打印安全专家技术白皮书.doc

《打印安全专家技术白皮书.doc》由会员分享，可在线阅读，更多相关《打印安全专家技术白皮书.doc（25页珍藏版）》请在三一文库上搜索。

1、- 1 - 打打打打印印印印安安安安全全全全专专专专家家家家 技技技技术术术术白白白白皮皮皮皮书书书书 目录目录 一、历史背景一、历史背景.5 二、传统打印管理模式二、传统打印管理模式 6 三、打印安全监控与审计系统功能概述三、打印安全监控与审计系统功能概述 .7 四、打印安全监控与审计系统详细功能四、打印安全监控与审计系统详细功能 .9 (一)SG 认证9 (二)用户管理和权限控制9 (三费用统计.10 (四)过滤审批和强制审批10 (五)水印添加10 (六)打印日志查看10 (七)文档确认10 五、系统默认管五、系统默认管理理员员8 (一)系统管理员9 (二)安全管理员9 (三)审计管理员

2、10 六、体系结构六、体系结构 .21 (一)产品模块构成图19 (二)服务器模块构成图19 (三)客户端模块构成图20 (四)打印流程21 七、产品特点七、产品特点.21 八、运行环境及性能八、运行环境及性能23 近年来，随着IT行业的急剧发展，给各企事业、政府、军工等单位的管理带来 前所未有的挑战，其中对于日常办公、科研活动中涉及到的打印数量之大是非常惊 人的。用户打印不受控制，任何人连接到网络上就可以打印，打印了多少文档，打 印什么内容，都没有记录，这样就造成打印纸张浪费和机密信息的泄露；这种浪费 是十分惊人的，机密信息的泄露也会造成严重的后果。 据国外信息安全权威专业机构调查统计，泄密

3、的主要途径主要有三种：mail泄 密、移动存储泄密、打印泄密。 目前，对安全要求较高的企业或单位都已经采用了相应的内网安全解决方案， 来避免通过电子媒体发生的泄露事件。发生次数相对较少的是打印泄密，出乎人们 意料之外的是，这种些秘密途径虽然发生次数较少，但是通过这种方式泄密的80% 以上的泄密事件几乎都涉及到了企业的较高等级甚至是核心级的商业信息，通过这 种方式进行泄密的基本上都是企业的规划层甚至是决策层，每次泄密损失金额至少 都在50万美元以上，破坏力非常巨大！这种泄密方式最严重的主要集中发生政府机 关、军队、在大中型企业以及国际跨国大公司。而通过打印泄密的人，一般在企业 都具有相当高的权限

4、和权利，知识经验阅历都非常丰富，泄密野心非常大，他们对 于泄密方式非常谨慎小心，他们更看好传统泄密方式，他们深知越现代的泄密方式， 越容易被监察到，反之打印泄密这样的传统方式却是被企业管理忽略的途径，不容 易留下任何蛛丝马迹，将资料打印带出公司，离开公司的时候保安通常只会检查员 工是否将公司的产品、零部件等重要物件带出公司，而对于文件资料者通常不重视， 而且保安也不会也不敢也不能区分企业高阶主管公文包内的文件资料是否被列为禁 止带出的资料，所以他们坚信越传统越安全，他们有着超级阴谋家所共有的逆反心 理和缜密思维！ 打印过程中最常见的问题主要有以下几种： 1.用户打印不受控制，造成打印纸张浪费和

5、机密信息的泄露。 2.对于泄露的打印资料，无法追踪其来源。无法采用有效措施解决泄露途径。 3.忘记及时取回打印资料，致使机密信息泄露。 4.无法准确统计打印成本，造成打印浪费。 这些问题在我们身边不断的出现，而被我们忽略着，我们的企业一直被打印安 全隐患所威胁。 一、一、 历史背景历史背景 序号时间国家机构名称事件 12005/4/28 美国西波格银行 内部人员泄密银行机密信 息资料，造成银行巨大损失。 22006/1/31 美国 波士顿 Boston Globe and The Worcester Telegram & Gazette 信用卡和各相关的个人支 票信息打印到废纸上用于包裹 旧报

