谈企业内网打印安全管理方案的设计

2013-08-15刘宇

网络安全技术与应用 2013年8期

关键词：局域网日志打印机

刘宇

（中国航天科技集团第四研究院四十二所湖北 441003）

0 引言

随着企业局域网的发展, 实现了计算机联网, 达成信息共享、资源共享和提高企业管理水平，这时原有的打印管理模式也不断地发展，需要对局域网内的打印安全管理工作进行规划与建设。

1 局域网打印管理历程分析

1.1 共享连接方式

该种方式下，网络上的共享打印机以本地安装方式通过普通并行接口(或串行接口)连接在网络上的一台计算机上，这台计算机与其它计算机一样连接在大家共同使用的网络上面，连接打印机的计算机或工作站将所连接的打印机设置成共享设备，供网络上的其他计算机使用。其它计算机上的打印命令和打印任务传输到这台与打印机相连的计算机上，由该计算机处理打印命令和打印任务，然后通过连接的打印机将大家的打印任务打印出来。这样，这台计算机事实上就起到了打印服务器的作用了。

1.2 外置打印服务器连接方式

外置打印服务器连接方式是通过打印机的主板提供的并口或者USB接口的连接方式，通过一些厂商提供的一种硬件，这种硬件的一端插在打印机提供的并口或者USB接口上，另一端上有一个网络接口。这样这台打印机同样也能够一个单独的网络设备直接连接在网络环境上了。这种硬件常常被称作为外置打印服务器。

需要注意的是，这种外置打印服务器和主机相连时，其工作形式和主机打印服务器工作形式并不相同，该种形式下，与打印服务器相连的电脑主机无任何打印工作负担。

1.3 内置网卡打印服务器连接方式

该种方式相当于在打印机内置一个打印服务器，这样就不需要单独闲置一台电脑用做打印服务器。这些打印机上常常会直接安装一块网络接口卡，这块网络接口卡直接插在打印机的主板上，在网络接口卡上提供一个网络接口。通过一根普通的网线可以将打印机的网络接口与办公环境网络接口直接连接上，这样这台打印机就以一个单独的网络设备直接连接在网络环境上了。这台打印机的地位与该网络环境上的计算机是相同的。这块网络接口卡就是一个打印服务器。

在使用内置打印服务器的时候，一些打印机上有操作面板可以为打印机设置IP地址。同时也可以采取另外一种方式，在网络环境中的一台计算机上安装网络打印软件，通过该软件在这台计算机上为打印机设置IP地址。

该连接方式的特点是：

（1）适合各种规模的网络环境，构成灵活简便，适合现代网络系统布线。

（2）使用性能较高、扩展能力和工作负荷能力较强的激光打印设备。

（3）打印系统成本主要取决于打印机的配置，庞大的扩充部件库价值可能不低于打印机本身。

（4）网络功能极强、工作效率很高、安全管理完善、设备可靠性较高。

（5）可以同时跨接两个以上不同协议、不同操作系统的网络。

2 局域网打印管理趋势分析

纵观网络打印的发展历程，不难发现共享打印和网络打印之间的前后继承性，和相互包容的范畴性，具体来讲，网络打印仍然是共享打印，只不过这样的共享打印已经远非昨日的共享打印所能比拟的。事实上利用PC实现共享打印是网络打印的最原始方式，实际上并不是真正意义上的网络打印。

现代的网络打印不是传统意义上的局域打印，打印机已不在是一个外设，而作为网络上的一个节点存在，能够以网络的速度实现高速打印输出。而共享打印则是一种低端的网络打印，打印机处于PC外设的地位，主要通过PC服务器或者共享服务器实现简单的网络连接，但是数据传输仍然必须通过打印机的并口来进行，因此速度很低。在打印效率方面，它们实际上是有本质区别的。

