セキュリティに関する推奨事項
Session Recordingは、セキュアなネットワーク内に展開され、管理者によってアクセスされるため、安全です。すぐに使える展開はシンプルで、デジタル署名や暗号化などのセキュリティ機能はオプションで構成できます。
Session Recordingコンポーネント間の通信は、Internet Information Services (IIS) とMicrosoft Message Queuing (MSMQ) を介して行われます。IISは、Session Recordingコンポーネント間のWebサービス通信リンクを提供します。MSMQは、記録されたセッションデータをSession RecordingエージェントからSession Recordingサーバーに送信するための信頼性の高いデータ転送メカニズムを提供します。
警告：
レジストリを誤って編集すると、オペレーティングシステムの再インストールが必要になるような深刻な問題が発生する可能性があります。Citrix®は、レジストリエディターの誤用によって生じる問題が解決できることを保証できません。レジストリエディターはご自身の責任において使用してください。編集する前に必ずレジストリをバックアップしてください。
展開を計画する際には、以下のセキュリティに関する推奨事項を考慮してください。
-
Microsoft インターネット インフォメーション サービス (IIS) を構成します。
Session Recordingは、制限されたIIS構成で構成できます。各Session Recordingサーバーで、IISマネージャーを開き、各IISアプリケーションプールに対して以下のリサイクル制限を設定します。
- 仮想メモリ制限：値を4,294,967,295に設定します。
- プライベートメモリ制限：値をSession Recordingサーバーの物理メモリに設定します。たとえば、物理メモリが4 GBの場合、値を4,194,304に設定します。
- 要求制限：この設定は未指定のままにすることをお勧めします。または、値を4,000,000,000に設定することもできます。
ヒント：
上記の各設定にアクセスするには、各アプリケーションプールを強調表示し、［操作］ペインで［詳細設定］を選択し、［詳細設定］ダイアログボックスの［リサイクル］セクションまでスクロールします。
- 企業ネットワーク、Session Recordingシステム、または個々のマシンで、異なる管理者ロールを適切に分離していることを確認してください。そうしないと、システムの機能に影響を与えたり、システムを悪用したりする可能性のあるセキュリティ上の脅威が発生する可能性があります。異なる管理者ロールを異なる人物またはアカウントに割り当てることをお勧めします。一般のセッションユーザーにVDAシステムへの管理者権限を付与しないでください。
- 公開されたアプリまたはデスクトップのユーザーにVDAローカル管理者ロールを付与しないでください。ローカル管理者ロールが必要な場合は、Windowsのメカニズムまたはサードパーティのソリューションを使用してSession Recordingエージェントコンポーネントを保護してください。
- セッションレコーディングデータベース管理者とセッションレコーディングポリシー管理者を個別に割り当てます。
- 一般的なセッションユーザーにVDA管理者権限を割り当てないでください。特にRemote PC Accessを使用している場合は。
- セッションレコーディングサーバーのローカル管理者アカウントは厳重に保護する必要があります。
- セッションレコーディングプレーヤーがインストールされているマシンへのアクセスを制御します。ユーザーがプレーヤーロールの権限を持っていない場合、そのユーザーにプレーヤーマシンのローカル管理者ロールを付与しないでください。匿名アクセスを無効にします。
- セッションレコーディングのストレージサーバーとして物理マシンを使用することをお勧めします。
- セッションレコーディングは、データの機密性に関係なく、セッションのグラフィックアクティビティを記録します。特定の状況下では、機密データ（ユーザー資格情報、プライバシー情報、サードパーティの画面などを含むがこれらに限定されない）が意図せず記録される可能性があります。リスクを防ぐために、以下の対策を講じてください。
- 特定のトラブルシューティングケースを除き、VDAのコアメモリダンプを無効にします。
コアメモリダンプを無効にするには：
- マイコンピューターを右クリックし、プロパティを選択します。
- 詳細設定タブをクリックし、起動と回復の下にある設定をクリックします。
- デバッグ情報の書き込みの下で、(なし)を選択します。 Microsoftの記事をhttps://support.microsoft.com/ja-jp/kb/307973で参照してください。
- デスクトップセッションが記録されている場合、セッション所有者は、オンライン会議およびリモートアシスタンスソフトウェアが記録される可能性があることを参加者に通知します。
