第4章 Interstage HTTP Serverの認証とアクセス制御の設定
4.2 IP アクセスコントロール
特定のクライアントだけをアクセス許可/拒否を設定することができます。
IPアクセスコントロール機能については、「4.2 IPアクセスコントロール」を参照してください。
・ SSL通信の使用
クライアントの正当性を確認できる高度なセキュリティ保護を行うことができます。
SSL通信については、「第15章 Interstage HTTP ServerでSSLを利用する方法」を参照してください。
・ クライアントからのリクエストメッセージのサイズ制限
バッファオーバフローに備えて、リクエストメッセージの最大サイズを設定してください。リクエストメッセージの最大サイズは、
環境定義ファイル(httpd.conf)の以下のディレクティブで設定します。各ディレクティブの設定方法については、
「Interstage HTTP Server 運用ガイド」の「ディレクティブ一覧」を参照してください。
－ LimitRequestBody
－ LimitRequestFields
－ LimitRequestFieldsize
－ LimitRequestLine
HTTP TRACEメソッド悪用による脅威
ネットワーク上の悪意のある人(またはマシン)が、HTTPリクエストデータ内に存在する個人情報を盗み見たり、任意のコードを 実行する脅威があります。
このような脅威に備え、Interstage HTTP Serverの環境定義ファイル(httpd.conf)において、TraceEnableディレクティブに「off」
を指定し、HTTP TRACEメソッドを無効にすることをお勧めします。TraceEnableディレクティブの設定方法については、
「Interstage HTTP Server 運用ガイド」の「ディレクティブ一覧」－「TraceEnable」を参照してください。
なお、TRACEメソッドは、ネットワーク上の診断を行うためなどに使用され、クライアント側から送出したデータをそのままレ スポンスデータとして受信するHTTP/1.1のメソッドです。通常、使用されないため、無効にしてもInterstage HTTP Serverの 運用上の影響はありません。
TraceEnable off
ユーザアカウント名発見の脅威
ネットワーク上の悪意のある人(またはマシン)により、Webサーバマシン上のユーザアカウント名が発見される脅威があります。
このような脅威に備え、Interstage HTTP Serverの環境定義ファイル(httpd.conf)に以下を設定し、ユーザアカウントのホー ムディレクトリ配下のドキュメントに対する要求を無効にすることをお勧めします。
LoadModule userdir_module "/opt/FJSVihs/modules/mod_userdir.so"
UserDir disabled
注意
LoadModuleおよびUserDirディレクティブの先頭にハッシュマーク(#)を追加して、コメント行としてもよいです。
ユーザアカウントのホームディレクトリ配下のドキュメントを公開する場合は、以下のように設定してください。
・ 公開するホームディレクトリには、Webサーバからのアクセスが可能なアクセス権限を設定する。
・ 公開しないユーザに対しては、ユーザディレクトリの設定を無効とする。
例
ユーザディレクトリの設定を無効とする場合の設定例を以下に示します。
ユーザ名「user1」および「user2」のホームディレクトリ/public_html配下のドキュメントを公開する場合 LoadModule userdir_module "/opt/FJSVihs/modules/mod_userdir.so"
UserDir public_html UserDir disabled
UserDir enabled user1 user2
ユーザ名「user3」および「user4」以外のすべてのユーザのホームディレクトリ/public_html配下のドキュメントを公開する場 合
LoadModule userdir_module "/opt/FJSVihs/modules/mod_userdir.so"
UserDir public_html
UserDir disabled user3 user4
注意
「UserDir public_html」だけを設定し、「http://ホスト名[:ポート番号]/~user」のリクエストを受けた場合、指定されたユーザ名
「user」がWebサーバマシン上に存在するかにより、以下のように異なったステータスコードを返すことがあります。そのため、
Webサーバマシン上のユーザアカウント名が発見される可能性があります。
・ 指定されたユーザ「user」が存在しない場合：
ステータスコード「404 Not Found」を返します。
・ 指定されたユーザ「user」が存在する場合：
ステータスコード「403 Forbidden」を返します。
これは、指定されたユーザ「user」が存在するが、ユーザのホームディレクトリに、Webサーバからアクセス可能な権限が 設定されていない場合に発生します。Webサーバの実行ユーザは、Userディレクティブで指定します。
