セキュリティに関する推奨事項
Session Recordingは、セキュアなネットワーク内に展開され、管理者によってアクセスされるため、安全です。すぐに使える展開はシンプルで、デジタル署名や暗号化などのセキュリティ機能はオプションで構成できます。
セッションレコーディングコンポーネント間の通信は、インターネットインフォメーションサービス (IIS) およびMicrosoftメッセージキュー (MSMQ) を介して行われます。IISは、セッションレコーディングコンポーネント間のWebサービス通信リンクを提供します。MSMQは、セッションレコーディングエージェントからセッションレコーディングサーバーに記録されたセッションデータを送信するための信頼性の高いデータ転送メカニズムを提供します。
警告：
レジストリを誤って編集すると、オペレーティングシステムの再インストールが必要になるような深刻な問題が発生する可能性があります。Citrix®は、レジストリエディターの誤った使用によって生じる問題が解決できることを保証できません。レジストリエディターの使用は、お客様ご自身の責任において行ってください。編集する前に必ずレジストリをバックアップしてください。
展開を計画する際には、以下のセキュリティに関する推奨事項を考慮してください。
-
マイクロソフトインターネットインフォメーションサービス (IIS) を構成します。
Session Recordingは、制限されたIIS構成で構成できます。各Session Recording Serverで、IISマネージャーを開き、各IISアプリケーションプールに対して以下のリサイクル制限を設定します。
- 仮想メモリ制限：値を4,294,967,295に設定します。
- プライベートメモリ制限：Session Recording Serverの物理メモリに合わせて値を設定します。たとえば、物理メモリが4 GBの場合、値を4,194,304に設定します。
- 要求制限：この設定は未指定のままにすることをお勧めします。または、値を4,000,000,000に設定することもできます。
ヒント：
上記の設定にアクセスするには、各アプリケーションプールを強調表示し、操作ペインで詳細設定を選択し、詳細設定ダイアログボックスのリサイクルセクションまでスクロールします。
- 企業ネットワーク、Session Recordingシステム、または個々のマシンにおいて、異なる管理者ロールを適切に分離するようにしてください。そうしないと、システム機能に影響を与えたり、システムを悪用したりする可能性のあるセキュリティ上の脅威が発生する可能性があります。異なる管理者ロールを異なる人物またはアカウントに割り当てることをお勧めします。一般のセッションユーザーにVDAシステムへの管理者権限を付与しないでください。
- Citrix Virtual Apps and Desktops™管理者は、公開されたアプリまたはデスクトップのユーザーにVDAローカル管理者ロールを付与しません。ローカル管理者ロールが必要な場合は、Windowsメカニズムまたはサードパーティソリューションを使用してSession Recording Agentコンポーネントを保護してください。
- Session Recordingデータベース管理者とSession Recordingポリシー管理者を個別に割り当てます。
- 一般的なセッションユーザーにVDA管理者権限を割り当てないことをお勧めします。特にRemote PC Accessを使用する場合は注意してください。
- Session Recording Serverのローカル管理アカウントは厳重に保護する必要があります。
- Session Recording Playerがインストールされているマシンへのアクセスを制御します。ユーザーがPlayerロールの権限を持っていない場合、そのユーザーにPlayerマシンのローカル管理者ロールを付与しないでください。匿名アクセスを無効にします。
- Session Recordingのストレージサーバーとして物理マシンを使用することをお勧めします。
- Session Recordingは、データの機密性に関係なく、セッションのグラフィックアクティビティを記録します。特定の状況下では、機密データ（ユーザー資格情報、プライバシー情報、サードパーティの画面などを含むがこれらに限定されない）が意図せず記録される可能性があります。リスクを防ぐために、以下の対策を講じてください。
-
特定のトラブルシューティングケースを除き、VDAのコアメモリダンプを無効にします。
コアメモリダンプを無効にするには：
1. マイコンピュータを右クリックし、プロパティを選択します。 2. 詳細設定タブをクリックし、起動と回復の下にある設定をクリックします。 3. デバッグ情報の書き込みの下で、(なし)を選択します。 詳細については、https://support.microsoft.com/ja-jp/kb/307973のMicrosoftの記事を参照してください。
