Sicherheitsempfehlungen
Session Recording wird in einem sicheren Netzwerk bereitgestellt und von Administratoren aufgerufen, und ist als solches sicher. Die sofort einsatzbereite Bereitstellung ist einfach, und Sicherheitsfunktionen wie digitale Signierung und Verschlüsselung können optional konfiguriert werden.
Die Kommunikation zwischen den Session Recording-Komponenten erfolgt über Internet Information Services (IIS) und Microsoft Message Queuing (MSMQ). IIS stellt die Kommunikationsverbindung für Webdienste zwischen den Session Recording-Komponenten bereit. MSMQ bietet einen zuverlässigen Datentransportmechanismus zum Senden aufgezeichneter Sitzungsdaten vom Session Recording-Agent an den Session Recording-Server.
Warnung:
Eine falsche Bearbeitung der Registrierung kann schwerwiegende Probleme verursachen, die eine Neuinstallation des Betriebssystems erforderlich machen können. Citrix® kann nicht garantieren, dass Probleme, die durch die falsche Verwendung des Registrierungs-Editors entstehen, behoben werden können. Verwenden Sie den Registrierungs-Editor auf eigenes Risiko. Sichern Sie die Registrierung, bevor Sie sie bearbeiten.
Beachten Sie diese Sicherheitsempfehlungen bei der Planung Ihrer Bereitstellung:
-
Konfigurieren Sie Microsoft Internet Information Services (IIS).
Sie können Session Recording mit einer eingeschränkten IIS-Konfiguration konfigurieren. Öffnen Sie auf jedem Session Recording-Server den IIS-Manager und legen Sie die folgenden Recycling-Grenzwerte für jeden IIS-Anwendungspool fest:
- Grenzwert für virtuellen Speicher: Legen Sie den Wert auf 4.294.967.295 fest.
- Grenzwert für privaten Speicher: Legen Sie den Wert auf den physischen Speicher des Session Recording-Servers fest. Wenn der physische Speicher beispielsweise 4 GB beträgt, legen Sie den Wert auf 4.194.304 fest.
- Anforderungsgrenzwert: Wir empfehlen, diese Einstellung nicht anzugeben. Oder Sie können den Wert auf 4.000.000.000 festlegen.
Tipp:
Um auf die vorhergehenden Einstellungen zuzugreifen, markieren Sie jeden Anwendungspool, wählen Sie Erweiterte Einstellungen im Bereich Aktionen und scrollen Sie dann im Dialogfeld Erweiterte Einstellungen zum Abschnitt Recycling.
- Stellen Sie sicher, dass Sie die verschiedenen Administratorrollen im Unternehmensnetzwerk, im Session Recording-System oder auf einzelnen Maschinen ordnungsgemäß isolieren. Andernfalls können Sicherheitsbedrohungen auftreten, die die Systemfunktionalität beeinträchtigen oder das System missbrauchen könnten. Wir empfehlen, verschiedene Administratorrollen verschiedenen Personen oder Konten zuzuweisen. Erlauben Sie allgemeinen Sitzungsbenutzern keine Administratorrechte für das VDA-System.
- Citrix Virtual Apps and Desktops™-Administratoren gewähren keinen Benutzern von veröffentlichten Apps oder Desktops die lokale Administratorrolle für VDA. Wenn die lokale Administratorrolle eine Anforderung ist, schützen Sie die Session Recording-Agent-Komponenten mithilfe von Windows-Mechanismen oder Drittanbieterlösungen.
- Weisen Sie den Datenbankadministrator für die Sitzungsaufzeichnung und den Richtlinienadministrator für die Sitzungsaufzeichnung separat zu.
- Weisen Sie allgemeinen Sitzungsbenutzern keine VDA-Administratorrechte zu, insbesondere nicht bei Verwendung von Remote-PC-Zugriff.
- Das lokale Administratorkonto des Sitzungsaufzeichnungsservers muss streng geschützt werden.
- Kontrollieren Sie den Zugriff auf Maschinen, auf denen der Sitzungsaufzeichnungsplayer installiert ist. Wenn ein Benutzer nicht für die Player-Rolle autorisiert ist, weisen Sie diesem Benutzer keine lokale Administratorrolle für eine Player-Maschine zu. Deaktivieren Sie den anonymen Zugriff.
- Wir empfehlen, eine physische Maschine als Speicherserver für die Sitzungsaufzeichnung zu verwenden.
- Die Sitzungsaufzeichnung zeichnet grafische Sitzungsaktivitäten unabhängig von der Sensibilität der Daten auf. Unter bestimmten Umständen können sensible Daten (einschließlich, aber nicht beschränkt auf Benutzeranmeldeinformationen, Datenschutzinformationen und Bildschirme von Drittanbietern) unbeabsichtigt aufgezeichnet werden. Ergreifen Sie die folgenden Maßnahmen, um Risiken zu vermeiden:
- Deaktivieren Sie das Speicherabbild für VDAs, es sei denn, es handelt sich um spezifische Fehlerbehebungsfälle.
