Xerox FreeFlow Core 5.0 ( ) Juli P Xerox FreeFlow Core Beveiligingshandleiding

Transcriptie

1 Xerox FreeFlow Core 5.0 ( ) Juli P91224

2 2016 Xerox Corporation. Alle rechten voorbehouden. Xerox, Xerox en Beeldmerk, FreeFlow en VIPP zijn handelsmerken van Xerox Corporation in de Verenigde Staten en/of andere landen. Deze software omvat software die is ontwikkeld door Adobe Systems Incorporated Adobe Systems Incorporated en zijn licentiegevers. Alle rechten voorbehouden. Adobe, het Adobe-logo, het Adobe PDF-logo, PDF Converter SDK en PDF Library zijn geregistreerde handelsmerken of handelsmerken van Adobe Systems Incorporated in de Verenigde Staten en/of andere landen. Handelsmerken van andere bedrijven worden eveneens erkend. Hoewel dit materiaal met de grootst mogelijke zorg is samengesteld, wijst Xerox Corporation aansprakelijkheid af voor de gevolgen van eventuele onnauwkeurigheden of ontbrekende informatie. Gedrukt in de Verenigde Staten van Amerika. De informatie in dit document kan periodiek worden gewijzigd. In volgende uitgaven zullen wijzigingen worden opgenomen en technische onnauwkeurigheden en drukfouten worden gecorrigeerd. BR14707 Documentversie: 1.0 (juli 2016).

3 Inhoudsopgave 1 Voorwoord Algemeen doel Doelgroep Disclaimer Productbeschrijving Connectiviteit in verband met beveiliging Systeemtoegang Netwerkverbindingen FreeFlow Core Client Gebruikersrollen Gebruikersverificatie SQL Server-verbinding Gebruikersinterface Opdrachtverzending Hot Folders Verwerking van manifest JMF-commando's en statussignalen FreeFlow Core Submit Knooppunten in de workflow FreeFlow Core Printing FreeFlow Core Cloud Print meldingen Beveiliging Beveiliging tegen virussen Software-update i

4 Inhoudsopgave ii

5 1 Voorwoord Algemeen doel Het doel van dit document is informatie te verstrekken over en FreeFlow Core Cloud met-betrekking tot beveiliging van het product. De klant is verantwoordelijk voor de beveiliging van zijn netwerk en het FreeFlow-product. Het FreeFlow-product biedt geen beveiliging voor een netwerkomgeving. Doelgroep De doelgroep voor dit document bestaat uit klanten die meer informatie over beveiliging nodig hebben met betrekking tot FreeFlow Core. Disclaimer Voor zover wij weten is de informatie in dit document accuraat op de datum van publicatie en deze wordt zonder garanties verstrekt. In geen geval kan Xerox Corporation aansprakelijk worden gesteld voor enige schade die de gebruiker ondervindt als gevolg van het gebruiken dan wel het negeren van de informatie die in dit document wordt verstrekt, daarbij inbegrepen directe of indirecte schade, incidentele schade, gevolgschade, winstderving of bijzondere schade, zelfs wanneer Xerox Corporation van tevoren in kennis is gesteld dat dergelijke schade zou kunnen ontstaan. 1-1

6 Voorwoord 1-2

7 2 Productbeschrijving is de nieuwe generatie workflowoplossingen van Xerox. Het is een browser-gebaseerde oplossing die op intelligente wijze de verwerking van afdrukopdrachten automatiseert en integreert, vanaf het voorbereiden van de bestanden tot de uiteindelijke productie. De gebruikersvriendelijke workflow is eenvoudig te bedienen, aan te passen en op schaal te brengen en levert consistente resultaten. FreeFlow Core Cloud is de op de cloud gebaseerde configuratieservice. Daarvoor installeert Xerox de software op zijn eigen cloud-servers. Wij configureren en beheren het onderhoud. U krijgt gewoon toegang tot uw eigen en beveiligde systeem vanaf een webbrowser. Connectiviteit in verband met beveiliging De connectiviteit in verband met beveiliging voor het product wordt hieronder afgebeeld. 2-1