useraddコマンドでユーザのホームディレクトリを作成すると、ディレクトリの権限は所有者だけに設定され、そのユーザ だけがアクセス可能となるため、本現象が発生します。
クリックジャッキングによる脅威
Webページの透過表示機能などが悪用されて、ユーザが意図しないクリック動作が行われる脅威があります。このような脅威 に備え、HTTPレスポンスヘッダにX-FRAME-OPTIONSヘッダを含めるように設定して、Webページのフレーム(frame/
iframe)内でコンテンツの表示を禁止することにより、クリックジャッキングを防止することをお勧めします。
HTTPレスポンスヘッダにX-FRAME-OPTIONSヘッダを含めるように設定するには、Interstage HTTP Serverの環境定義ファ イル(httpd.conf)に以下を設定してください。Headerディレクティブについては、「Interstage HTTP Server 運用ガイド」の「ディ レクティブ一覧」－「Header」を参照してください。
すべてのWebページのフレーム(frame/iframe)内で、コンテンツの表示を禁止する場合
Headerディレクティブで、X-Frame-Optionsヘッダに「DENY」を設定します。
LoadModule headers_module "C:/Interstage/F3FMihs/modules/mod_headers.so"
Header always append X-FRAME-OPTIONS "DENY"
LoadModule headers_module "/opt/FJSVihs/modules/mod_headers.so"
Header always append X-FRAME-OPTIONS "DENY"
異なるサイトのWebページのフレーム(frame/iframe)内でのみ、コンテンツの表示を禁止する場合 Headerディレクティブで、X-Frame-Optionsヘッダに「SAMEORIGIN」を設定します。
LoadModule headers_module "C:/Interstage/F3FMihs/modules/mod_headers.so"
Header always append X-FRAME-OPTIONS "SAMEORIGIN"
LoadModule headers_module "/opt/FJSVihs/modules/mod_headers.so"
Header always append X-FRAME-OPTIONS "SAMEORIGIN"
クロスサイトスクリプティングによる脅威
Webブラウザによるコンテンツタイプの自動判別機能が悪用されて、クロスサイトスクリプティングが行われる脅威があります。
このような脅威に備え、HTTPレスポンスヘッダに「X-Content-Type-Options: nosniff」ヘッダを含めるように設定して、コン テンツタイプの自動判別を無効にすることにより、クロスサイトスクリプティングを防止することをお勧めします。
HTTPレスポンスヘッダに「X-Content-Type-Options: nosniff」ヘッダを含めるように設定するには、Interstage HTTP Serverの 環境定義ファイル（httpd.conf）に以下を設定してください。Headerディレクティブについては、「Interstage HTTP Server 運用 ガイド」の「ディレクティブ一覧」－「Header」を参照してください。
LoadModule headers_module "C:/Interstage/F3FMihs/modules/mod_headers.so"
Header always append X-Content-Type-Options "nosniff"
LoadModule headers_module "/opt/FJSVihs/modules/mod_headers.so"
Header always append X-Content-Type-Options "nosniff"
・ CORBAサービス
－ CORBAサービス環境定義情報ファイル(config) (注1)
－ ホスト情報定義ファイル(inithost/initial_hosts) (注1)
－ サーバデフォルト情報ファイル(boa.env) (注1)
－ HTTP-IIOPゲートウェイ環境定義ファイル(gwconfig) (注2)
－ インプリメンテーションリポジトリファイル(impl.db) (注1)
－ イニシャルサービスファイル(init_svc/initial_services) (注1)
－ キュー制御情報ファイル(queue_policy) (注1)
－ CORBAサービス環境設定情報ファイル(odenvfile) (注1)
・ ネーミングサービス
－ ネーミングサービス登録情報ファイル(CosNamingディレクトリ配下のファイル) (注1)
－ ネーミングサービス環境定義情報ファイル(nsconfig) (注1)
・ ロードバランス機能
－ ロードバランス機能登録情報ファイル(LBOディレクトリ配下のファイル) (注1)
－ ロードバランス環境定義情報ファイル(nslbo.conf) (注1)
・ インタフェースリポジトリ
