セキュリティに関する推奨事項

Session Recordingは、安全なネットワーク内に展開され、管理者によってアクセスされるため、安全です。デフォルトの展開はシンプルで、デジタル署名や暗号化などのセキュリティ機能はオプションで構成できます。

Session Recordingコンポーネント間の通信は、Internet Information Services (IIS) および Microsoft Message Queuing (MSMQ) を介して行われます。IISは、Session Recordingコンポーネント間のWebサービス通信リンクを提供します。MSMQは、記録されたセッションデータをSession RecordingエージェントからSession Recordingサーバーに送信するための信頼性の高いデータ転送メカニズムを提供します。

警告：

レジストリを誤って編集すると、オペレーティングシステムの再インストールが必要になるような深刻な問題が発生する可能性があります。Citrix®は、レジストリエディターの誤った使用によって生じる問題が解決されることを保証できません。レジストリエディターはご自身の責任において使用してください。編集する前に必ずレジストリをバックアップしてください。

展開を計画する際には、以下のセキュリティに関する推奨事項を考慮してください。

• マイクロソフト インターネット インフォメーション サービス (IIS) を構成します。

  Session Recordingは、制限されたIIS構成で構成できます。各Session Recordingサーバーで、IISマネージャーを開き、各IISアプリケーションプールに対して以下のリサイクル制限を設定します。

  • 仮想メモリ制限：値を4,294,967,295に設定します。
  • プライベートメモリ制限：値をSession Recordingサーバーの物理メモリに設定します。たとえば、物理メモリが4 GBの場合、値を4,194,304に設定します。
  • 要求制限：この設定は未指定のままにすることをお勧めします。または、値を4,000,000,000に設定することもできます。

  ヒント：

  上記の設定にアクセスするには、各アプリケーションプールを強調表示し、操作ペインで詳細設定を選択し、詳細設定ダイアログボックスのリサイクルセクションまでスクロールします。