8 Productbeschrijving 2-2

9 3 Systeemtoegang Netwerkverbindingen FreeFlow Core vereist netwerkconnectiviteit voor zowel opdrachtverwerking als gebruikersinteracties. Hieronder staan de beveiligingsoverwegingen voor elke netwerkverbinding vermeld. FreeFlow Core Client Wanneer een browser verbinding maakt met de FreeFlow Core-webpagina, wordt een Silverlight-client naar de browser gedownload. Het gebruik van HTTPS-verbindingen is vereist voor het beveiligd downloaden van de FreeFlow Core-client en voor beveiligde communicatie tussen de client en FreeFlow Core. Voor het gebruik van HTTPS-verbindingen moet u een TLS/SSL-certificaat aan Internet Information Services (IIS) toevoegen zoals beschreven in de Windows-documentatie. Er worden geen klantgegevens uitgewisseld tussen de client en de FreeFlow Core-server, tenzij de gebruiker opdrachtbestanden downloadt. De client haalt de opdrachteigenschappen op, waarin mogelijk klantengegevens zijn opgenomen. Tabel 1. Configuratie van de firewall 80 HTTP Binnenkomend Het poortnummer is afhankelijk van de configuratie van de IIS-server 3-1

10 Systeemtoegang 443 HTTPS Binnenkomend Het poortnummer is afhankelijk van de configuratie van de IIS-server Gebruikersrollen FreeFlow Core wordt standaard geopend met een aanmeldingsscherm. De gebruiker moet zich aanmelden voor toegang tot het systeem. Aangemelde gebruikers worden automatisch afgemeld na 30 minuten niet actief te zijn geweest. Beheerder De beheerder heeft toegang tot het hele systeem. Functies op het tabblad Opdrachtbeheer en -status: Dialoogvenster Opdracht verzenden en tabblad Opdrachtstatus. Tabblad Printerbeheer en -status Instellingen workflow Functies op het tabblad Beheer: Instellingen Hotfolder, Instellingen Meldingen, Instellingen Gebruikerstoegang Hulpprogramma's Core Server (beschikbaar op bureaublad van server): Xerox FreeFlow Core Exchange, Xerox FreeFlow Core Reports, Cloud Print Server, Certificates, License, Xerox Core Configure Hulpprogramma's Core Client: Submit, Cloud Print Client. Er kan op ieder willekeurig moment één beheerder zijn aangemeld bij FreeFlow Core. Operateur De operateur heeft toegang tot de volgende functies: Functies op het tabblad Opdrachtbeheer en -status: Dialoogvenster Opdracht verzenden en tabblad Opdrachtstatus Tabblad Printerbeheer en -status Hulpprogramma's Core Client: Xerox FreeFlow Core Submit, Cloud Print Client Er kunnen meerdere operateurs tegelijkertijd zijn aangemeld bij FreeFlow Core. Opdrachtstatusmonitor De opdrachtstatusmonitor heeft toegang (alleen-lezen) tot het tabblad Opdrachtstatus. Er kunnen meerdere opdrachtstatusmonitors tegelijkertijd zijn aangemeld bij FreeFlow Core. 3-2

11 Systeemtoegang Er kunnen meerdere opdrachtstatusmonitors tegelijkertijd zijn aangemeld bij Xerox FreeFlow Core. Gebruikersverificatie Aanmeldingsgegevens die in de FreeFlow Core Silverlight-client worden ingevoerd, worden gecodeerd voordat ze naar de FreeFlow Core server worden verzonden. Bij verificatie met behulp van FreeFlow Core-gebruikers worden gecodeerde aanmeldingsgegevens plaatselijk opgeslagen. Bij verificatie via Active Directory zijn de aanmeldingsgegevens niet gecodeerd voordat ze naar Active Directory worden verzonden. Bij verificatie via Active Directory worden de aanmeldingsgegevens niet lokaal opgeslagen. De verbinding van het FreeFlow Core-configuratieprogramma met Active Directory is gecodeerd conform de configuratie van het besturingssysteem. Tabel 2. Configuratie van de firewall 80 HTTP Binnenkomend Het poortnummer is afhankelijk van de configuratie van de IIS-server. 88 Kerberos Uitgaand - Gebruikersverificatie De poortnummers en -diensten zijn afhankelijk van de AD-configuratie op de server LDAP LDAP SSL LDAP GC LDAP GC SSL Uitgaand - Het valideren van ADgroepen gedurende de configuratie van AD-verificatie Opmerking: De poortnummers en - diensten zijn afhankelijk van de ADconfiguratie op de server. SQL Server-verbinding FreeFlow Core communiceert met SQL Server met behulp van het Entity Framework van Microsoft. Gecodeerde communicatie tussen FreeFlow Core en SQL Server wordt ingeschakeld wanneer SQL Server wordt geconfigureerd voor het gebruik van gecodeerde verbindingen. Gecodeerde aanmeldingsgegevens voor SQL Server worden plaatselijk opgeslagen binnen de FreeFlow Core-server. 3-3