－ インタフェースリポジトリ環境情報ファイル(irconfig、irpth) (注1)
－ インタフェースリポジトリデータファイル(irobf.qfl、irobf.qfp、irobftran) (注1)
注1) ファイルおよびディレクトリの格納先については、「運用ガイド(基本編)」の「バックアップ・リストア対象資源」を参照し てください。
注2) ファイルの格納先については、「チューニングガイド」の「gwconfig」を参照してください。
これらのファイルは悪意のある人(またはマシン)による不正アクセスという脅威にさらされる可能性があります。
これらのファイルを脅威にさらさないためには、そのファイルを一般ユーザからはアクセスできないようにするという対策が あります。このために、それらのファイルに対して管理者権限をもつユーザ(Solaris/Linuxシステムではスーパユーザ、
Windows(R)システムではAdministrator)のみがアクセス可能であるという設定をすることをお勧めします。
通信データについての注意
ネットワーク上に悪意のある人(またはマシン)が、正当にアクセスする権限を持つ人(またはマシン)とサーバとの間の通信 データをのぞき見する脅威があります。または、サーバとの間の通信データを改ざんし、それが正当なデータとしてやりと りされる脅威があります。
暗号化によるセキュリティ保護を行うため、SSL通信を使用することをお勧めします。
SSL通信については、「第17章 CORBAサービスでSSLを利用する方法」を参照ください。
CORBAサービスで使用するポート番号についての注意 CORBAサービスは、ポート番号8002を使用しています。
本製品をDMZで運用する場合は、ファイアウォールなどのセキュリティ製品で外部からの8002ポートへの要求を抑止する ようにしてください。
Javaアプレットの作成/運用についての注意
CORBAサービスを使用したJavaアプレットを作成、および運用を行う場合、以下のことに注意してください。
権限設定について
Javaアプレットを運用時に必要以上の権限を設定した場合は、悪意のあるアプレット(Javaスクリプトを含む)に利用されるこ とによりクライアントマシンにおけるファイル破壊、ファイル内容の漏洩、ユーザ固有情報が漏洩などが発生する可能性が あります。
Javaアプレットを運用する場合、以下のマニュアルに記載されている権限以外は設定せず、必要最小限の権限を設定す ることをお勧めします。
・ 「アプリケーション作成ガイド(CORBAサービス編)」
－ 「アプリケーションの開発(Java言語)」－「クライアントの環境設定(プレインストール型Javaライブラリ)」－「Javaライ ブラリに対する権限の設定」
－ 「アプリケーションの開発(Java言語)」－「クライアントの環境設定(Portable-ORB)」－「Javaライブラリに対する権限の 設定」
－ 「アプリケーションの開発(Java言語)」－「アプレットのデジタル署名」－「policytoolコマンドの設定(補足)」
Error/Exceptionについて
Javaアプレット動作中に発生した例外情報(スタックトレース)をアプレット内のテキストフィールド、Javaコンソール等の画面上に 表示した場合、内部情報(内部構造)の漏洩となり、悪意のあるアプレット(Javaスクリプトを含む)に利用される可能性があり ます。
例外情報(スタックトレース)を表示しないことをお勧めします。
2.5 Portable-ORBに関する対策
資源ファイルへの不正アクセス
Portable-ORBサービスでは、以下のような環境定義ファイルを保持しています。
・ Portable-ORB環境定義情報ファイル(config) (注1)
・ ホスト情報ファイル(initial_hosts) (注1)
・ イニシャルサービスファイル(initial_services) (注1)
注1) ファイルの格納先については、「運用ガイド(基本編)」の「バックアップ・リストア対象資源」を参照してください。
これらのファイルは悪意のある人(またはマシン)による不正アクセスという脅威にさらされる可能性があります。
これらのファイルを脅威にさらさないためには、そのファイルを一般ユーザからはアクセスできないようにするという対策が あります。このために、それらのファイルに対して管理者権限をもつユーザ(Solaris/Linuxシステムではスーパユーザ、
Windows(R)システムではAdministrator)のみがアクセス可能であるという設定をすることをお勧めします。
通信データについての注意
ネットワーク上の悪意のある人(またはマシン)が、正当にアクセスする権限を持つ人(またはマシン)とサーバとの間の通信 データをのぞき見する脅威があります。
または、サーバとの間の通信データを改ざんし、それが正当なデータとしてやりとりされる脅威があります。
暗号化によるセキュリティ保護を行うため、SSL通信を使用することをお勧めします。
SSL通信については、「第21章 Portable-ORBでSSLを利用する方法」を参照ください。
Javaアプレットの作成/運用についての注意
Portable-ORBを使用したJavaアプレットを作成、および運用を行う場合、以下のことに注意してください。
権限設定について