CN103279720A - 一种usb打印机安全打印监控及审计系统 - Google Patents

Abstract

本发明公开了一种USB打印机安全打印监控及审计系统，包括数台个人电脑、数台USB打印机、网络、用于部署USB打印机安全打印监控及审计软件系统的服务器，所述服务器和个人电脑均需要接入网络，在所述服务器上实现用户管理、打印权限控制、审批流程配置、打印设备控制并记录打印日志、加密留存打印内容等功能模块的管理。本发明在USB打印监控部署时，不需要打印服务器等网络设备，不仅易于部署，而且大大提高了USB打印机安全打印系统的稳定性，也为用户节约了部署安全打印系统网络硬件成本的投入。

Description

一种USB打印机安全打印监控及审计系统

技术领域

本发明属于计算机技术和信息安全领域，尤其涉及一种USB打印机安全打印管控系统。

背景技术

打印机的打印端口通常有并口、USB口、TCP/IP网络端口等几种形式，随着电脑和打印机硬件的发展，并口打印已经逐渐被淘汰。支持TCP/IP端口打印的打印机通常被称为网络打印机，对于网络打印机从硬件上来讲打印机本身带一个网卡（也称内置打印服务器），用户直接将网络线连于打印机的网卡就可实现网络打印，实现多用户共享；USB打印机指的是打印机只支持USB口打印，打印机通过USB连接线和电脑的USB端口直接连接，用户的打印数据通过USB传输协议传给打印机打印输出。近年来USB打印机通常以桌面打印机居多，体积轻便，价格便宜，用户操作相对简单，在个人、学校、企事业等各类团体中广泛使用。

以往，打印机安全打印系统的方法一般是基于监控打印机的网络端口打印的手段来实现的，对于USB打印机打印作业，由于打印端口没有通过网络监控，用户可以任意安装、添加USB口打印机，并且可以通过USB口任意打印文件，无法严格控制和监控用户使用USB打印机打印作业的行为，无法监控到用户打印作业的内容，对于涉密文档的泄露存在严重的漏洞，也无法对打印内容进行电子存档和安全审计。另外，由于USB打印机是通过USB连接线在个人电脑的本地USB端口连接,所以一台USB打印只能为与它连接的客户端电脑使用，其他客户端电脑无法使用这台USB口打印机，也造成打印机资源的浪费。

以往的打印机安全监控及审计系统对于USB的打印机部署一般采用如下部署方式：将USB打印机与USB打印服务器通过USB连接线连接，USB打印机服务器作为独立的网络设备连接在网络中；客户端电脑通过添加USB打印机服务器网络端口来使用USB打印机打印作业（如图1）。

这样部署的缺点如下：

1、USB打印机及其安全打印监控及审计系统的部署依赖于USB打印机服务器产品。每台USB打印机都要和USB打印机服务器连接，通过监控USB打印服务器的网络端口来实现对USB打印机的监控，增加了部署的成本，部署起来也比较麻烦。

2、这种通过外置网络设备（如USB打印服务器）将USB打印机的USB打印端口转换为TCP/IP网络端口打印作业的方法，会占用一定数目的网络端口资源,随着部署USB打印机数目的庞大，也往往消耗大量的IP地址及相应的周边网络设备（如网口，网线，电源）。

3、从安全监控上来说，如果用户擅自将连接在USB打印机服务器上的USB打印机直接和自己的电脑用USB连接线，通过本地USB端口打印，则无法控制该用户的打印行为，也无法监控和审计通过该USB口打印的打印作业，出现打印监控的监控盲点。

4、由于打印服务器功能设计本身存在设计和功能缺陷，存在对打印机型号、打印机支持语言兼容性能的问题，以及在实际使用工程中经常遇到打印服务器对打印数据的处理速度慢、丢失数据等不稳定因素，影响了对整个USB打印机安全打印监控及审计系统的性能，也会对USB打印机安全打印监控及审计系统的长期持久使用造成影响。

