セキュリティに関する推奨事項

Session Recordingは、セキュアなネットワーク内に展開され、管理者によってアクセスされるため、安全です。すぐに使える展開はシンプルで、デジタル署名や暗号化などのセキュリティ機能はオプションで構成できます。

セッションレコーディングコンポーネント間の通信は、インターネット インフォメーション サービス (IIS) および Microsoft Message Queuing (MSMQ) を介して行われます。IISは、セッションレコーディングコンポーネント間のWebサービス通信リンクを提供します。MSMQは、セッションレコーディングエージェントからセッションレコーディングサーバーに記録されたセッションデータを送信するための信頼性の高いデータ転送メカニズムを提供します。

警告：

レジストリを誤って編集すると、オペレーティングシステムの再インストールが必要になるような深刻な問題が発生する可能性があります。Citrix®は、レジストリエディターの誤った使用によって生じた問題が解決できることを保証できません。レジストリエディターは、ご自身の責任において使用してください。編集する前に、必ずレジストリをバックアップしてください。

展開を計画する際には、以下のセキュリティに関する推奨事項を考慮してください。

• Microsoft インターネット インフォメーション サービス (IIS) を構成します。

  Session Recordingは、制限されたIIS構成で構成できます。各Session Recordingサーバーで、IISマネージャーを開き、各IISアプリケーションプールに以下のリサイクル制限を設定します。

  • 仮想メモリ制限：値を4,294,967,295に設定します。
  • プライベートメモリ制限：値をSession Recordingサーバーの物理メモリに設定します。たとえば、物理メモリが4 GBの場合、値を4,194,304に設定します。
  • 要求制限：この設定は未指定のままにすることをお勧めします。または、値を4,000,000,000に設定することもできます。

  ヒント：

  上記の各設定にアクセスするには、各アプリケーションプールを強調表示し、［操作］ペインで［詳細設定］を選択し、［詳細設定］ダイアログボックスで［リサイクル］セクションまでスクロールします。

