{"type":"doc","content":[{"type":"paragraph","content":[{"type":"inlineExtension","attrs":{"extensionType":"com.atlassian.confluence.macro.core","extensionKey":"anchor","parameters":{"macroParams":{"":{"value":"top"},"legacyAnchorId":{"value":"id-アプリケーションサーバのセキュリティ-top"}},"macroMetadata":{"macroId":{"value":"0dfabae0-16ef-4b30-a416-f285c6cf4bc2"},"schemaVersion":{"value":"1"},"title":"Anchor"}},"localId":"41ea999a-1157-4a4a-b2b1-fc7450ca4dd1"}}]},{"type":"extension","attrs":{"layout":"default","extensionType":"com.atlassian.confluence.macro.core","extensionKey":"toc","parameters":{"macroParams":{"class":{"value":"contents"}},"macroMetadata":{"macroId":{"value":"62ca454d-b8fa-45fb-b59e-42d77805d8b0"},"schemaVersion":{"value":"1"},"title":"Table of Contents"}},"localId":"9e58cd1f-9460-4c57-9aa7-621bc960e543"}},{"type":"heading","attrs":{"level":2},"content":[{"text":"概要","type":"text"}]},{"type":"paragraph","content":[{"text":"最もセキュアなバックエンドインフラであっても、フロントエンドの設定が高いセキュリティ基準をサポートしていない場合は、リスクに直面します。Yellowfin ソフトウェアは、いくつかの設定を調整し、使用する予定のない設定を無効にすることで、非常に高いセキュリティを維持することができます。","type":"text"}]},{"type":"heading","attrs":{"level":2},"content":[{"text":"HTTPSの設定","type":"text"}]},{"type":"paragraph","content":[{"text":"HTTPSはTomcatレベルで設定することができ、利用可能なプロトコルを完全に制御し、サービスがHTTP経由でアクセス可能かどうかを確認することができます。より詳細な情報は、","type":"text"},{"text":"こちらの記事","type":"text","marks":[{"type":"link","attrs":{"href":"https://support.yellowfin.co.jp/hc/ja/articles/115012569308-HTTPS%E7%B5%8C%E7%94%B1%E3%81%A7Yellowfin%E3%81%AB%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95"}}]},{"text":"で確認できます。","type":"text"}]},{"type":"heading","attrs":{"level":2},"content":[{"text":"Yellowfin web.xmlの強化構成の改善","type":"text"}]},{"type":"paragraph","content":[{"text":"アプリケーションサーバレベルで強化をする場合、いくつかの考慮事項があります。公開または非公開のディプロイか、Yellowfinが他のアプリケーションに組み込まれているかどうか、ネットワーク構成や使用するAPIなど、様々な要因によりニーズは異なります。","type":"text"}]},{"type":"paragraph","content":[{"text":"Yellowfinのweb.xmlファイルは、/appserver/webapps/ROOT/WEB-INF/web.xmlにあります。","type":"text"}]},{"type":"heading","attrs":{"level":3},"content":[{"text":"自動リダイレクト","type":"text"}]},{"type":"paragraph","content":[{"text":"YellowfinがHTTPSでサービスを提供するように設定されている場合、セキュアポートに自動的にリダイレクトするように設定することもできます。","type":"text"}]},{"type":"codeBlock","attrs":{"language":"xml"},"content":[{"text":" \n \n \n Automatic TLS Forwarding \n /* \n \n \n CONFIDENTIAL \n \n ","type":"text"}]},{"type":"paragraph"},{"type":"heading","attrs":{"level":3},"content":[{"text":"セキュアセッションCookie","type":"text"}]},{"type":"paragraph","content":[{"text":"JSESSION Cookieにセキュア属性を設定するには、web.xmlに以下を挿入します。