Xerox FreeFlow Core, 4.0 SP3 ( ) Livro Versão 1.3 Outubro de P Xerox FreeFlow Core Guia de segurança

Transcrição

1 Xerox FreeFlow Core, 4.0 SP3 ( ) Livro Versão 1.3 Outubro de P91107

2 2015 Xerox Corporation. Todos os direitos reservados. Xerox, Xerox e a marca figurativa, e FreeFlow são marcas comerciais da Xerox Corporation nos Estados Unidos e/ou em outros países. Este Software inclui software desenvolvido pela Adobe Systems Incorporated Adobe Systems Incorporated e os seus concessores de licença. Todos os direitos reservados. Adobe, o logotipo da Adobe, o logotipo do Adobe PDF, PDF Converter SDK e PDF Library são marcas ou marcas registradas da Adobe Systems Incorporated nos Estados Unidos e/ou em outros países. BR14707

3 Índice 1 Segurança do conjunto de aplicativos Xerox FreeFlow Visão geral Conexões de rede do Client Autenticação de usuário Conexão do SQL Server Enviar IU do trabalho Pastas ativas Processamento do manifesto Comandos JMF e sinais de status Submit Nós do fluxo de trabalho Impressão com Impressão em nuvem do Notificação por Proteção contra vírus Atualização do software i

4 Índice ii

5 1 Segurança do conjunto de aplicativos Xerox FreeFlow Visão geral Este documento contém informações relacionadas à segurança do Xerox FreeFlow Core. Na Xerox, as questões de segurança são muito importantes. Líder no desenvolvimento de tecnologia digital, a Xerox demonstrou um compromisso com a segurança de informações digitais identificando possíveis vulnerabilidades e lidando com elas de maneira eficaz para limitar os riscos. A Xerox se esforça para fornecer o produto de software mais seguro com base nas informações e nas tecnologias disponíveis enquanto mantém o desempenho, o valor, a funcionalidade e a produtividade dos produtos. A segurança dos componentes do é avaliada com ferramentas de verificação comercialmente disponíveis para verificação de vulnerabilidade e penetração. As vulnerabilidades dos aplicativos são tratadas com base nos resultados de nossas verificações internas. Conexões de rede do Xerox FreeFlow Core O requer conectividade de rede para processamento de trabalho e interações do usuário. As considerações de segurança para cada conexão de rede estão documentadas abaixo. 1-1

6 Segurança do conjunto de aplicativos Xerox FreeFlow Client Quando um navegador se conecta à página da Web do, é feito o download de um cliente Silverlight para o navegador. O download seguro do cliente do FreeFlow Core e a comunicação segura entre o cliente e o FreeFlow Core requer o uso de conexões HTTPS. Para ativar as conexões HTTPS, deverá ser adicionado um certificado ao IIS através da funcionalidade do Windows. A menos que o usuário efetue o download de arquivos de trabalho, nenhuns dados do cliente são trocados entre o cliente e o servidor do. O cliente recupera as propriedades do trabalho, que podem conter dados do cliente. Tabela 1. Configuração do firewall 80 HTTP Entrada O número da porta depende da configuração do servidor IIS 443 HTTP Entrada O número da porta depende da configuração do servidor IIS Autenticação de usuário As credenciais inseridas no cliente do Silverlight são criptografadas antes de serem enviadas para o Xerox FreeFlow. Se a autenticação for efetuada com usuários do, as credenciais criptografadas serão armazenadas localmente. Se a autenticação for efetuada com o Active Directory, as credenciais serão descriptografadas antes de serem enviadas para o Active Directory. A conexão com o Active Directory é criptografada pela configuração do sistema operacional. Se a autenticação for efetuada com o Active Directory, as credenciais não são armazenadas localmente. A conexão da configuração do Core para o Active Directory é criptografada pela configuração do sistema operacional. 1-2

7 Segurança do conjunto de aplicativos Xerox FreeFlow Tabela 2. Configuração do firewall 80 HTTP Entrada O número da porta depende da configuração do servidor IIS. 88 Kerberos Saída - Autenticação de usuário Os números da porta e serviços dependem da configuração do AD do servidor LDAP LDAP SSL LDAP GC LDAP GC SSL Saída - Validação dos Grupos do AD durante a configuração de autenticação do AD Nota: os números da porta e serviços dependem da configuração do AD do servidor. Conexão do SQL Server O comunica-se com o SQL Server usando o Entity Framework da Microsoft. A comunicação criptografada entre o e o SQL Server é ativada quando o SQL Server está configurado para usar conexões criptografadas. As credenciais criptografadas do SQL Server são armazenadas localmente no servidor do. Para instalar em um SQL Server remoto sem privilégios de administração SQLS: Crie dois bancos de dados vazios na instância SQLS - OapMasterDatabase - OapPlatformDatabase Atribua a propriedade dos bancos de dados a uma conta de serviço Quando instalar o FreeFlow Core, use a mesma conta de serviço para o Administrador do sistema SQL Se ativar a utilização do Windows Shared Directories ou a conversão MS Office, use a mesma conta de serviço quando executar os Procedimentos de instalação opcionais 1-3