- 企業内で公開または使用されているすべてのローカルおよびWebアプリケーションで、ログオン資格情報またはセキュリティ情報が表示されないようにしてください。そうしないと、セッションレコーディングによって記録されます。
- リモートICA®セッションに切り替える前に、機密情報を公開する可能性のあるアプリケーションを閉じます。
- 公開デスクトップまたはSoftware as a Service（SaaS）アプリケーションへのアクセスには、自動認証方法（例：シングルサインオン、スマートカード）のみをお勧めします。
- 特定のトラブルシューティングケースを除き、VDAのコアメモリダンプを無効にします。
コアメモリダンプを無効にするには：
- セッションレコーディングは、適切に機能し、セキュリティ要件を満たすために、特定のハードウェアおよびハードウェアインフラストラクチャ（例：企業ネットワークデバイス、オペレーティングシステム）に依存しています。これらのインフラストラクチャへの損害や悪用を防ぎ、セッションレコーディング機能を安全かつ信頼性の高いものにするために、インフラストラクチャレベルで対策を講じてください。
- セッションレコーディングをサポートするネットワークインフラストラクチャを適切に保護し、利用可能に保ちます。
- セッションレコーディングコンポーネントを保護するために、サードパーティのセキュリティソリューションまたはWindowsメカニズムを使用することをお勧めします。セッションレコーディングコンポーネントには以下が含まれます。
- セッションレコーディングサーバー上
- Processes: SsRecStoragemanager.exe and SsRecAnalyticsService.exe
- Services: CitrixSsRecStorageManager and CitrixSsRecAnalyticsService
- セッションレコーディングサーバーのインストールフォルダー内のすべてのファイル
- Registry values within HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Server
- セッションレコーディングエージェント上
- Process: SsRecAgent.exe
- Service: CitrixSmAudAgent
- セッションレコーディングエージェントのインストールフォルダー内のすべてのファイル
-
HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Agentの下のレジストリ値
- セッションレコーディングサーバー上
- セキュリティのベストプラクティスとして、Citrix は IIS で HTTPS を使用することを推奨しています。
-
セッションレコーディングサーバー上のメッセージキューイング (MSMQ) のアクセス制御リスト (ACL) を設定して、MSMQ データをセッションレコーディングサーバーに送信できる VDA または VDI マシンを制限し、不正なマシンがセッションレコーディングサーバーにデータを送信するのを防ぎます。
- セッションレコーディングが有効になっている各セッションレコーディングサーバーおよび VDA または VDI マシンに、サーバー機能 Directory Service Integration をインストールします。その後、Message Queuing サービスを再起動します。
- 各セッションレコーディングサーバーのWindows スタートメニューから、管理ツール > コンピューターの管理を開きます。
- サービスとアプリケーション > メッセージキュー > プライベートキューを開きます。
-
プライベートキュー citrixsmauddata をクリックして、プロパティページを開き、セキュリティタブを選択します。
コンピューターの管理のセキュリティタブ(/ja-jp/session-recording/2207/media/planyourdeployment1.png)
-
このサーバーにMSMQデータを送信するVDAのコンピューターまたはセキュリティグループを追加し、メッセージの送信権限を付与します。
メッセージ送信権限の付与(/ja-jp/session-recording/2207/media/planyourdeployment2.png)
- セッションレコーディングサーバーおよびセッションレコーディングエージェントのイベントログを適切に保護します。イベントログを保護するか、イベントログをリモートサーバーにリダイレクトするために、Windowsまたはサードパーティのリモートログソリューションを使用することをお勧めします。
- セッションレコーディングコンポーネントを実行しているサーバーが物理的に安全であることを確認してください。可能であれば、これらのコンピューターを、許可された担当者のみが直接アクセスできる安全な部屋に施錠してください。
- セッションレコーディングコンポーネントを実行しているサーバーを、別のサブネットまたはドメインに分離します。