6、纸造成信息泄露 32006/2/1 美国 北卡罗莱纳州的 蓝十字和蓝盾公司 一份保险计划信息和该计 划的成员的社会保险号码打印 出去而泄密。 42006/12/5 美国芝加哥公立学校 国家计算中心的 21000 名 学生的个人信息包括姓名、社 会保险号等信息被打印出来而 泄密 52007/3/19 美国 Science Applications International Corp. (SAIC) 被标识成“内部使用 不对外公布”和“官方使用” 的大量带有敏感信息的文档包 括机密邮件和性能数据出现在 SAIC 官方办公室外的街头。 62007/4/23 美国 联邦能源管理中心 Fed. Eme

7、rgency Management Agency (FEMA) 灾难救援员工的社会保险 号码被打印出而泄密 72008/6/12 英国内阁办公室 一个知道机密信息的内阁 的公务员私自携带打印出的机 密文件出英国政府，因其将机 密文件遗落在火车上而被发现。 82008/6/5 中国香港将军澳医院 一名清洁员工在医生办公 室清洁时误把 300 份含有病人 姓名、性别、年龄、出生日期、 身份证号码及检验结果的报告 当做一般废物抛弃。警方随后 通知受内部文件外泄影响的当 事人。 香港医管局不久前被爆接连发 生病人资料外泄事件，受影响 病人高达 1.6 万名，个人私隐 专员公署昨天向医管局提出 37 项

8、改进建议。 二、二、 传统打印管理模式传统打印管理模式 现在有部分企事业、政府、军工等单位的管理者意识到打印过程中的浪费和安 全问题，大多数采用传统的打印管理模式： 1限制打印纸张，打印机不放打印纸，需要的打印的人员需要去管理打印纸的 地方申请打印纸张。这样效率较低；而且无法禁止打印人员自带打印纸进行打印， 耗材的浪费无法禁止，耗材是支出成本最大的一块。 2专人管理打印机，需要打印的文件必须以邮件的方式发送到指定人员那里。 指定人员审查并进行打印。这样打印过程极其不方便，工作人员的工作量很大。如 负责人不在，便不能进行打印。 3须用存储盘，邮件下载的方式将打印内容拷贝到打印点，进行打印，这样不

9、 但需要打印人员提供存储介质，而且加大了病毒传播危险性，容易造成网内病毒泛 滥，对打印的内容更不可控制。 因此，传统的打印管理模式都没有很好的解决打印管理过程中的浪费和安全问 题，需要开始寻找新的打印管理模式。 北京金石利兴科技有限公司 - 7 - 三、三、 打印安全监控与审计系统功能概述打印安全监控与审计系统功能概述 针对传统打印管理模式所存在的问题，研制开发了打印安全监控与审计系统，以 解决打印的浪费和安全问题。打印安全监控与审计系统主要分为认证，授权，计费， 审计和跟踪五方面的主要功能，如下图所示： 认证 SG认证 授权 用户管理权限控制 过滤审批 计费 费用统计 审计跟踪 水印动态添加

10、打印日志查看 强制审批 这五方面涵盖了打印领域的安全控制和管理，具体功能描述如下： SG 认证 SG 认证功能 在打印服务器端，认证通过后，方可打印。 打印资料发起人为第一接触人。 认证介质可以为磁卡、IC 卡、KEY、指纹等可以作为身份认证的介质。 解决问题 忘记及时取回打印资料，致使机密信息泄露。 用户管理和权限控制 用户管理功能 由企业自定义组织结构和用户级别。 根据自定义的级别赋予相应权限。 解决问题 北京金石利兴科技有限公司 - 8 - 用户精细的授权管理。 用户打印不受控制，造成打印纸张浪费和机密信息的泄露。 费用统计 费用统计功能 可有效地控制成本。 实现分级别（公司、部门、组、

11、 个人）费用统计。 统计分析结果以直观图形进行显示。 解决问题 无法准确统计打印成本，造成打印浪费。 过滤审批和强制审批 过滤审批功能 过滤含有组织敏感信息的文档。 过滤出的打印文档需要审批。 审批通过的文档方可打印。 解决问题： 用户打印不受控制，造成打印纸张浪费和机密信息的泄露。 水印添加 添加水印功能 可自定义添加水印的内容和格式。 添加水印的复印件也含有水印信息。 强化员工的安全意识。 解决问题 对于泄露的打印资料，无法追踪其来源。 打印日志查看 记录跟踪功能 北京金石利兴科技有限公司 - 9 - 系统自动记录“谁，什么时候，在哪儿，打印了什么东西” 。 提供记录查询功能。 可根据日志

