Drucken ist ein Datenfluss wie jeder andere. Handelt es sich beim Dokument um Controlled Unclassified Information (CUI), transportiert der Druckauftrag CUI über das Netzwerk, und die gedruckte Seite ist CUI auf Papier. Für CMMC gehört der Drucker damit zur CUI-Grenze: Es zählt, wer ihm einen Auftrag schicken kann, wie der Auftrag übertragen wird und wer die Seite abholt.
Netzwerkdrucker sind zudem leichte Ziele. Die meisten nehmen auf Port 9100 alles von jedem an, der sie erreicht, bieten eine Admin-Weboberfläche und behalten oft ältere Dienste wie FTP, Telnet oder SNMP mit Standardeinstellungen. Steht der Drucker hinter Access Gate, wird aus „jeder im Netzwerk kann drucken" ein „nur angemeldete Benutzer dieser Enklave können drucken".
Druckprotokolle entscheiden, was möglich ist
- Raw-Druck (JetDirect, TCP 9100). Am weitesten verbreitet. Der Client öffnet eine Verbindung und sendet den Auftrag. Es gibt weder Authentifizierung noch Verschlüsselung: Jeder, der den Port erreicht, kann drucken, und der Auftrag läuft im Klartext durch das Netzwerk.
- LPD (TCP 515). Älter, mit denselben Grenzen wie der Raw-Druck.
- IPP (TCP 631) und IPP über TLS (IPPS). Das moderne Protokoll. IPPS verschlüsselt den Auftrag zwischen Client und Drucker, sofern beide es unterstützen.
Die praktische Folge: Beim Raw-Druck ist die Erreichbarkeit die einzige Kontrolle darüber, wer drucken kann, und der Netzwerkpfad der einzige Schutz des Auftrags. Genau diese Schicht stellt Access Gate bereit.
Drei Schichten zum Schutz des Druckens
Schicht 1: steuern, wer drucken kann (Access Gate)
Fügen Sie den Drucker als Asset mit den benötigten Diensten hinzu: tcp:9100 zum Drucken und http:80, wenn Benutzer seine Statusseite sehen sollen. Platzieren Sie ihn in einer Enklave und gewähren Sie diese Dienste den Benutzern oder Gruppen, die CUI drucken dürfen. Siehe Ein Asset mit Enklaven schützen und Zugriffskontrolllisten.
Fügen Sie einen Access Screen hinzu, damit sich Benutzer anmelden, bevor der Drucker erreichbar wird. Bei einem Active-Directory-Verzeichnis melden sich Benutzer mit ihrem User Principal Name an. Siehe Benutzer mit Access Screens authentifizieren.
Richten Sie den Drucker auf dem Client mit der Twin-Adresse des Druckers ein, nicht mit seiner echten Adresse, damit jeder Auftrag über Access Gate läuft. Unter Windows fügen Sie ihn von Hand mit einem Raw-TCP-Port hinzu (siehe den Stolperstein zum Assistenten „Add a printer" weiter unten):
Add-PrinterPort -Name "PRN-01" -PrinterHostAddress "<printer twin address>" -PortNumber 9100
Add-Printer -Name "PRN-01" -DriverName "Microsoft PCL6 Class Driver" -PortName "PRN-01"
"Test page - $(Get-Date)" | Out-Printer -Name "PRN-01"
Der Auftrag erreicht den Drucker über Access Gate. Seine Statusseite, ebenfalls über die Twin-Adresse aufgerufen, listet die empfangenen Aufträge auf:
Benutzer, die sich nicht angemeldet haben, und jede andere Maschine erreichen den Drucker nicht: Access Gate lehnt die Verbindung ab.
Schicht 2: den Auftrag auf dem Draht schützen
Der Raw-Druck auf Port 9100 sendet das Dokument im Klartext. Es gibt zwei Wege, es zu schützen:
- Verwenden Sie IPPS, wo Client und Drucker es beide unterstützen, und gewähren Sie den IPPS-Dienst statt
tcp:9100. - Schützen Sie den Pfad. Drucken Benutzer aus einer entfernten oder Cloud-basierten CUI-Umgebung, erreicht der Auftrag den Standort über einen verschlüsselten Tunnel, und nur die letzte Strecke, von Access Gate zum Drucker, läuft im Klartext. Halten Sie diese Strecke kurz: Stellen Sie den Drucker in ein Segment, in das Access Gate der einzige Zugang ist.