网络打印与共享打印最大的不同是它具有管理性，易用性和高可靠性，其中最核心的是可管理性，管理软件已经与打印服务器并列为其两个核心部件。网络打印管理软件可提供卓越的管理性，极大地减少了管理人员用于处理网络中打印相关问题的时间。现在的网络打印已经可以满足用户日益增加的需求,也已具备很多传统共享打印所没有的优势，它在提高设备使用效率、打印速度和质量、提供个性化的打印满足以及降低整体拥有成本方面的一系列优势，也逐渐为用户所认识，随着信息化的进一步推进，无论是个人企业，还是行业用户对网络打印需求的增加，用户选择网络打印势在必行。

3 企业局域网内网络打印安全管理方案

实践证明，完整有效的局域网内网络打印安全管理方案包括软件、硬件和管理三个方面内容。网络打印安全管理方案仅仅依靠技术是有其局限性，根据经验，管理性要求甚至比网络打印能力显得更为重要，如果不能做到全网打印的统一管理，再强的软件也不能发挥应有作用。

3.1 严格的权限控制

权限控制策略也称安全策略，是用来控制和管理主体对客体访问的一系列规则，它反映网络打印管理对安全的需求。安全策略的制定和实施是围绕主体、客体和安全控制规则集三者之间的关系展开的，在安全打印管理策略的制定和实施中，要遵循下列原则：

最小特权原则：最小特权原则是指主体执行操作时，按照主体所需权利的最小化原则分配给主体权力。最小特权原则的优点是最大程度地限制了主体实施授权行为，可以避免来自突发事件、错误和未授权使用主体的危险。

最小泄露原则：最小泄露原则是指主体执行网络打印任务时，按照主体所需要知道的信息最小化的原则分配给主体权力。

多级安全策略：多级安全策略是指主体和客体间的网络打印数据流向和权限控制按照安全级别的绝密、机密、秘密、内部和非秘密五级来划分。多级安全策略的优点是避免敏感信息的扩散。具有安全级别的信息资源，只有安全级别比他高的主体才能够访问然后进行打印。

3.2 数据加密管理

对数据进行加密，是解决泄密的最好方法，数据加密要求只有在指定的用户或网络下，才能解除密码而获得原来的数据，在未知网络或者未授权用户使用的情况下，数据显示为密文。加密技术，能在源头上保护数据。

按照作用的不同,数据加密技术可以分为数据传输加密、数据存储加密、数据完整性加密管理等。数据传输加密是对传输中的数据流进行加密,常用的方法有链路加密、节点加密和端到端加密三种。数据存储加密,是为了防止在存储环节中造成信息泄露,分为密文存储和存取控制两种。数据完整性鉴别技术是对接入信息的传送、存取、处理的人的身份和相关数据内容进行验证,达到保密的要求。

链路加密,对于在两个网络节点的某一次通信链路,链路加密能为网上传输的数据提供安全保证,所有的信息均以密文形式出现,掩盖了被传输消息的源点和终点,从而防止了对通信业务的分析。但是链路加密通常在点对点的同步或异步线路上,要求先对在链路两端的加密设备进行同步,然后使用一种链模式对链路上传输的数据进行加密,这给网络的性能和可管理性带来了副作用。

节点加密,同链路加密操作方式类似,均在通信链路上为传输的消息提供安全性,这种方法对于防止攻击者分析通信业务是脆弱的,同样也会给网络性能带来不良影响。

端到端的加密,允许数据在从源点到终点的传输过程中始终以密文形式存在。采用端到端加密(又称脱线加密或包加密),消息在被传输到达终点之前不进行解密,因为消息在整个传输过程中均受到保护,所以即使有节点被损坏也不会使消息泄露,端到端的加密系统成本较低,并且与链路加密和节点加密相比更加可靠,更容易设计、实现和维护。端到端加密还避免了其它加密系统所固有的同步问题,因为每个数据包均是独立加密的,所以一个报文包所发生的传输错误不会影响后续的报文包。此外,从用户对安全需求的直觉上讲,端到端加密更自然些。

从上述分析可以看出,采用链路加密或者节点加密,整个数据包都采用密文形式进行传输,这样会造成网络结构的改变或网络性能的降低,并且成本太高。

由于网络打印安全系统工作在局域网中,采用集线器将用户PC和网络打印机进行连接,不涉及中间节点,按照不对网络结构做较大改动的要求,采用端到端的加密技术最为合适。在不改变网络打印机传输网络数据协议的基础上,只对数据包内容进行加密,网络数据包以密文的形式在线路上进行传输,在网络打印机的前端配置解密平台对数据包进行解密。