12、记录追踪泄漏途径。 解决问题 对于泄露的打印资料，无法追踪其来源。 文档确认回收 文档确认回收功能 用条码枪对已打印文档的二维码进行回收 输入打印任务的 UID 进行回收 解决问题： 方便管理已打印文档，防止造成已打印文档的流失。 四、四、 打印安全监控与审计系统详细功能打印安全监控与审计系统详细功能 SG 认证 可采用磁卡、IC 卡、Key、指纹虹膜等认证方式认证。未认证的打印任务存储在服 务器上并不输出，认证后确定属于该用户的打印任务才可以打印输出。 用户管理和权限控制 根据企业或单位自定义的组织结构、定义用户权限和级别。组织结构定义可以分 为单位、部门和组。根据定义的用户级别赋予相关的权

13、限。只有经过管理员激活的用 户才能打印。 管理员可以将现有域用户导入快速导入 SPS 的系统中，方便用户管理。登录到域 中的计算机将自动登录到 SPS 系统中，无需用户进行二次登录。 北京金石利兴科技有限公司 - 10 - 费用统计 打印任务的数据信息汇总整合到服务器，可进行整体数据资料的查询与分析，满 足客户的需要。从打印费用、任务、打印机、项目等不同角度提供汇总统计、明细统 计、费用统计、任务分析、成本消耗趋势等多种报表。可设置条件查询，也可打印或 者输出。 过滤审批和强制审批 当使用强制审批时，所有的打印任务均需要审批，审批通过的打印任务才能够进 行打印。但具有不需要审批权限的用户，在打

14、印时要求不进行审批时，此任务不需要 进行审批。 当使用过滤审批时，系统根据管理员设定的关键字进行过滤，发现打印任务中含 有设定的关键字时，将该任务知道转发给审批者，审批通过的打印任务才能够进行打 印。 管理员可以为单位、部门、组分别设定多名审判者。但部门和组审判员也可以不 进行设定，当没有设定组审批者时，将由部门审批者进行审批；当没有设定部门审批 者时，将由公司审批者进行审批。 水印添加 可自定义添加水印的内容和格式，能够将打印者、所属组织、打印时间、审批者 信息以及用户自定义水印信息，以水印的形式打印在纸媒体上。 打印日志查看 打印服务器能精确地捕捉每次打印任务，能记录打印机、服务器、文档名

15、、用户、 打印页数、打印时间、纸张、色彩等相关信息。 北京金石利兴科技有限公司 - 11 - 在服务器上已加密压缩的形式存储每个打印任务的打印文档内容，拥有相关权限 的用户，可以根据实际需要实时查看已经成功打印的文档内容。根据实际需要可以对 历史文档中的内容在服务器上重新打印。 文档确认 文档确认回收功能主要解决，打印出的文档不方便管理造成文档流失等问题。 主要分为两种文档回收方式： 1、对文档的 PID 码进行文档确认回收 2、用扫描枪通过文档打印后的二维码进行文档确认回收 文档确认工具应用环境 操作系统Windows xp sp2 / Windows xp sp3 / Widows Vis

16、ta sp1（32 位） / Windows 7（32 位）/ Windows 2000（32 位） 扫描器串口 QR Code 条码扫描器 计算机支持串口的计算机 五、五、 系统默认管理员系统默认管理员 系统默认有三个管理员，分别为系统管理员 sysadmin,、安全管理员 secadmin,、审 计管理员 auditor （一）（一）系统管理员 在打印服务器上安装服务器程序之后，局域网上的其它机器，只需打开浏览器 （必须是 IE6.0 以上） ，输入服务器的网址，形如 http:/主机名 或 http:/IP 地址 北京金石利兴科技有限公司 - 12 - 即可进入本系统。管理员连续三次密码