この属性は、CookieがHTTPSなどのセキュアなチャネルでのみ送信されることを宣言します。","type":"text"}]},{"type":"codeBlock","attrs":{"language":"xml"},"content":[{"text":" \n \n \n true \n \n ","type":"text"}]},{"type":"paragraph"},{"type":"heading","attrs":{"level":3},"content":[{"text":"OWASPセキュアヘッダー","type":"text"}]},{"type":"paragraph","content":[{"text":"Yellowfinは、OWASPセキュアヘッダーフィルターを実装しており、","type":"text"},{"text":"これらの標準","type":"text","marks":[{"type":"link","attrs":{"href":"https://owasp.org/www-project-secure-headers/"}}]},{"text":"に従ってセキュリティヘッダーを設定するために使用できます。構成の例を以下に示します。しかし、これらの値は組織の標準やポリシーに合わせて調整する必要があります。Content-Security-Policyの場合、で定義されている値のセットが、Yellowfin 機能の最小エントリーであることに注意してください。","type":"text"}]},{"type":"codeBlock","attrs":{"language":"xml"},"content":[{"text":" \n \n OWASPSecureHeaders \n com.hof.servlet.OWASPSecureHeaders \n \n Strict-Transport-Security \n max-age=315360000 \n \n \n X-Frame-Options \n sameorigin \n \n \n X-Content-Type-Options \n nosniff \n \n \n X-Permitted-Cross-Domain-Policies \n none \n \n \n Content-Security-Policy \n default-src 'self' 'unsafe-inline' 'unsafe-eval'; font-src data: http:; img-src data: http:; frame-ancestors 'self'; \n \n \n \n OWASPSecureHeaders \n /* \n ","type":"text"}]},{"type":"paragraph"},{"type":"heading","attrs":{"level":3},"content":[{"text":"CSRF フィルター","type":"text"}]},{"type":"paragraph","content":[{"text":"YellowfinのCSRFフィルターを有効にすると、アプリケーションリクエストにnonceが追加され、クロスサイトリクエストフォージェリ攻撃からインスタンスが保護されます。","type":"text"}]},{"type":"codeBlock","attrs":{"language":"xml"},"content":[{"text":" \n \n CSRFFilter \n com.hof.servlet.CSRFFilter \n \n AllowedEntry \n /info.jsp,info_/threads.jsp \n \n \n \n CSRFFilter \n *.i4 \n \n \n CSRFFilter \n *.jsp \n ","type":"text"}]},{"type":"paragraph","content":[{"text":"ここで特に重要なのは、AllowedEntryパラメーターです。カンマで区切られたこのURL一覧は、Yellowfinにnonceチェックをバイパスし、これらのURLから任意のページへのエントリーを許可するように指示します。","type":"text"}]},{"type":"paragraph"},{"type":"heading","attrs":{"level":3},"content":[{"text":"参照元フィルター","type":"text"}]},{"type":"paragraph","content":[{"text":"参照元フィルターは、CSRFフィルターに追加のセキュリティ層として提供されます。これにより、リクエストを処理する前に、リクエスト内の参照元フィールドがhostingdomainURLパラメーターに対して検証されます。ignoreパラメーターには、少なくとも次の項目と、Yellowfinを統合する場合などの外部アプリケーションから、その他のエントリーポイントが必要です。","type":"text"}]},{"type":"codeBlock","attrs":{"language":"xml"},"content":[{"text":" \n RefererFilter \n com.hof.servlet.RefererFilter \n \n hostingdomainURL \n https://54.151.18.219 \n \n \n ignore \n /RunDashboard.i4,/RunReport.i4,/*.js \n \n \n \n RefererFilter \n /* \n ","type":"text"}]},{"type":"paragraph"},{"type":"heading","attrs":{"level":3},"content":[{"text":"未使用のAPIへのアクセスの無効化または制限","type":"text"}]},{"type":"paragraph","content":[{"text":"Yellowfin 9.3以降のリリースには、新しいREST APIが導入されています。REST APIを使用する場合は、従来のSOAP webサービスAPIを無効にできます。従来のAPIを有効にするスニペットであるAxisServletを検索し、このブロックをコメントアウトすることで無効にします。","type":"text"}]},{"type":"codeBlock","attrs":{"language":"xml"},"content":[{"text":" ","type":"text"}]},{"type":"paragraph","content":[{"text":"または、RESTおよびJS APIの場合、使用していない場合は、次を追加します。","type":"text"}]},{"type":"codeBlock","attrs":{"language":"xml"},"content":[{"text":" \n \n UnusedAPI’s \n /api \n /JsAPI \n \n \n denyaccess \n \n ","type":"text"}]},{"type":"paragraph"},{"type":"heading","attrs":{"level":3},"content":[{"text":"情報ページ","type":"text"}]},{"type":"paragraph","content":[{"text":"情報ページは、サポートや分析に使用できます。