12 Systeemtoegang Installatie op een externe SQL Server zonder SQLS-beheerdersrechten: Maak twee lege databases in de SQLS-instantie - OapMasterDatabase - OapPlatformDatabase Wijs eigendomsrechten van de databases toe aan een serviceaccount Gebruik bij het installeren van FreeFlow Core dezelfde serviceaccount voor de SQL-systeembeheerder Als u het gebruik van gedeelde Windows-mappen of het conversiepakket voor Microsoft Office wilt inschakelen, gebruikt u dezelfde serviceaccount bij het uitvoeren van de Optionele installatieprocedures. Tabel 3. Configuratie van de firewall 1433 SQLS Binnenkomend Het ontvangen van verbindingen van FreeFlow Core Uitgaand - Het communiceren met de database-engine van de SQL Server Het poortnummer is afhankelijk van de configuratie van de SQLS-server SQLS-browserservice Binnenkomend Het ontvangen van verbindingen van FreeFlow Core Uitgaand - Het communiceren met de database-engine van de SQL Server De server biedt de client een poortnummer voor de verbinding. Gebruikersinterface Opdrachtverzending De gebruikersinterface voor opdrachtverzending maakt gebruik van de FreeFlow Core Client-verbinding voor het verzenden van opdrachten (zie FreeFlow Core Client). Tabel 4. Configuratie van de firewall 80 HTTP Binnenkomend Het poortnummer is afhankelijk van de configuratie van de IIS-server. 3-4

13 Systeemtoegang 443 HTTPS Binnenkomend Het poortnummer is afhankelijk van de configuratie van de IIS-server. Hot Folders Bestandsshares die worden gebruikt voor het delen van een lokale hot folder en voor toegang tot een hot folder in gedeelde Windows-mappen kunnen worden gecodeerd met het Windows-bestandsysteem of worden beschermd met toegangsregeling voor Windows-gebruikersaccounts. Als u een toegangsregeling voor gebruikersaccounts gebruikt, gebruik dan dezelfde serviceaccount bij het uitvoeren van de Optionele installatieprocedures. Tabel 5. Configuratie van de firewall 139, , 21 SMB FTP Binnenkomend Het delen van Hot Folders via Windows Bestanden delen Uitgaand Het gebruik van Hot Folders in gedeelde directory's Binnenkomend Het delen van Hot Folders via FTP Verwerking van manifest Bij de verzending van het manifest haalt FreeFlow Core de bestanden op die in het manifest zijn vermeld. Naar deze bestanden wordt mogelijk verwezen met behulp van toegewezen stations of UNC-bestandspaden, HTTP of FTP URI's. HTTP en FTP URI's ondersteunen geen codering. Bestandsshares die worden gebruikt voor het delen van lokale mappen en voor toegang tot gedeelde Windows-mappen kunnen worden gecodeerd met het Windows-bestandsysteem of worden beschermd met toegangsregeling voor Windows-gebruikersaccounts. Als u een toegangsregeling voor gebruikersaccounts gebruikt, gebruik dan dezelfde serviceaccount bij het uitvoeren van de Optionele installatieprocedures. 3-5

14 Systeemtoegang Tabel 6. Configuratie van de firewall 139, , SMB FTP HTTP Uitgaand Het ophalen van bestanden die in Manifest worden vermeld uit gedeelde directory's Uitgaand Het ophalen van bestanden die in Manifest worden vermeld Uitgaand Het ophalen van bestanden die in Manifest worden vermeld JMF-commando's en statussignalen JMF-commando's ondersteunen beveiligde verbindingen. Het ophalen van JMF-bestanden gebeurt echter via ongecodeerde verbindingen. Voor beveiligde JMF-verzending is het verzenden van een MIME-pakket met de JMF-, JDF- en PDF-bestanden vereist. JMF-statussignalen gebruiken een ongecodeerde verbinding. Gebruik het commando JMF StatusQuery via een beveiligde verbinding voor een beveiligde JMF-status. HTTPS-communicatie inschakelen voor JMF-commando's: Gebruik het hulpprogramma installjmfcertificate.bat in de FreeFlow Core-installatiedirectory om een certificaat aan de Java-keystore toe te voegen. Start de FreeFlow Core JMF Server-service opnieuw. Test de installatie door in een browser naar te gaan. Als beveiligde JMF juist is geconfigureerd, wordt in de browser de foutpagina HTTP Status 404 weergegeven. Tabel 7. Configuratie van de firewall 7751 Varieert JMF JMF Binnenkomend - Ontvangen van JMFcommando's Uitgaand - Retournering van JMFstatussignalen Het vereiste poortnummer wordt gedefinieerd door de client die de JMFstatussignalen of het JMF-retoursignaal aanvraagt sjmf Binnenkomend - Het ontvangen van beveiligde JMF-commando's 3-6