8 Segurança do conjunto de aplicativos Xerox FreeFlow Tabela 3. Configuração do firewall 1433 SQLS Inbound - Receber conexões do FreeFlow Core Saída - Comunicação do mecanismo de banco de dados do SQL Server O número da porta depende da configuração do servidor do SQLS Serviço de navegador do SQLS Inbound - Receber conexões do FreeFlow Core Saída - Comunicação do mecanismo de banco de dados do SQL Server O servidor fornecerá ao cliente o número da porta para conexão. Enviar IU do trabalho A opção Enviar IU do trabalho usa a conexão FreeFlow Core Client para envio de trabalhos (consulte Xerox FreeFlow Core Client). Tabela 4. Configuração do firewall 80 HTTP Entrada O número da porta depende da configuração do servidor IIS. 443 HTTPS Entrada O número da porta depende da configuração do servidor IIS. Pastas ativas O Windows criptografa automaticamente as conexões de compartilhamento de arquivos usadas para compartilhar pastas locais ativas e para acessar as Pastas ativas em pastas compartilhadas do Windows. 1-4

9 Segurança do conjunto de aplicativos Xerox FreeFlow Tabela 5. Configuração do firewall 139, , 21 SMB FTP Entrada - Compartilhamento de Pastas ativas via Compartilhamento de arquivos do Windows Saída - Uso de Pastas ativas em Diretórios compartilhados Entrada - Compartilhamento de Pastas ativas via FTP Processamento do manifesto Durante o envio do Manifesto, o recupera os arquivos listados no manifesto. Esses arquivos podem ser consultados usando UNC, HTTP e FTP URIs. HTTP e FTP URIs não suportam criptografia. O Windows criptografa automaticamente conexões UNC. Tabela 6. Configuração do firewall 139, , SMB FTP HTTP Saída - Recuperação de arquivos listados no Manifesto dos Diretórios compartilhados Saída - Recuperação de arquivos listados no Manifesto Saída - Recuperação de arquivos listados no Manifesto Comandos JMF e sinais de status Os comandos JMF suportam conexões seguras. No entanto, a recuperação de arquivos JMF usa conexões não criptografadas. O envio de JMF seguros requer o envio de um pacote MIME com os arquivos JMF, JDF e PDF. Os sinais de status JMF usam uma conexão não criptografada. Para um status de JMF seguro use o comando JMF StatusQuery sobre uma conexão segura. Para ativar a comunicação HTTPS para comandos JMF: Use o utilitário installjmfcertificate.bat no diretório de instalação do Xerox FreeFlow Core para adicionar um certificado ao armazenamento de chaves Java. Reinicie o serviço FreeFlow Core JMF Server. 1-5

10 Segurança do conjunto de aplicativos Xerox FreeFlow Teste a instalação acedendo a Se o JMF seguro estiver devidamente configurado, o navegador exibirá uma página de erro HTTP Status 404. Tabela 7. Configuração do firewall 7751 Varia JMF JMF Entrada - Recepção de comandos JMF Saída - Retorno de sinais de status MF O número da porta necessária é definido pelo cliente que solicita os sinais de status JMF ou o sinal de retorno JMF sjmf Entrada - Recepção segura de comandos JMF Submit A conexão entre o Submit e o FreeFlow Core é sempre criptografada e requer a instalação de um certificado. Para instalar no servidor, o certificado deve ser adicionado ao IIS pela funcionalidade do Windows. O aplicativo FreeFlow Core Submit e os MS Office AddIns usam a mesma conexão segura para o FreeFlow Core. As credenciais criptografadas serão armazenadas localmente. Tabela 8. Configuração do firewall 443 HTTPS Entrada (no servidor) - Aceitação de conexões do cliente do Xerox FreeFlow Core Submit. Saída (no cliente) - Envio de trabalhos para Cloud. Nós do fluxo de trabalho Os componentes de fluxo de trabalho que recuperam ou salvam arquivos de trabalho podem usar UNC, HTTP e FTP URIs. HTTP e FTP URIs não suportam criptografia. O Windows criptografa automaticamente UNC. 1-6

