不可忽視的打印安全

某單位發(fā)生了一起比較嚴(yán)重的泄密事件，導(dǎo)致在某次商務(wù)談判中失利。經(jīng)過內(nèi)部嚴(yán)格審查，發(fā)現(xiàn)是內(nèi)部人員將一份涉及商業(yè)機(jī)密的文檔泄漏給了競爭對(duì)手。按理說，公司的內(nèi)部安全管理比較嚴(yán)格，對(duì)內(nèi)外部的網(wǎng)絡(luò)入侵都進(jìn)行了精心的防范，對(duì)重要文檔也都進(jìn)行嚴(yán)格的加密和審核，怎么會(huì)讓機(jī)密文檔外泄呢？

在經(jīng)過調(diào)查后發(fā)現(xiàn)，問題出在了打印環(huán)節(jié)，有相關(guān)人員在打印文檔時(shí)，由于疏忽大意，讓別有用心的人輕松得到了企業(yè)的機(jī)密文檔。

從這一事件中不難看出，對(duì)企業(yè)的打印環(huán)節(jié)進(jìn)行必要的安全管理，對(duì)于保護(hù)企業(yè)的數(shù)據(jù)安全是極為重要的，而這又往往被人們忽視。

打印環(huán)節(jié)面臨的安全問題

說起網(wǎng)絡(luò)安全，大家都會(huì)想到黑客入侵、病毒滲透、木馬后門等“熱點(diǎn)”內(nèi)容。但是對(duì)于打印的安全就不以為然了。

實(shí)際上，隨著企業(yè)業(yè)務(wù)的發(fā)展，如何保護(hù)企業(yè)核心機(jī)密的安全以防止黑客進(jìn)行竊取，越來越成為大家比較關(guān)注的問題。于是，很多企業(yè)都實(shí)現(xiàn)了內(nèi)外網(wǎng)分隔的機(jī)制，通過配置防火墻，利用上網(wǎng)行為檢測、主動(dòng)防御等設(shè)備，對(duì)進(jìn)出的流量進(jìn)行嚴(yán)格的控制。在企業(yè)內(nèi)部，通過使用殺毒軟件等安全軟件，來防范可能潛入的木馬病毒。對(duì)于內(nèi)部員工來說，會(huì)對(duì)其操作電腦的行為進(jìn)行管控，禁止進(jìn)行非法操作，例如隨意使用U盤等設(shè)備復(fù)制數(shù)據(jù)等等。

很多人認(rèn)為通過這些常見的安全手段，企業(yè)數(shù)據(jù)安全就可以高深無憂了。其實(shí)，在企業(yè)日常辦公場景中，經(jīng)常需要進(jìn)行打印操作，不管機(jī)密文檔經(jīng)過了多么復(fù)雜的加密措施，在進(jìn)行打印時(shí)總是需要顯示其真實(shí)內(nèi)容的。但是，對(duì)于打印管理來說，恰恰是很多企業(yè)最忽視的環(huán)節(jié)。

例如辦公人員隨意找一臺(tái)連接了打印機(jī)的電腦，之后打開Office等辦公軟件，對(duì)機(jī)密文檔進(jìn)行打印。在此期間，很多無關(guān)人員都可以接觸到打印機(jī)，甚至可以偷窺、拍攝或盜取打印的文檔。例如，相關(guān)人員暫時(shí)離開打印機(jī)后，有不法分子乘機(jī)盜走幾份資料，當(dāng)其返回后發(fā)現(xiàn)打印的內(nèi)容不全，也會(huì)毫不在意的多打幾份了事。

殊不知，機(jī)密信息已經(jīng)被人悄悄的泄漏出去了。企業(yè)對(duì)于打印安全的忽視，主要表現(xiàn)在打印的隨意性上，讓不法分子可以輕易接觸到打印資料。實(shí)際上，即使有專門的主機(jī)實(shí)現(xiàn)打印操作，不法分子也可以通過內(nèi)網(wǎng)滲透入侵的方法，來獲取該機(jī)的控制權(quán)（例如安裝后門等），這相對(duì)于外網(wǎng)滲透要簡單容易的多，當(dāng)相關(guān)人員將機(jī)密文檔復(fù)制到該機(jī)上后，不法分子就可以很輕松地利用后門來盜取文檔，還不會(huì)留下任何痕跡。