发明内容

发明目的：本发明提供一种在涉密领域应用的USB打印机安全打印监控及审计系统，既能实现安全打印，又能节约网络资源，节约系统成本，提高部署效率。

技术方案：一种USB打印机安全打印监控及审计系统，包括数台个人电脑、数台USB打印机、网络、用于部署USB打印机安全打印监控及审计软件系统的服务器，服务器和个人电脑均需要接入网络，在服务器上实现用户管理、打印权限控制、审批流程配置、打印设备控制并记录打印日志、加密留存打印内容等功能模块的管理；

在所述服务器上部署USB打印机安全打印监控及审计软件，在个人电脑上安装USB打印机安全打印监控及审计申请/审批客户端；每台USB打印机可以通过USB连接线和任意一台个人电脑连接；一台个人电脑可以连接多台USB打印机，连接打印机的数量取决于个人电脑的USB口数量；个人电脑也可以不连接任何USB打印机，通过本发明的实现方法，同样可以往连接在其他个人电脑的USB打印机打印作业，并且对打印作业实现监控和审计；

在所述服务器上部署USB打印机安全打印监控及审计软件，通过网站直接管理，管理员在网站配置后，打印客户端即刻生效。该软件包括用户管理、打印设备管理、打印权限管理、打印文档留底、打印日志查询、客户端版本自动发布、客户端版本自动更新等功能模块：

1）用户管理功能模块，能将需要管理的打印账户按照计算机名称、计算机IP地址、局域网内的员工账号中的任意一种方式添加并启用打印账号；建立部门，将打印账号添加到部门中，设置打印账号的角色，角色分为：普通成员，部门管理员，系统管理员、安全审计员、安全保密员。

2）打印设备管理功能模块，能将监控的打印机设备名称添加到打印机设备名称列表中；同时可设定USB打印机所连接的电脑的IP地址及指定端口号，将打印机添加到对应的虚拟打印机设备中。

3）打印权限管理功能，可设定打印机打印的密级、用户打印的密级，打印审批规则的设定；打印审批规则可以定义打印作业为：不需要审批、一级审批规则、二级审批规则；指定审批的密级，审批人。

4）打印文档留底功能模块，根据实际需要设置打印的文件留底保留的时间，留底的密级。

5）打印日志查询功能模块，根据需要设置查询条件，管理员配置打印日志查询的人员类别；普通成员只能查询到本人打印作业的日志，部门管理员能够查询到本部门所有成员的打印日志，安全审计员能看到包括系统管理员在内的所有系统操作日志、打印日志；安全保密员能看到安全审计员的操作日志。

6）客户端版本自动发布功能模块，利用用户管理功能模块，在部署了本系统的局域网络内为已启用的打印账号用户自动安装上USB打印机安全打印监控及审计申请/审批客户端，自动安装上虚拟打印机驱动。

7）客户端版本自动更新功能，对于已安装打印申请/审批客户端的用户，自动检测打印申请/审批客户端版本，如果和服务器上发布的最新版本不一致，则自动升级到服务器上的最新版本。

所述USB打印机安全打印监控及审计申请/审批客户端实现的功能包括：

1）在客户端电脑操作系统后台禁止USB端口打印作业。如果用户直接通过USB端口打印作业，客户端系统会自动提示打印作业无法提交。用户打印机作业选择的打印机端口为网口端口，那么客户端会检测该网络端口是否在打印设备管理中配置了，如果没有配置客户端会提示打印作业无法提交。

2）打印作业申请功能。打印申请/审批客户端申请界面中，用户需要填写打印作业的密级，如果该用户配置了多台打印机，则需要在打印申请界面中选择输出的打印机。

3）打印作业审批功能。打印申请/审批客户端审批界面中，审批人可以预览申请人提交的打印作业内容，审批人可以同意打印提交的作业，也可以拒绝打印作业。

4）打印作业简单浏览功能。浏览最近提交的50条打印作以下信息：打印文件名称、打印页数、打印份数、打印时间、打印密级、审批人信息，作业状态（作业状态包含：待审核、已审核、待输出、已完成）。

