セキュリティに関する推奨事項
Session Recordingは、セキュアなネットワーク内に展開され、管理者によってアクセスされるため、安全です。すぐに使える展開はシンプルで、デジタル署名や暗号化などのセキュリティ機能はオプションで構成できます。
Session Recording コンポーネント間の通信は、Internet Information Services (IIS) および Microsoft Message Queuing (MSMQ) を介して行われます。IIS は、Session Recording コンポーネント間のウェブサービス通信リンクを提供します。MSMQ は、記録されたセッションデータを Session Recording Agent から Session Recording Server に送信するための信頼性の高いデータ転送メカニズムを提供します。
警告：
レジストリを誤って編集すると、オペレーティングシステムの再インストールが必要になるような深刻な問題が発生する可能性があります。Citrix®は、レジストリエディターの誤った使用によって生じる問題が解決されることを保証できません。レジストリエディターは自己責任で使用してください。編集する前に必ずレジストリをバックアップしてください。
展開を計画する際には、以下のセキュリティに関する推奨事項を考慮してください。
- 企業ネットワーク内、Session Recordingシステム内、または個々のマシン上で、異なる管理者ロールを適切に分離するようにしてください。そうしないと、システム機能に影響を与えたり、システムを悪用したりする可能性のあるセキュリティ上の脅威が発生する可能性があります。異なる管理者ロールを異なる人物またはアカウントに割り当てることをお勧めします。一般的なセッションユーザーにVDAシステムへの管理者権限を与えないでください。
- Citrix Virtual Apps and Desktops™管理者は、公開アプリケーションまたはデスクトップのユーザーにVDAローカル管理者ロールを付与しません。ローカル管理者ロールが必要な場合は、Windowsのメカニズムまたはサードパーティのソリューションを使用してSession Recording Agentコンポーネントを保護してください。
- Session Recordingデータベース管理者とSession Recordingポリシー管理者を個別に割り当ててください。
- 一般的なセッションユーザーにはVDA管理者権限を割り当てないことをお勧めします。特にRemote PC Accessを使用する場合は注意してください。
- Session Recording Serverのローカル管理アカウントは厳重に保護する必要があります。
- Session Recording Playerがインストールされているマシンへのアクセスを制御してください。ユーザーがPlayerロールの権限を持っていない場合、そのユーザーにいかなるプレイヤーマシンに対してもローカル管理者ロールを付与しないでください。匿名アクセスを無効にしてください。
- Session Recordingのストレージサーバーとして物理マシンを使用することをお勧めします。
- Session Recordingは、データの機密性に関係なくセッションのグラフィックアクティビティを記録します。特定の状況下では、機密データ（ユーザー資格情報、プライバシー情報、サードパーティの画面などを含むがこれらに限定されない）が意図せず記録される可能性があります。リスクを防ぐために、以下の対策を講じてください。
- 特定のトラブルシューティングケースを除き、VDAのコアメモリダンプを無効にしてください。 コアメモリダンプを無効にするには： 1. マイコンピューターを右クリックし、プロパティを選択します。 2. 詳細設定タブをクリックし、起動と回復の下にある設定をクリックします。 3. デバッグ情報の書き込みの下で、(なし)を選択します。 Microsoftの記事については、https://support.microsoft.com/ja-jp/kb/307973を参照してください。
- デスクトップセッションが記録されている場合、セッション所有者はオンライン会議やリモートアシスタンスソフトウェアが記録される可能性があることを参加者に通知します。
- 社内で公開または使用されているすべてのローカルおよびWebアプリケーションに、ログオン資格情報やセキュリティ情報が表示されないようにしてください。そうしないと、Session Recordingによって記録されます。
- リモートICA®セッションに切り替える前に、機密情報を公開する可能性のあるアプリケーションをすべて閉じてください。
- 公開デスクトップまたはSaaS（Software as a Service）アプリケーションへのアクセスには、自動認証方法（例：シングルサインオン、スマートカード）のみを推奨します。
- Session Recordingは、適切に機能し、セキュリティ要件を満たすために、特定のハードウェアおよびハードウェアインフラストラクチャ（例：企業ネットワークデバイス、オペレーティングシステム）に依存しています。これらのインフラストラクチャへの損傷や悪用を防ぎ、Session Recording機能を安全で信頼できるものにするため、インフラストラクチャレベルで対策を講じてください。
- Session Recordingをサポートするネットワークインフラストラクチャを適切に保護し、利用可能な状態に保ってください。
- Session Recordingコンポーネントを保護するために、サードパーティのセキュリティソリューションまたはWindowsメカニズムを使用することをお勧めします。Session Recordingコンポーネントには以下が含まれます。
- セッションレコーディングサーバー上で
- Processes: SsRecStoragemanager.exe and SsRecAnalyticsService.exe
- Services: CitrixSsRecStorageManager and CitrixSsRecAnalyticsService
- Session Recordingサーバーのインストールフォルダー内のすべてのファイル
- Registry values within HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Server
- セッションレコーディングエージェント上で
- プロセスは次のとおりです: SsRecAgent.exe
- サービス名は次のとおりです: CitrixSmAudAgent
- Session Recording Agent インストールフォルダー内のすべてのファイル
- Registry values within HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Agent
- セッションレコーディングサーバー上で
- セキュリティのベストプラクティスとして、Citrix は IIS で HTTPS を使用することを推奨します。
-