15 Systeemtoegang FreeFlow Core Submit De verbinding tussen FreeFlow Core Submit en FreeFlow Core wordt altijd gecodeerd en vereist installatie van een TLS/SSL-certificaat. Als u het certificaat op de server wilt installeren, moet u het TLS/SSL-certificaat aan Internet Information Services (IIS) toevoegen zoals beschreven in de Windows-documentatie. De applicatie FreeFlow Core Submit en Microsoft Office-invoegtoepassingen maken gebruik van dezelfde beveiligde verbinding met FreeFlow Core. Gecodeerde aanmeldingsgegevens worden lokaal opgeslagen. Tabel 8. Configuratie van de firewall 443 HTTPS Binnenkomend (op de server) Accepteren van verbindingen vanaf de FreeFlow Core Submit-client. Uitgaand (in de client) - Verzenden van opdrachten naar FreeFlow Core Cloud Knooppunten in de workflow Workflowcomponenten die opdrachtbestanden ophalen of opslaan gebruiken mogelijk toegewezen stations, UNC-bestandspaden, HTTP of FTP URI's. HTTP en FTP URI's ondersteunen geen codering. Bestandsshares die worden gebruikt voor het delen van lokale mappen en voor toegang tot gedeelde Windows-mappen kunnen worden gecodeerd met het Windows-bestandsysteem of worden beschermd met toegangsregeling voor Windows-gebruikersaccounts. Als u een toegangsregeling voor gebruikersaccounts gebruikt, gebruik dan dezelfde serviceaccount bij het uitvoeren van de Optionele installatieprocedures. Tabel 9. Configuratie van de firewall 139, , 21 SMB FTP Uitgaand Het ophalen van bestanden die worden gespecificeerd in de voorinstelling van de workflowcomponent. Uitgaand Het opslaan van bestanden in gedeelde directory's. Uitgaand Het ophalen van bestanden die worden gespecificeerd in de voorinstelling van de workflowcomponent. 3-7

16 Systeemtoegang 80 HTTP Uitgaand Bestandsshares die worden gebruikt voor het delen van lokale mappen en voor toegang tot gedeelde Windows-mappen kunnen worden gecodeerd met het Windowsbestandsysteem of worden beschermd met toegangsregeling voor Windowsgebruikersaccounts. Als u een toegangsregeling voor gebruikersaccounts gebruikt, gebruik dan dezelfde serviceaccount bij het uitvoeren van de Optionele installatieprocedures. Het ophalen van bestanden die worden gespecificeerd in de voorinstelling van de workflowcomponent. FreeFlow Core Printing FreeFlow Core gebruikt SNMP of HTTP voor het bepalen van het DFE-type. Dit wordt gedaan met behulp van een ongecodeerde verbinding. De volgende bewerkingen maken tevens gebruik van een ongecodeerde verbinding: Het ophalen van de lijst met DFE-wachtrijen Het ophalen van de printermogelijkheden Het ophalen van de opdrachtstatus Het verzenden van opdrachtbewerkingen Het ophalen van opdrachtaccountadministratiegegevens Het verzenden van afdrukopdrachten is mogelijk gecodeerd wanneer er verbinding wordt gemaakt met een DFE die is geconfigureerd voor ondersteuning van beveiligde IPP. Verzending van afdrukopdrachten via beveiligde IPP inschakelen: Voeg een certificaat toe aan de FreeFlow Print Server Selecteer de optie SSL/TLS inschakelen onder Instellingen van FreeFlow Print Server Gebruik het FreeFlow Core-certificaathulpprogramma om een TLS/SSL-certificaat van de FreeFlow Print Server op te halen Wanneer het bericht Certificaat is geïnstalleerd verschijnt, is beveiligde IPP juist geconfigureerd. Nadat beveiligde IPP juist is geconfigureerd, wordt het ingeschakeld via de optie Beveiligd afdrukken in de configuratie van de printerbestemming. 3-8