17、验证失败后，帐户将被锁定 15 分钟，15 分钟后 自动解锁。管理员登录后，如果 3 分钟内不进行页面操作，则系统会进行超时处理， 管理员需要重新登录后才能进行相应操作。 例如：http:/192.168.1.20 进入登录页面如图所示。 顶层菜单： 1) 首页 点击【首页】菜单，进入首页页面。 2) 系统管理 点击【系统管理】菜单，进入系统管理相关的页面。系统管理主要是系统运行需 要的基础设置内容，包含以下几方面：用户和组织、打印计费、打印机、系统设 北京金石利兴科技有限公司 - 13 - 定 4 个方面的内容。 3) 退出 点击【退出】菜单，退出系统，页面迁移到登录页面。 4) 组织管理

18、首页上显示当前系统中的单位名称，部门数，组数和用户数。可以通过点击【进 入组设定】快速进入组织管理页面，进行部门，组，用户的追加/删除等操作。 5) 系统设置 首页上显示发送邮件用的邮件服务器。点击【进入系统设定】链接，可以快速进 入系统设定页面，进行系统设置的修改。 6) 磁盘空间状态 首页上显示存储审计日志的磁盘驱动器和磁盘的剩余空间。当可用空间小于 500M 时，将红字的文字描述提醒系统管理员。 7) 系统管理员登录后，点击【系统管理】菜单，进入系统管理的主页面。系统管 理主要四大内容：用户和组织、打印计费、打印机、系统设定。 （二）（二）安全管理员 在打印服务器上安装服务器程序之后，局

19、域网上的其它机器，只需打开浏览器 （必须是 IE6.0 以上） ，输入服务器的网址，形如 http:/主机名 或 http:/IP 地址 即可进入本系统。管理员连续三次密码验证失败后，帐户将被锁定 15 分钟，15 分钟后 自动解锁。管理员登录后，如果 3 分钟内不进行页面操作，则系统会进行超时处理， 管理员需要重新登录后才能进行相应操作。 例如：http:/192.168.1.20 进入登录页面如图所示。 北京金石利兴科技有限公司 - 14 - 安全管理员登录之后，首先进入安全管理员首页。作为系统的门户，首页主要有 权限管理、水印设置、打印任务设置、统计的基本信息和快速进入相关内容的链接。

20、首页具体内容如下图所示： 北京金石利兴科技有限公司 - 15 - 1. 首页 点击【首页】菜单，进入首页页面。 2. 系统管理 点击【系统管理】菜单，进入系统管理相关的页面。系统管理主要是系统运行需 要的基础设置内容，包含以下几方面：用户和组织，打印任务，日志管理，打印机 4 个方面的内容。 3. 打印任务管理 点击【打印任务管理】菜单，进入打印任务管理页面。打印任务管理主要提供安 全管理员查询打印任务，任务审批者变更的功能。 4. 统计分析 点击【统计分析】菜单，进入统计分析页面。统计分析主要包括单位级别统计分 析，部门级别统计分析，组级别统计分析，用户级别统计分析，打印机统计和明细统 计。

21、 5. 退出 点击【退出】菜单，退出系统，页面迁移到登录页面。 页面链接： 6. 权限管理 首页上显示待激活的用户，可以通过点击【进入权限管理页面】链接，快速进入 权限管理页面，处理用户的激活请求。 7. 条码设置 首页上显示当前系统关于条码设置的信息，点击【进入条码设置页面】链接，可 以快速进入条码设置页面，修改条码设置信息。 8. 水印设置 首页上显示当前系统关于水印设置的信息。点击【进入水印参数设置】链接，可 以快速进入水印设置页面，修改水印设置信息。 北京金石利兴科技有限公司 - 16 - 9. 打印任务设置 首页上显示打印任务审批通知，审批结果通知的方式。通知方式有两种：邮件和 鼎盾

22、打印即时通方式。点击【进入打印任务设定】链接，可以快速进入设置页面，进 行设置修改。 10.统计 首页上显示总打印任务数，总打印页数及总花费。点击【进入统计页面】链接， 可以快速进入统计页面，查看相关更详细的统计信息 （三）（三）审计管理员 用户登录 在打印服务器上安装服务器程序之后，局域网上的其它机器，只需打开浏览器 （必须是 IE6.0 以上） ，输入服务器的网址，形如 http:/主机名 或 http:/IP 地址 即可进入本系统。管理员连续三次密码验证失败后，帐户将被锁定 15 分钟，15 分钟后 自动解锁。管理员登录后，如果 3 分钟内不进行页面操作，则系统会进行超时处理， 管理员需

