セキュリティに関する推奨事項

セッションレコーディングは安全なネットワーク内に展開され、管理者によってアクセスされるため、安全です。デフォルトの展開はシンプルであり、デジタル署名や暗号化などのセキュリティ機能はオプションで構成できます。

セッションレコーディングコンポーネント間の通信は、Internet Information Services (IIS) および Microsoft Message Queuing (MSMQ) を介して行われます。IISは、セッションレコーディングコンポーネント間のWebサービス通信リンクを提供します。MSMQは、セッションレコーディングエージェントからセッションレコーディングサーバーに記録されたセッションデータを送信するための信頼性の高いデータ転送メカニズムを提供します。

警告：

レジストリを誤って編集すると、オペレーティングシステムの再インストールが必要になるような重大な問題を引き起こす可能性があります。Citrix®は、レジストリエディターの誤った使用によって生じる問題が解決されることを保証できません。レジストリエディターは自己責任で使用してください。編集する前にレジストリを必ずバックアップしてください。

展開を計画する際には、以下のセキュリティに関する推奨事項を考慮してください。

• 「マイクロソフト インターネット インフォメーション サービス (IIS)」を構成します。

  制限されたIIS構成でセッションレコーディングを構成できます。各セッションレコーディングサーバーで、IISマネージャーを開き、各IISアプリケーションプールに以下のリサイクル制限を設定します。

  • 仮想メモリ制限：値を4,294,967,295に設定します。
  • プライベートメモリ制限：値をセッションレコーディングサーバーの物理メモリに設定します。たとえば、物理メモリが4 GBの場合、値を4,194,304に設定します。
  • 要求制限：この設定は未指定のままにすることをお勧めします。または、値を4,000,000,000に設定することもできます。

  ヒント：

  上記の設定にアクセスするには、各アプリケーションプールを強調表示し、ActionsペインでAdvanced Settingsを選択し、Advanced SettingsダイアログボックスのRecyclingセクションまでスクロールします。

• 企業ネットワーク、セッションレコーディングシステム、または個々のマシンで、異なる管理者ロールを適切に分離するようにしてください。そうしないと、システム機能に影響を与えたり、システムを悪用したりする可能性のあるセキュリティ上の脅威が発生する可能性があります。異なる管理者ロールを異なる人物またはアカウントに割り当てることをお勧めします。一般的なセッションユーザーにVDAシステムへの管理者権限を付与しないでください。
  • 公開されたアプリまたはデスクトップのユーザーにVDAローカル管理者ロールを付与しないでください。ローカル管理者ロールが必要な場合は、Windowsメカニズムまたはサードパーティソリューションを使用してセッションレコーディングエージェントコンポーネントを保護してください。
  • Session Recording データベース管理者と Session Recording ポリシー管理者を個別に割り当てます。
  • 一般的なセッションユーザーに VDA 管理者権限を割り当てないでください。特に Remote PC Access を使用している場合は注意してください。
  • Session Recording サーバーのローカル管理者アカウントは厳重に保護する必要があります。
  • Session Recording Player がインストールされているマシンへのアクセスを制御します。ユーザーが Player ロールに対して承認されていない場合、そのユーザーにどの Player マシンに対してもローカル管理者ロールを付与しないでください。匿名アクセスを無効にします。
  • Session Recording のストレージサーバーとして物理マシンを使用することをお勧めします。
• Session Recording は、データの機密性に関係なく、セッションのグラフィックアクティビティを記録します。特定の状況下では、機密データ（ユーザー資格情報、プライバシー情報、サードパーティの画面などを含むがこれらに限定されない）が意図せず記録される可能性があります。リスクを防ぐために、以下の対策を講じてください。
  • 特定のトラブルシューティングケースを除き、VDA のコアメモリダンプを無効にします。 コアメモリダンプを無効にするには：
    1. 「マイコンピューター」を右クリックし、「プロパティ」を選択します。
    2. 「詳細設定」タブをクリックし、「起動と回復」の下にある「設定」をクリックします。
    3. 「デバッグ情報の書き込み」の下で、「(なし)」を選択します。

