一种USB打印机安全打印监控及审计系统

摘要

本发明公开了一种USB打印机安全打印监控及审计系统，包括数台个人电脑、数台USB打印机、网络、用于部署USB打印机安全打印监控及审计软件系统的服务器，所述服务器和个人电脑均需要接入网络，在所述服务器上实现用户管理、打印权限控制、审批流程配置、打印设备控制并记录打印日志、加密留存打印内容等功能模块的管理。本发明在USB打印监控部署时，不需要打印服务器等网络设备，不仅易于部署，而且大大提高了USB打印机安全打印系统的稳定性，也为用户节约了部署安全打印系统网络硬件成本的投入。

说明书

技术领域

本发明属于计算机技术和信息安全领域，尤其涉及一种USB打印机安全打印 管控系统。

背景技术

打印机的打印端口通常有并口、USB口、TCP/IP网络端口等几种形式，随 着电脑和打印机硬件的发展，并口打印已经逐渐被淘汰。支持TCP/IP端口打印 的打印机通常被称为网络打印机，对于网络打印机从硬件上来讲打印机本身带 一个网卡（也称内置打印服务器），用户直接将网络线连于打印机的网卡就可实 现网络打印，实现多用户共享；USB打印机指的是打印机只支持USB口打印，打 印机通过USB连接线和电脑的USB端口直接连接，用户的打印数据通过USB传 输协议传给打印机打印输出。近年来USB打印机通常以桌面打印机居多，体积 轻便，价格便宜，用户操作相对简单，在个人、学校、企事业等各类团体中广 泛使用。

以往，打印机安全打印系统的方法一般是基于监控打印机的网络端口打印 的手段来实现的，对于USB打印机打印作业，由于打印端口没有通过网络监控， 用户可以任意安装、添加USB口打印机，并且可以通过USB口任意打印文件， 无法严格控制和监控用户使用USB打印机打印作业的行为，无法监控到用户打 印作业的内容，对于涉密文档的泄露存在严重的漏洞，也无法对打印内容进行 电子存档和安全审计。另外，由于USB打印机是通过USB连接线在个人电脑的 本地USB端口连接,所以一台USB打印只能为与它连接的客户端电脑使用，其他 客户端电脑无法使用这台USB口打印机，也造成打印机资源的浪费。

以往的打印机安全监控及审计系统对于USB的打印机部署一般采用如下部 署方式：将USB打印机与USB打印服务器通过USB连接线连接，USB打印机服务 器作为独立的网络设备连接在网络中；客户端电脑通过添加USB打印机服务器 网络端口来使用USB打印机打印作业（如图1）。

这样部署的缺点如下：

1、USB打印机及其安全打印监控及审计系统的部署依赖于USB打印机服务器 产品。每台USB打印机都要和USB打印机服务器连接，通过监控USB打印服务 器的网络端口来实现对USB打印机的监控，增加了部署的成本，部署起来也比 较麻烦。

2、这种通过外置网络设备（如USB打印服务器）将USB打印机的USB打印 端口转换为TCP/IP网络端口打印作业的方法，会占用一定数目的网络端口资源, 随着部署USB打印机数目的庞大，也往往消耗大量的IP地址及相应的周边网络 设备（如网口，网线，电源）。

3、从安全监控上来说，如果用户擅自将连接在USB打印机服务器上的USB 打印机直接和自己的电脑用USB连接线，通过本地USB端口打印，则无法控制 该用户的打印行为，也无法监控和审计通过该USB口打印的打印作业，出现打 印监控的监控盲点。

4、由于打印服务器功能设计本身存在设计和功能缺陷，存在对打印机型号、 打印机支持语言兼容性能的问题，以及在实际使用工程中经常遇到打印服务器 对打印数据的处理速度慢、丢失数据等不稳定因素，影响了对整个USB打印机 安全打印监控及审计系统的性能，也会对USB打印机安全打印监控及审计系统 的长期持久使用造成影响。

