Xerox® FreeFlow® Core - Xerox Support and Drivers
Werbung
Xerox FreeFlow Core 4.0 SP3 (4.0.3.0) Handbuchversion 1.3 Oktober 2015 708P91102 ® ® Xerox FreeFlow Core Sicherheitshandbuch ©2015 Xerox Corporation. Alle Rechte vorbehalten. Xerox®, XEROX samt Bildmarke® und FreeFlow® sind Marken der Xerox Corporation in den USA und/oder anderen Ländern. Diese Software enthält Software, die von Adobe Systems Incorporated entwickelt wurde. © 2015 Adobe Systems Incorporated und Lizenzgeber. Alle Rechte vorbehalten. Adobe, das Adobe-Logo, das Adobe PDF-Logo, PDF Converter SDK und PDF Library sind Marken von Adobe Systems Incorporated in den USA und/oder anderen Ländern. BR14707 Inhalt 1 Xerox® FreeFlow®-Anwendungssuite: Sicherheit...........................1-1 Übersicht.................................................................................................................................1-1 Xerox® FreeFlow® Core: Netzwerkverbindungen......................................................1-1 Xerox® FreeFlow® Core-Client.............................................................................1-2 Benutzerauthentifizierung..................................................................................1-2 Verbindung zu SQL Server...................................................................................1-3 Auftragsübermittlungs-UI..................................................................................1-4 Aktive Ordner............................................................................................................1-5 Manifest-Verarbeitung.........................................................................................1-5 JMF-Befehle und -Statussignale.......................................................................1-6 Xerox® FreeFlow® Core-Übermittlung.............................................................1-6 Workflowknoten......................................................................................................1-7 Xerox® FreeFlow® Core Print...............................................................................1-7 Xerox® FreeFlow® Core Cloud Print..................................................................1-8 E-Mail-Benachrichtigung.....................................................................................1-9 2 Virenschutz..................................................................................................2-1 3 Softwareaktualisierung...........................................................................3-1 Xerox® FreeFlow® Core Sicherheitshandbuch i Inhalt ii Xerox® FreeFlow® Core Sicherheitshandbuch 1 ® Xerox ® FreeFlow -Anwendungssuite: Sicherheit Übersicht Dieses Dokument enthält sicherheitsrelevante Informationen zu Xerox® FreeFlow® Core. Bei Xerox wird Sicherheit groß geschrieben. Als eines der führenden Unternehmen der Digitaltechnologie fühlt Xerox sich dem Schutz digitaler Informationen verpflichtet. Potenzielle Schwachstellen werden schnell aufgespürt und ihre Beseitigung wird sofort in Angriff genommen, um Risiken zu minimieren. Xerox ist bestrebt, auf Grundlage der verfügbaren Informationen und Technologien ein Softwareprodukt bereitzustellen, das bei gleichbleibender Leistung, Einsatztauglichkeit, Güte und Produktivität möglichst hohen Sicherheitsanforderungen gerecht wird. Alle Xerox® FreeFlow®-Komponenten werden mithilfe der handelsüblichen Schwachstellen- und Einbruchs-Prüfwerkzeuge auf die Einhaltung der üblichen Sicherheitsstandards