Session Recording Server 上のメッセージキュー (MSMQ) のアクセス制御リスト (ACL) を設定し、Session Recording Server に MSMQ データを送信できる VDA または VDI マシンを制限し、許可されていないマシンが Session Recording Server にデータを送信するのを防ぎます。
- Session Recording が有効になっている各セッションレコーディングサーバーおよび VDA または VDI マシンに、サーバー機能「ディレクトリサービス統合」をインストールします。その後、メッセージキューイングサービスを再起動します。
- 各 Session Recording Server の Windows の スタート メニューから、管理ツール > コンピューターの管理 を開きます。
- サービスとアプリケーション > メッセージキュー > プライベートキュー を開きます。
-
プライベートキュー citrixsmauddata をクリックして、プロパティ ページを開き、セキュリティ タブを選択します。
コンピューターの管理のセキュリティタブの画像(/ja-jp/session-recording/2107/media/planyourdeployment1.png)
-
このサーバーに MSMQ データを送信する VDA のコンピューターまたはセキュリティグループを追加し、メッセージの送信 権限を付与します。
メッセージの送信権限を付与する画像(/ja-jp/session-recording/2107/media/planyourdeployment2.png)
- Session Recording Server および Session Recording Agent のイベントログを適切に保護します。イベントログを保護するか、イベントログをリモートサーバーにリダイレクトするために、Windows またはサードパーティのリモートログソリューションを使用することをお勧めします。
- Session Recording コンポーネントを実行しているサーバーが物理的に安全であることを確認します。可能であれば、これらのコンピューターを、許可された担当者のみが直接アクセスできる安全な部屋にロックします。
- Session Recording コンポーネントを実行しているサーバーを、別のサブネットまたはドメインに分離します。
- Session Recording Server と他のサーバーの間にファイアウォールをインストールして、他のサーバーにアクセスするユーザーから記録されたセッションデータを保護します。
- Session Recording管理サーバーとSQLデータベースを、Microsoftからの最新のセキュリティ更新プログラムで常に最新の状態に保ちます。
- 管理者以外のユーザーが管理マシンにログオンすることを制限します。
- 録画ポリシーの変更や録画セッションの表示を許可するユーザーを厳しく制限します。
- デジタル証明書をインストールし、Session Recordingファイル署名機能を使用し、IISでTLS通信を設定します。
- MSMQがトランスポートとしてHTTPSを使用するように設定します。これは、Session Recording Agent Propertiesに表示されているMSMQプロトコルをHTTPSに設定することで行います。詳細については、「MSMQのトラブルシューティング」を参照してください。
-
セッションレコーディングサーバーとセッションレコーディングデータベースで、TLS 1.1またはTLS 1.2（推奨）を使用し、SSLv2、SSLv3、TLS 1.0を無効にしてください。
-
セッションレコーディングサーバーおよびセッションレコーディングデータベースで、TLSのRC4暗号スイートを無効にします。
- Microsoftグループポリシーエディターを使用して、コンピューターの構成 > 管理用テンプレート > ネットワーク > SSL構成設定に移動します。
- SSL暗号スイートの順序ポリシーを有効に設定します。デフォルトでは、このポリシーは未構成に設定されています。
- RC4暗号スイートをすべて削除します。
- 再生保護を使用します。再生保護は、録画ファイルをSession Recording Playerにダウンロードする前に暗号化するSession Recording機能です。デフォルトでは、このオプションは有効になっており、Session Recording Server Propertiesにあります。
- 暗号鍵の長さと暗号アルゴリズムについては、NSITのガイダンスに従ってください。
-
セッションレコーディングのTLS 1.2サポートを構成します。
Session Recordingコンポーネントのエンドツーエンドセキュリティを確保するために、通信プロトコルとしてTLS 1.2を使用することをお勧めします。
セッションレコーディングのTLS 1.2サポートを構成するには：
- Session Recording Serverをホストしているマシンにログオンします。適切なSQL Serverクライアントコンポーネントとドライバーをインストールし、.NET Framework（バージョン4以降）に強力な暗号化を設定します。
- SQL Server用のMicrosoft ODBC Driver 11（またはそれ以降のバージョン）をインストールします。
- .NET Frameworkの最新の修正プログラムロールアップを適用します。
- .NET Frameworkのバージョンに応じて
ADO.NET - SqlClientをインストールしてください。詳細については、https://support.microsoft.com/ja-jp/kb/3135244を参照してください。 - Add a DWORD value SchUseStrongCrypto = 1 under HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NetFramework\v4.0.30319 and HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319.
- マシンを再起動します。
- Session Recording Policy Consoleをホストしているマシンにログオンします。.NET Frameworkの最新の修正プログラムロールアップを適用し、.NET Framework（バージョン4以降）に強力な暗号化を設定します。強力な暗号化を設定する方法は、サブステップ1～4および1～5と同じです。Session Recording Policy ConsoleをSession Recording Serverと同じコンピューターにインストールする場合は、これらの手順を省略できます。
- Session Recording Serverをホストしているマシンにログオンします。適切なSQL Serverクライアントコンポーネントとドライバーをインストールし、.NET Framework（バージョン4以降）に強力な暗号化を設定します。
2016より前のバージョンのSQL ServerでTLS 1.2サポートを構成するには、https://support.microsoft.com/ja-jp/kb/3135244を参照してください。TLS 1.2を使用するには、Session Recordingコンポーネントの通信プロトコルとしてHTTPSを構成します。