23、要重新登录后才能进行相应操作。 例如：http:/192.168.1.20 进入登录页面如图所示。 北京金石利兴科技有限公司 - 17 - 审计管理员首页 审计管理员登录之后，首先进入审计管理员首页 顶层菜单： 1. 日志管理 点击【日志管理】菜单，进入日志管理相关的页面。日志管理主要是系统运行需 北京金石利兴科技有限公司 - 18 - 要的基础设置内容，包含以下两个方面：系统日志、系统日志维护。 2. 退出 点击【退出】菜单，退出系统，页面迁移到登录页面。 普通用户： 普通用户是本系统的真正使用者和被控制对象（以下简称“用户” ） 。只有被设置 为本系统的用户，才能使用被本系统管理控制的打印

24、机打印文档资料。 普通用户的添加有 2 种方式： （1） 、每个使用本系统的用户通过鼎盾打印即时通注册用户，系统管理员根据实 际情况修改用户的基本信息，安全管理员通过管理页面将用户激活，用户添加即告完 成。 （2） 、系统管理员通过 Web 页面【系统管理】-【用户和组织】-【用户】页面 添加用户。如果从该处添加用户，系统管理员需要收集每个用户信息。 普通用户从组织结构上来分，可以分为四类，见下表： 组织 用户类别 部门组备注 1 类 属于某部门某组的用户 2 类 属于某部门，不属于任何组的用户 3 类 不属于任何部门，但属于某组的用 户 4 类不属于任何部门，任何组的用户 注：在本系统中，

25、【不属于任何部门】显示为其他部门， 【不属于任何组】显示为 其他组。本说明书遵循该规则。从理解逻辑上可以认为其他部门，其他组为系统内置 的部门和组。组织结构如下图所示。 北京金石利兴科技有限公司 - 19 - 单位 部门 组 组 1类用户2类用户 3类用户 4类用户 六、六、 体系结构体系结构 1）产品模块构成图 打印安全监控与审计系统(SPS)由打印服务器和打印驱动客户端组成，其产品模块 构成图如下： 北京金石利兴科技有限公司 - 20 - 打印任务 应用程序 应用程序 应用程序 安全打印专家 打印机驱动 Spools 打印池服务 客户端 Web服务器 （审批控制，日志查看） 打印任 务数据

26、 传输模 块 打印服务模块 （过滤，认 证，打印） 打印控制数据库 打印任务管理数据库 打印日志数据库 服务器 物理打印机 认证设备 其中蓝色的部分为打印安全监控与审计系统(SPS)所实现的各个程序模块。 2）服务器模块构成图 服务器模块的构成图如下： SG认证 打印内容 过滤 打印任务认 证队列 打印任务审 查队列 打印内容过 滤队列 打印任务添 加水印队列 打印任务待处理 队列 打印程序 物物理理 打打印印机机 打印机参 数设置 用户界面 打印任务数据库 打印任务参数数据库 打印日志数据库 服服务务器器程程序序 打印任务 接收程序 接收客户端打印任务 打印审查 水印添加 打印任务 参数设置

27、 打印控制中心 打印任务 计费 用户管理 北京金石利兴科技有限公司 - 21 - 3）客户端模块构成图 打印驱动客户端的构成图如下： 客客户户端端程程序序 应用程序 EMF打印任务 打印设置 打印处理器 将得到的数据打包 打印机驱动程序 直接调用打印机驱动程序 EMF打印任务 打印设置 打印任务发送程序 客户信息收集 机器MAC，IP地址 用户名 发送打印任务给服务端 4）打印流程 用户选择 SPS 打印驱动进行打印 SPS 打印驱动截获打印任务内容 发送打印任务内容到 SPS 服务器 储存打印任务到数据库 根据用户的选择在指定的打印机上进行打印 记录打印日志 客户端服务器 获取打印机列表，用

28、户选择要使用的真实打印机 用户操作 用户操作 北京金石利兴科技有限公司 - 22 - 七、七、 产品特点产品特点 读写器/打印机组 读写器/打印机组 打印服务器 本地打印机 网络打印机 交换机 网络读写器 网络读写器 2楼 1楼 打 印 任 务 文 档 社员卡 打印 刷卡打印 打印安全监控与审计系统具有功能强大、兼容广泛、架构优越、部署灵活，成熟稳 定、性价比高的特点。 1.便捷的权限管理。管理员能方便的进行用户管理。管理员可以查看本系统 各种信息，进行各种资源的分配和设定。 2.域用户导入功能。管理员可以将现有域用户导入快速导入PME的系统中， 方便用户管理。登录到域中的计算机将自动登录到P

