隨著企業(yè)局域網(wǎng)的發(fā)展，實現(xiàn)了計算機聯(lián)網(wǎng)，達成信息共享、資源共享和提高企業(yè)管理水平，這時原有的打印管理模式也不斷地發(fā)展，需要對局域網(wǎng)內(nèi)的打印安全管理工作進行規(guī)劃與建設。
1、局域網(wǎng)打印管理歷程分析
1.1共享連接方式
該種方式下，網(wǎng)絡上的共享打印機以本地安裝方式通過普通并行接口(或串行接口)連接在網(wǎng)絡上的一臺計算機上，這臺計算機與其它計算機一樣連接在大家共同使用的網(wǎng)絡上面，連接打印機的計算機或工作站將所連接的打印機設置成共享設備，供網(wǎng)絡上的其他計算機使用。其它計算機上的打印命令和打印任務傳輸?shù)竭@臺與打印機相連的計算機上，由該計算機處理打印命令和打印任務，然后通過連接的打印機將大家的打印任務打印出來。這樣，這臺計算機事實上就起到了打印服務器的作用了。
1.2外置打印服務器連接方式
外置打印服務器連接方式是通過打印機的主板提供的并口或者USB接口的連接方式，通過一些廠商提供的一種硬件，這種硬件的一端插在打印機提供的并口或者USB接口上，另一端上有一個網(wǎng)絡接口。這樣這臺打印機同樣也能夠一個單獨的網(wǎng)絡設備直接連接在網(wǎng)絡環(huán)境上了。這種硬件常常被稱作為外置打印服務器。
需要注意的是，這種外置打印服務器和主機相連時，其工作形式和主機打印服務器工作形式并不相同，該種形式下，與打印服務器相連的電腦主機無任何打印工作負擔。
1.3內(nèi)置網(wǎng)卡打印服務器連接方式
該種方式相當于在打印機內(nèi)置一個打印服務器，這樣就不需要單獨閑置一臺電腦用做打印服務器。這些打印機上常常會直接安裝一塊網(wǎng)絡接口卡，這塊網(wǎng)絡接口卡直接插在打印機的主板上，在網(wǎng)絡接口卡上提供一個網(wǎng)絡接口。通過一根普通的網(wǎng)線可以將打印機的網(wǎng)絡接口與辦公環(huán)境網(wǎng)絡接口直接連接上，這樣這臺打印機就以一個單獨的網(wǎng)絡設備直接連接在網(wǎng)絡環(huán)境上了。這臺打印機的地位與該網(wǎng)絡環(huán)境上的計算機是相同的。這塊網(wǎng)絡接口卡就是一個打印服務器。
在使用內(nèi)置打印服務器的時候，一些打印機上有操作面板可以為打印機設置IP地址。同時也可以采取另外一種方式，在網(wǎng)絡環(huán)境中的一臺計算機上安裝網(wǎng)絡打印軟件，通過該軟件在這臺計算機上為打印機設置IP地址。
該連接方式的特點是：
(1)適合各種規(guī)模的網(wǎng)絡環(huán)境，構(gòu)成靈活簡便，適合現(xiàn)代網(wǎng)絡系統(tǒng)布線。
(2)使用性能較高、擴展能力和工作負荷能力較強的激光打印設備。
(3)打印系統(tǒng)成本主要取決于打印機的配置，龐大的擴充部件庫價值可能不低于打印機本身。
(4)網(wǎng)絡功能極強、工作效率很高、安全管理完善、設備可靠性較高。
(5)可以同時跨接兩個以上不同協(xié)議、不同操作系統(tǒng)的網(wǎng)絡。
2、局域網(wǎng)打印管理趨勢分析
縱觀網(wǎng)絡打印的發(fā)展歷程，不難發(fā)現(xiàn)共享打印和網(wǎng)絡打印之間的前后繼承性，和相互包容的范疇性，具體來講，網(wǎng)絡打印仍然是共享打印，只不過這樣的共享打印已經(jīng)遠非昨日的共享打印所能比擬的。事實上利用PC實現(xiàn)共享打印是網(wǎng)絡打印的最原始方式，實際上并不是真正意義上的網(wǎng)絡打印。現(xiàn)代的網(wǎng)絡打印不是傳統(tǒng)意義上的局域打印，打印機己不在是一個外設，而作為網(wǎng)絡上的一個節(jié)點存在，能夠以網(wǎng)絡的速度實現(xiàn)高速打印輸出。