• 企業ネットワーク、Session Recordingシステム、または個々のマシンにおいて、異なる管理者ロールを適切に分離していることを確認してください。そうしないと、システム機能に影響を与えたり、システムを悪用したりするセキュリティ上の脅威が発生する可能性があります。異なる管理者ロールを異なる人物またはアカウントに割り当てることをお勧めします。一般のセッションユーザーにVDAシステムへの管理者権限を付与しないでください。
  • Citrix Virtual Apps and Desktops™管理者は、公開されたアプリまたはデスクトップのユーザーにVDAローカル管理者ロールを付与しません。ローカル管理者ロールが必要な場合は、Windowsのメカニズムまたはサードパーティのソリューションを使用してSession Recording Agentコンポーネントを保護してください。
  • Session Recordingデータベース管理者とSession Recordingポリシー管理者を個別に割り当てます。
  • 一般的なセッションユーザーにVDA管理者権限を割り当てないことをお勧めします。特にRemote PC Accessを使用している場合は注意してください。
  • Session Recording Serverのローカル管理アカウントは厳重に保護する必要があります。
  • Session Recording Playerがインストールされているマシンへのアクセスを制御します。ユーザーがPlayerロールの権限を持っていない場合、そのユーザーにいかなるプレーヤーマシンのローカル管理者ロールも付与しないでください。匿名アクセスを無効にします。
  • Session Recordingのストレージサーバーとして物理マシンを使用することをお勧めします。
• Session Recordingは、データの機密性に関係なく、セッションのグラフィックアクティビティを記録します。特定の状況下では、機密データ（ユーザー資格情報、プライバシー情報、サードパーティの画面などを含むがこれらに限定されない）が意図せず記録される可能性があります。リスクを防ぐために、以下の対策を講じてください。
  • 特定のトラブルシューティングケースを除き、VDAのコアメモリダンプを無効にします。 コアメモリダンプを無効にするには：
    1. マイコンピュータを右クリックし、プロパティを選択します。
    2. 「詳細設定」タブをクリックし、次に「起動と回復」の下にある「設定」をクリックします。
    3. 「デバッグ情報の書き込み」の下で、「(なし)」を選択します。 Microsoft の記事はhttps://support.microsoft.com/ja-jp/kb/307973を参照してください。
  • デスクトップセッションが記録されている場合、セッション所有者は、オンライン会議やリモートアシスタンスソフトウェアが記録される可能性があることを参加者に通知します。
  • ログオン資格情報やセキュリティ情報が、社内で公開または使用されているすべてのローカルおよびWebアプリケーションに表示されないようにしてください。表示された場合、それらはSession Recordingによって記録されます。
  • リモートICA®セッションに切り替える前に、機密情報を公開する可能性のあるアプリケーションをすべて閉じます。
  • 公開されたデスクトップまたはSoftware as a Service (SaaS)アプリケーションへのアクセスには、自動認証方法（シングルサインオン、スマートカードなど）のみを使用することをお勧めします。
• Session Recordingは、適切に機能し、セキュリティ要件を満たすために、特定のハードウェアおよびハードウェアインフラストラクチャ（企業ネットワークデバイス、オペレーティングシステムなど）に依存しています。これらのインフラストラクチャへの損傷や悪用を防ぎ、Session Recording機能を安全かつ信頼性の高いものにするために、インフラストラクチャレベルで対策を講じてください。
  • Session Recordingをサポートするネットワークインフラストラクチャを適切に保護し、利用可能な状態に保ちます。
  • Session Recordingコンポーネントを保護するために、サードパーティのセキュリティソリューションまたはWindowsメカニズムを使用することをお勧めします。Session Recordingコンポーネントには以下が含まれます。
    • セッションレコーディングサーバー上で
      • Processes: SsRecStoragemanager.exe and SsRecAnalyticsService.exe
      • Services: CitrixSsRecStorageManager and CitrixSsRecAnalyticsService
      • Session Recording Serverのインストールフォルダー内のすべてのファイル
      • Registry values within HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Server
    • セッションレコーディングエージェント上
      • Process: SsRecAgent.exe
      • Service: CitrixSmAudAgent
      • Session Recording Agentのインストールフォルダー内のすべてのファイル
      • Registry values within HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Agent
• セキュリティのベストプラクティスとして、CitrixはIISでHTTPSを使用することを推奨しています。

• セッションレコーディングサーバー上のメッセージキューイング (MSMQ) のアクセス制御リスト (ACL) を設定し、セッションレコーディングサーバーにMSMQデータを送信できるVDAまたはVDIマシンを制限し、不正なマシンがセッションレコーディングサーバーにデータを送信するのを防ぎます。

  1. セッションレコーディングが有効になっている各セッションレコーディングサーバーおよびVDAまたはVDIマシンに、サーバー機能 Directory Service Integration をインストールします。その後、メッセージキューイング サービスを再起動します。
  2. 各セッションレコーディングサーバーのWindowsのスタートメニューから、管理ツール > コンピューターの管理を開きます。
  3. サービスとアプリケーション > メッセージキュー > プライベートキューを開きます。

  4. プライベートキューcitrixsmauddataをクリックして、プロパティページを開き、セキュリティタブを選択します。

     コンピューターの管理のセキュリティタブ(/ja-jp/session-recording/2112/media/planyourdeployment1.png)

  5. このサーバーにMSMQデータを送信するVDAのコンピューターまたはセキュリティグループを追加し、メッセージの送信権限を付与します。

     メッセージ送信権限の付与(/ja-jp/session-recording/2112/media/planyourdeployment2.png)

