セキュリティに関する推奨事項

セッションレコーディングは安全なネットワーク内に展開され、管理者によってアクセスされるため、安全です。デフォルトの展開はシンプルであり、デジタル署名や暗号化などのセキュリティ機能はオプションで構成できます。

セッションレコーディングコンポーネント間の通信は、Internet Information Services (IIS) および Microsoft Message Queuing (MSMQ) を介して行われます。IIS は、セッションレコーディングコンポーネント間の Web サービス通信リンクを提供します。MSMQ は、セッションレコーディングエージェントからセッションレコーディングサーバーに記録されたセッションデータを送信するための信頼性の高いデータ転送メカニズムを提供します。

警告：

レジストリを誤って編集すると、オペレーティングシステムの再インストールが必要になるような深刻な問題が発生する可能性があります。Citrix® は、レジストリエディターの誤った使用によって生じる問題が解決できることを保証できません。レジストリエディターは自己責任で使用してください。編集する前に必ずレジストリをバックアップしてください。

展開を計画する際には、以下のセキュリティに関する推奨事項を考慮してください。

• 企業ネットワーク内、セッションレコーディングシステム内、または個々のマシン上で、異なる管理者ロールを適切に分離してください。そうしないと、システム機能に影響を与えたり、システムを悪用したりする可能性のあるセキュリティ上の脅威が発生する可能性があります。異なる管理者ロールを異なる人物またはアカウントに割り当てることをお勧めします。一般的なセッションユーザーに VDA システムへの管理者権限を付与しないでください。
  • XenApp および XenDesktop® 管理者は、公開されたアプリまたはデスクトップのユーザーに VDA ローカル管理者ロールを付与しないでください。ローカル管理者ロールが必要な場合は、Windows のメカニズムまたはサードパーティのソリューションを使用して、セッションレコーディングエージェントコンポーネントを保護してください。
  • セッションレコーディングデータベース管理者とセッションレコーディングポリシー管理者を個別に割り当ててください。
  • 一般的なセッションユーザーに VDA 管理者権限を割り当てないことをお勧めします。特にリモート PC アクセスを使用している場合は注意してください。
  • セッションレコーディングサーバーのローカル管理アカウントは厳重に保護する必要があります。
  • セッションレコーディングプレーヤーがインストールされているマシンへのアクセスを制御してください。ユーザーがプレーヤーロールの権限を持っていない場合、そのユーザーにいかなるプレーヤーマシンに対してもローカル管理者ロールを付与しないでください。匿名アクセスを無効にしてください。
  • セッションレコーディングのストレージサーバーとして物理マシンを使用することをお勧めします。

• セッションレコーディングは、データの機密性に関係なく、セッションのグラフィックアクティビティを記録します。特定の状況下では、機密データ（ユーザー資格情報、プライバシー情報、サードパーティの画面などを含むがこれらに限定されない）が意図せず記録される可能性があります。リスクを防ぐために、以下の対策を講じてください。

  • 特定のトラブルシューティングケースを除いては、VDA のコアメモリダンプを無効にしてください。

    コアメモリダンプを無効にするには：

    1. マイコンピュータを右クリックし、プロパティを選択します。
    2. 詳細設定タブをクリックし、起動と回復の下にある設定をクリックします。
    3. デバッグ情報の書き込みの下で、(なし)を選択します。

    Microsoftの記事（https://support.microsoft.com/ja-jp/kb/307973）を参照してください。

  • デスクトップセッションが記録されている場合、セッション所有者は、オンライン会議やリモートアシスタンスソフトウェアが記録される可能性があることを参加者に通知します。

  • ログオン資格情報やセキュリティ情報が、社内で公開または使用されているすべてのローカルおよびWebアプリケーションに表示されないようにしてください。表示された場合、それらはSession Recordingによって記録されます。

  • リモートICA®セッションに切り替える前に、機密情報を公開する可能性のあるアプリケーションをすべて閉じます。

  • 公開されたデスクトップまたはSoftware as a Service (SaaS) アプリケーションへのアクセスには、自動認証方法（シングルサインオン、スマートカードなど）のみを使用することをお勧めします。

• Session Recordingは、適切に機能し、セキュリティ要件を満たすために、特定のハードウェアおよびハードウェアインフラストラクチャ（企業ネットワークデバイス、オペレーティングシステムなど）に依存しています。これらのインフラストラクチャへの損傷や悪用を防ぎ、Session Recording機能を安全かつ信頼性の高いものにするために、インフラストラクチャレベルで対策を講じてください。
  • Session Recordingをサポートするネットワークインフラストラクチャを適切に保護し、利用可能な状態に保ってください。
  • Session Recordingコンポーネントを保護するために、サードパーティのセキュリティソリューションまたはWindowsメカニズムを使用することをお勧めします。Session Recordingコンポーネントには以下が含まれます。
    • セッションレコーディングサーバー上
      • Processes: SsRecStoragemanager.exe and SsRecAnalyticsService.exe
      • Services: CitrixSsRecStorageManager and CitrixSsRecAnalyticsService
      • Session Recording Server インストールフォルダー内のすべてのファイル
      • Registry key values within HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Server
    • セッションレコーディングエージェント上
      • Process: SsRecAgent.exe
      • サービス: シトリックスエスエムオーディーエージェント
      • Session Recording Agent インストールフォルダー内のすべてのファイル
      • HKEY_LOCAL_MACHINE\SOFTWARE\シトリックス\スマートオーディター\エージェント 内のレジストリキーの値
• Session Recording Server 上のメッセージキュー (MSMQ) のアクセス制御リスト (ACL) を設定して、MSMQ データを Session Recording Server に送信できる VDA または VDI マシンを制限し、不正なマシンが Session Recording Server にデータを送信するのを防ぎます。