发明内容

发明目的：本发明提供一种在涉密领域应用的USB打印机安全打印监控及 审计系统，既能实现安全打印，又能节约网络资源，节约系统成本，提高部署 效率。

技术方案：一种USB打印机安全打印监控及审计系统，包括数台个人电脑、 数台USB打印机、网络、用于部署USB打印机安全打印监控及审计软件系统的 服务器，服务器和个人电脑均需要接入网络，在服务器上实现用户管理、打印 权限控制、审批流程配置、打印设备控制并记录打印日志、加密留存打印内容 等功能模块的管理；

在所述服务器上部署USB打印机安全打印监控及审计软件，在个人电脑上 安装USB打印机安全打印监控及审计申请/审批客户端；每台USB打印机可以通 过USB连接线和任意一台个人电脑连接；一台个人电脑可以连接多台USB打印 机，连接打印机的数量取决于个人电脑的USB口数量；个人电脑也可以不连接 任何USB打印机，通过本发明的实现方法，同样可以往连接在其他个人电脑的 USB打印机打印作业，并且对打印作业实现监控和审计；

在所述服务器上部署USB打印机安全打印监控及审计软件，通过网站直接 管理，管理员在网站配置后，打印客户端即刻生效。该软件包括用户管理、打 印设备管理、打印权限管理、打印文档留底、打印日志查询、客户端版本自动 发布、客户端版本自动更新等功能模块：

1）用户管理功能模块，能将需要管理的打印账户按照计算机名称、计算机 IP地址、局域网内的员工账号中的任意一种方式添加并启用打印账号；建立部 门，将打印账号添加到部门中，设置打印账号的角色，角色分为：普通成员， 部门管理员，系统管理员、安全审计员、安全保密员。

2）打印设备管理功能模块，能将监控的打印机设备名称添加到打印机设备 名称列表中；同时可设定USB打印机所连接的电脑的IP地址及指定端口号，将 打印机添加到对应的虚拟打印机设备中。

3）打印权限管理功能，可设定打印机打印的密级、用户打印的密级，打印 审批规则的设定；打印审批规则可以定义打印作业为：不需要审批、一级审批 规则、二级审批规则；指定审批的密级，审批人。

4）打印文档留底功能模块，根据实际需要设置打印的文件留底保留的时间， 留底的密级。

5）打印日志查询功能模块，根据需要设置查询条件，管理员配置打印日志 查询的人员类别；普通成员只能查询到本人打印作业的日志，部门管理员能够 查询到本部门所有成员的打印日志，安全审计员能看到包括系统管理员在内的 所有系统操作日志、打印日志；安全保密员能看到安全审计员的操作日志。

6）客户端版本自动发布功能模块，利用用户管理功能模块，在部署了本系 统的局域网络内为已启用的打印账号用户自动安装上USB打印机安全打印监控 及审计申请/审批客户端，自动安装上虚拟打印机驱动。

7）客户端版本自动更新功能，对于已安装打印申请/审批客户端的用户，自 动检测打印申请/审批客户端版本，如果和服务器上发布的最新版本不一致，则 自动升级到服务器上的最新版本。

所述USB打印机安全打印监控及审计申请/审批客户端实现的功能包括：

1）在客户端电脑操作系统后台禁止USB端口打印作业。如果用户直接通过 USB端口打印作业，客户端系统会自动提示打印作业无法提交。用户打印机作业 选择的打印机端口为网口端口，那么客户端会检测该网络端口是否在打印设备管 理中配置了，如果没有配置客户端会提示打印作业无法提交。

2）打印作业申请功能。打印申请/审批客户端申请界面中，用户需要填写打 印作业的密级，如果该用户配置了多台打印机，则需要在打印申请界面中选择输出 的打印机。

3）打印作业审批功能。打印申请/审批客户端审批界面中，审批人可以预览 申 请人提交的打印作业内容，审批人可以同意打印提交的作业，也可以拒绝打印作 业。

4）打印作业简单浏览功能。浏览最近提交的50条打印作以下信息：打印文 件名称、打印页数、打印份数、打印时间、打印密级、审批人信息，作业状态（作 业状态包含：待审核、已审核、待输出、已完成）。