29、ME系统中，无需用户进行二次登 录。 3.准确的打印控制。该系统采用用户打印身份认证手段，做到准确的打印控 制；必须是身份认证通过的使用者才能进行打印。 4.打印事宜的记录及打印文档的内容保存、审查、重印。所有人员的打印内 容都可以保存在服务器上。精确的记录每次打印任务的相关信息，记录打印机、服务 器、文档名、用户名、打印页数、打印时间、纸张、色彩、打印产生的成本费用等。 管理员可以查看所有打印任务的打印内容，并能够准确判断是否违规、泄密或者造成 北京金石利兴科技有限公司 - 23 - 浪费。 5.数据的汇总，统计分析。所有数据汇总到服务器上。从不同角度提供汇总 统计、明细统计、费用分析、任务

30、分析，成本消耗的趋势等多种报表。 6.水印添加。管理员能方便设置各种水印模式。在打印时将水印自动添加到 每个打印任务的纸媒体上。 7.可以对每个打印机不同的纸张类型单独设置费率，更加合理的统计打印成 本。 8.属性识别，系统本身能自动识别打印的纸张型号、自动识别打印内容彩色 和黑白。 9.有效的制止浪费。该系统能有效降低打印成本30%以上。 10.有效的防止机密泄漏。通过SG认证、强制审批或过滤审批功能，能够有效 的防止机密信息的泄漏。 11.兼容性好。兼容所有品牌的打印机，兼容所有应用程序进行打印。 12.方便人员工作流动。只要在单位内搬家移动，不需要重新安装打印驱动。 13.支持根据不同纸

31、张和不同机型设定收费标准，方便灵活。 14.操作简单。不改变原有用户的打印习惯，使用者无需进行培训即可根据操 作提示自行完成打印。 15.使用方便。系统管理和报表查看全部使用WEB界面使用网络浏览器（例如： IE等）进行操作。 16.打印机的全面集中管理。如果使用多个网络打印机，用户的计算机不再需 要安装多个打印机驱动。只需要安装打印管理专家系统的客户端驱动。更换打印机的 时候只需更改打印管理专家系统的服务器的打印驱动即可。用户可以实时获得所有可 用打印机的列表，集中方式管理更安全可靠。解决了由于操作系统和打印机驱动兼容 性，导致不能打印的问题。例如，许多旧型号的打印机驱动在vista64上无

32、法正常安装， 导致打印机无法正常使用，通过使用打印管理专家系统，这个问题得到了彻底的解决。 北京金石利兴科技有限公司 - 24 - 17.打印驱动安装更加简易。只需要在服务器上安装打印驱动客户端后，打印 管理专家的虚拟打印机BisPrint直接被共享，每个用户只需要将共享的BisPrint打印机连 接到本地，便可实现对打印驱动客户端的安装。 18.多打印机支持。一台打印服务器可以同时支持多个打印机，用户打印时可 以选择所需要使用的打印机。可以同时支持共享打印机及网络打印机。 19.运行环境及性能 硬件环境如下： PC兼容机 CPUPentium 1G以上 内存1G 以上 打印服务器 硬盘80G

33、以上 打印机支持EMF / PCL / PS打印机 软件环境如下： 操作系统服务器端： Windows XP Pro sp2(32位) / Windows Server 2003(32位) / Windows Server 2008(32位)（推荐服 务器端使用Windows Server 2003(32位)） 客户端：Windows 2000 sp4 / Windows XP Pro sp2(32 位) / Windows XP Pro sp3(32 位) / Windows vista(32 位) / Windows vista(64 位)/ Windows 7(32 位) / Windows 7(64 位) / Windows Server 2003(32 位) / Windows Server 北京金石利兴科技有限公司 - 25 - 2008(32 位) 数据库SQL Server 2005 企业版 / SQL Server 2005 Express / SQL Server 2008 Express 浏览器IE6.0 / IE7.0 / IE8.0(IE8.0 使用旧浏览器兼容模式)