Sagen Sie ehrlich, welche Strecken verschlüsselt sind, statt anzunehmen, der gesamte Pfad sei es.
Schicht 3: die gedruckte Seite kontrollieren (Druckereinstellungen)
Access Gate entscheidet, wer einen Auftrag senden kann; der Drucker entscheidet, was danach passiert. Auf dem Drucker selbst:
- Halten Sie Aufträge bis zur Freigabe zurück (PIN oder Ausweis am Drucker), damit CUI nicht im Ausgabefach liegen bleibt.
- Schalten Sie ab, was Sie nicht nutzen: FTP, Telnet, LPD, SNMP v1 mit der Standard-Community, und schützen Sie die Admin-Seite mit einem starken Passwort.
- Kennzeichnen Sie CUI so, wie es Ihr CUI-Programm verlangt, zum Beispiel mit einem Banner oder Wasserzeichen, das auf dem Druckserver oder in der Anwendung gesetzt wird.
Beispiel: von der Cloud-Enklave von CUI Vault in die Fertigung
Die Integration von Trout Software und CUI Vault ist ein Druckfluss, der durchgängig für CMMC aufgebaut ist. Benutzer arbeiten in CUI Vault, der verwalteten Enklave von NtelSec in Microsoft GCC High, und drucken auf einen Drucker im Werk:
- In der Cloud-Enklave arbeiten Benutzer auf einem virtuellen Desktop. Die CUI landet nie auf einem lokalen Arbeitsplatzrechner.
- Unterwegs verbindet sich die Enklave mit Access Gate über einen IPsec-Tunnel auf FIPS-140-3-validierten Modulen.
- Vor Ort prüft Access Gate, wer druckt, terminiert die Sitzung und leitet den Auftrag nur an den berechtigten Drucker weiter. Die Cloud-Enklave wird nie in das Werksnetz geroutet.
- Am Drucker kommt der Auftrag als normaler Auftrag an. Der Drucker muss nicht angepasst werden.
Die Screenshots auf dieser Seite stammen aus diesem Fluss: Der Principal VDI Demo ist der Cloud-Desktop, und die Aufträge auf der Statusseite wurden von ihm aus gedruckt. Den gesamten Weg der CUI von der Cloud-Enklave bis zur Maschine beschreibt The Last Hop: Carrying CUI From a Cloud Enclave to the Machine That Uses It.
Hinweise und Stolpersteine
- Die Erkennung überquert Access Gate nicht. WSD, mDNS und andere Broadcast-Erkennung bleiben im lokalen Segment. Benutzer fügen den Drucker über seine Twin-Adresse hinzu.
- Der Raw-Druck hat keine Bestätigung. Windows markiert den Auftrag als erledigt, sobald die Verbindung sauber geschlossen wird. Die Statusseite oder das Auftragsprotokoll des Druckers ist die Bestätigung.
- Die Antworten des Druckers müssen über Access Gate zurückkommen. Der Drucker sieht den Benutzer unter dessen Twin-Adresse, daher muss sein Router die Twin-Adressen zu Access Gate routen. Siehe Wie die Antwort zurückkommt.
Zusammenfassung
Sie haben einen CUI-Drucker in Schichten hinter Access Gate gestellt: eine Enklave und einen Access Screen, sodass nur angemeldete Benutzer einen Auftrag senden können, ein verschlüsseltes Protokoll oder einen verschlüsselten Pfad, damit der Auftrag auf dem Draht geschützt ist, und Druckereinstellungen, sodass die gedruckte Seite und der Drucker selbst unter Kontrolle bleiben.
Greifen Sie dazu, wenn CUI vor Ort gedruckt wird und Sie nachweisen müssen, wer drucken konnte, wie der Auftrag übertragen wurde und dass niemand sonst den Drucker erreichen konnte.