以下是本系统的使用方法或说操作步骤的说明：

1）管理员在服务器端可以通过网站访问方式，添加启用打印账号；配置打 印机。

2）用户在本地添加打印机驱动程序，并将打印端口设置为电脑IP地址。

3）用户（申请人）选择虚拟打印机驱动打印作业，客户端自动弹出申请界 面，用户在申请界面中填写打印密级、选择输出打印机，提交打印作业。

4）审批人在审批界面中查看申请打印作业信息，同意以后，提交的打印作 业可以在打印机中打印输出了。

如果用户试图在本机通过添加真实打印机驱动及真实打印机端口（USB端 口，并口，或TICP/IP口），绕过本系统的打印设备管理设置，则打印的作业无 法提交到windows系统中的print spooler服务中，从而无法在任何打印机任 何端口上输出作业成功。

个人电脑上可以连接多台USB打印机，并在打印机设备管理设置中设定相同 的USB打印机设备所连接的电脑的IP地址及指定端口号，用户提交作业后在客户 端申请界面中指定需要从哪一台USB打印机输出；不需要每个用户都要在自己电 脑上通过USB连接线连接USB打印机。用户只需要添加其它电脑上连接的USB打印 机驱动及设置打印机名称和打印机端口，通过虚拟打印机驱动可以向在其他电 脑上连接的USB打印机打印文档，实现USB打印机多用户共享、安全监控和审计。

在个人电脑上部署完USB打印机安全打印监控及审计申请/审批客户端以 后，用户不能任意打印本地USB端口添加的打印机。其打印的作业必须经过USB 打印机安全打印监控及审计系统提交及审批后方能打印成功。从而实现了阻止 用户往添加在本地端口打印机上打印作业，用户所能打印出的所有打印作业必 须都是经过USB打印机安全打印监控及审计软件系统申请、审批和记录。

本发明的优点和有益效果：本发明为涉密的企事业单位提供了USB打印机 安全监控的高效、安全、使用的解决方案；同时也为使用USB打印机，追求节 能、环保的办公团体优化了现代办公解决方案；本发明在USB打印监控部署时， 不需要采购如打印服务器的网络设备，不仅易于部署，而且大大提高了USB打 印机安全打印系统的稳定性，也为用户节约了部署安全打印系统网络硬件成本 的投入。

附图说明

图1是现有技术中安全打印系统的结构示意图；

图2是本发明系统结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和 具体实施例对本发明进行详细描述。

如图2，一种USB打印机安全打印监控及审计系统，包括数台个人电脑、数 台USB打印机、网络、用于部署USB打印机安全打印监控及审计软件系统的服 务器，服务器和个人电脑均需要接入网络，在服务器上实现用户管理、打印权 限控制、审批流程配置、打印设备控制并记录打印日志、加密留存打印内容等 功能模块的管理；

在所述服务器上部署USB打印机安全打印监控及审计软件，在个人电脑上 安装USB打印机安全打印监控及审计申请/审批客户端；每台USB打印机可以通 过USB连接线和任意一台个人电脑连接；一台个人电脑可以连接多台USB打印 机，连接打印机的数量取决于个人电脑的USB口数量；个人电脑也可以不连接 任何USB打印机，通过本发明的实现方法，同样可以往连接在其他个人电脑的 USB打印机打印作业，并且对打印作业实现监控和审计；

在所述服务器上部署USB打印机安全打印监控及审计软件，通过网站直接 管理，管理员在网站配置后，打印客户端即刻生效。该软件包括用户管理、打 印设备管理、打印权限管理、打印文档留底、打印日志查询、客户端版本自动 发布、客户端版本自动更新等功能模块：

1）用户管理功能模块，能将需要管理的打印账户按照计算机名称、计算机 IP地址、局域网内的员工账号中的任意一种方式添加并启用打印账号；建立部 门，将打印账号添加到部门中，设置打印账号的角色，角色分为：普通成员， 部门管理员，系统管理员、安全审计员、安全保密员。

2）打印设备管理功能模块，能将监控的打印机设备名称添加到打印机设备 名称列表中；同时可设定USB打印机所连接的电脑的IP地址及指定端口号，将 打印机添加到对应的虚拟打印机设备中。

