劉 宇

（中國航天科技集團第四研究院四十二所 湖北 441003）

0 引言

隨著企業(yè)局域網的發(fā)展, 實現了計算機聯網, 達成信息共享、資源共享和提高企業(yè)管理水平，這時原有的打印管理模式也不斷地發(fā)展，需要對局域網內的打印安全管理工作進行規(guī)劃與建設。

1 局域網打印管理歷程分析

1.1 共享連接方式

該種方式下，網絡上的共享打印機以本地安裝方式通過普通并行接口(或串行接口)連接在網絡上的一臺計算機上，這臺計算機與其它計算機一樣連接在大家共同使用的網絡上面，連接打印機的計算機或工作站將所連接的打印機設置成共享設備，供網絡上的其他計算機使用。其它計算機上的打印命令和打印任務傳輸到這臺與打印機相連的計算機上，由該計算機處理打印命令和打印任務，然后通過連接的打印機將大家的打印任務打印出來。這樣，這臺計算機事實上就起到了打印服務器的作用了。

1.2 外置打印服務器連接方式

外置打印服務器連接方式是通過打印機的主板提供的并口或者USB接口的連接方式，通過一些廠商提供的一種硬件，這種硬件的一端插在打印機提供的并口或者USB接口上，另一端上有一個網絡接口。這樣這臺打印機同樣也能夠一個單獨的網絡設備直接連接在網絡環(huán)境上了。這種硬件常常被稱作為外置打印服務器。

需要注意的是，這種外置打印服務器和主機相連時，其工作形式和主機打印服務器工作形式并不相同，該種形式下，與打印服務器相連的電腦主機無任何打印工作負擔。

1.3 內置網卡打印服務器連接方式

該種方式相當于在打印機內置一個打印服務器，這樣就不需要單獨閑置一臺電腦用做打印服務器。這些打印機上常常會直接安裝一塊網絡接口卡，這塊網絡接口卡直接插在打印機的主板上，在網絡接口卡上提供一個網絡接口。通過一根普通的網線可以將打印機的網絡接口與辦公環(huán)境網絡接口直接連接上，這樣這臺打印機就以一個單獨的網絡設備直接連接在網絡環(huán)境上了。這臺打印機的地位與該網絡環(huán)境上的計算機是相同的。這塊網絡接口卡就是一個打印服務器。

在使用內置打印服務器的時候，一些打印機上有操作面板可以為打印機設置IP地址。同時也可以采取另外一種方式，在網絡環(huán)境中的一臺計算機上安裝網絡打印軟件，通過該軟件在這臺計算機上為打印機設置IP地址。

該連接方式的特點是：

（1）適合各種規(guī)模的網絡環(huán)境，構成靈活簡便，適合現代網絡系統(tǒng)布線。

（2）使用性能較高、擴展能力和工作負荷能力較強的激光打印設備。

（3）打印系統(tǒng)成本主要取決于打印機的配置，龐大的擴充部件庫價值可能不低于打印機本身。

（4）網絡功能極強、工作效率很高、安全管理完善、設備可靠性較高。

（5）可以同時跨接兩個以上不同協議、不同操作系統(tǒng)的網絡。

2 局域網打印管理趨勢分析

縱觀網絡打印的發(fā)展歷程，不難發(fā)現共享打印和網絡打印之間的前后繼承性，和相互包容的范疇性，具體來講，網絡打印仍然是共享打印，只不過這樣的共享打印已經遠非昨日的共享打印所能比擬的。事實上利用PC實現共享打印是網絡打印的最原始方式，實際上并不是真正意義上的網絡打印。

現代的網絡打印不是傳統(tǒng)意義上的局域打印，打印機已不在是一個外設，而作為網絡上的一個節(jié)點存在，能夠以網絡的速度實現高速打印輸出。而共享打印則是一種低端的網絡打印，打印機處于PC外設的地位，主要通過PC服務器或者共享服務器實現簡單的網絡連接，但是數據傳輸仍然必須通過打印機的并口來進行，因此速度很低。在打印效率方面，它們實際上是有本質區(qū)別的。

網絡打印與共享打印最大的不同是它具有管理性，易用性和高可靠性，其中最核心的是可管理性，管理軟件已經與打印服務器并列為其兩個核心部件。網絡打印管理軟件可提供卓越的管理性，極大地減少了管理人員用于處理網絡中打印相關問題的時間。現在的網絡打印已經可以滿足用戶日益增加的需求,也已具備很多傳統(tǒng)共享打印所沒有的優(yōu)勢，它在提高設備使用效率、打印速度和質量、提供個性化的打印滿足以及降低整體擁有成本方面的一系列優(yōu)勢，也逐漸為用戶所認識，隨著信息化的進一步推進，無論是個人企業(yè)，還是行業(yè)用戶對網絡打印需求的增加，用戶選擇網絡打印勢在必行。

