Product Documentation

セキュリティの推奨事項

Jul 08, 2016

Session Recordingは、安全なネットワーク上に展開され管理者によりアクセスされるものとして設計されており、そのことを前提にセキュリティを維持するコンポーネントです。 設計上、デフォルトの構成はシンプルなシステムです。デジタル署名や暗号化などのセキュリティ機能はオプションで設定できます。

Session Recordingコンポーネント間の通信は、インターネットインフォメーションサービス(IIS)とMicrosoftメッセージキュー(MSMQ)を通じて実現されます。 IISにより、各Session Recordingコンポーネント間のWebサービスの通信リンクが提供されます。 MSMQにより、Session Recording AgentからSession Recording Serverへセッションの録画データを送信するための、信頼できるデータ伝送メカニズムが提供されます。

展開計画を立てるときに、セキュリティに関する次の推奨事項について検討します。

  • 社内ネットワーク、Session Recording、または個々のマシンで各種管理者の役割を適切に分離する。 このようにしないと、セキュリティ上の脅威にさらされ、システム機能が影響を受けたり、システムが不正利用されたりする可能性があります。 ユーザーやアカウントごとに異なる管理者の役割を割り当て、一般のセッションユーザーにVDAシステムの管理者権限を持たせないようにすることが推奨されます。
    • XenAppおよびXenDesktopの管理者は、VDAローカル管理者の役割を、公開アプリケーションまたはデスクトップのユーザーに付与しないでください。  ローカル管理者の役割が必要な場合は、Windowsのメカニズムまたはサードパーティ製のソリューションを使用して、Session Recording Agentコンポーネントを保護します。
    • Session Recordingデータベース管理者とSession Recordingポリシー管理者を別々に割り当てる。
    • Citrixは、特にリモートPCアクセスを使用している場合に、VDA管理者特権を一般のセッションユーザーに割り当てないことをお勧めします。
    • Session Recordingサーバーのローカル管理者アカウントは、厳格に保護する必要があります。
    • Session Recording Playerがインストールされたマシンへのアクセスを制御します。 ユーザーがSession Recording Playerの役割を許可されていない場合、そのユーザーにはどのSession Recording Playerマシンのローカル管理者の役割も付与しないようにしてください。 匿名アクセスを無効にしてください。
    • Session Recordingのストレージサーバーには、物理マシンを使用することが推奨されます。
  • Session Recordingでは、データの機密性にかかわらず、セッショングラフィックスアクティビティが録画されます。 特定の状況においては、機密データ(ユーザーの資格情報、プライバシー情報、サードパーティの画面など。ただしこれらに限定されるものではありません)が誤って録画される場合があります。 このリスクを回避するには、以下の措置を講じます。

+ 特定のトラブルシューティングの場合を除き、VDAマシンのコアメモリダンプを無効にします。

コアメモリダンプを無効にするには、以下の手順に従います。

1. [マイコンピューター]を右クリックし、[プロパティ]を選択します。
2. [詳細設定]タブをクリックし、[起動と回復]の[設定]をクリックします。
3. [デバッグ情報の書き込み]で[(なし)]を選択します。

Microsoft社のhttps://support.microsoft.com/en-us/kb/307973を参照してください。

+ ログオン資格情報またはセキュリティ情報が、社内で公開または使用されるすべてのローカルアプリケーションとWebアプリケーションに表示されないようにするか、またはSession Recordingで録画されないようにします。

+ ユーザーは、リモートICAセッションに切り替える前に、機密情報を公開する可能性のあるアプリケーションをすべて閉じる必要があります。

+ セッションの所有者は、デスクトップセッションが録画されている場合は、オンライン会議とMicrosoft Remote Assistanceソフトウェアが録画される可能性があることを出席者に知らせる必要があります。