3）打印权限管理功能，可设定打印机打印的密级、用户打印的密级，打印 审批规则的设定；打印审批规则可以定义打印作业为：不需要审批、一级审批 规则、二级审批规则；指定审批的密级，审批人。

4）打印文档留底功能模块，根据实际需要设置打印的文件留底保留的时间， 留底的密级。

5）打印日志查询功能模块，根据需要设置查询条件，管理员配置打印日志 查询的人员类别；普通成员只能查询到本人打印作业的日志，部门管理员能够 查询到本部门所有成员的打印日志，安全审计员能看到包括系统管理员在内的 所有系统操作日志、打印日志；安全保密员能看到安全审计员的操作日志。

6）客户端版本自动发布功能模块，利用用户管理功能模块，在部署了本系 统的局域网络内为已启用的打印账号用户自动安装上USB打印机安全打印监控 及审计申请/审批客户端，自动安装上虚拟打印机驱动。

7）客户端版本自动更新功能，对于已安装打印申请/审批客户端的用户，自 动检测打印申请/审批客户端版本，如果和服务器上发布的最新版本不一致，则 自动升级到服务器上的最新版本。

所述USB打印机安全打印监控及审计申请/审批客户端实现的功能包括：

1）在客户端电脑操作系统后台禁止USB端口打印作业。如果用户直接通过 USB端口打印作业，客户端系统会自动提示打印作业无法提交。用户打印机作业 选择的打印机端口为网口端口，那么客户端会检测该网络端口是否在打印设备管 理中配置了，如果没有配置客户端会提示打印作业无法提交。

2）打印作业申请功能。打印申请/审批客户端申请界面中，用户需要填写打 印作业的密级，如果该用户配置了多台打印机，则需要在打印申请界面中选择输出 的打印机。

3）打印作业审批功能。打印申请/审批客户端审批界面中，审批人可以预览 申请人提交的打印作业内容，审批人可以同意打印提交的作业，也可以拒绝打印作 业。

4）打印作业简单浏览功能。浏览最近提交的50条打印作以下信息：打印文 件名称、打印页数、打印份数、打印时间、打印密级、审批人信息，作业状态（作 业状态包含：待审核、已审核、待输出、已完成）。

以下是本系统的使用方法或说操作步骤的说明：

1）管理员在服务器端可以通过网站访问方式，添加启用打印账号；配置打 印机。

2）用户在本地添加打印机驱动程序，并将打印端口设置为电脑IP地址。

3）用户（申请人）选择虚拟打印机驱动打印作业，客户端自动弹出申请界 面，用户在申请界面中填写打印密级、选择输出打印机，提交打印作业。

4）审批人在审批界面中查看申请打印作业信息，同意以后，提交的打印作 业可以在打印机中打印输出了。

如果用户试图在本机通过添加真实打印机驱动及真实打印机端口（USB端 口，并口，或TICP/IP口），绕过本系统的打印设备管理设置，则打印的作业无 法提交到windows系统中的print spooler服务中，从而无法在任何打印机任 何端口上输出作业成功。

个人电脑上可以连接多台USB打印机，并在打印机设备管理设置中设定相同 的USB打印机设备所连接的电脑的IP地址及指定端口号，用户提交作业后在客户 端申请界面中指定需要从哪一台USB打印机输出；不需要每个用户都要在自己电 脑上通过USB连接线连接USB打印机。用户只需要添加其它电脑上连接的USB打印 机驱动及设置打印机名称和打印机端口，通过虚拟打印机驱动可以向在其他电 脑上连接的USB打印机打印文档，实现USB打印机多用户共享、安全监控和审计。

在个人电脑上部署完USB打印机安全打印监控及审计申请/审批客户端以 后，用户不能任意打印本地USB端口添加的打印机。其打印的作业必须经过USB 打印机安全打印监控及审计系统提交及审批后方能打印成功。从而实现了阻止 用户往添加在本地端口打印机上打印作业，用户所能打印出的所有打印作业必 须都是经过USB打印机安全打印监控及审计软件系统申请、审批和记录。