So deaktivieren Sie das Speicherabbild:
- Klicken Sie mit der rechten Maustaste auf Arbeitsplatz, und wählen Sie dann Eigenschaften.
- Klicken Sie auf die Registerkarte Erweitert, und klicken Sie dann unter Starten und Wiederherstellen auf Einstellungen.
- Wählen Sie unter Debuginformationen schreiben die Option (keine) aus. Siehe den Microsoft-Artikel unter https://support.microsoft.com/de-de/kb/307973.
- Sitzungseigentümer benachrichtigen die Teilnehmer, dass Online-Meetings und Remote-Assistenzsoftware aufgezeichnet werden können, wenn eine Desktopsitzung aufgezeichnet wird.
- Stellen Sie sicher, dass Anmeldeinformationen oder Sicherheitsinformationen nicht in allen lokalen und Webanwendungen erscheinen, die innerhalb des Unternehmens veröffentlicht oder verwendet werden. Andernfalls werden sie von der Sitzungsaufzeichnung erfasst.
- Schließen Sie alle Anwendungen, die sensible Informationen preisgeben könnten, bevor Sie zu einer Remote-ICA®-Sitzung wechseln.
- Wir empfehlen nur automatische Authentifizierungsmethoden (z. B. Single Sign-On, Smartcard) für den Zugriff auf veröffentlichte Desktops oder Software-as-a-Service (SaaS)-Anwendungen.
- Deaktivieren Sie das Speicherabbild für VDAs, es sei denn, es handelt sich um spezifische Fehlerbehebungsfälle.
So deaktivieren Sie das Speicherabbild:
- Die Sitzungsaufzeichnung ist auf bestimmte Hardware und Hardwareinfrastruktur (z. B. Unternehmensnetzwerkgeräte, Betriebssystem) angewiesen, um ordnungsgemäß zu funktionieren und Sicherheitsanforderungen zu erfüllen. Ergreifen Sie Maßnahmen auf Infrastrukturebene, um Schäden oder Missbrauch dieser Infrastrukturen zu verhindern und die Funktion der Sitzungsaufzeichnung sicher und zuverlässig zu gestalten.
- Schützen und erhalten Sie die Netzwerk-Infrastruktur, die die Sitzungsaufzeichnung unterstützt, ordnungsgemäß.
- Wir empfehlen die Verwendung einer Sicherheitslösung eines Drittanbieters oder eines Windows-Mechanismus zum Schutz der Sitzungsaufzeichnungskomponenten. Zu den Sitzungsaufzeichnungskomponenten gehören:
- Auf dem Sitzungsaufzeichnungsserver
- Prozesse: SsRecStoragemanager.exe und SsRecAnalyticsService.exe
- Dienste: CitrixSsRecStorageManager und CitrixSsRecAnalyticsService
- Alle Dateien im Installationsordner des Sitzungsaufzeichnungsservers
- Registrierungswerte unter HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Server
- Auf dem Sitzungsaufzeichnungsagenten
- Prozess: SsRecAgent.exe
- Dienst: CitrixSmAudAgent
- Alle Dateien im Installationsordner des Sitzungsaufzeichnungsagenten
- Registrierungswerte unter
HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Agent
- Auf dem Sitzungsaufzeichnungsserver
- Als bewährte Sicherheitspraxis empfiehlt Citrix die Verwendung von HTTPS auf IIS.
-
Legen Sie die Zugriffssteuerungsliste (ACL) für Message Queuing (MSMQ) auf dem Sitzungsaufzeichnungsserver fest, um VDA- oder VDI-Maschinen einzuschränken, die MSMQ-Daten an den Sitzungsaufzeichnungsserver senden können, und um zu verhindern, dass nicht autorisierte Maschinen Daten an den Sitzungsaufzeichnungsserver senden.
- Installieren Sie die Serverfunktion Verzeichnisdienstintegration auf jedem Sitzungsaufzeichnungsserver und jeder VDA- oder VDI-Maschine, auf der die Sitzungsaufzeichnung aktiviert ist. Starten Sie anschließend den Dienst Message Queuing neu.
- Öffnen Sie auf jedem Session Recording-Server über das Windows-Menü Start die Option Verwaltung > Computerverwaltung.
- Öffnen Sie Dienste und Anwendungen > Nachrichtenwarteschlange > Private Warteschlangen.
-
Klicken Sie auf die private Warteschlange citrixsmauddata, um die Seite Eigenschaften zu öffnen, und wählen Sie die Registerkarte Sicherheit.
-
Fügen Sie die Computer oder Sicherheitsgruppen der VDAs hinzu, die MSMQ-Daten an diesen Server senden, und erteilen Sie ihnen die Berechtigung Nachricht senden.
- Schützen Sie das Ereignisprotokoll für den Session Recording-Server und die Session Recording-Agenten ordnungsgemäß. Wir empfehlen die Verwendung einer Remote-Protokollierungslösung von Windows oder eines Drittanbieters, um das Ereignisprotokoll zu schützen oder das Ereignisprotokoll an den Remote-Server umzuleiten.