3 企業(yè)局域網內網絡打印安全管理方案

實踐證明，完整有效的局域網內網絡打印安全管理方案包括軟件、硬件和管理三個方面內容。網絡打印安全管理方案僅僅依靠技術是有其局限性，根據經驗，管理性要求甚至比網絡打印能力顯得更為重要，如果不能做到全網打印的統(tǒng)一管理，再強的軟件也不能發(fā)揮應有作用。

3.1 嚴格的權限控制

權限控制策略也稱安全策略，是用來控制和管理主體對客體訪問的一系列規(guī)則，它反映網絡打印管理對安全的需求。安全策略的制定和實施是圍繞主體、客體和安全控制規(guī)則集三者之間的關系展開的，在安全打印管理策略的制定和實施中，要遵循下列原則：

最小特權原則：最小特權原則是指主體執(zhí)行操作時，按照主體所需權利的最小化原則分配給主體權力。最小特權原則的優(yōu)點是最大程度地限制了主體實施授權行為，可以避免來自突發(fā)事件、錯誤和未授權使用主體的危險。

最小泄露原則：最小泄露原則是指主體執(zhí)行網絡打印任務時，按照主體所需要知道的信息最小化的原則分配給主體權力。

多級安全策略：多級安全策略是指主體和客體間的網絡打印數據流向和權限控制按照安全級別的絕密、機密、秘密、內部和非秘密五級來劃分。多級安全策略的優(yōu)點是避免敏感信息的擴散。具有安全級別的信息資源，只有安全級別比他高的主體才能夠訪問然后進行打印。

3.2 數據加密管理

對數據進行加密，是解決泄密的最好方法，數據加密要求只有在指定的用戶或網絡下，才能解除密碼而獲得原來的數據，在未知網絡或者未授權用戶使用的情況下，數據顯示為密文。加密技術，能在源頭上保護數據。

按照作用的不同,數據加密技術可以分為數據傳輸加密、數據存儲加密、數據完整性加密管理等。數據傳輸加密是對傳輸中的數據流進行加密,常用的方法有鏈路加密、節(jié)點加密和端到端加密三種。數據存儲加密,是為了防止在存儲環(huán)節(jié)中造成信息泄露,分為密文存儲和存取控制兩種。數據完整性鑒別技術是對接入信息的傳送、存取、處理的人的身份和相關數據內容進行驗證,達到保密的要求。

鏈路加密,對于在兩個網絡節(jié)點的某一次通信鏈路,鏈路加密能為網上傳輸的數據提供安全保證,所有的信息均以密文形式出現,掩蓋了被傳輸消息的源點和終點,從而防止了對通信業(yè)務的分析。但是鏈路加密通常在點對點的同步或異步線路上,要求先對在鏈路兩端的加密設備進行同步,然后使用一種鏈模式對鏈路上傳輸的數據進行加密,這給網絡的性能和可管理性帶來了副作用。

節(jié)點加密,同鏈路加密操作方式類似,均在通信鏈路上為傳輸的消息提供安全性,這種方法對于防止攻擊者分析通信業(yè)務是脆弱的,同樣也會給網絡性能帶來不良影響。

端到端的加密,允許數據在從源點到終點的傳輸過程中始終以密文形式存在。采用端到端加密(又稱脫線加密或包加密),消息在被傳輸到達終點之前不進行解密,因為消息在整個傳輸過程中均受到保護,所以即使有節(jié)點被損壞也不會使消息泄露,端到端的加密系統(tǒng)成本較低,并且與鏈路加密和節(jié)點加密相比更加可靠,更容易設計、實現和維護。端到端加密還避免了其它加密系統(tǒng)所固有的同步問題,因為每個數據包均是獨立加密的,所以一個報文包所發(fā)生的傳輸錯誤不會影響后續(xù)的報文包。此外,從用戶對安全需求的直覺上講,端到端加密更自然些。

從上述分析可以看出,采用鏈路加密或者節(jié)點加密,整個數據包都采用密文形式進行傳輸,這樣會造成網絡結構的改變或網絡性能的降低,并且成本太高。

由于網絡打印安全系統(tǒng)工作在局域網中,采用集線器將用戶PC和網絡打印機進行連接,不涉及中間節(jié)點,按照不對網絡結構做較大改動的要求,采用端到端的加密技術最為合適。在不改變網絡打印機傳輸網絡數據協議的基礎上,只對數據包內容進行加密,網絡數據包以密文的形式在線路上進行傳輸,在網絡打印機的前端配置解密平臺對數據包進行解密。

3.3 安全審計

審計是對訪問控制的必要補充，是訪問控制的一個重要內容。審計會對用戶使用何種信息資源、使用的時間、以及如何使用(執(zhí)行何種操作)進行記錄與監(jiān)控。日志用于全程記錄系統(tǒng)所有操作，便于分析判斷違規(guī)行為。日志分為打印任務日志、回收任務日志和系統(tǒng)日志。