geprüft. Anwendungsschwachstellen werden auf der Basis der Ergebnisse unserer internen Prüfungen behandelt. Xerox® FreeFlow® Core: Netzwerkverbindungen Für Xerox® FreeFlow® Core sind zur Verarbeitung von Aufträgen und Interaktion mit dem Benutzer Netzwerkverbindungen erforderlich. Sicherheitsaspekte für jede Netzwerkverbindung sind nachstehend dokumentiert. Xerox® FreeFlow® Core Sicherheitshandbuch 1-1 Xerox® FreeFlow®-Anwendungssuite: Sicherheit Xerox® FreeFlow® Core-Client Wenn ein Browser eine Verbindung zu einer Xerox® FreeFlow® Core-Webseite herstellt, wird ein Silverlight-Client in den Browser heruntergeladen. Für den sicheren Download des FreeFlow Core-Clients und die sichere Kommunikation zwischen dem Client und FreeFlow Core werden HTTPS-Verbindungen benötigt. Zur Aktivierung von HTTPS-Verbindungen muss IIS per Windows-Funktionalität ein Zertifikat hinzugefügt werden. Zwischen dem Client und dem Xerox® FreeFlow® Core-Server werden jedoch keine Kundendaten ausgetauscht, außer der Benutzer lädt Auftragsdateien herunter. HINWEIS Der Client ruft Auftragseigenschaften ab, welche Kundendaten enthalten können. Tabelle 1. Firewall-Konfiguration Anschluss Protokoll oder Anwendung Firewall-Verbindungstyp 80 HTTP Eingehend HINWEIS Anschlussnummer hängt von der IISServerkonfiguration ab. 443 HTTP Eingehend HINWEIS Anschlussnummer hängt von der IISServerkonfiguration ab. Benutzerauthentifizierung Zugangsdaten, die in den Xerox® FreeFlow® Core Silverlight-Client eingegeben werden, werden vor der Übermittlung an Xerox® FreeFlow® verschlüsselt. Bei der Authentifizierung über Xerox® FreeFlow® Core-Benutzer werden verschlüsselte Anmeldedaten lokal gespeichert. Bei der Authentifizierung über Active Directory werden Anmeldedaten nicht verschlüsselt, bevor sie an Active Directory übermittelt werden. Die Verbindung zu Active Directory wird entsprechend der Konfiguration des Betriebssystems verschlüsselt. Bei der Authentifizierung über Active Directory werden Anmeldedaten nicht lokal gespeichert. Die Verbindung des FreeFlow Core-Konfigurationsprogramms zu Active Directory wird entsprechend der Konfiguration des Betriebssystems verschlüsselt. 1-2 Xerox® FreeFlow® Core Sicherheitshandbuch Xerox® FreeFlow®-Anwendungssuite: Sicherheit Tabelle 2. Firewall-Konfiguration Anschluss Protokoll oder Anwendung Firewall-Verbindungstyp 80 HTTP Eingehend HINWEIS Anschlussnummer hängt von der IISServerkonfiguration ab. 88 Kerberos Ausgehend - Benutzerauthentifizierung HINWEIS Anschlussnummern und Dienste hängen von der AD-Konfiguration des Servers ab. 389 636 3268 3269 LDAP LDAP SSL LDAP GC LDAP GC SSL Ausgehend - Validiert AD-Gruppen während der Konfiguration der AD-Authentifizierung HINWEIS Hinweis: Anschlussnummern und Dienste hängen von der AD-Konfiguration des Servers ab. Verbindung zu SQL Server Xerox® FreeFlow® Core kommuniziert mit SQL Server über Microsofts Entity Framework. Die verschlüsselte Kommunikation zwischen Xerox® FreeFlow® Core und SQL Server ist aktiviert, wenn SQL Server für die Verwendung verschlüsselter Verbindungen konfiguriert ist. Verschlüsselte Anmeldedaten für SQL Server werden lokal im Xerox® FreeFlow® Core-Server gespeichert. Installation auf einem Remote-SQL-Server ohne SQLS-Administratorberechtigungen ausführen: • In der SQLS-Instanz zwei leere Datenbanken erstellen: - OapMasterDatabase OapPlatformDatabase • Ein Dienstkonto als Besitzer der Datenbanken auswählen. • Beim Installieren von FreeFlow Core das gleiche Dienstkonto für den SQL-Systemadministrator verwenden. Xerox® FreeFlow® Core