Xerox FreeFlow Core 4.0 SP3 ( ) Versione documento 1.3 Ottobre P Xerox FreeFlow Core Guida alla protezione

Transcript

1 Xerox FreeFlow Core 4.0 SP3 ( ) Versione documento 1.3 Ottobre P91105

2 2015 Xerox Corporation. Tutti i diritti riservati. Xerox, Xerox con il marchio figurativo e FreeFlow sono marchi di Xerox Corporation negli Stati Uniti e/o in altri paesi. Questo prodotto include software sviluppato da Adobe Systems Incorporated Adobe Systems Incorporated e i suoi fornitori. Tutti i diritti riservati. Adobe, il logo Adobe, il logo Adobe PDF, PDF Converter SDK e PDF Library sono marchi o marchi registrati di Adobe Systems Incorporated negli Stati Uniti e/o in altri paesi. BR14707

3 Indice generale 1 Protezione della suite di applicazioni Xerox FreeFlow Descrizione Connessioni di rete di Client Autenticazione utente Connessione a SQL Server Interfaccia Invia lavoro Cartelle attive Elaborazione Manifest Segnali di stato e comandi JMF Submit (Invio lavoro FreeFlow Core) Nodi del flusso di lavoro Stampa Cloud Print Notifica Protezione da virus Aggiornamento software i

4 Indice generale ii

5 Protezione della suite di applicazioni Xerox FreeFlow 1 Descrizione Nel presente documento vengono fornite informazioni relative alla protezione di Xerox FreeFlow Core. In Xerox, i problemi legati a sicurezza e protezione sono al centro dell'attenzione. In qualità di azienda leader nello sviluppo di tecnologie digitali, Xerox ha dimostrato il massimo impegno nel mantenere la sicurezza e la protezione delle informazioni digitali, identificando possibili vulnerabilità e attivandosi per limitare i rischi. Xerox si impegna a offrire il prodotto software più sicuro possibile in base alle informazioni e alle tecnologie disponibili senza diminuire prestazioni, valore, funzionalità e produttività. I componenti di vengono controllati per garantire la conformità agli standard di sicurezza utilizzando gli strumenti di scansione più usati disponibili in commercio. Xerox si impegna a risolvere le vulnerabilità rilevate in base ai risultati ottenuti da test condotti internamente sulle applicazioni. Connessioni di rete di Xerox FreeFlow Core Per è richiesta una connessione di rete sia per l'elaborazione dei lavori che per le interazioni degli utenti. Le considerazioni sulla protezione per ciascuna connessione di rete sono documentate di seguito. 1-1

6 Protezione della suite di applicazioni Xerox FreeFlow Client Quando un browser si collega alla pagina Web di, nel browser viene scaricato un client Silverlight. Per garantire lo scaricamento del client Freeflow Core in modalità protetta e un canale di comunicazione sicuro tra il client e FreeFlow Core è necessario utilizzare connessioni HTTPS. Per abilitare le connessioni HTTPS, è necessario aggiungere un certificato a IIS tramite la funzionalità Windows. Se non vengono scaricati dei file di lavoro, nessun dato del cliente viene scambiato tra il client e il server. Il client recupera le proprietà del lavoro, che potrebbero contenere dati del cliente. Tabella 1. Configurazione del firewall 80 HTTP In entrata Il numero di porta dipende dalla configurazione del server IIS 443 HTTP In entrata Il numero di porta dipende dalla configurazione del server IIS Autenticazione utente Le credenziali specificate nel client Silverlight di vengono crittografate prima dell'invio a Xerox FreeFlow. Se si esegue l'autenticazione usando utenti, le credenziali crittografate vengono archiviate localmente. Se si esegue l'autenticazione tramite Active Directory, le credenziali vengono decrittografate prima dell'invio ad Active Directory. La connessione ad Active Directory viene crittografata in base alla configurazione del sistema operativo. Se si esegue l'autenticazione tramite Active Directory, le credenziali non vengono archiviate localmente. La connessione dello strumento di configurazione di FreeFlow Core ad Active Directory viene crittografata in base alla configurazione del sistema operativo. 1-2

7 Protezione della suite di applicazioni Xerox FreeFlow Tabella 2. Configurazione del firewall 80 HTTP In entrata Il numero di porta dipende dalla configurazione del server IIS. 88 Kerberos In uscita - Autenticazione utente I numeri di porta e i servizi dipendono dalla configurazione di Active Directory sul server LDAP LDAP SSL LDAP GC LDAP GC SSL In uscita - Convalida dei gruppi AD durante la configurazione dell'autenticazione AD Nota: i numeri di porta e i servizi dipendono dalla configurazione di Active Directory sul server. Connessione a SQL Server comunica con SQL Server tramite Microsoft Entity Framework. La comunicazione crittografata tra e SQL Server viene abilitata quando SQL Server è configurato per utilizzare le connessioni crittografate. Le credenziali crittografate di SQL Server vengono archiviate localmente nel server Xerox FreeFlow Core. Per eseguire l'installazione in un'istanza SQL Server remota senza disporre di privilegi amministrativi SQLS: Creare due database vuoti nell'istanza SQLS - OapMasterDatabase - OapPlatformDatabase Assegnare la titolarità dei database a un account di servizio Quando si installa FreeFlow Core, utilizzare lo stesso account di servizio per l'amministratore di sistema SQL Se si abilita l'utilizzo delle Directory condivise Windows o della conversione Microsoft Office, utilizzare lo stesso account di servizio per eseguire le procedure di installazione opzionali 1-3