以下是本系统的使用方法或说操作步骤的说明：

1）管理员在服务器端可以通过网站访问方式，添加启用打印账号；配置打印机。

2）用户在本地添加打印机驱动程序，并将打印端口设置为电脑IP地址。

3）用户（申请人）选择虚拟打印机驱动打印作业，客户端自动弹出申请界面，用户在申请界面中填写打印密级、选择输出打印机，提交打印作业。

4）审批人在审批界面中查看申请打印作业信息，同意以后，提交的打印作业可以在打印机中打印输出了。

如果用户试图在本机通过添加真实打印机驱动及真实打印机端口（USB端口，并口，或TICP/IP口），绕过本系统的打印设备管理设置，则打印的作业无法提交到windows系统中的print spooler服务中，从而无法在任何打印机任何端口上输出作业成功。

个人电脑上可以连接多台USB打印机，并在打印机设备管理设置中设定相同的USB打印机设备所连接的电脑的IP地址及指定端口号，用户提交作业后在客户端申请界面中指定需要从哪一台USB打印机输出；不需要每个用户都要在自己电脑上通过USB连接线连接USB打印机。用户只需要添加其它电脑上连接的USB打印机驱动及设置打印机名称和打印机端口，通过虚拟打印机驱动可以向在其他电脑上连接的USB打印机打印文档，实现USB打印机多用户共享、安全监控和审计。

在个人电脑上部署完USB打印机安全打印监控及审计申请/审批客户端以后，用户不能任意打印本地USB端口添加的打印机。其打印的作业必须经过USB打印机安全打印监控及审计系统提交及审批后方能打印成功。从而实现了阻止用户往添加在本地端口打印机上打印作业，用户所能打印出的所有打印作业必须都是经过USB打印机安全打印监控及审计软件系统申请、审批和记录。

本发明的优点和有益效果：本发明为涉密的企事业单位提供了USB打印机安全监控的高效、安全、使用的解决方案；同时也为使用USB打印机，追求节能、环保的办公团体优化了现代办公解决方案；本发明在USB打印监控部署时，不需要采购如打印服务器的网络设备，不仅易于部署，而且大大提高了USB打印机安全打印系统的稳定性，也为用户节约了部署安全打印系统网络硬件成本的投入。

附图说明

图1是现有技术中安全打印系统的结构示意图；

图2是本发明系统结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

如图2，一种USB打印机安全打印监控及审计系统，包括数台个人电脑、数台USB打印机、网络、用于部署USB打印机安全打印监控及审计软件系统的服务器，服务器和个人电脑均需要接入网络，在服务器上实现用户管理、打印权限控制、审批流程配置、打印设备控制并记录打印日志、加密留存打印内容等功能模块的管理；

在所述服务器上部署USB打印机安全打印监控及审计软件，在个人电脑上安装USB打印机安全打印监控及审计申请/审批客户端；每台USB打印机可以通过USB连接线和任意一台个人电脑连接；一台个人电脑可以连接多台USB打印机，连接打印机的数量取决于个人电脑的USB口数量；个人电脑也可以不连接任何USB打印机，通过本发明的实现方法，同样可以往连接在其他个人电脑的USB打印机打印作业，并且对打印作业实现监控和审计；

在所述服务器上部署USB打印机安全打印监控及审计软件，通过网站直接管理，管理员在网站配置后，打印客户端即刻生效。该软件包括用户管理、打印设备管理、打印权限管理、打印文档留底、打印日志查询、客户端版本自动发布、客户端版本自动更新等功能模块：

1）用户管理功能模块，能将需要管理的打印账户按照计算机名称、计算机IP地址、局域网内的员工账号中的任意一种方式添加并启用打印账号；建立部门，将打印账号添加到部门中，设置打印账号的角色，角色分为：普通成员，部门管理员，系统管理员、安全审计员、安全保密员。

