Добрий день, шановні читачі, ми з вами продовжуємо вивчення доменних мереж, і сьогодні торкнемося теми, де поговоримо про секьюрность, куди ж без неї і на порядку денному безпеку принтерів в Active Directory. Якщо хто не в курсі їх так само потрібно захищати, від зовнішнього впливу. Можете пошукати на Хабре статтю, про те, як хакери, жартома друкували на них купу безглуздого тексту і проникали в локальні мережі компаній, раджу поставитися до цієї ситуації серйозно, так як буде дуже безглуздо потім пояснювати керівництву, що вас зламали через принтера .

І так що ми з вами маємо:

але ще не торкалися аспектів безпеки, що не є добре, тому що це дуже важливий критерій. Уявімо собі ситуацію, що у вас на підприємстві є кольоровий принтер з вельми дорогий заправкою. Припустимо, що у людини є права на комп'ютері і він при бажанні зайшовши по UNC (\\) шляху на сервер друку, зможе поставити собі даний принтер і, наприклад, в непомітне для адміна час надрукувати свої фотографії, так би мовити заощадити. Через якийсь час ви виявите, що картриджі порожні, але вас будуть запевняти, що ті чий це принтер на ньому не друкували, і почнеться розгляд, хто друкував і витратив, в результаті винуватим будите все одно ви, так як не можете відстежити хто це зробив і не зробили нічого, щоб уникнути даної ситуації.

Або ще приклад у мене на роботі є кольоровий принтер і його відповідальні співробітники використовують для роздрукування на фотопапері сертифікатів про проходження семінарів по держ закупівель, були випадки в моїй практиці, що менеджер відправляв на друк свої договори на кольоровий принтер, так як він ближче і бували випадки, що в цей момент там завантажили фотопапір 🙂 кричу було вагон, щоб такого не сталося у ас повинна бути вироблена політика безпеки принтерів.

І так, що ми з вами можемо зробити, раз у нас є з вами Active Directory, то ми скористаємося її перевагою, а саме членством в групах (більш докладно про основи AD читайте за посиланням)

Як я і говорив, зайшовши по UNC шляху на сервер друку ми бачимо список принтерів, при наявності прав ми наприклад можемо поставити принтер Головний вхід ресепшен. Давайте заборонивши друкування на ньому для всіх крім певної групи.

Зайдіть в оснащення Active Directory користувачі і комп'ютери, виберіть потрібне вам місце, де ви створюєте групи безпеки і створіть нову.

Вибираємо групу безпеки Глобальну і задаємо їй потрібне вам ім'я, в моє політиці безпеки принтерів назву за стандартом йде з дії, в моєму випадку дозволити і далі, що саме. Занесіть в дану групу всіх співробітників кому ви будите вирішувати друк.

Все група створена, щоб підвищити Безпека принтерів, йдемо далі. Йдемо на сервер друку і натискаємо WIN + R, у вікні виконати введіть printmanagement.msc, щоб відкрити оснастку Управління печаткою.

Розкриваємо пункт принтери і знаходимо потрібний, клацаємо по ньому правим кліком і вибираємо його властивості.

Переходимо на вкладку Безпека, вибираємо в списку, він ще до речі називається ACL (Accsess Control List) вибираємо групу Все, і знизу знімаємо для неї галку Друк.

Далі натискаємо кнопку додати і додаємо з AD нашу раніше створену групу, тим кому ми дозволяємо друк на даному принтері.

І ставимо для неї галку Друк в поле дозволити.

Все перший етап безпеки принтерів в Active Directory виконаний, і ми обмежили коло осіб, хто може ним користуватися, тепер навіть якщо принтер коштує у людини, і при його відсутності в потрібній групі, він не дасть йому друкувати. Ще можете піти далі і, наприклад, поставити в властивості на вкладці Додатково час роботи принтера.

Безпека принтерів так само ще проводиться в обмеженні доступу до веб інтерфейсу. Та будь-який принтер має веб мордочку, потрапити на неї можна відкривши браузер і ввести або DNS ім'я або IP адреса, заданий йому. Тут потрібно обмежити адміністративний розділ, для прикладу я покажу для принтера HP. Тут переходимо в розділ система.

і міняємо пароль за замовчуванням для вашого друкувального пристрою, після цього ви обмежили доступ до веб інтерфейсу.

Як бачите, організувати політику безпеки для друкуючих пристроїв зовсім не складно, найголовніше, щоб просто знати де і як можуть використовуватися якісь лазівки, але все приходить з досвідом і практикою. У наступній статті я розповім, як можна ставити потрібні налаштування, такі як куди сканувати або інші настройки, через групову політику.