而共享打印則是一種低端的網(wǎng)絡打印，打印機處于Pc外設的地位，主要通過PC服務器或者共享服務器實現(xiàn)簡單的網(wǎng)絡連接，但是數(shù)據(jù)傳輸仍然必須通過打印機的并口來進行，因此速度很低。在打印效率方面，它們實際上是有本質(zhì)區(qū)別的。網(wǎng)絡打印與共享打印最大的不同是它具有管理性，易用性和高可靠性，其中最核心的是可管理性，管理軟件已經(jīng)與打印服務器并列為其兩個核心部件。網(wǎng)絡打印管理軟件可提供卓越的管理性，極大地減少了管理人員用于處理網(wǎng)絡中打印相關問題的時間。現(xiàn)在的網(wǎng)絡打印已經(jīng)可以滿足用戶日益增加的需求，也已具備很多傳統(tǒng)共享打印所沒有的優(yōu)勢，它在提高設備使用效率、打印速度和質(zhì)量、提供個性化的打印滿足以及降低整體擁有成本方面的一系列優(yōu)勢，也逐漸為用戶所認識，隨著信息化的進一步推進，無論是個人企業(yè)，還是行業(yè)用戶對網(wǎng)絡打印需求的增加，用戶選擇網(wǎng)絡打印勢在必行。
3、企業(yè)局域網(wǎng)內(nèi)網(wǎng)絡打印安全管理方案
實踐證明，完整有效的局域網(wǎng)內(nèi)網(wǎng)絡打印安全管理方案包括軟件、硬件和管理三個方面內(nèi)容。網(wǎng)絡打印安全管理方案僅僅依靠技術是有其局限性，根據(jù)經(jīng)驗，管理性要求甚至比網(wǎng)絡打印能力顯得更為重要，如果不能做到全網(wǎng)打印的統(tǒng)一管理，再強的軟件也不能發(fā)揮應有作用。
3.1嚴格的權限控制
權限控制策略也稱安全策略，是用來控制和管理主體對客體訪問的一系列規(guī)則，它反映網(wǎng)絡打印管理對安全的需求。安全策略的制定和實施是圍繞主體、客體和安全控制規(guī)則集三者之間的關系展開的，在安全打印管理策略的制定和實施中，要遵循下列原則：
最小特權原則：最小特權原則是指主體執(zhí)行操作時，按照主體所需權利的最小化原則分配給主體權力。最小特權原則的優(yōu)點是最大程度地限制了主體實施授權行為，可以避免來自突發(fā)事件、錯誤和未授權使用主體的危險。
最小泄露原則：最小泄露原則是指主體執(zhí)行網(wǎng)絡打印任務時，按照主體所需要知道的信息最小化的原則分配給主體權力。
多級安全策略：多級安全策略是指主體和客體間的網(wǎng)絡打印數(shù)據(jù)流向和權限控制按照安全級別的絕密、機密、秘密、內(nèi)部和非秘密五級來劃分。多級安全策略的優(yōu)點是避免敏感信息的擴散。具有安全級別的信息資源，只有安全級別比他高的主體才能夠訪問然后進行打印。
3.2數(shù)據(jù)加密管理
對數(shù)據(jù)進行加密，是解決泄密的最好方法，數(shù)據(jù)加密要求只有在指定的用戶或網(wǎng)絡下，才能解除密碼而獲得原來的數(shù)據(jù)，在未知網(wǎng)絡或者未授權用戶使用的情況下，數(shù)據(jù)顯示為密文。加密技術，能在源頭上保護數(shù)據(jù)。
按照作用的不同，數(shù)據(jù)加密技術可以分為數(shù)據(jù)傳輸加密、數(shù)據(jù)存儲加密、數(shù)據(jù)完整性加密管理等。數(shù)據(jù)傳輸加密是對傳輸中的數(shù)據(jù)流進行加密，常用的方法有鏈路加密、節(jié)點加密和端到端加密三種。數(shù)據(jù)存儲加密，是為了防止在存儲環(huán)節(jié)中造成信息泄露，分為密文存儲和存取控制兩種。數(shù)據(jù)完整性鑒別技術是對接入信息的傳送、存取、處理的人的身份和相關數(shù)據(jù)內(nèi)容進行驗證，達到保密的要求。