2）打印设备管理功能模块，能将监控的打印机设备名称添加到打印机设备名称列表中；同时可设定USB打印机所连接的电脑的IP地址及指定端口号，将打印机添加到对应的虚拟打印机设备中。

3）打印权限管理功能，可设定打印机打印的密级、用户打印的密级，打印审批规则的设定；打印审批规则可以定义打印作业为：不需要审批、一级审批规则、二级审批规则；指定审批的密级，审批人。

4）打印文档留底功能模块，根据实际需要设置打印的文件留底保留的时间，留底的密级。

5）打印日志查询功能模块，根据需要设置查询条件，管理员配置打印日志查询的人员类别；普通成员只能查询到本人打印作业的日志，部门管理员能够查询到本部门所有成员的打印日志，安全审计员能看到包括系统管理员在内的所有系统操作日志、打印日志；安全保密员能看到安全审计员的操作日志。

6）客户端版本自动发布功能模块，利用用户管理功能模块，在部署了本系统的局域网络内为已启用的打印账号用户自动安装上USB打印机安全打印监控及审计申请/审批客户端，自动安装上虚拟打印机驱动。

7）客户端版本自动更新功能，对于已安装打印申请/审批客户端的用户，自动检测打印申请/审批客户端版本，如果和服务器上发布的最新版本不一致，则自动升级到服务器上的最新版本。

所述USB打印机安全打印监控及审计申请/审批客户端实现的功能包括：

1）在客户端电脑操作系统后台禁止USB端口打印作业。如果用户直接通过USB端口打印作业，客户端系统会自动提示打印作业无法提交。用户打印机作业选择的打印机端口为网口端口，那么客户端会检测该网络端口是否在打印设备管理中配置了，如果没有配置客户端会提示打印作业无法提交。

2）打印作业申请功能。打印申请/审批客户端申请界面中，用户需要填写打印作业的密级，如果该用户配置了多台打印机，则需要在打印申请界面中选择输出的打印机。

3）打印作业审批功能。打印申请/审批客户端审批界面中，审批人可以预览申请人提交的打印作业内容，审批人可以同意打印提交的作业，也可以拒绝打印作业。

4）打印作业简单浏览功能。浏览最近提交的50条打印作以下信息：打印文件名称、打印页数、打印份数、打印时间、打印密级、审批人信息，作业状态（作业状态包含：待审核、已审核、待输出、已完成）。

以下是本系统的使用方法或说操作步骤的说明：

1）管理员在服务器端可以通过网站访问方式，添加启用打印账号；配置打印机。

2）用户在本地添加打印机驱动程序，并将打印端口设置为电脑IP地址。

3）用户（申请人）选择虚拟打印机驱动打印作业，客户端自动弹出申请界面，用户在申请界面中填写打印密级、选择输出打印机，提交打印作业。

4）审批人在审批界面中查看申请打印作业信息，同意以后，提交的打印作业可以在打印机中打印输出了。

如果用户试图在本机通过添加真实打印机驱动及真实打印机端口（USB端口，并口，或TICP/IP口），绕过本系统的打印设备管理设置，则打印的作业无法提交到windows系统中的print spooler服务中，从而无法在任何打印机任何端口上输出作业成功。

个人电脑上可以连接多台USB打印机，并在打印机设备管理设置中设定相同的USB打印机设备所连接的电脑的IP地址及指定端口号，用户提交作业后在客户端申请界面中指定需要从哪一台USB打印机输出；不需要每个用户都要在自己电脑上通过USB连接线连接USB打印机。用户只需要添加其它电脑上连接的USB打印机驱动及设置打印机名称和打印机端口，通过虚拟打印机驱动可以向在其他电脑上连接的USB打印机打印文档，实现USB打印机多用户共享、安全监控和审计。

在个人电脑上部署完USB打印机安全打印监控及审计申请/审批客户端以后，用户不能任意打印本地USB端口添加的打印机。其打印的作业必须经过USB打印机安全打印监控及审计系统提交及审批后方能打印成功。从而实现了阻止用户往添加在本地端口打印机上打印作业，用户所能打印出的所有打印作业必须都是经过USB打印机安全打印监控及审计软件系统申请、审批和记录。