• 企業ネットワーク、Session Recordingシステム、または個々のマシンで、異なる管理者ロールを適切に分離するようにしてください。そうしないと、システム機能に影響を与えたり、システムを悪用したりする可能性のあるセキュリティ上の脅威が発生する可能性があります。異なる管理者ロールを異なる人物またはアカウントに割り当てることをお勧めします。一般的なセッションユーザーにVDAシステムへの管理者権限を付与しないでください。
  • 公開されたアプリまたはデスクトップのユーザーにVDAローカル管理者ロールを付与しないでください。ローカル管理者ロールが必要な場合は、Windowsのメカニズムまたはサードパーティのソリューションを使用してSession Recordingエージェントコンポーネントを保護してください。
  • Session Recordingデータベース管理者とSession Recordingポリシー管理者を個別に割り当てます。
  • 一般的なセッションユーザーにVDA管理者権限を割り当てないでください。特にRemote PC Accessを使用している場合は注意してください。
  • Session Recordingサーバーのローカル管理者アカウントは厳重に保護する必要があります。
  • Session Recordingプレーヤーがインストールされているマシンへのアクセスを制御します。ユーザーがプレーヤーの役割を承認されていない場合、そのユーザーにいかなるプレーヤーマシンに対してもローカル管理者ロールを付与しないでください。匿名アクセスを無効にします。
  • Session Recordingのストレージサーバーとして物理マシンを使用することをお勧めします。
• Session Recordingは、データの機密性に関係なく、セッションのグラフィックアクティビティを記録します。特定の状況下では、機密データ（ユーザー資格情報、プライバシー情報、サードパーティの画面などを含むがこれらに限定されない）が意図せず記録される可能性があります。リスクを防ぐために、以下の対策を講じてください。
  • 特定のトラブルシューティングケースを除き、VDAのコアメモリダンプを無効にします。 コアメモリダンプを無効にするには：
    1. マイコンピュータを右クリックし、プロパティを選択します。
    2. 「詳細設定」タブをクリックし、「起動と回復」の下にある「設定」をクリックします。
    3. デバッグ情報の書き込みの下で、(なし)を選択します。 Microsoftの記事はhttps://support.microsoft.com/ja-jp/kb/307973を参照してください。
  • セッション所有者は、デスクトップセッションが記録されている場合、オンライン会議やリモートアシスタンスソフトウェアが記録される可能性があることを参加者に通知します。
  • 企業内で公開または使用されているすべてのローカルおよびWebアプリケーションに、ログオン資格情報またはセキュリティ情報が表示されないようにしてください。表示された場合、それらはSession Recordingによって記録されます。
  • リモートICA®セッションに切り替える前に、機密情報を公開する可能性のあるアプリケーションをすべて閉じます。
  • 公開されたデスクトクトップまたはSoftware as a Service (SaaS) アプリケーションへのアクセスには、自動認証方法（シングルサインオン、スマートカードなど）のみを使用することをお勧めします。
• Session Recordingは、適切に機能し、セキュリティ要件を満たすために、特定のハードウェアおよびハードウェアインフラストラクチャ（企業ネットワークデバイス、オペレーティングシステムなど）に依存しています。これらのインフラストラクチャへの損害や悪用を防ぎ、Session Recording機能を安全かつ信頼性の高いものにするために、インフラストラクチャレベルで対策を講じてください。
  • Session Recording をサポートするネットワークインフラストラクチャを適切に保護し、利用可能な状態に保ちます。
  • Session Recording コンポーネントを保護するために、サードパーティのセキュリティソリューションまたはWindowsメカニズムを使用することをお勧めします。Session Recording コンポーネントには以下が含まれます。
    • セッションレコーディングサーバー上
      • Processes: SsRecStoragemanager.exe and SsRecAnalyticsService.exe
      • Services: CitrixSsRecStorageManager and CitrixSsRecAnalyticsService
      • Session Recording サーバーのインストールフォルダー内のすべてのファイル
      • Registry values within HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Server
    • セッションレコーディングエージェント上で
      • Process: SsRecAgent.exe
      • Service: CitrixSmAudAgent
      • Session Recording エージェントのインストールフォルダー内のすべてのファイル
      • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Agent の下のレジストリ値
• セキュリティのベストプラクティスとして、Citrix は IIS で HTTPS を使用することをお勧めします。

• Session Recording サーバー上のメッセージキュー (MSMQ) のアクセス制御リスト (ACL) を設定して、MSMQ データを Session Recording サーバーに送信できる VDA または VDI マシンを制限し、不正なマシンが Session Recording サーバーにデータを送信するのを防ぎます。

  1. Session Recording が有効になっている各 Session Recording サーバーおよび VDA または VDI マシンに、サーバー機能 ディレクトリサービス統合 をインストールします。その後、メッセージキューイング サービスを再起動します。
  2. 各セッション録画サーバーのWindows スタート メニューから、管理ツール > コンピューターの管理 を開きます。
  3. サービスとアプリケーション > メッセージキュー > プライベートキュー を開きます。

  4. プライベートキュー citrixsmauddata をクリックして、プロパティ ページを開き、セキュリティ タブを選択します。

     コンピューターの管理のセキュリティタブ(/ja-jp/session-recording/current-release/media/planyourdeployment1.png)

  5. このサーバーにMSMQデータを送信するVDAのコンピューターまたはセキュリティグループを追加し、メッセージの送信 権限を付与します。

     メッセージ送信権限の付与(/ja-jp/session-recording/current-release/media/planyourdeployment2.png)