https://support.microsoft.com/ja-jp/kb/307973でMicrosoftの記事を参照してください。 - デスクトップセッションが記録されている場合、セッション所有者は、オンライン会議やリモートアシスタンスソフトウェアが記録される可能性があることを参加者に通知します。 - 社内で公開または使用されているすべてのローカルおよびWebアプリケーションで、ログオン資格情報やセキュリティ情報が表示されないようにしてください。そうしないと、Session Recording によって記録されます。 - リモート ICA® セッションに切り替える前に、機密情報を公開する可能性のあるアプリケーションを閉じます。 - 公開デスクトップまたはサービスとしてのソフトウェア (SaaS) アプリケーションにアクセスする場合は、自動認証方法 (例: シングルサインオン、スマートカード) のみを使用することをお勧めします。

• Session Recording は、適切に機能し、セキュリティ要件を満たすために、特定のハードウェアおよびハードウェアインフラストラクチャ (例: 企業ネットワークデバイス、オペレーティングシステム) に依存しています。これらのインフラストラクチャへの損害や悪用を防ぎ、Session Recording 機能を安全かつ信頼性の高いものにするために、インフラストラクチャレベルで対策を講じてください。
  • セッションレコーディングをサポートするネットワークインフラストラクチャを適切に保護し、利用可能な状態に保ちます。
  • セッションレコーディングコンポーネントを保護するために、サードパーティのセキュリティソリューションまたはWindowsメカニズムを使用することをお勧めします。セッションレコーディングコンポーネントには以下が含まれます。
    • セッションレコーディングサーバー上
      • Processes: SsRecStoragemanager.exe and SsRecAnalyticsService.exe
      • Services: CitrixSsRecStorageManager and CitrixSsRecAnalyticsService
      • セッションレコーディングサーバーのインストールフォルダー内のすべてのファイル
      • Registry values within HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Server
    • セッションレコーディングエージェント上
      • Process: SsRecAgent.exe
      • Service: CitrixSmAudAgent
      • セッションレコーディングエージェントのインストールフォルダー内のすべてのファイル
      • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Agent の下のレジストリ値
• セキュリティのベストプラクティスとして、CitrixはIISでHTTPSを使用することを推奨しています。

• セッションレコーディングサーバー上のメッセージキュー（MSMQ）のアクセス制御リスト（ACL）を設定して、MSMQデータをセッションレコーディングサーバーに送信できるVDAまたはVDIマシンを制限し、不正なマシンがセッションレコーディングサーバーにデータを送信するのを防ぎます。

  1. セッションレコーディングが有効になっている各セッションレコーディングサーバーおよびVDAまたはVDIマシンに、サーバー機能 Directory Service Integration をインストールします。その後、Message Queuing サービスを再起動します。
  2. 各Session RecordingサーバーのWindowsのスタートメニューから、管理ツール > コンピューターの管理を開きます。
  3. サービスとアプリケーション > メッセージキュー > プライベートキューを開きます。

  4. プライベートキューcitrixsmauddataをクリックして、プロパティページを開き、セキュリティタブを選択します。

     コンピューターの管理のセキュリティタブ(/ja-jp/session-recording/current-release/media/planyourdeployment1.png)

  5. このサーバーにMSMQデータを送信するVDAのコンピューターまたはセキュリティグループを追加し、メッセージの送信権限を付与します。

     メッセージの送信権限を付与する(/ja-jp/session-recording/current-release/media/planyourdeployment2.png)