一些企業(yè)的安全措施實(shí)際比較強(qiáng)，會(huì)建立集中打印系統(tǒng)，以為這樣做就可以杜絕隱患。其實(shí)，在該環(huán)境中打印設(shè)備往往放置在單獨(dú)的房間中，并沒有專門的人員進(jìn)行看護(hù)。而辦公人員和打印設(shè)備距離比較遠(yuǎn)，而且集中打印會(huì)同時(shí)處理很多打印任務(wù)，往往在打印一段時(shí)間后相關(guān)人員才過去取打印資料。同時(shí)不同部門的打印資料往往堆積在一起，這就給了不法分子以可乘之機(jī)，使其可以潛入打印區(qū)域隨意盜取機(jī)密文檔。當(dāng)打印文檔使用完畢后，很多人都習(xí)慣于將其一扔了事，而沒有進(jìn)行徹底的銷毀，對(duì)于一些“有心人”來說，可以很輕松的從廢紙簍等地方找到包含機(jī)密信息的紙張，這對(duì)企業(yè)的數(shù)據(jù)安全威脅很大。

應(yīng)對(duì)打印安全問題的方法

面對(duì)以上和打印相關(guān)的安全問題，必須采用各種手段加以管控，對(duì)打印過程進(jìn)行監(jiān)控是非常好的一個(gè)辦法。

例如，對(duì)于集中打印系統(tǒng)來說，雖然無法為其配置專門的人員進(jìn)行守護(hù)，但是可以通過在打印區(qū)域設(shè)置監(jiān)控?cái)z像頭的方法進(jìn)行全方面監(jiān)控，及時(shí)發(fā)現(xiàn)和排查隨意接觸和翻閱打印資料的可疑人員。對(duì)于集中打印機(jī)來說，往往都配置了比較高端的打印機(jī)，這些打印機(jī)都可以安裝諸如電子分頁器，多輸出紙盒、堆疊器、裝訂器等輔助配件，可以實(shí)現(xiàn)自動(dòng)資料輸出、自動(dòng)裝訂資料等。同時(shí)可以將不同部分的打印資料分類存放，便于進(jìn)行有效管理。

對(duì)于使用后的打印資料，最好使用專業(yè)的碎紙機(jī)進(jìn)行徹底粉碎，防止非法用戶通過拼接來獲取機(jī)密信息。一些企業(yè)為了實(shí)現(xiàn)更好的打印效果，會(huì)配置使用了熱升華技術(shù)的打印機(jī)/傳真機(jī)/復(fù)印機(jī)等，雖然其打印效果很好，但是會(huì)存在在碳帶上存留有打印痕跡的隱患，如果別人得到遺棄的碳帶，就可以根據(jù)碳帶上的這些潛影信息來了解打印的內(nèi)容。對(duì)于這類打印機(jī)來說，使用過的碳帶不要隨意丟棄。

對(duì)分散打印進(jìn)行集中監(jiān)控

對(duì)于大多數(shù)企業(yè)來說，往往是分散式打印操作。在很多部門都配置了打印機(jī)，作為網(wǎng)絡(luò)管理人員，如果想對(duì)網(wǎng)絡(luò)中打印機(jī)的使用情況進(jìn)行精確統(tǒng)計(jì)的話，采用手工記錄的方式就顯得費(fèi)時(shí)費(fèi)力。何況很多單位員工私用、濫用打印機(jī)的情況經(jīng)常發(fā)生，更重要的是由此可能引發(fā)的安全問題。打印機(jī)往往成為泄漏企業(yè)的重要數(shù)據(jù)的快捷通道，別人可以輕易的將敏感數(shù)據(jù)打印出來，在別人毫不知曉的情況下悄悄帶走。