Sicherheitshandbuch 1-3 Xerox® FreeFlow®-Anwendungssuite: Sicherheit • Wir die Verwendung freigegebener Windows-Verzeichnisse oder der MS Office-Konvertierung aktiviert, beim Installieren der optionalen Komponenten dasselbe Dienstkonto verwenden. Tabelle 3. Firewall-Konfiguration Anschluss Protokoll oder Anwendung Firewall-Verbindungstyp 1433 SQLS Eingehend – Empfangende Verbindungen zu FreeFlow Core Ausgehend - Kommuniziert mit der Datenbank-Engine von SQL Server HINWEIS Anschlussnummer hängt von der SQL Server-Konfiguration ab. 1434 SQLS Browser-Dienst Eingehend – Empfangende Verbindungen zu FreeFlow Core Ausgehend - Kommuniziert mit der Datenbank-Engine von SQL Server HINWEIS Der Server gibt dem Client eine Anschlussnummer für die Verbindung. Auftragsübermittlungs-UI Das Auftragsübermittlungs-UI verwendet eine FreeFlow Core-Clientverbindung zur Übermittlung von Aufträgen (siehe Xerox FreeFlow Core-Client) . Tabelle 4. Firewall-Konfiguration Anschluss Protokoll oder Anwendung Firewall-Verbindungstyp 80 HTTP Eingehend HINWEIS Anschlussnummer hängt von der IISServerkonfiguration ab. 443 HTTPS Eingehend HINWEIS Anschlussnummer hängt von der IISServerkonfiguration ab. 1-4 Xerox® FreeFlow® Core Sicherheitshandbuch Xerox® FreeFlow®-Anwendungssuite: Sicherheit Aktive Ordner Windows verschlüsselt die File-Sharing-Verbindungen, die für das Sharing lokaler aktiver Ordner und für den Zugriff auf aktive Ordner in freigegebenen Windows-Ordnern verwendet werden, automatisch. Tabelle 5. Firewall-Konfiguration Anschluss Protokoll oder Anwendung Firewall-Verbindungstyp 139, 445 SMB Eingehend - Gibt aktive Ordner über die Windows-Dateifreigabe frei Ausgehend - Verwendet aktive Ordner in freigegebenen Verzeichnissen 20, 21 FTP Eingehend - Gibt aktive Ordner über FTP frei Manifest-Verarbeitung Während der Übermittlung eines Manifests ruft Xerox® FreeFlow® Core die im Manifest aufgelisteten Dateien ab. Diese Dateien können durch UNC-, HTTP- und FTP-URIs referenziert sein. HTTP- und FTP-URIs unterstützen keine Verschlüsselung. Windows verschlüsselt UNC-Verbindungen automatisch. Tabelle 6. Firewall-Konfiguration Anschluss Protokoll oder Anwendung Firewall-Verbindungstyp 139, 145 SMB Ausgehend - Ruft im Manifest aufgelistete Dateien aus freigegebenen Verzeichnissen ab 20, 21 FTP Ausgehend - Ruft im Manifest aufgelistete Dateien ab 80 HTTP Ausgehend - Ruft im Manifest aufgelistete Dateien ab Xerox® FreeFlow® Core Sicherheitshandbuch 1-5 Xerox® FreeFlow®-Anwendungssuite: Sicherheit JMF-Befehle und -Statussignale JMF-Befehle unterstützen sichere Verbindungen. Zum Abrufen von JMF-Dateien werden jedoch unverschlüsselte Verbindungen verwendet. Für die sichere JMF-Übermittlung muss zusammen mit den JMF-, JDF- und PDF-Dateien ein MIME-Paket übermittelt werden. JMF-Statussignale verwenden eine unverschlüsselte Verbindung. Zur sicheren JMF-Statusabfrage den JMF-Befehl „StatusQuery“ über eine sichere Verbindung verwenden. HTTPS-Verbindungen für JMF-Befehle aktivieren: • Über das Dienstprogramm installJMFCertificate.bat im Xerox® FreeFlow® Core-Installationsverzeichnis ein Zertifikat zum Java-Keystore hinzufügen. • Den JMF-Serverdienst von FreeFlow Core neu starten. • Zum Testen der Installation http://<hostname>:7759 aufrufen. Ist sicheres JMF richtig konfiguriert, zeigt der Browser eine Fehlerseite HTTP Status 404 an. Tabelle 7. Firewall-Konfiguration Anschluss Protokoll oder Anwendung Firewall-Verbindungstyp 7751 JMF Eingehend - Empfängt JMF-Befehle Variiert JMF Ausgehend - Gibt