• Session RecordingサーバーおよびSession Recordingエージェントのイベントログを適切に保護します。イベントログを保護するか、リモートサーバーにリダイレクトするために、Windowsまたはサードパーティのリモートログソリューションを使用することをお勧めします。
• Session Recordingコンポーネントを実行しているサーバーが物理的に安全であることを確認してください。可能であれば、これらのコンピューターを、許可された担当者のみが直接アクセスできる安全な部屋にロックしてください。
• Session Recordingコンポーネントを実行しているサーバーを別のサブネットまたはドメインに分離します。
• Session Recordingサーバーと他のサーバーの間にファイアウォールをインストールして、他のサーバーにアクセスするユーザーから記録されたセッションデータを保護します。
• Session Recording管理サーバーとSQLデータベースを、Microsoftからの最新のセキュリティ更新プログラムで常に最新の状態に保ちます。
• 管理者以外のユーザーが管理マシンにログオンすることを制限します。
• 記録ポリシーの変更と記録されたセッションの表示を許可されているユーザーを厳しく制限します。
• デジタル証明書をインストールし、Session Recordingファイル署名機能を使用し、IISでTLS通信を設定します。
• MSMQがHTTPSをトランスポートとして使用するように設定します。その方法は、Session Recording Agentのプロパティに表示されているMSMQプロトコルをHTTPSに設定することです。詳しくは、「MSMQのトラブルシューティング」を参照してください。

• TLS 1.1またはTLS 1.2（推奨）を使用し、セッションレコーディングサーバーおよびセッションレコーディングデータベースでは、SSLv2、SSLv3、TLS 1.0を無効にしてください。

• Session RecordingサーバーおよびSession Recordingデータベースでは、TLSのRC4暗号スイートを無効にしてください。

  1. Microsoftグループポリシーエディターを使用して、［コンピューターの構成］>［管理用テンプレート］>［ネットワーク］>［SSL構成設定］ の順に移動します。
  2. ［SSL暗号スイートの順序］ ポリシーを ［有効］ に設定します。デフォルトでは、このポリシーは ［未構成］ に設定されています。
  3. RC4暗号スイートをすべて削除します。
• 再生保護を使用します。再生保護は、録画ファイルをSession Recording Playerにダウンロードする前に暗号化するSession Recording機能です。デフォルトでは、このオプションは有効になっており、［Session Recordingサーバーのプロパティ］ にあります。
• 暗号化キーの長さと暗号化アルゴリズムについては、NSITのガイダンスに従ってください。

• Session Recording 機能における TLS 1.2 のサポートを構成します。

  Session Recording コンポーネントのエンドツーエンドのセキュリティを確保するため、通信プロトコルとして TLS 1.2 を使用することをお勧めします。

  Session Recording 機能における TLS 1.2 のサポートを構成するには：

  1. Session Recordingサーバーをホストしているマシンにログオンします。適切なSQL Serverクライアントコンポーネントとドライバーをインストールし、.NET Framework（バージョン4以降）に強力な暗号化を設定します。
     1. SQL Server用のMicrosoft ODBC Driver 11（またはそれ以降のバージョン）をインストールします。
     2. .NET Frameworkの最新の修正プログラムロールアップを適用します。
     3. .NET Frameworkのバージョンに基づいてADO.NET - SqlClientをインストールします。詳しくは、https://support.microsoft.com/ja-jp/kb/3135244を参照してください。
     4. Add a DWORD value SchUseStrongCrypto = 1 under HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NetFramework\v4.0.30319 and HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319.
     5. マシンを再起動します。
  2. Session Recordingポリシーコンソールをホストしているマシンにログオンします。.NET Frameworkの最新の修正プログラムロールアップを適用し、.NET Framework（バージョン4以降）に強力な暗号化を設定します。強力な暗号化を設定する方法は、サブステップ1-4および1-5と同じです。Session RecordingポリシーコンソールをSession Recordingサーバーと同じコンピューターにインストールする場合は、これらの手順を省略できます。

2016より前のバージョンのSQL ServerでTLS 1.2サポートを構成するには、https://support.microsoft.com/ja-jp/kb/3135244を参照してください。TLS 1.2を使用するには、Session Recordingコンポーネントの通信プロトコルとしてHTTPSを構成します。