鏈路加密，對于在兩個網(wǎng)絡節(jié)點的某一次通信鏈路，鏈路加密能為網(wǎng)上傳輸?shù)臄?shù)據(jù)提供安全保證，所有的信息均以密文形式出現(xiàn)，掩蓋了被傳輸消息的源點和終點，從而防止了對通信業(yè)務的分析。但是鏈路加密通常在點對點的同步或異步線路上，要求先對在鏈路兩端的加密設備進行同步，然后使用一種鏈模式對鏈路上傳輸?shù)臄?shù)據(jù)進行加密，這給網(wǎng)絡的性能和可管理性帶來了副作用。
節(jié)點加密，同鏈路加密操作方式類似，均在通信鏈路上為傳輸?shù)南⑻峁┌踩裕@種方法對于防止攻擊者分析通信業(yè)務是脆弱的，同樣也會給網(wǎng)絡性能帶來不良影響。
端到端的加密，允許數(shù)據(jù)在從源點到終點的傳輸過程中始終以密文形式存在。采用端到端加密(又稱脫線加密或包加密)，消息在被傳輸?shù)竭_終點之前不進行解密，因為消息在整個傳輸過程中均受到保護，所以即使有節(jié)點被損壞也不會使消息泄露，端到端的加密系統(tǒng)成本較低，并且與鏈路加密和節(jié)點加密相比更加可靠。更容易設計、實現(xiàn)和維護。端到端加密還避免了其它加密系統(tǒng)所固有的同步問題，因為每個數(shù)據(jù)包均是獨立加密的，所以一個報文包所發(fā)生的傳輸錯誤不會影響后續(xù)的報文包。此外，從用戶對安全需求的直覺上講，端到端加密更自然些。
從上述分析可以看出，采用鏈路加密或者節(jié)點加密，整個數(shù)據(jù)包都采用密文形式進行傳輸，這樣會造成網(wǎng)絡結(jié)構(gòu)的改變或網(wǎng)絡性能的降低，并且成本太高。
由于網(wǎng)絡打印安全系統(tǒng)工作在局域網(wǎng)中，采用集線器將用戶PC和網(wǎng)絡打印機進行連接，不涉及中間節(jié)點，按照不對網(wǎng)絡結(jié)構(gòu)做較大改動的要求，采用端到端的加密技術最為合適。在不改變網(wǎng)絡打印機傳輸網(wǎng)絡數(shù)據(jù)協(xié)議的基礎上，只對數(shù)據(jù)包內(nèi)容進行加密，網(wǎng)絡數(shù)據(jù)包以密文的形式在線路上進行傳輸，在網(wǎng)絡打印機的前端配置解密平臺對數(shù)據(jù)包進行解密。
3.3安全審計
審計是對訪問控制的必要補充，是訪問控制的一個重要內(nèi)容。審計會對用戶使用何種信息資源、使用的時間、以及如何使用(執(zhí)行何種操作)進行記錄與監(jiān)控。日志用于全程記錄系統(tǒng)所有操作，便于分析判斷違規(guī)行為。日志分為打印任務日志、回收任務日志和系統(tǒng)日志。
打印任務日志對于打印任務從發(fā)起到輸出至打印機前的各個事件和狀態(tài)變化進行完整記錄，可追溯打印過程中發(fā)生的打印任務提出、審批、進入打印隊列、打印輸出等環(huán)節(jié)的關鍵信息。
回收任務日志記錄了回收任務各環(huán)節(jié)的關鍵信息。日志記錄了回收任務從發(fā)起請求至監(jiān)督確認的各個環(huán)節(jié)的關鍵信息。主要記錄了文檔編號、文件名稱、打印人、密級、文件用途、審批人、監(jiān)銷人、操作類型、操作結(jié)果、操作時間、打印機名、打印內(nèi)容、任務狀態(tài)、回收份數(shù)、回收銷毀頁數(shù)、已回收份數(shù)、申請回收份數(shù)、申請回收頁數(shù)等信息。
系統(tǒng)日志中詳細記錄了所有類型用戶除查詢外的所有操作日志，可以通過選擇開始時間以及結(jié)束時間來檢索要查看的系統(tǒng)日志。系統(tǒng)日志記錄了操作人、事件類型、操作時間、操作結(jié)果。
對于打印來說，打印內(nèi)容也是日志的一部分，但是其占用空間相對較大，管理員可以根據(jù)需要設置自動刪除的策略，或者手動刪除，為新的打印任務騰出空間。
3.4打印機隔離