打印任務日志對于打印任務從發(fā)起到輸出至打印機前的各個事件和狀態(tài)變化進行完整記錄，可追溯打印過程中發(fā)生的打印任務提出、審批、進入打印隊列、打印輸出等環(huán)節(jié)的關鍵信息。

回收任務日志記錄了回收任務各環(huán)節(jié)的關鍵信息。日志記錄了回收任務從發(fā)起請求至監(jiān)督確認的各個環(huán)節(jié)的關鍵信息。主要記錄了文檔編號、文件名稱、打印人、密級、文件用途、審批人、監(jiān)銷人、操作類型、操作結果、操作時間、打印機名、打印內容、任務狀態(tài)、回收份數、回收銷毀頁數、已回收份數、申請回收份數、申請回收頁數等信息。

系統(tǒng)日志中詳細記錄了所有類型用戶除查詢外的所有操作日志，可以通過選擇開始時間以及結束時間來檢索要查看的系統(tǒng)日志。系統(tǒng)日志記錄了操作人、事件類型、操作時間、操作結果。

對于打印來說，打印內容也是日志的一部分，但是其占用空間相對較大，管理員可以根據需要設置自動刪除的策略，或者手動刪除，為新的打印任務騰出空間。

3.4 打印機隔離

隨著網絡打印機技術的發(fā)展,現在的網絡打印機通過內置打印服務器,使用獨立的網絡接口卡,擁有自己的IP地址,使用的網絡協議也是多種多樣,有些高端網絡打印機甚至內置操作系統(tǒng)、存儲設備和IP協議棧。

從網絡角度來看,網絡打印機作為網絡中的一個獨立節(jié)點,不需要依附于網絡中的任何一臺電腦主機,通過自身攜帶的網絡端口和網絡連接,網絡中的任何一臺主機只要和該打印機在同一個局域網中,都可以訪問到該網絡打印機,并且任何一臺主機的開/關都不影響網絡打印機的正常使用。網絡打印機己經從一個啞終端變成了一個獨立的同普通PC一樣的網絡設備,但是由于網絡打印機其自身的特殊性,不能像普通PC一樣通過安裝軟件來抵抗網絡攻擊,這就給網絡打印機的安全造成很大的威脅,所以要針對網絡打印機自身的特點尋求增強其抗攻擊能力的方法。

從目前情況來看,網絡打印機主要存在兩方面的漏洞:第一,內置的FTP服務器不限制FTP PORT命令的使用,利用該漏洞,黑客可以通過FTP服務器任意連接系統(tǒng)；第二,內置的HTTP服務器不能正確驗證特定HTTP請求,這樣黑客就可以任意更改系統(tǒng)配置,或發(fā)動DoS攻擊。

鑒于網絡打印機自身存在的安全漏洞及其特殊性,本文提出采用防火墻技術增強網絡打印機的安全性能,由于無法在其自身系統(tǒng)上安裝防火墻軟件以增強其自身安全性,可以通過在網絡打印機前端安裝一個嵌入式防火墻系統(tǒng)來解決這個問題。根據網絡打印機所處的環(huán)境,采用兩級過濾模式在兩個不同的過濾點進行網絡數據包的過濾,第一級在內核下采用內核模塊過濾的方式過濾發(fā)往網絡打印機的數據包,第二級在用戶層采用IPtables規(guī)則進行過濾,控制網絡上主機對網絡打印機的訪問,同時也限制了打印機對局域網的嗅探,從而增強網絡打印機的抗攻擊能力。

3.5 建立完善管理制度

要做好企業(yè)數據安全保護工作，除實施以上技術手段外，應結合企業(yè)所處行業(yè)及企業(yè)自身的特點，制定一套完善的數據安全管理制度。流程化、規(guī)范化安全打印的相關工作。比如：在員工入職時需簽訂保密協議，確保員工保護好公司數據安全義務，如果發(fā)生丟失、外泄，應以竊取公司機密而做出處理，讓員工明白他們應承擔怎樣的后果。應建立起文件打印的審批制度，明確責任人及其應負的相應職責；應建立起涉密文件回收制度，定期進行涉密文件回收銷毀工作。

4 總結

通過以上措施，可以有效地保證企業(yè)網絡安全打印管理，封堵打印輸出泄露、遺失的途徑，并通過審計證據迅速定位事故源頭，從事前、事中、事后三個層面保障網絡打印安全。

［1］李華來，劉載文，許繼平，等． 基于HOOK技術的本地打印監(jiān)控系統(tǒng)開發(fā)，計算機工程與設計，2011，32(1):374-377.

[2]黎伶鋒，郝東白，張誠，等.打印監(jiān)控審計技術研究，計算機工程與設計，2009，30(2):484-486．

[3]趙志強，張雁.高校圖書館電子閱覽室網絡打印解決方案 圖書館學研究, 2009(4): 50-53

[4]任立學，劉知貴，趙強，等． 打印機監(jiān)控系統(tǒng)的設計與實現.計算機應用研究，2007，24(12): 217-219．