1. Session Recording が有効になっている各 Session Recording Server および VDA または VDI マシンに、サーバー機能「Directory Service Integration」をインストールします。その後、メッセージキューサービスを再起動します。

2. 各 Session Recording Server の Windows の [スタート] メニューから、[管理ツール] > [コンピューターの管理] を開きます。

3. [サービスとアプリケーション] > [メッセージキュー] > [プライベートキュー] を開きます。

4. プライベートキュー citrixsmauddata をクリックして、[プロパティ] ページを開き、[セキュリティ] タブを選択します。

   

5. このサーバーに MSMQ データを送信する VDA のコンピューターまたはセキュリティグループを追加し、[メッセージの送信] 権限を付与します。

   

• セッション記録サーバーおよびセッション記録エージェントのイベントログを適切に保護します。イベントログを保護するか、イベントログをリモートサーバーにリダイレクトするために、Windowsまたはサードパーティのリモートログソリューションを使用することをお勧めします。
• セッション記録コンポーネントを実行しているサーバーが物理的に安全であることを確認します。可能であれば、これらのコンピューターを安全な部屋に施錠し、許可された担当者のみが直接アクセスできるようにします。
• セッション記録コンポーネントを実行しているサーバーを、別のサブネットまたはドメインで分離します。
• セッション記録サーバーと他のサーバーの間にファイアウォールをインストールすることで、他のサーバーにアクセスするユーザーから記録されたセッションデータを保護します。
• セッション記録管理サーバーとSQLデータベースを、Microsoftからの最新のセキュリティ更新プログラムで最新の状態に保ちます。
• 管理者以外のユーザーが管理マシンにログオンするのを制限します。
• 記録ポリシーの変更を行い、記録されたセッションを表示することを許可されているユーザーを厳しく制限します。
• デジタル証明書をインストールし、セッション記録ファイル署名機能を使用し、IISでTLS通信を設定します。
• MSMQがHTTPSをトランスポートとして使用するように設定します。その方法は、セッション記録エージェントのプロパティにリストされているMSMQプロトコルをHTTPSに設定することです。詳細については、MSMQのトラブルシューティングを参照してください。

• TLS 1.1またはTLS 1.2（推奨）を使用し、セッション記録サーバーおよびセッション記録データベースでSSLv2、SSLv3、TLS 1.0を無効にします。詳細については、https://support.microsoft.com/default.aspx?scid=kb;en-us;187498のMicrosoftの記事を参照してください。

  セッション記録サーバーおよびセッション記録データベースで、TLSのRC4暗号スイートを無効にします:

1. Microsoftグループポリシーエディターを使用して、コンピューターの構成 > 管理用テンプレート > ネットワーク > SSL構成設定に移動します。
2. SSL暗号スイートの順序ポリシーを有効に設定します。デフォルトでは、このポリシーは未構成に設定されています。
3. RC4暗号スイートをすべて削除します。

• 再生保護を使用します。再生保護は、記録されたファイルがセッション記録プレーヤーにダウンロードされる前に暗号化するセッション記録機能です。デフォルトでは、このオプションは有効になっており、セッション記録サーバーのプロパティにあります。
• 暗号化キーの長さおよび暗号化アルゴリズムについては、NSITのガイダンスに従ってください。
• セッションレコーディングのTLS 1.2サポートを構成します。
  • Session Recordingコンポーネントのエンドツーエンドセキュリティを確保するため、通信プロトコルとしてTLS 1.2を使用することをお勧めします。 Session RecordingのTLS 1.2サポートを構成するには：
    1. Session Recordingサーバーをホストしているマシンにログオンします。適切なSQL Serverクライアントコンポーネントとドライバーをインストールし、.NET Framework（バージョン4以降）に強力な暗号化を設定します。
    1. SQL Server用のMicrosoft ODBC Driver 11（またはそれ以降のバージョン）をインストールします。
    2. .NET Frameworkの最新の修正プログラムロールアップを適用します。
    3. .NET Frameworkのバージョンに基づいてADO.NET - SqlClientをインストールします。詳しくは、https://support.microsoft.com/ja-jp/kb/3135244を参照してください。
    4. Add a DWORD value SchUseStrongCrypto = 1 under HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NetFramework\v4.0.30319 and HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319.
    5. マシンを再起動します。 2. Session Recordingポリシーコンソールをホストしているマシンにログオンします。.NET Frameworkの最新の修正プログラムロールアップを適用し、.NET Framework（バージョン4以降）に強力な暗号化を設定します。強力な暗号化を設定する方法は、サブステップ1-dおよび1-eと同じです。Session RecordingポリシーコンソールをSession Recordingサーバーと同じコンピューターにインストールすることを選択した場合、これらの手順は省略できます。

2016年より前のバージョンのSQL ServerでTLS 1.2サポートを構成するには、https://support.microsoft.com/ja-jp/kb/3135244を参照してください。TLS 1.2を使用するには、Session Recordingコンポーネントの通信プロトコルとしてHTTPSを構成します。

Session Recording のセキュリティ機能の構成については、「Session Recording のセキュリティ機能の構成」を参照してください。