JMF-Statussignale zurück HINWEIS Die erforderliche Anschlussnummer wird vom Client definiert, der die JMF-Statussignale anfordert, bzw. vom JMF-Signal, das zurückgegeben wird. 7759 sJMF Eingehend - Empfängt sichere JMF-Befehle Xerox® FreeFlow® Core-Übermittlung Die Verbindung zwischen der Xerox® FreeFlow® Core-Übermittlung und FreeFlow Core ist immer verschlüsselt und erfordert die Installation eines Zertifikats. Zur Installation auf dem Server das Zertifikat per Windows-Funktionalität zu IIS hinzufügen. Die FreeFlow Core-Übermittlungsanwendung und die MS Office-Add-ins verwenden die gleiche sichere Verbindung zu FreeFlow Core. Die verschlüsselten Anmeldedaten werden lokal gespeichert. 1-6 Xerox® FreeFlow® Core Sicherheitshandbuch Xerox® FreeFlow®-Anwendungssuite: Sicherheit Tabelle 8. Firewall-Konfiguration Anschluss Protokoll oder Anwendung Firewall-Verbindungstyp 443 HTTPS Eingehend (zum Server) – Akzeptiert Verbindungen vom Xerox® FreeFlow® Core-Übermittlungsclient Ausgehend (zum Client) – Übermittelt Aufträge an Xerox® FreeFlow® Core Cloud Workflowknoten Workflowkomponenten, die Auftragsdateien abrufen oder speichern, können UNC-, HTTP- und FTP-URIs verwenden. HTTP- und FTP-URIs unterstützen keine Verschlüsselung. Windows verschlüsselt UNC-Verbindungen automatisch. Tabelle 9. Firewall-Konfiguration Anschluss Protokoll oder Anwendung Firewall-Verbindungstyp 139, 445 SMB Ausgehend - Ruft Dateien ab, die in der Vorgabe für die Workflowkomponente spezifiziert sind. Ausgehend - Speichert Dateien in freigegebenen Verzeichnissen. 20, 21 FTP Ausgehend - Ruft Dateien ab, die in der Vorgabe für die Workflowkomponente spezifiziert sind. 80 HTTP Ausgehend - Ruft Dateien ab, die in der Vorgabe für die Workflowkomponente spezifiziert sind. Xerox® FreeFlow® Core Print Xerox® FreeFlow® Core verwendet SNMP zur Ermittlung des DFE-Typs. Dies erfolgt über eine unverschlüsselte Verbindung. Die folgenden Vorgänge verwenden ebenfalls eine unverschlüsselte Verbindung: • • • • Abrufen der Liste der DFE-Warteschlangen Abrufen der Druckerfunktionen Abrufen des Auftragsstatus Übermittlung von Auftragsvorgängen Xerox® FreeFlow® Core Sicherheitshandbuch 1-7 Xerox® FreeFlow®-Anwendungssuite: Sicherheit • Abrufen von Auftragskostenzählungsdaten Die Auftragsübermittlung kann verschlüsselt sein, wenn eine Verbindung zu einem DFE hergestellt wird, das für die Unterstützung von sicherem IPP konfiguriert wurde. Auftragsübermittlung über sicheres IPP aktivieren: • FreeFlow-Druckserver ein Zertifikat hinzufügen. • In der Einrichtung von FreeFlow-Druckserver Option SSL/TSL aktivieren wählen. • Mit dem Core-Zertifikattool ein Zertifikat vom FreeFlow-Druckserver abrufen. Die erfolgreiche Installation des Zertifikats wird durch eine Meldung bestätigt. Nach korrekter Konfiguration wird sicheres IPP über die Option „Geschützte Druckausgabe“ in der Druckerziel-Einrichtung aktiviert. Tabelle 10. Firewall-Konfiguration Anschluss Protokoll oder Anwendung Firewall-Verbindungstyp 161, 162 SNMP Ausgehend - Ermittelt den DFE-Typ während der Einrichtung des Druckerziels. 631 IPP Ausgehend - Übermittelt Aufträge an DFEs, ruft den Auftragsstatus ab und übermittelt Auftragsbefehle an das DFE. Xerox® FreeFlow® Core Cloud Print Die Verbindung zwischen dem Xerox® FreeFlow® Core Cloud Print-Server und dem Client ist immer verschlüsselt und erfordert die Installation eines Zertifikats. Zur Installation im Server das Zertifikat per Windows-Funktionalität zu IIS hinzufügen. Die Verbindung zwischen dem Xerox® FreeFlow® Core Cloud Print-Client und dem DFE unterstützt kein sicheres IPP. Die verschlüsselten Anmeldedaten werden lokal gespeichert. Tabelle 11. Firewall-Konfiguration Anschluss Protokoll oder Anwendung Firewall-Verbindungstyp 161, 162 SNMP Ausgehend - Ermittelt den DFE-Typ während der Einrichtung des Druckerziels. 