Claims (3)

1.一种USB打印机安全打印监控及审计系统，包括数台个人电脑、数台USB打印机、网络、用于部署USB打印机安全打印监控及审计软件系统的服务器，所述服务器和个人电脑均需要接入网络，其特征在于，

在所述服务器上实现用户管理、打印权限控制、审批流程配置、打印设备控制并记录打印日志、加密留存打印内容等功能模块的管理；

在所述服务器上部署USB打印机安全打印监控及审计软件，在所述个人电脑上安装USB打印机安全打印监控及审计申请/审批客户端；每台USB打印机可以通过USB连接线和任意一台个人电脑连接；一台个人电脑可以连接多台USB打印机，连接打印机的数量取决于个人电脑的USB口数量；个人电脑也可以不连接任何USB打印机。

2.如权利要求1所述的USB打印机安全打印监控及审计系统，其特征在于，在所述服务器上部署USB打印机安全打印监控及审计软件，该软件包括用户管理、打印设备管理、打印权限管理、打印文档留底、打印日志查询、客户端版本自动发布、客户端版本自动更新等功能模块：

1）用户管理功能模块，能将需要管理的打印账户按照计算机名称、计算机IP地址、局域网内的员工账号中的任意一种方式添加并启用打印账号；建立部门，将打印账号添加到部门中，设置打印账号的角色，角色分为普通成员、部门管理员、系统管理员、安全审计员、安全保密员；

2）打印设备管理功能模块，能将监控的打印机设备名称添加到打印机设备名称列表中；同时可设定USB打印机所连接的电脑的IP地址及指定端口号，将打印机添加到对应的虚拟打印机设备中；

3）打印权限管理功能，可设定打印机打印的密级、用户打印的密级，打印审批规则的设定；打印审批规则可以定义打印作业为不需要审批、一级审批规则、二级审批规则；指定审批的密级、审批人；

4）打印文档留底功能模块，根据实际需要设置打印的文件留底保留的时间，留底的密级；

5）打印日志查询功能模块，根据需要设置查询条件，管理员配置打印日志查询的人员类别；普通成员只能查询到本人打印作业的日志，部门管理员能够查询到本部门所有成员的打印日志，安全审计员能看到包括系统管理员在内的所有系统操作日志、打印日志；安全保密员能看到安全审计员的操作日志；

6）客户端版本自动发布功能模块，利用用户管理功能模块，在部署了本系统的局域网络内为已启用的打印账号用户自动安装上USB打印机安全打印监控及审计申请/审批客户端，自动安装上虚拟打印机驱动；

7）客户端版本自动更新功能，对于已安装打印申请/审批客户端的用户，自动检测打印申请/审批客户端版本，如果和服务器上发布的最新版本不一致，则自动升级到服务器上的最新版本。

3.如权利要求1或2所述的USB打印机安全打印监控及审计系统，其特征在于，

所述USB打印机安全打印监控及审计申请/审批客户端实现的功能包括：

1）在客户端电脑操作系统后台禁止USB端口打印作业，如果用户直接通过USB端口打印作业，客户端系统会自动提示打印作业无法提交；用户打印机作业选择的打印机端口为网口端口，那么客户端会检测该网络端口是否在打印设备管理中配置了，如果没有配置客户端会提示打印作业无法提交；

2）打印作业申请功能，打印申请/审批客户端申请界面中，用户需要填写打印作业的密级，如果该用户配置了多台打印机，则需要在打印申请界面中选择输出的打印机；

3）打印作业审批功能，打印申请/审批客户端审批界面中，审批人可以预览申请人提交的打印作业内容，审批人可以同意打印提交的作业，也可以拒绝打印作业；

4）打印作业简单浏览功能。浏览最近提交的50条打印作以下信息：打印文件名称、打印页数、打印份数、打印时间、打印密级、审批人信息，作业状态。

Images