IPtables規(guī)則進行過濾,控制網(wǎng)絡(luò)上主機對網(wǎng)絡(luò)打印機的訪問,同時也限制了打印機對局域網(wǎng)的嗅探,從而增強網(wǎng)絡(luò)打印機的抗攻擊能力。

3.5 建立完善管理制度

要做好企業(yè)數(shù)據(jù)安全保護工作，除實施以上技術(shù)手段外，應(yīng)結(jié)合企業(yè)所處行業(yè)及企業(yè)自身的特點，制定一套完善的數(shù)據(jù)安全管理制度。流程化、規(guī)范化安全打印的相關(guān)工作。比如：在員工入職時需簽訂保密協(xié)議，確保員工保護好公司數(shù)據(jù)安全義務(wù)，如果發(fā)生丟失、外泄，應(yīng)以竊取公司機密而做出處理，讓員工明白他們應(yīng)承擔怎樣的后果。應(yīng)建立起文件打印的審批制度，明確責任人及其應(yīng)負的相應(yīng)職責；應(yīng)建立起涉密文件回收制度，定期進行涉密文件回收銷毀工作。

4 總結(jié)

通過以上措施，可以有效地保證企業(yè)網(wǎng)絡(luò)安全打印管理，封堵打印輸出泄露、遺失的途徑，并通過審計證據(jù)迅速定位事故源頭，從事前、事中、事后三個層面保障網(wǎng)絡(luò)打印安全。

［1］李華來，劉載文，許繼平，等． 基于HOOK技術(shù)的本地打印監(jiān)控系統(tǒng)開發(fā)，計算機工程與設(shè)計，2011，32(1):374-377.

[2]黎伶鋒，郝東白，張誠，等.打印監(jiān)控審計技術(shù)研究，計算機工程與設(shè)計，2009，30(2):484-486．

[3]趙志強，張雁.高校圖書館電子閱覽室網(wǎng)絡(luò)打印解決方案 圖書館學研究, 2009(4): 50-53

[4]任立學，劉知貴，趙強，等． 打印機監(jiān)控系統(tǒng)的設(shè)計與實現(xiàn).計算機應(yīng)用研究，2007，24(12): 217-219．