- デスクトップセッションが記録されている場合、オンライン会議やリモートアシスタンスソフトウェアが記録される可能性があることを、セッション所有者は参加者に通知します。
- 企業内で公開または使用されているすべてのローカルおよびWebアプリケーションに、ログオン資格情報やセキュリティ情報が表示されないようにしてください。表示された場合、それらはSession Recordingによって記録されます。
- リモートICA®セッションに切り替える前に、機密情報を公開する可能性のあるアプリケーションをすべて閉じます。
- 公開されたデスクトップまたはSoftware as a Service (SaaS) アプリケーションへのアクセスには、自動認証方法（シングルサインオン、スマートカードなど）のみを使用することをお勧めします。
-
- Session Recordingは、適切に機能し、セキュリティ要件を満たすために、特定のハードウェアおよびハードウェアインフラストラクチャ（企業ネットワークデバイス、オペレーティングシステムなど）に依存しています。これらのインフラストラクチャへの損傷や悪用を防ぎ、Session Recording機能を安全かつ信頼性の高いものにするために、インフラストラクチャレベルで対策を講じてください。
- Session Recordingをサポートするネットワークインフラストラクチャを適切に保護し、利用可能な状態に保ちます。
- Session Recording コンポーネントを保護するために、サードパーティのセキュリティソリューションまたはWindowsメカニズムを使用することをお勧めします。Session Recording コンポーネントには以下が含まれます。
- セッションレコーディングサーバーについて
- Processes: SsRecStoragemanager.exe and SsRecAnalyticsService.exe
- Services: CitrixSsRecStorageManager and CitrixSsRecAnalyticsService
- Session Recording Serverのインストールフォルダー内のすべてのファイル
- Registry values within HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Server
- セッションレコーディングエージェント上で
- Process: SsRecAgent.exe
- CitrixSmAudAgentという名前のサービス項目
- Session Recording Agentのインストールフォルダー内のすべてのファイル
- Registry values within HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Agent
- セッションレコーディングサーバーについて
- セキュリティのベストプラクティスとして、CitrixはIISでHTTPSを使用することをお勧めします。
-
セッションレコーディングサーバー上のメッセージキュー (MSMQ) のアクセス制御リスト (ACL) を設定し、セッションレコーディングサーバーにMSMQデータを送信できるVDAまたはVDIマシンを制限します。また、不正なマシンがセッションレコーディングサーバーにデータを送信するのを防ぎます。
- セッションレコーディングが有効になっている各セッションレコーディングサーバーおよびVDAまたはVDIマシンに、サーバー機能Directory Service Integrationをインストールします。その後、メッセージキューサービスを再起動します。
- 各Session Recording ServerのWindows スタートメニューから、管理ツール > コンピューターの管理を開きます。
- 「サービスとアプリケーション」>「メッセージキュー」>「プライベートキュー」を開きます。
-
プライベートキュー「citrixsmauddata」をクリックして「プロパティ」ページを開き、「セキュリティ」タブを選択します。
コンピューターの管理のセキュリティタブの画像(/ja-jp/session-recording/1912-ltsr/media/planyourdeployment1.png)
-
このサーバーにMSMQデータを送信するVDAのコンピューターまたはセキュリティグループを追加し、それらに「メッセージの送信」権限を付与します。
メッセージ送信権限を付与する画像(/ja-jp/session-recording/1912-ltsr/media/planyourdeployment2.png)
- セッション記録サーバーとセッション記録エージェントのイベントログを適切に保護します。イベントログを保護するか、イベントログをリモートサーバーにリダイレクトするために、Windowsまたはサードパーティのリモートログソリューションを使用することをお勧めします。
- セッション記録コンポーネントを実行しているサーバーが物理的に安全であることを確認します。可能であれば、これらのコンピューターを、許可された担当者のみが直接アクセスできる安全な部屋に施錠してください。