3.3 安全审计

审计是对访问控制的必要补充，是访问控制的一个重要内容。审计会对用户使用何种信息资源、使用的时间、以及如何使用(执行何种操作)进行记录与监控。日志用于全程记录系统所有操作，便于分析判断违规行为。日志分为打印任务日志、回收任务日志和系统日志。

打印任务日志对于打印任务从发起到输出至打印机前的各个事件和状态变化进行完整记录，可追溯打印过程中发生的打印任务提出、审批、进入打印队列、打印输出等环节的关键信息。

回收任务日志记录了回收任务各环节的关键信息。日志记录了回收任务从发起请求至监督确认的各个环节的关键信息。主要记录了文档编号、文件名称、打印人、密级、文件用途、审批人、监销人、操作类型、操作结果、操作时间、打印机名、打印内容、任务状态、回收份数、回收销毁页数、已回收份数、申请回收份数、申请回收页数等信息。

系统日志中详细记录了所有类型用户除查询外的所有操作日志，可以通过选择开始时间以及结束时间来检索要查看的系统日志。系统日志记录了操作人、事件类型、操作时间、操作结果。

对于打印来说，打印内容也是日志的一部分，但是其占用空间相对较大，管理员可以根据需要设置自动删除的策略，或者手动删除，为新的打印任务腾出空间。

3.4 打印机隔离

随着网络打印机技术的发展,现在的网络打印机通过内置打印服务器,使用独立的网络接口卡,拥有自己的IP地址,使用的网络协议也是多种多样,有些高端网络打印机甚至内置操作系统、存储设备和IP协议栈。

从网络角度来看,网络打印机作为网络中的一个独立节点,不需要依附于网络中的任何一台电脑主机,通过自身携带的网络端口和网络连接,网络中的任何一台主机只要和该打印机在同一个局域网中,都可以访问到该网络打印机,并且任何一台主机的开/关都不影响网络打印机的正常使用。网络打印机己经从一个哑终端变成了一个独立的同普通PC一样的网络设备,但是由于网络打印机其自身的特殊性,不能像普通PC一样通过安装软件来抵抗网络攻击,这就给网络打印机的安全造成很大的威胁,所以要针对网络打印机自身的特点寻求增强其抗攻击能力的方法。

从目前情况来看,网络打印机主要存在两方面的漏洞:第一,内置的FTP服务器不限制FTP PORT命令的使用,利用该漏洞,黑客可以通过FTP服务器任意连接系统；第二,内置的HTTP服务器不能正确验证特定HTTP请求,这样黑客就可以任意更改系统配置,或发动DoS攻击。

鉴于网络打印机自身存在的安全漏洞及其特殊性,本文提出采用防火墙技术增强网络打印机的安全性能,由于无法在其自身系统上安装防火墙软件以增强其自身安全性,可以通过在网络打印机前端安装一个嵌入式防火墙系统来解决这个问题。根据网络打印机所处的环境,采用两级过滤模式在两个不同的过滤点进行网络数据包的过滤,第一级在内核下采用内核模块过滤的方式过滤发往网络打印机的数据包,第二级在用户层采用IPtables规则进行过滤,控制网络上主机对网络打印机的访问,同时也限制了打印机对局域网的嗅探,从而增强网络打印机的抗攻击能力。

3.5 建立完善管理制度

要做好企业数据安全保护工作，除实施以上技术手段外，应结合企业所处行业及企业自身的特点，制定一套完善的数据安全管理制度。流程化、规范化安全打印的相关工作。比如：在员工入职时需签订保密协议，确保员工保护好公司数据安全义务，如果发生丢失、外泄，应以窃取公司机密而做出处理，让员工明白他们应承担怎样的后果。应建立起文件打印的审批制度，明确责任人及其应负的相应职责；应建立起涉密文件回收制度，定期进行涉密文件回收销毁工作。