隨著網(wǎng)絡打印機技術的發(fā)展，現(xiàn)在的網(wǎng)絡打印機通過內(nèi)置打印服務器，使用獨立的網(wǎng)絡接口卡，擁有自己的IP地址，使用的網(wǎng)絡協(xié)議也是多種多樣，有些高端網(wǎng)絡打印機甚至內(nèi)置操作系統(tǒng)、存儲設備和IP協(xié)議棧。從網(wǎng)絡角度來看，網(wǎng)絡打印機作為網(wǎng)絡中的一個獨立節(jié)點，不需要依附于網(wǎng)絡中的任何一臺電腦主機，通過自身攜帶的網(wǎng)絡端口和網(wǎng)絡連接，網(wǎng)絡中的任何一臺主機只要和該打印機在同一個局域網(wǎng)中，都可以訪問到該網(wǎng)絡打印機，并且任何一臺主機的開/關都不影響網(wǎng)絡打印機的正常使用。網(wǎng)絡打印機己經(jīng)從一個啞終端變成了一個獨立的同普通Pc一樣的網(wǎng)絡設備，但是由于網(wǎng)絡打印機其自身的特殊性，不能像普通Pc一樣通過安裝軟件來抵抗網(wǎng)絡攻擊，這就給網(wǎng)絡打印機的安全造成很大的威脅，所以要針對網(wǎng)絡打印機自身的特點尋求增強其抗攻擊能力的方法。
從目前情況來看，網(wǎng)絡打印機主要存在兩方面的漏洞：第一，內(nèi)置的FTP服務器不限制FTP PORT命令的使用，利用該漏洞，黑客可以通過FTPI]及務器任意連接系統(tǒng)；第二，內(nèi)置的HTTP服務器不能正確驗證特定HTTP請求，這樣黑客就可以任意更改系統(tǒng)配置，或發(fā)動DoS攻擊。
鑒于網(wǎng)絡打印機自身存在的安全漏洞及其特殊性，本文提出采用防火墻技術增強網(wǎng)絡打印機的安全性能，由于無法在其自身系統(tǒng)上安裝防火墻軟件以增強其自身安全性，可以通過在網(wǎng)絡打印機前端安裝一個嵌入式防火墻系統(tǒng)來解決這個問題。
根據(jù)網(wǎng)絡打印機所處的環(huán)境，采用兩級過濾模式在兩個不同的過濾點進行網(wǎng)絡數(shù)據(jù)包的過濾，第一級在內(nèi)核下采用內(nèi)核模塊過濾的方式過濾發(fā)往網(wǎng)絡打印機的數(shù)據(jù)包，第二級在用戶層采用IPtab]eS規(guī)則進行過濾，控制網(wǎng)絡上主機對網(wǎng)絡打印機的訪問，同時也限制了打印機對局域網(wǎng)的嗅探，從而增強網(wǎng)絡打印機的抗攻擊能力。
3.5建立完善管理制度
要做好企業(yè)數(shù)據(jù)安全保護工作，除實施以上技術手段外，應結(jié)合企業(yè)所處行業(yè)及企業(yè)自身的特點，制定一套完善的數(shù)據(jù)安全管理制度。流程化、規(guī)范化安全打印的相關工作。比如：在員工入職時需簽訂保密協(xié)議，確保員工保護好公司數(shù)據(jù)安全義務，如果發(fā)生丟失、外泄，應以竊取公司機密而做出處理，讓員工明白他們應承擔怎樣的后果。應建立起文件打印的審批制度，明確責任人及其應負的相應職責：應建立起涉密文件回收制度，定期進行涉密文件回收銷毀工作。
4、總結(jié)
通過以上措施，可以有效地保證企業(yè)網(wǎng)絡安全打印管理，封堵打印輸出泄露、遺失的途徑，并通過審計證據(jù)迅速定位事故源頭，從事前、事中、事后三個層面保障網(wǎng)絡打印安全。
核心關注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務領域、行業(yè)應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業(yè)務領域的管理，全面涵蓋了企業(yè)關注ERP管理系統(tǒng)的核心領域，是眾多中小企業(yè)信息化建設首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://m.hanmeixuan.com/
本文標題：企業(yè)內(nèi)網(wǎng)打印安全管理方案的設計
本文網(wǎng)址：http://m.hanmeixuan.com/html/consultation/10839312769.html
相關文章