為此可以使用iPrint、PrintShield、PrintUsage等專門的管控軟件，對(duì)其進(jìn)行集中控制。

這里以PrintUsage打印監(jiān)控系統(tǒng)為例進(jìn)行說明，其能夠?qū)钟蚓W(wǎng)中的任何一臺(tái)打印機(jī)或打印服務(wù)器進(jìn)行全面監(jiān)控和記錄，為網(wǎng)管人員提供詳細(xì)的打印監(jiān)控信息，甚至可以直接查看打印的內(nèi)容。從而合理的控制打印機(jī)的使用，不僅可以節(jié)省辦公成本，還能避免潛在的安全問題。

當(dāng)PrintUsage安裝完成后，會(huì)在系統(tǒng)中新建一個(gè)名為“PrintUsage Service”的系統(tǒng)服務(wù)。雙擊桌面上的“PrintUsage WEB管理站點(diǎn)”快捷圖標(biāo)，在瀏覽器中打開“打印管理登錄”頁面，輸入管理員名稱和密碼（默認(rèn)狀態(tài)下管理員名稱為“admin”，口令為空），登錄成功后進(jìn)入PrintUsage管理頁面，在左側(cè)的導(dǎo)航欄中點(diǎn)擊“服務(wù)器組”、“所有打印機(jī)”，在右側(cè)的“打印機(jī)列表”頁面中列出所有的打印機(jī)信息。

在PrintUsage初始運(yùn)行狀態(tài)下，只顯示連接到本機(jī)的打印機(jī)信息。利用PrintUsage可以輕松管理局域網(wǎng)中所有的共享打印機(jī)。在打印機(jī)列表下部單擊“添加”按鈕，出現(xiàn)打印機(jī)添加向?qū)Ы缑?，在“添加打印機(jī)--選擇待添加的服務(wù)器”頁面中點(diǎn)擊“添加服務(wù)器”鏈接，在“添加服務(wù)器”頁面輸入其他服務(wù)器的名稱、IP和描述信息，完成服務(wù)器的添加操作。隨后在“服務(wù)器名”列表中選中合適的服務(wù)器名稱，點(diǎn)擊“下一步”按鈕，在“添加打印機(jī)”頁面中列出連接到該服務(wù)器上的打印機(jī)名稱，將其選中即可完成打印機(jī)的添加操作。按照這種方法，可以在“打印機(jī)列表”頁面中列出局域網(wǎng)中的所有共享打印機(jī)。

在左側(cè)的導(dǎo)航欄中點(diǎn)擊“服務(wù)器組”、“所有打印機(jī)”，在右側(cè)的“打印機(jī)列表”頁面中勾選對(duì)應(yīng)“受監(jiān)控”列中選擇框，就實(shí)現(xiàn)了對(duì)指定打印機(jī)的監(jiān)控。值得注意的是，在設(shè)置好打印機(jī)監(jiān)控功能之后，需要重啟服務(wù)。經(jīng)過設(shè)置之后，不管是本地打印機(jī)，還是局域網(wǎng)中的共享打印機(jī)，只要其處于PrintUsage監(jiān)控列表中，只要其執(zhí)行了打印操作，都可以在PrintUsage中直接查看到打印的內(nèi)容。

以管理員身份登錄PrintUsage打印管理窗口，在左側(cè)導(dǎo)航欄中點(diǎn)擊“日志”、“打印日志”，在右側(cè)窗口中就顯示出PrintUsage記錄的打印日志列表，包括用戶名、組名、計(jì)算機(jī)名稱、打印時(shí)間、打印機(jī)名、文檔名、內(nèi)容、狀態(tài)、頁數(shù)、份數(shù)、紙張等詳細(xì)的信息，使網(wǎng)絡(luò)管理人員對(duì)局域網(wǎng)中打印機(jī)的使用情況了如指掌。如果想單獨(dú)查看某一打印日志信息，在打印日志列表中對(duì)應(yīng)行的“文檔”中點(diǎn)擊“打印的文檔名”，就能打開更加詳細(xì)的打印報(bào)告窗口，使管理人員能更深入的了解該打印過程的狀態(tài)信息。