• セッション録画サーバーおよびセッション録画エージェントのイベントログを適切に保護します。イベントログを保護するか、イベントログをリモートサーバーにリダイレクトするために、Windowsまたはサードパーティのリモートログソリューションを使用することをお勧めします。
• セッション録画コンポーネントを実行しているサーバーが物理的に安全であることを確認します。可能であれば、これらのコンピューターを、許可された担当者のみが直接アクセスできる安全な部屋に施錠してください。
• セッション録画コンポーネントを実行しているサーバーを、別のサブネットまたはドメインに分離します。
• セッション録画サーバーと他のサーバーの間にファイアウォールをインストールして、他のサーバーにアクセスするユーザーから録画されたセッションデータを保護します。
• セッション録画管理サーバーとSQLデータベースを、Microsoftからの最新のセキュリティ更新プログラムで常に最新の状態に保ちます。
• 管理者以外のユーザーが管理マシンにログオンすることを制限します。
• 録画ポリシーの変更と録画セッションの表示を許可されるユーザーを厳しく制限します。
• デジタル証明書をインストールし、セッション録画ファイル署名機能を使用し、IISでTLS通信を設定します。
• MSMQがトランスポートとしてHTTPSを使用するように設定します。これは、セッション録画エージェントのプロパティ にリストされているMSMQプロトコルをHTTPSに設定することで行います。詳細については、「MSMQのトラブルシューティング」を参照してください。

• Session RecordingサーバーおよびSession Recordingデータベースでは、TLS 1.1またはTLS 1.2（推奨）の使用を強くお勧めします。また、SSLv2、SSLv3、TLS 1.0は無効にしてください。

• Session RecordingサーバーおよびSession Recordingデータベースでは、TLSのRC4暗号スイートを無効にしてください:

  1. Microsoftグループポリシーエディターを使用して、コンピューターの構成 > 管理用テンプレート > ネットワーク > SSL構成設定に移動します。
  2. SSL暗号スイートの順序ポリシーを有効に設定します。デフォルトでは、このポリシーは未構成に設定されています。
  3. RC4暗号スイートをすべて削除します。
• 再生保護を使用します。再生保護は、録画ファイルをSession Recordingプレーヤーにダウンロードする前に暗号化するSession Recordingの機能です。デフォルトでは、このオプションは有効になっており、Session Recordingサーバーのプロパティにあります。
• 暗号鍵の長さと暗号アルゴリズムについては、NSITのガイダンスに従ってください。

• Session Recording向けにTLS 1.2のサポートを構成します。

  Session Recordingコンポーネントのエンドツーエンドセキュリティを確保するために、通信プロトコルとしてTLS 1.2を使用することをお勧めします。

  セッションレコーディングのTLS 1.2サポートを構成するには:

  1. Session Recordingサーバーをホストしているマシンにログオンします。適切なSQL Serverクライアントコンポーネントとドライバーをインストールし、.NET Framework（バージョン4以降）に強力な暗号化を設定します。
     1. SQL Server向けにMicrosoft ODBC Driver 11（またはそれ以降のバージョン）をインストールします。
     2. .NET Frameworkの最新の修正プログラムロールアップを適用します。
     3. .NET Framework のバージョンに基づいて ADO.NET - SqlClient をインストールします。詳細については、https://support.microsoft.com/ja-jp/kb/3135244 を参照してください。
     4. Add a DWORD value SchUseStrongCrypto = 1 under HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NetFramework\v4.0.30319 and HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319.
     5. マシンを再起動します。
  2. セッション録画ポリシーコンソールをホストしているマシンにログオンします。.NET Frameworkの最新の修正プログラムロールアップを適用し、.NET Framework（バージョン4以降）に強力な暗号化を設定します。強力な暗号化を設定する方法は、サブステップ1-4および1-5と同じです。セッション録画ポリシーコンソールをセッション録画サーバーと同じコンピューターにインストールする場合は、これらの手順を省略できます。

2016より前のバージョンのSQL ServerでTLS 1.2サポートを構成するには、https://support.microsoft.com/ja-jp/kb/3135244を参照してください。TLS 1.2を使用するには、セッション録画コンポーネントの通信プロトコルとしてHTTPSを構成します。