- セッション記録コンポーネントを実行しているサーバーを、別のサブネットまたはドメインに分離します。
- セッション記録サーバーと他のサーバーの間にファイアウォールをインストールして、他のサーバーにアクセスするユーザーから記録されたセッションデータを保護します。
- セッション記録管理サーバーとSQLデータベースを、Microsoftからの最新のセキュリティ更新プログラムで常に最新の状態に保ちます。
- 管理者以外のユーザーが管理マシンにログオンするのを制限します。
- 記録ポリシーの変更と記録されたセッションの表示を許可されているユーザーを厳しく制限します。
- デジタル証明書をインストールし、セッション記録ファイル署名機能を使用し、IISでTLS通信を設定します。
- MSMQがトランスポートとしてHTTPSを使用するように設定します。「セッション記録エージェントのプロパティ」に表示されているMSMQプロトコルをHTTPSに設定します。詳細については、「MSMQのトラブルシューティング」を参照してください。
-
セッション記録サーバーとセッション記録データベースで、TLS 1.1またはTLS 1.2（推奨）を使用し、SSLv2、SSLv3、TLS 1.0を無効にします。
-
セッションレコーディングサーバーおよびセッションレコーディングデータベース上のTLS用RC4暗号スイートを無効にします。
- Microsoft グループポリシーエディターを使用して、コンピューターの構成 > 管理用テンプレート > ネットワーク > SSL構成設定 に移動します。
- SSL Cipher Suite Order ポリシーを Enabled に設定します。デフォルトでは、このポリシーは Not Configured に設定されています。
- RC4 暗号スイートをすべて削除します。
- 再生保護を使用します。再生保護は、録画されたファイルが Session Recording Player にダウンロードされる前に暗号化する Session Recording の機能です。デフォルトでは、このオプションは有効になっており、Session Recording Server Properties にあります。
- 暗号化キーの長さと暗号化アルゴリズムについては、NSIT のガイダンスに従ってください。
-
Session Recording のための TLS 1.2 サポートを構成します。
Session Recording コンポーネントのエンドツーエンドセキュリティを確保するために、通信プロトコルとして TLS 1.2 を使用することをお勧めします。
セッションレコーディングのTLS 1.2サポートを構成するには:
-
Session Recording Server をホストしているマシンにログオンします。適切な SQL Server クライアントコンポーネントとドライバーをインストールし、
.NET Framework(バージョン 4 以降) に強力な暗号化を設定します。- SQL Server 用の Microsoft ODBC Driver 11 (またはそれ以降のバージョン) をインストールします。
-
.NET Frameworkの最新の修正プログラムのロールアップを適用します。 - .NET Framework のバージョンに基づいて
ADO.NET - SqlClientをインストールします。詳細については、https://support.microsoft.com/ja-jp/kb/3135244 を参照してください。 - Add a DWORD value SchUseStrongCrypto = 1 under HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NetFramework\v4.0.30319 and HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319.
- マシンを再起動します。
-
セッションレコーディングポリシーコンソールをホストしているマシンにログオンします。.NET Framework の最新のホットフィックスロールアップを適用し、.NET Framework (バージョン 4 以降) に強力な暗号化を設定します。強力な暗号化を設定する方法は、サブステップ 1～4 および 1～5 と同じです。セッションレコーディングポリシーコンソールをセッションレコーディングサーバーと同じコンピューターにインストールすることを選択した場合は、これらの手順を省略できます。
2016 より前のバージョンの SQL Server で TLS 1.2 のサポートを構成するには、https://support.microsoft.com/ja-jp/kb/3135244 を参照してください。TLS 1.2 を使用するには、セッションレコーディングコンポーネントの通信プロトコルとして HTTPS を構成します。
-