11 Segurança do conjunto de aplicativos Xerox FreeFlow Tabela 9. Configuração do firewall 139, , SMB FTP HTTP Saída - Recuperação de arquivos especificados na predefinição do componente de fluxo de trabalho. Saída - Salvar arquivos para diretórios compartilhados. Saída - Recuperação de arquivos especificados na predefinição do componente de fluxo de trabalho. Saída - Recuperação de arquivos especificados na predefinição do componente de fluxo de trabalho. Impressão com O usa o SNMP para determinar o tipo de DFE. Isso é feito usando uma conexão não criptografada. As seguintes operações também usam uma conexão não criptografada: Recuperação da lista de filas DFE Recuperação de recursos da impressora Recuperação do status do trabalho Envio de operações de trabalho Recuperação de informações de contabilidade do trabalho O envio de impressão pode ser criptografado ao conectar-se a um DFE que está configurado para suportar IPP seguro. Para ativar o envio de impressão por IPP seguro: Adicione um certificado ao Servidor de Impressão FreeFlow Selecione a opção Ativar SSL/TSL nas configurações do Servidor de Impressão FreeFlow Use o certificado Core para recuperar um certificado do Servidor de Impressão FreeFlow Uma mensagem Certificado instalado com sucesso indica que o IPP seguro está corretamente configurado Depois de corretamente configurado, o IPP seguro é ativado por meio da opção Impressão segura na configuração da Impressora de destino. 1-7

12 Segurança do conjunto de aplicativos Xerox FreeFlow Tabela 10. Configuração do firewall 161, SNMP IPP Saída - Identificação do tipo DFE durante a configuração da Impressora de destino. Saída - Envio de trabalhos para DFEs, obtenção do status do trabalho e envio de comandos de trabalho para o DFE. Impressão em nuvem do A conexão entre o servidor de Impressão em nuvem do e o cliente é sempre criptografada e requer instalação de um certificado. Para instalar no servidor, o certificado deve ser adicionado ao IIS pela funcionalidade do Windows. A conexão entre o cliente de Impressão em nuvem do e o DFE não suporta IPP seguro. As credenciais criptografadas serão armazenadas localmente. Tabela 11. Configuração do firewall 161, SNMP IPP HTTPS Saída - Identificação do tipo DFE durante a configuração da Impressora de destino. Saída - Envio de trabalhos para DFEs, obtenção do status do trabalho e envio de comandos de trabalho para o DFE. Entrada (no servidor) - Aceitação de conexões do cliente de Impressão em nuvem do. Saída (no cliente) - Conexão ao servidor de Impressão em nuvem do Xerox FreeFlow Core. Notificação por As notificações por podem ser criptografadas ao conectar-se a um servidor de que suporte criptografia. As credenciais criptografadas serão armazenadas localmente. 1-8

13 Segurança do conjunto de aplicativos Xerox FreeFlow Tabela 12. Configuração do firewall 25, 2525, 465, 475, 587 SMTP Saída - Envio de notificações por O número da porta necessária e uso de conexão segura dependem da configuração do servidor SMTP. 1-9

14 Segurança do conjunto de aplicativos Xerox FreeFlow 1-10

15 2 Proteção contra vírus A Xerox toma precauções especiais para garantir que seu software seja enviado sem contaminação por vírus de computador. Recomendamos enfaticamente que você invista em um aplicativo de software de detecção de vírus que seja aceito pela indústria de PCs. Para proteger o seu sistema contra vírus, é imperativo que o software de detecção de vírus seja mantido atualizado. Para melhorar o desempenho, recomenda-se que você exclua os diretórios de instalação do e o servidor MS SQL das varreduras do antivírus. Alternativamente, estas pastas do podem ser excluídas da varredura do antivírus: <diretório de instalação do FreeFlow Core>\Platform\Spool <diretório de instalação do FreeFlow Core>\Logs <diretório de instalação do FreeFlow Core>\Platform\Logs <diretório de instalação do FreeFlow Core>\Web\Logs <diretório de instalação do FreeFlow Core>\Config <diretório de instalação do FreeFlow Core>\Presets Pastas ativas do FreeFlow Core 2-1

16 Proteção contra vírus 2-2

17 Atualização do software 3 Recomenda-se que o cliente mantenha todos os softwares instalados no servidor Xerox FreeFlow atualizados. O Microsoft Update deve ser executado pelo menos uma vez por mês. Os Service Packs do sistema operacional não devem ser instalados através do Microsoft Update até o recebimento do comunicado formal do suporte. A Xerox distribui boletins mensais, quando necessário, contendo atualizações que devem ser excluídas do sistema Xerox FreeFlow. Essas informações também são comunicadas pelo site em Product Security Guidance (Orientação de segurança de produto). As atualizações de alta prioridade e relacionadas à segurança são importantes e devem sempre ser instaladas, a menos que sejam especificamente excluídas. 3-1

18 Atualização do software 3-2

19

20