PrintUsage最強(qiáng)大的功能是可以記錄打印的完整內(nèi)容，并將其自動(dòng)保存為Tif圖片格式。在需要查看的打印日志項(xiàng)目的“內(nèi)容”列中點(diǎn)擊“查看”圖標(biāo)，在彈出的文件下載對(duì)話框中點(diǎn)擊“打開”或“保存”按鈕，這樣就可以利用看圖程序打開該Tif文件，于是打印文檔內(nèi)容就全部顯示出來了。

為了避免其他人隨意使用PrintUsage，需要及時(shí)的更改管理員密碼。在左側(cè)的導(dǎo)航欄中點(diǎn)擊“設(shè)置”、“管理員設(shè)置”項(xiàng)，在列表中選中“Admin”用戶，點(diǎn)擊“重設(shè)密碼”按鈕，在彈出的密碼設(shè)置窗口中輸入新的密碼。當(dāng)然，也可以點(diǎn)擊“增加”按鈕，來添加新的用戶，同時(shí)還可以指定該用戶是否具有管理員權(quán)限。

為打印機(jī)加上“安全鎖”

對(duì)于較小的單位來說，會(huì)在某臺(tái)主機(jī)上連接打印機(jī)，實(shí)現(xiàn)專門的打印操作。在默認(rèn)情況下，任何人都可以執(zhí)行打印操作。

有時(shí)出于安全管理的需要，我們往往不希望打印機(jī)被隨意使用，那么，最好的辦法就是對(duì)其進(jìn)行鎖定處理。使用Port Locker軟件不僅可以鎖定打印機(jī)，而且可以禁用網(wǎng)絡(luò)連接和USB設(shè)備。Port Locker安裝完成后，會(huì)在系統(tǒng)中創(chuàng)建一個(gè)名稱為“Port Locker Service”的服務(wù)，可以跟隨系統(tǒng)自動(dòng)運(yùn)行，全程監(jiān)控打印機(jī)和USB設(shè)備的連接情況。

在系統(tǒng)托盤中右擊Port Locker圖標(biāo)，在彈出菜單中點(diǎn)擊“初始化向?qū)А表?xiàng)，在向?qū)Ы缑嬷忻艽a設(shè)置界面中輸入密碼和提示信息，點(diǎn)擊“下一步”按鈕，即可自動(dòng)鎖定所有的USB端口和打印機(jī)。當(dāng)別人在本機(jī)上執(zhí)行打印操作或者使用USB設(shè)備時(shí)，Port Locker即可進(jìn)行攔截。在自動(dòng)彈出的認(rèn)證窗口中必須輸入正確的密碼，點(diǎn)擊“確定”按鈕后，才可以恢復(fù)打印機(jī)和USB設(shè)備的正常使用狀態(tài)。在Port Locker右鍵菜單上點(diǎn)擊“管理控制臺(tái)”項(xiàng)，輸入正確的密碼，進(jìn)入控制窗口。

在控制臺(tái)窗口左側(cè)依次點(diǎn)擊“裝置控制中心”、“智能鎖定裝置”項(xiàng)，在右側(cè)窗口中點(diǎn)擊“U盤”或者“打印機(jī)”圖標(biāo)，可以在激活和鎖定之間切換。在窗口左側(cè)點(diǎn)擊“安全鎖定裝置”項(xiàng)，在右側(cè)窗口中點(diǎn)擊“網(wǎng)絡(luò)連接”圖標(biāo)，可以激活或者禁用網(wǎng)絡(luò)連接。在窗口左側(cè)點(diǎn)擊“更改設(shè)置”項(xiàng)，在右側(cè)窗口中可以更改認(rèn)證密碼。

當(dāng)然，您可以隨時(shí)在Port Locker的右鍵菜單上點(diǎn)擊“解鎖所有裝置”項(xiàng)，輸入密碼后即可解除所有的鎖定操作。之后可以自由上網(wǎng)，連接USB設(shè)備，打印文檔等操作。在Port Locker右鍵菜單上點(diǎn)擊“鎖定所有裝置”項(xiàng)，可以立即執(zhí)行針對(duì)打印機(jī)，USB設(shè)備，網(wǎng)絡(luò)連接的鎖定操作。