+ 公開デスクトップまたは公開アプリケーションへのアクセスに対して、自動認証方法(シングルサインオン、スマートカードなど)のみを許可します。

  • Session Recordingは、正常に機能し、セキュリティニーズを満たす上で、特定のハードウェアとハードウェアインフラストラクチャ(社内ネットワークデバイス、オペレーティングシステムなど)に依存しています。 インフラストラクチャレベルで対策を講じることでこうしたインフラストラクチャの損傷と不正利用を防ぎ、Session Recording機能の安全性と信頼性を確保します。
    • Session Recordingをサポートするネットワークインフラストラクチャを適切に保護し、利用可能な状態を維持します。
    • サードパーティ製のセキュリティソリューションまたはWindowsのメカニズムを使用して、Session Recordingコンポーネントを保護することが推奨されます。 Session Recordingコンポーネントには以下が含まれます。
      • Session Recordingサーバー上
        • プロセス:SsRecStoragemanager.exeおよびSsRecAnalyticsService.exe
        • サービス:CitrixSsRecStorageManagerおよびCitrixSsRecAnalyticsService
        • Session Recordingサーバーのインストールフォルダーにあるすべてのファイル
        • HKLM\Software\Citrix\SmartAuditor\Serverにあるレジストリキー
      • Session Recording Agent上
        • プロセス:SsRecAgent.exe
        • サービス:CitrixSmAudAgent
        • Session Recording Agentのインストールフォルダーにあるすべてのファイル
        • HKLM\Software\Citrix\SmartAuditor\Agentにあるレジストリキー
  • Session RecordingサーバーでMessage Queuing(MSMQ)のアクセス制御リスト(ACL)を設定することで、MSMQデータをSession Recordingサーバーに送信できるVDAまたはVDIマシンを制限し、許可のないマシンがデータをSession Recordingサーバーに送信できないようにする。 

1) 各Session Recordingサーバー、およびSession Recordingが有効になっているVDAまたはVDIマシンに、サーバー機能のDirectory Service Integrationをインストールし、次にMessage Queuingサービスを再起動します。

2) 各Session RecordingサーバーのWindowsの[スタート]メニューから、[管理ツール]>[コンピューターの管理]の順に開きます。

3) [サービスとアプリケーション]>[メッセージキュー]>[専用キュー]の順に開きます。

4) citrixsmauddata専用キューをクリックして[プロパティ]ページを開き、[セキュリティ]タブをクリックします。

localized image

5) MSMQデータをこのサーバーに送信するVDAマシンのコンピューターまたはセキュリティグループを追加し、メッセージを送信する権限を付与します。

localized image
  • Session RecordingサーバーとSession Recording Agentのイベントログを適切に保護する。 Windowsまたはサードパーティ製のリモートログソリューションを利用してイベントログを保護するか、イベントログをリモートサーバーにリダイレクトすることが推奨されます。 
  • Session Recordingコンポーネントが動作するサーバーを物理的に保護する。 可能であれば、権限を持つ人のみが入室できる安全なサーバー室にコンピューターを設置します。
  • Session Recordingコンポーネントが動作するサーバーを別のサブネットまたはドメインに分離する。
  • Session Recording Serverとほかのサーバーの間にファイアウォールを設置し、ほかのサーバーにアクセスするユーザーからセッションの録画データを保護する。
  • Microsoftからの最新のセキュリティアップデートにより、Session Recording Admin ServerおよびSQLデータベースを最新に保ちます。
  • 管理者以外の人が管理マシンにログオンできないように制限する。
  • 録画ポリシーの変更およびセッションの録画ファイルの表示を行う権限を持つユーザーを厳しく制限する。
  • デジタル証明書をインストールし、Session Recordingのファイル署名機能を使用し、IISでTLS通信をセットアップする。
  • [Session Recording Agentのプロパティ]ダイアログボックスに表示されるMSMQプロトコルをHTTPSに設定して、MSMQの通信でHTTPSが使用されるようにする。 詳しくは、「MSMQのトラブルシューティング」を参照してください。
  • TLS 1.0を使いSSLv2、SSLv3、およびRC4 暗号をSession Recording ServerとSession Recordingデータベースで無効にします。 詳しくは、Microsoftアーティクルhttp://support.microsoft.com/default.aspx?scid=kb;ja-jp;187498およびhttp://support.microsoft.com/kb/245030/en-usを参照してください。
  • 再生データの保護機能を使用する。 再生データの保護はSession Recordingの機能の1つで、これにより、Session Recording Playerにダウンロードされる前に、セッションの録画ファイルが暗号化されます。 このオプションは[Session Recording Server Properties]にあり、デフォルトで有効に設定されます。
  • Amazon Web Services(AWS)などのパブリッククラウドにSession Recordingを展開しないでください。
  • 暗号化キー長および暗号化アルゴリズムのNSITガイダンスに従います。

Session Recording機能の構成については、http://support.citrix.com/article/CTX200868を参照してください。