8 Protezione della suite di applicazioni Xerox FreeFlow Tabella 3. Configurazione del firewall 1433 SQLS In entrata - Ricezione di connessioni da FreeFlow Core In uscita - Comunicazione con il motore di database di SQL Server Il numero di porta dipende dalla configurazione del server SQLS Servizio SQLS Browser In entrata - Ricezione di connessioni da FreeFlow Core In uscita - Comunicazione con il motore di database di SQL Server Il server fornisce al client il numero di porta per la connessione. Interfaccia Invia lavoro L'interfaccia Invia lavoro utilizza la connessione del client FreeFlow Core per l'inoltro dei lavori (vedere Client Xerox FreeFlow Core). Tabella 4. Configurazione del firewall 80 HTTP In entrata Il numero di porta dipende dalla configurazione del server IIS. 443 HTTPS In entrata Il numero di porta dipende dalla configurazione del server IIS. 1-4

9 Protezione della suite di applicazioni Xerox FreeFlow Cartelle attive Windows esegue automaticamente la crittografia delle connessioni di condivisione file usate per condividere le cartelle locali attive e per accedere alle cartelle attive nelle cartelle Windows condivise. Tabella 5. Configurazione del firewall 139, , 21 SMB FTP In entrata - Condivisione di cartelle attive tramite la condivisione file di Windows In uscita - Utilizzo di cartelle attive in directory condivise In entrata - Condivisione di cartelle attive tramite FTP Elaborazione Manifest Durante l'invio di manifest, recupera i file elencati nel manifest. Il sistema accetta URI di percorsi UNC, HTTP e FTP per fare riferimento a questi file. Gli URI HTTP e FTP non supportano la crittografia. Windows esegue automaticamente la crittografia delle connessioni UNC. Tabella 6. Configurazione del firewall 139, , SMB FTP HTTP In uscita - Recupero di file elencati nel manifest da directory condivise In uscita - Recupero dei file elencati nel manifest In uscita - Recupero dei file elencati nel manifest Segnali di stato e comandi JMF I comandi JMF supportano le connessioni protette. Tuttavia, per il recupero dei file JMF vengono utilizzate connessioni non crittografate. L'inoltro JMF protetto richiede l'invio di un pacchetto MIME insieme ai file JMF, JDF e PDF. 1-5

10 Protezione della suite di applicazioni Xerox FreeFlow Per i segnali di stato JMF viene utilizzata una connessione non crittografata. Per ricevere un avviso di stato JMF in modalità protetta, inviare il comando StatusQuery di JMF tramite una connessione protetta. Per abilitare la comunicazione HTTPS per i comandi JMF: Per aggiungere un certificato all'archivio chiavi di Java, usare l'utilità installjmfcertificate.bat contenuta nella directory di installazione di Xerox FreeFlow Core. Riavviare il servizio del server JMF di FreeFlow Core. Verificare che l'installazione sia stata eseguita correttamente accedendo a Se la modalità protetta per JMF è stata configurata correttamente, nel browser viene visualizzata una pagina con l'errore HTTP - Stato 404. Tabella 7. Configurazione del firewall 7751 Varie JMF JMF In entrata - Ricezione di comandi JMF In uscita - Restituzione dei segnali di stato JMF Il numero di porta richiesto viene definito dal client che richiede i segnali di stato JMF o la restituzione del segnale JMF sjmf In entrata - Ricezione di comandi JMF protetti Submit (Invio lavoro FreeFlow Core) La connessione tra Xerox Freeflow Core Submit (Invio lavoro FreeFlow Core) e FreeFlow Core è sempre crittografata e richiede l'installazione di un certificato. Per installarlo nel server, il certificato va aggiunto a IIS tramite la funzionalità Windows. Sia l' FreeFlow Core Submit che i Componenti Aggiuntivi MS Office utilizzano la stessa connessione protetta a FreeFlow Core. Le credenziali crittografate vengono archiviate localmente. 1-6

11 Protezione della suite di applicazioni Xerox FreeFlow Tabella 8. Configurazione del firewall 443 HTTPS In entrata (nel server) - Accettazione delle connessioni dal client Xerox FreeFlow Core Submit. In uscita (nel client) - Inoltro dei lavori a Xerox Freeflow Core Cloud Nodi del flusso di lavoro I componenti del flusso di lavoro che recuperano o salvano i file di lavoro potrebbero usare URI di percorsi UNC, HTTP e FTP. Gli URI HTTP e FTP non supportano la crittografia. Windows esegue automaticamente la crittografia degli UNC. Tabella 9. Configurazione del firewall 139, , SMB FTP HTTP In uscita - Recupero dei file specificati nella preselezione dei componenti del flusso di lavoro. In uscita - Salvataggio dei file in directory condivise. In uscita - Recupero dei file specificati nella preselezione dei componenti del flusso di lavoro. In uscita - Recupero dei file specificati nella preselezione dei componenti del flusso di lavoro. Stampa utilizza SNMP per stabilire il tipo di DFE usando una connessione non crittografata. Un tipo di connessione non crittografata viene utilizzata anche nelle seguenti operazioni: Recupero dell'elenco delle code del DFE Recupero delle funzionalità della stampante Recupero dello stato dei lavori Invio di operazioni di lavoro Recupero di informazioni sulla contabilità dei lavori 1-7