1-8 Xerox® FreeFlow® Core Sicherheitshandbuch Xerox® FreeFlow®-Anwendungssuite: Sicherheit Anschluss Protokoll oder Anwendung Firewall-Verbindungstyp 631 IPP Ausgehend - Übermittelt Aufträge an DFEs, ruft den Auftragsstatus ab und übermittelt Auftragsbefehle an das DFE. 443 HTTPS Eingehend (in den Server) - Akzeptiert Verbindungen vom Xerox® FreeFlow® Core Cloud Print-Client. Ausgehend (in den Client) - Stellt eine Verbindung zum Xerox® FreeFlow® Core Cloud Print-Server her. E-Mail-Benachrichtigung E-Mail-Benachrichtigungen können verschlüsselt sein, wenn eine Verbindung zu einem Mail-Server hergestellt wird, der Verschlüsselung unterstützt. Die verschlüsselten Anmeldedaten werden lokal gespeichert. Tabelle 12. Firewall-Konfiguration Anschluss Protokoll oder Anwendung Firewall-Verbindungstyp 25, 2525, 465, 475, 587 SMTP Ausgehend - Sendet E-Mail-Benachrichtigungen. HINWEIS Die erforderliche Anschlussnummer und die Verwendung der sicheren Verbindung hängen von der Konfiguration des SMTP-Servers ab. Xerox® FreeFlow® Core Sicherheitshandbuch 1-9 Xerox® FreeFlow®-Anwendungssuite: Sicherheit 1-10 Xerox® FreeFlow® Core Sicherheitshandbuch 2 Virenschutz Bei Xerox werden besondere Vorsichtsmaßnahmen getroffen, um die Auslieferung virenfreier Software zu gewährleisten. Es wird dringend empfohlen, einen Virenscanner zu installieren, der den Anforderungen der Computerindustrie gerecht wird. Zum Schutz des Systems vor Viren muss der Virenscanner unbedingt immer auf dem neuesten Stand gehalten werden. Für eine bessere Leistung empfiehlt es sich, die Installationsverzeichnisse von Xerox® FreeFlow® Core und MS SQL Server von der Virenschutzprüfung auszuschließen. Alternativ können die folgenden Xerox® FreeFlow® Core-Ordner von der Virenschutzprüfung ausgeschlossen werden: • <FreeFlow Core-Installationsverzeichnis>\Platform\Spool • <FreeFlow Core-Installationsverzeichnis>\Logs • <FreeFlow Core-Installationsverzeichnis>\Platform\Logs • <FreeFlow Core-Installationsverzeichnis>\Web\Logs • <FreeFlow Core-Installationsverzeichnis>\Config • <FreeFlow Core-Installationsverzeichnis>\Presets • FreeFlow Core: Aktive Ordner Xerox® FreeFlow® Core Sicherheitshandbuch 2-1 Virenschutz 2-2 Xerox® FreeFlow® Core Sicherheitshandbuch 3 Softwareaktualisierung Kunden wird empfohlen, alle auf dem Xerox® FreeFlow®-Server installierten Softwareprogramme immer auf dem aktuellsten Stand zu halten. Microsoft Update sollte mindestens einmal pro Monat ausgeführt werden. Die Installation von Service-Packs für Betriebssysteme durch Microsoft Update ist erst nach Erhalt einer offiziellen Unterstützungsbestätigung durchzuführen. Xerox veröffentlicht im Bedarfsfall jeden Monat Listen mit Updates, die auf dem Xerox® FreeFlow®-System von der Installation „ausgeschlossen“ werden sollten. Diese Informationen sind auch auf der Website www.xerox.com/security unter „Product Security Guidance“ (Hinweise zur Produktsicherheit) zu finden. Updates mit hoher Priorität und sicherheitsrelevante Updates sind sehr wichtig und sollten immer installiert werden, sofern sie nicht explizit ausgeschlossen werden. Xerox® FreeFlow® Core Sicherheitshandbuch 3-1 Softwareaktualisierung 3-2 Xerox® FreeFlow® Core Sicherheitshandbuch