• セッションレコーディングサーバーおよびセッションレコーディングエージェントのイベントログを適切に保護します。イベントログを保護するか、イベントログをリモートサーバーにリダイレクトするために、Windowsまたはサードパーティのリモートログソリューションを使用することをお勧めします。
• セッションレコーディングコンポーネントを実行しているサーバーが物理的に安全であることを確認してください。可能であれば、これらのコンピューターを、許可された担当者のみが直接アクセスできる安全な部屋にロックしてください。
• セッションレコーディングコンポーネントを実行しているサーバーを、別のサブネットまたはドメインに分離します。
• セッションレコーディングサーバーと他のサーバーの間にファイアウォールをインストールして、他のサーバーにアクセスするユーザーから記録されたセッションデータを保護します。
• セッションレコーディング管理サーバーとSQLデータベースを、Microsoftからの最新のセキュリティ更新プログラムで常に最新の状態に保ちます。
• 管理者以外のユーザーが管理マシンにログオンすることを制限します。
• 記録ポリシーの変更と記録されたセッションの表示を許可されるユーザーを厳しく制限します。
• デジタル証明書をインストールし、セッションレコーディングのファイル署名機能を使用し、IISでTLS通信を設定します。
• MSMQがトランスポートとしてHTTPSを使用するように設定します。これは、セッションレコーディングエージェントのプロパティにリストされているMSMQプロトコルをHTTPSに設定することで行います。詳細については、「MSMQのトラブルシューティング」を参照してください。

• セッションレコーディングサーバーおよびセッションレコーディングデータベースでは、TLS 1.1またはTLS 1.2（推奨）を使用し、SSLv2、SSLv3、TLS 1.0を無効にしてください。

• セッションレコーディングサーバーおよびセッションレコーディングデータベースでは、TLSのRC4暗号スイートを無効にしてください。

  1. Microsoftグループポリシーエディターを使用して、コンピューターの構成 > 管理用テンプレート > ネットワーク > SSL構成設定 の順に移動します。
  2. 「SSL暗号スイートの順序」ポリシーを「有効」に設定します。デフォルトでは、このポリシーは「未構成」に設定されています。
  3. RC4暗号スイートをすべて削除します。
• 再生保護を使用します。再生保護は、録画ファイルをSession Recording Playerにダウンロードする前に暗号化するSession Recordingの機能です。デフォルトでは、このオプションは有効になっており、［Session Recording Serverのプロパティ］ にあります。
• 暗号化キーの長さと暗号化アルゴリズムについては、NSITのガイダンスに従ってください。

• セッションレコーディングのTLS 1.2サポートを構成します。

  Session Recordingコンポーネントのエンドツーエンドのセキュリティを確保するために、通信プロトコルとしてTLS 1.2を使用することをお勧めします。

  セッションレコーディングのTLS 1.2サポートを構成するには：

  1. Session Recording Serverをホストしているマシンにログオンします。適切なSQL Serverクライアントコンポーネントとドライバーをインストールし、.NET Framework（バージョン4以降）に強力な暗号化を設定します。
     1. SQL Server用のMicrosoft ODBC Driver 11（またはそれ以降のバージョン）をインストールします。
     2. .NET Frameworkの最新の修正プログラムロールアップを適用します。
     3. .NET Frameworkのバージョンに基づいてADO.NET - SqlClientをインストールします。詳しくは、https://support.microsoft.com/ja-jp/kb/3135244を参照してください。
     4. Add a DWORD value SchUseStrongCrypto = 1 under HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NetFramework\v4.0.30319 and HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319.
     5. マシンを再起動します。
  2. Session Recording Policy Console をホストしているマシンにログオンします。.NET Framework の最新の修正プログラムロールアップを適用し、.NET Framework (バージョン 4 以降) に強力な暗号化を設定します。強力な暗号化を設定する方法は、サブステップ 1～4 および 1～5 と同じです。Session Recording Policy Console を Session Recording Server と同じコンピューターにインストールする場合は、これらの手順を省略できます。

2016 より前のバージョンの SQL Server で TLS 1.2 サポートを構成するには、https://support.microsoft.com/ja-jp/kb/3135244 を参照してください。TLS 1.2 を使用するには、Session Recording コンポーネントの通信プロトコルとして HTTPS を構成します。