- Stellen Sie sicher, dass Server, auf denen die Session Recording-Komponenten ausgeführt werden, physisch gesichert sind. Sperren Sie diese Computer nach Möglichkeit in einem sicheren Raum ein, zu dem nur autorisiertes Personal direkten Zugang hat.
- Isolieren Sie Server, auf denen die Session Recording-Komponenten ausgeführt werden, in einem separaten Subnetz oder einer separaten Domäne.
- Schützen Sie die aufgezeichneten Sitzungsdaten vor Benutzern, die auf andere Server zugreifen, indem Sie eine Firewall zwischen dem Session Recording-Server und anderen Servern installieren.
- Halten Sie den Session Recording Administration Server und die SQL-Datenbank mit den neuesten Sicherheitsupdates von Microsoft auf dem neuesten Stand.
- Beschränken Sie Nicht-Administratoren daran, sich an der Administrationsmaschine anzumelden.
- Beschränken Sie streng, wer berechtigt ist, Änderungen an der Aufzeichnungsrichtlinie vorzunehmen und aufgezeichnete Sitzungen anzuzeigen.
- Installieren Sie digitale Zertifikate, verwenden Sie die Dateisignierungsfunktion von Session Recording und richten Sie TLS-Kommunikation in IIS ein.
- Konfigurieren Sie MSMQ so, dass HTTPS als Transport verwendet wird. Dazu stellen Sie das MSMQ-Protokoll, das in den Eigenschaften des Session Recording-Agenten aufgeführt ist, auf HTTPS ein. Weitere Informationen finden Sie unter Problembehandlung bei MSMQ.
-
Verwenden Sie TLS 1.1 oder TLS 1.2 (empfohlen) und deaktivieren Sie SSLv2, SSLv3, TLS 1.0 auf dem Session Recording-Server und der Session Recording-Datenbank.
-
Deaktivieren Sie RC4-Cipher-Suites für TLS auf dem Session Recording-Server und der Session Recording-Datenbank:
- Navigieren Sie mit dem Microsoft Gruppenrichtlinien-Editor zu Computerkonfiguration > Administrative Vorlagen > Netzwerk > SSL-Konfigurationseinstellungen.
- Setzen Sie die Richtlinie SSL-Cipher-Suite-Reihenfolge auf Aktiviert. Standardmäßig ist diese Richtlinie auf Nicht konfiguriert gesetzt.
- Entfernen Sie alle RC4-Cipher-Suites.
- Verwenden Sie den Wiedergabeschutz. Der Wiedergabeschutz ist eine Session Recording-Funktion, die aufgezeichnete Dateien verschlüsselt, bevor sie auf den Session Recording-Player heruntergeladen werden. Standardmäßig ist diese Option aktiviert und befindet sich in den Session Recording-Servereigenschaften.
- Befolgen Sie die NSIT-Richtlinien für kryptografische Schlüssellängen und kryptografische Algorithmen.
-
Konfigurieren Sie die TLS 1.2-Unterstützung für Session Recording.
Wir empfehlen die Verwendung von TLS 1.2 als Kommunikationsprotokoll, um die End-to-End-Sicherheit der Session Recording-Komponenten zu gewährleisten.
So konfigurieren Sie die TLS 1.2-Unterstützung von Session Recording:
- Melden Sie sich an dem Computer an, auf dem der Session Recording-Server gehostet wird. Installieren Sie die entsprechende SQL Server-Clientkomponente und den Treiber und legen Sie eine starke Kryptografie für
.NET Framework(Version 4 oder höher) fest.- Installieren Sie den Microsoft ODBC Driver 11 (oder eine neuere Version) für SQL Server.
- Wenden Sie das neueste Hotfix-Rollup von
.NET Frameworkan. - Installieren Sie
ADO.NET - SqlClientbasierend auf Ihrer .NET Framework-Version. Weitere Informationen finden Sie unter https://support.microsoft.com/de-de/kb/3135244. - Fügen Sie einen DWORD-Wert SchUseStrongCrypto = 1 unter HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NetFramework\v4.0.30319 und HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319 hinzu.
- Starten Sie die Maschine neu.
- Melden Sie sich an der Maschine an, auf der die Session Recording-Richtlinienkonsole gehostet wird. Wenden Sie das neueste Hotfix-Rollup für .NET Framework an und legen Sie eine starke Kryptografie für .NET Framework (Version 4 oder höher) fest. Die Methode zum Festlegen einer starken Kryptografie ist dieselbe wie in den Unterschritten 1–4 und 1–5. Sie können diese Schritte überspringen, wenn Sie die Session Recording-Richtlinienkonsole auf demselben Computer wie den Session Recording-Server installieren möchten.
- Melden Sie sich an dem Computer an, auf dem der Session Recording-Server gehostet wird. Installieren Sie die entsprechende SQL Server-Clientkomponente und den Treiber und legen Sie eine starke Kryptografie für
Informationen zum Konfigurieren der TLS 1.2-Unterstützung für SQL Server mit Versionen vor 2016 finden Sie unter https://support.microsoft.com/de-de/kb/3135244. Um TLS 1.2 zu verwenden, konfigurieren Sie HTTPS als Kommunikationsprotokoll für die Session Recording-Komponenten.