12 Protezione della suite di applicazioni Xerox FreeFlow Quando si è collegati a un'unità DFE configurata per supportare il protocollo IPP protetto, l'invio in stampa può essere crittografato. Per abilitare l'invio in stampa con IPP protetto: Aggiungere un certificato a FreeFlow Print Server Selezionare l'opzione Abilita SSL/TLS in corrispondenza di Impostazione FreeFlow Print Server. Usare lo Strumento certificato Core per recuperare un certificato da FreeFlow Print Server Se viene visualizzato un messaggio simile a Certificato installato correttamente, significa che il protocollo IPP protetto è stato configurato correttamente Una volta configurato correttamente, il protocollo IPP protetto viene abilitato tramite l'opzione Stampa protetta nell'impostazione Stampante di destinazione. Tabella 10. Configurazione del firewall 161, SNMP IPP In uscita - Identificazione del tipo di DFE durante l'impostazione della stampante di destinazione. In uscita - Invio di lavori alle unità DFE, recupero dello stato dei lavori e invio dei comandi lavoro all'unità DFE. Cloud Print La connessione tra il client e il server Xerox Freeflow Core Cloud Print è sempre crittografata e richiede l'installazione di un certificato. Per installare il certificato nel server, aggiungere il certificato a IIS tramite la funzionalità Windows. La connessione tra il client Cloud Print e l'unità DFE non supporta il protocollo IPP protetto. Le credenziali crittografate vengono archiviate localmente. Tabella 11. Configurazione del firewall 161, 162 SNMP In uscita - Identificazione del tipo di DFE durante l'impostazione della stampante di destinazione. 1-8

13 Protezione della suite di applicazioni Xerox FreeFlow IPP HTTPS In uscita - Invio di lavori alle unità DFE, recupero dello stato dei lavori e invio dei comandi lavoro all'unità DFE. In entrata (nel server) - Accettazione delle connessioni dal client Xerox FreeFlow Core Cloud Print. In uscita (nel client) - Connessione al server Xerox Freeflow Core Cloud Print. Notifica È possibile crittografare le notifiche quando si è collegati a un server di posta che supporta la crittografia. Le credenziali crittografate vengono archiviate localmente. Tabella 12. Configurazione del firewall 25, 2525, 465, 475, 587 SMTP In uscita - Invio di notifiche . Il numero di porta richiesto e l'uso di una connessione protetta dipendono dalla configurazione del server SMTP. 1-9

14 Protezione della suite di applicazioni Xerox FreeFlow 1-10

15 2 Protezione da virus Xerox adotta speciali precauzioni per garantire che il software venga fornito senza contaminazioni di virus informatici. Si raccomanda tuttavia di acquistare uno dei software di rilevamento virus più diffusi nel settore. Per proteggere il sistema da virus, è necessario che il software di rilevamento virus sia costantemente aggiornato. Per migliorare le prestazioni si consiglia di escludere le cartelle di installazione di Xerox FreeFlow Core e MS SQL Server dalla scansione antivirus. In alternativa, è possibile escludere dalla scansione antivirus le seguenti cartelle di Xerox FreeFlow Core: <directory di installazione FreeFlow Core>\Piattaforma\Spool <directory di installazione FreeFlow Core>\Logs <directory di installazione FreeFlow Core>\Piattaforma\Logs <directory di installazione FreeFlow Core>\Web\Logs <directory di installazione FreeFlow Core>\Config <directory di installazione FreeFlow Core>\Presets Cartelle attive di FreeFlow Core 2-1

16 Protezione da virus 2-2

17 Aggiornamento software 3 Si consiglia di mantenere aggiornati tutti i prodotti installati nel server Xerox FreeFlow. Microsoft Update andrebbe eseguito almeno una volta al mese. I Service Pack del sistema operativo non vanno installati tramite Microsoft Update finché non si riceve una comunicazione ufficiale dal servizio di assistenza. In base alla necessità, Xerox distribuisce bollettini di avviso mensili in cui vengono elencati gli aggiornamenti da escludere sul sistema Xerox FreeFlow. Queste informazioni vengono anche pubblicate sul sito Web, all'indirizzo nella sezione relativa alle istruzioni sulla sicurezza dei prodotti. Gli aggiornamenti ad alta priorità e quelli legati alla protezione sono critici e vanno sempre installati a meno che non vengano specificatamente esclusi. 3-1

18 Aggiornamento software 3-2

19

20