- セッションレコーディングサーバーと他のサーバーの間にファイアウォールをインストールして、他のサーバーにアクセスするユーザーから記録されたセッションデータを保護します。
- セッションレコーディング管理サーバーとSQLデータベースを、Microsoftからの最新のセキュリティ更新プログラムで常に最新の状態に保ちます。
- 管理者以外のユーザーが管理マシンにログオンすることを制限します。
- 記録ポリシーの変更と記録されたセッションの表示を許可するユーザーを厳しく制限します。
- デジタル証明書をインストールし、セッションレコーディングのファイル署名機能を使用し、IISでTLS通信を設定します。
- MSMQがHTTPSをトランスポートとして使用するように設定します。これは、セッションレコーディングエージェントのプロパティにリストされているMSMQプロトコルをHTTPSに設定することで行います。詳細については、MSMQのトラブルシューティングを参照してください。
-
Session Recording サーバーおよび Session Recording データベースでは、TLS 1.1 または TLS 1.2 (推奨されるバージョン) を使用し、SSLv2、SSLv3、TLS 1.0 は無効にしてください。
-
Session RecordingサーバーおよびSession Recordingデータベースでは、TLSのRC4暗号スイートを無効にしてください:
- Microsoftグループポリシーエディターを使用して、［コンピューターの構成］>［管理用テンプレート］>［ネットワーク］>［SSL構成設定］ の順に移動します。
- ［SSL暗号スイートの順序］ ポリシーを ［有効］ に設定します。デフォルトでは、このポリシーは ［未構成］ に設定されています。
- RC4暗号スイートをすべて削除します。
- 再生保護を使用します。再生保護は、録画ファイルをSession Recordingプレーヤーにダウンロードする前に暗号化するSession Recording機能です。デフォルトでは、このオプションは有効になっており、Session Recordingサーバーのプロパティにあります。
- 暗号鍵の長さと暗号アルゴリズムについては、NSITのガイダンスに従ってください。
-
セッションレコーディングのTLS 1.2サポートを構成します。
Session Recordingコンポーネントのエンドツーエンドセキュリティを確保するために、通信プロトコルとしてTLS 1.2を使用することをお勧めします。
セッションレコーディングのTLS 1.2サポートを構成するには：
- Session Recordingサーバーをホストしているマシンにログオンします。適切なSQL Serverクライアントコンポーネントとドライバーをインストールし、
.NET Framework（バージョン4以降）に強力な暗号化を設定します。- SQL Server用のMicrosoft ODBC Driver 11（またはそれ以降のバージョン）をインストールします。
-
.NET Frameworkの最新の修正プログラムロールアップを適用します。 - .NET Frameworkのバージョンに基づいて
ADO.NET - SqlClientをインストールします。詳細については、https://support.microsoft.com/ja-jp/kb/3135244を参照してください。 - Add a DWORD value SchUseStrongCrypto = 1 under HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NetFramework\v4.0.30319 and HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319.
- マシンを再起動します。
- Session Recordingポリシーコンソールをホストしているマシンにログオンします。.NET Frameworkの最新の修正プログラムロールアップを適用し、.NET Framework（バージョン4以降）に強力な暗号化を設定します。強力な暗号化を設定する方法は、サブステップ1-4および1-5と同じです。Session RecordingポリシーコンソールをSession Recordingサーバーと同じコンピューターにインストールする場合は、これらの手順を省略できます。
- Session Recordingサーバーをホストしているマシンにログオンします。適切なSQL Serverクライアントコンポーネントとドライバーをインストールし、
2016年より前のバージョンのSQL ServerでTLS 1.2サポートを構成するには、https://support.microsoft.com/ja-jp/kb/3135244を参照してください。TLS 1.2を使用するには、Session Recordingコンポーネントの通信プロトコルとしてHTTPSを構成します。