17 Systeemtoegang Tabel 10. Configuratie van de firewall 161, N.V.T SNMP HTTP ICMP IPP HTTPS Uitgaand Identificeren van het DFEtype tijdens de configuratie van de printerbestemming en het ophalen van het certificaat. Uitgaand Identificeren van het DFEtype tijdens de configuratie van de printerbestemming en het ophalen van het certificaat. Uitgaand Controleer de beschikbaarheid van het apparaat voordat u het certificaat ophaalt. Uitgaand Verzenden van opdrachten naar DFE's, het ophalen van de opdrachtstatus en het verzenden van opdrachtcommando's naar de DFE. Uitgaand Verzenden van opdrachten naar DFE. FreeFlow Core Cloud Print De verbinding tussen de FreeFlow Core Cloud Print-server en de client wordt altijd gecodeerd en vereist installatie van een TLS/SSL-certificaat. Als u het certificaat op de server wilt installeren, moet u het TLS/SSL-certificaat aan Internet Information Services (IIS) toevoegen zoals beschreven in de Windows-documentatie. De verbinding tussen de FreeFlow Core Cloud Print-client en de DFE biedt geen ondersteuning voor beveiligde IPP. Gecodeerde aanmeldingsgegevens worden lokaal opgeslagen. Tabel 11. Configuratie van de firewall 161, SNMP IPP Uitgaand Het identificeren van het DFE-type tijdens de configuratie van de printerbestemming. Uitgaand - Het verzenden van opdrachten naar DFE's, het ophalen van de opdrachtstatus en het verzenden van opdrachtcommando's naar de DFE. 3-9

18 Systeemtoegang 443 meldingen HTTPS Binnenkomend (op de server) - Accepteren van verbindingen vanaf de FreeFlow Core Cloud Print-client. Uitgaand (in de client) - Verbinden met de FreeFlow Core Cloud Print-server. FreeFlow Core is een client en wordt aangesloten op een server van de klant. Meldingen per worden mogelijk gecodeerd wanneer u een verbinding maakt met een mailserver die codering ondersteunt. SSL maakt gecodeerde communicatie mogelijk tussen de meldingsdienst en de SMTP-server. Gecodeerde aanmeldingsgegevens worden lokaal opgeslagen. Tabel 12. Configuratie van de firewall 25, 2525, 465, 475, 587 SMTP Uitgaand Het verzenden van e- mailmeldingen. Het vereiste poortnummer en gebruik van de beveiligde verbinding zijn afhankelijk van de configuratie van de SMTP-server. 3-10

19 4 Beveiliging Xerox neemt beveiligingskwesties uiterst serieus. Als vooraanstaand bedrijf in de ontwikkeling van digitale technologie verplicht Xerox zich ertoe digitale gegevens te beveiligen door potentiële zwakke plekken op te sporen en deze situatie te verhelpen om risico's te beperken. Xerox streeft ernaar het best beveiligde softwareproduct te leveren op basis van de informatie en technologie die op dit moment beschikbaar is en tegelijkertijd de prestaties, waarde, functionaliteit en productiviteit van de producten te handhaven. Er wordt getest of de onderdelen van voldoen aan de beveiligingseisen met behulp van commercieel verkrijgbare scanprogramma's voor de controle van kwetsbaarheid en penetratie. Kwetsbare plekken in de toepassing worden aangepakt op basis van de resultaten van onze interne scans. Xerox verspreidt beveiligingsbulletins wanneer dat nodig is. Deze informatie is te vinden op de website over beveiliging van Xerox: onder Product Security Guidance. Beveiliging tegen virussen Xerox neemt speciale voorzorgsmaatregelen om er zeker van te zijn dat haar eigen software virusvrij wordt verstuurd. U wordt ten zeerste aangeraden te investeren in virusdetectiesoftware die door de pc-sector wordt geaccepteerd. Ter bescherming van uw systeem tegen virussen is het cruciaal dat uw virusdetectiesoftware up-to-date blijft. Ter verbetering van de prestaties wordt aanbevolen dat u de installatiedirectory's van FreeFlow Core en SQL Server uitsluit van scans door de antivirussoftware. U kunt in plaats daarvan ook de volgende FreeFlow Core-mappen uitsluiten van scannen door uw antivirussoftware: <FreeFlow Core-installatiedirectory>\Logs <FreeFlow Core-installatiedirectory>\Platform\Logs <FreeFlow Core Installation directory>\jobsubmit\logs <FreeFlow Core-installatiedirectory>\Config <FreeFlow Core Installation directory>\platform\config 4-1

20 Beveiliging <FreeFlow Core Sandbox>\ Mappen buiten de Sandbox die door FreeFlow Core worden gebruikt 4-2

21 5 Software-update We raden de klant aan alle softwareproducten op de FreeFlow Core-server up-to-date te houden. Microsoft Windows Update moet minimaal een keer per maand worden uitgevoerd. 5-1

22 Software-update 5-2

23

24