これらのページには、OSバージョン、RDBMSタイプ、実行中のアプリケーションスレッドなどのシステム情報が含まれます。","type":"text"}]},{"type":"table","attrs":{"layout":"default","width":1800.0,"localId":"f497220f-7e80-4c15-8ed1-87da33b0a3d6"},"content":[{"type":"tableRow","content":[{"type":"tableCell","attrs":{"colspan":1,"background":"#f0f0f0","rowspan":1},"content":[{"type":"paragraph","content":[{"text":"URL","type":"text","marks":[{"type":"strong"}]}]}]},{"type":"tableCell","attrs":{"colspan":1,"background":"#f0f0f0","rowspan":1},"content":[{"type":"paragraph","content":[{"text":"説明","type":"text","marks":[{"type":"strong"}]}]}]}]},{"type":"tableRow","content":[{"type":"tableCell","attrs":{"colspan":1,"rowspan":1},"content":[{"type":"paragraph","content":[{"text":"https:///info.jsp ","type":"text","marks":[{"type":"subsup","attrs":{"type":"sup"}}]}]}]},{"type":"tableCell","attrs":{"colspan":1,"rowspan":1},"content":[{"type":"paragraph","content":[{"text":"システム、アプリケーション、ロケール、ライセンス、サーバ側のソフトウェア詳細、ライブラリのバージョンなど、OS環境の詳細を表示します。","type":"text"}]}]}]},{"type":"tableRow","content":[{"type":"tableCell","attrs":{"colspan":1,"rowspan":1},"content":[{"type":"paragraph","content":[{"text":"https:///info_cache.jsp ","type":"text","marks":[{"type":"subsup","attrs":{"type":"sup"}}]}]}]},{"type":"tableCell","attrs":{"colspan":1,"rowspan":1},"content":[{"type":"paragraph","content":[{"text":"Yellowfinのキャッシュステータスおよび容量情報を表示します。","type":"text"}]}]}]},{"type":"tableRow","content":[{"type":"tableCell","attrs":{"colspan":1,"rowspan":1},"content":[{"type":"paragraph","content":[{"text":"https:///info_cluster.jsp ","type":"text","marks":[{"type":"subsup","attrs":{"type":"sup"}}]}]}]},{"type":"tableCell","attrs":{"colspan":1,"rowspan":1},"content":[{"type":"paragraph","content":[{"text":"必要に応じて、Yellowfin クラスタ構成に関する情報を表示します。","type":"text"}]}]}]},{"type":"tableRow","content":[{"type":"tableCell","attrs":{"colspan":1,"rowspan":1},"content":[{"type":"paragraph","content":[{"text":"https:///info_language.jsp ","type":"text","marks":[{"type":"subsup","attrs":{"type":"sup"}}]}]}]},{"type":"tableCell","attrs":{"colspan":1,"rowspan":1},"content":[{"type":"paragraph","content":[{"text":"使用可能およびデフォルトのロケールを表示します。","type":"text"}]}]}]},{"type":"tableRow","content":[{"type":"tableCell","attrs":{"colspan":1,"rowspan":1},"content":[{"type":"paragraph","content":[{"text":"https:///info_threads.jsp ","type":"text","marks":[{"type":"subsup","attrs":{"type":"sup"}}]}]}]},{"type":"tableCell","attrs":{"colspan":1,"rowspan":1},"content":[{"type":"paragraph","content":[{"text":"JVMスレッドとそのステータスを出力します。","type":"text"}]}]}]},{"type":"tableRow","content":[{"type":"tableCell","attrs":{"colspan":1,"rowspan":1},"content":[{"type":"paragraph","content":[{"text":"https:///info_threads_enhanced.jsp ","type":"text","marks":[{"type":"subsup","attrs":{"type":"sup"}}]}]}]},{"type":"tableCell","attrs":{"colspan":1,"rowspan":1},"content":[{"type":"paragraph","content":[{"text":"該当する場合は、スレッドの所有権とCPU時間を含めることで、上記を拡張します。","type":"text"}]}]}]}]},{"type":"paragraph","content":[{"text":"以下のスニペットを追加することで、これらを無効にすることができます。","type":"text"}]},{"type":"codeBlock","attrs":{"language":"xml"},"content":[{"text":" \n \n server-info \n /info.jsp \n /info_browser.jsp \n /info_cache.jsp \n /info_threads.jsp \n \n \n denyaccess \n \n ","type":"text"}]},{"type":"paragraph","content":[{"text":"これらのページは、問題が発生したときに、Yellowfin サポートから提供を依頼する場合があります。これらのページを無効にする以外にも、様々な要因に基づいてアクセスを制限できる方法があります。例えば、RemoteAddrFilterは、IPアドレスによってアクセスを制限します。","type":"text"}]},{"type":"codeBlock","attrs":{"language":"xml"},"content":[{"text":" \n IPFilter \n org.apache.catalina.filters.RemoteAddrFilter \n \n allow \n 127\\.\\d+\\.\\d+\\.\\d+ \n \n \n \n IPFilter \n /info.jsp \n /info_browser.jsp \n /info_cache.jsp \n /info_threads.jsp \n ","type":"text"}]},{"type":"paragraph","content":[{"text":"これにより、任意の127.x.x.xアドレスからページにアクセスできるようになります。詳細については、Tomcatドキュメントの","type":"text"},{"text":"Access Control","type":"text","marks":[{"type":"link","attrs":{"href":"https://tomcat.apache.org/tomcat-9.0-doc/config/valve.html#Access_Control"}}]},{"text":"項目を参照してください。","type":"text"}]},{"type":"paragraph"},{"type":"rule"},{"type":"heading","attrs":{"level":2},"content":[{"text":"導入および強化ガイド","type":"text"}]},{"type":"paragraph","content":[{"text":"概要に戻る","type":"text","marks":[{"type":"link","attrs":{"href":"https://yellowfinjp.atlassian.net/wiki/spaces/yfcurrent/pages/1906185"}}]}]},{"type":"bulletList","content":[{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"セキュリティインフラに関する一般的な考慮事項","type":"text","marks":[{"type":"link","attrs":{"href":"https://yellowfinjp.atlassian.net/wiki/spaces/yfcurrent/pages/1906690"}}]}]}]},{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"unnamed link","type":"text","marks":[{"type":"link","attrs":{"href":"#"}}]}]}]},{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"Yellowfin UIのセキュリティ設定","type":"text","marks":[{"type":"link","attrs":{"href":"https://yellowfinjp.atlassian.net/wiki/spaces/yfcurrent/pages/1907557"}}]}]}]}]},{"type":"paragraph"},{"type":"paragraph","content":[{"type":"inlineExtension","attrs":{"extensionType":"com.atlassian.confluence.macro.core","extensionKey":"horizontalrule","parameters":{"macroParams":{},"macroMetadata":{"macroId":{"value":"fd1e637e-4feb-4ec8-964a-c4eb252972b7"},"schemaVersion":{"value":"1"},"title":"horizontalrule"}},"localId":"4169e1be-0ad9-47bb-9e45-8634cf50b08e"}}]},{"type":"bodiedExtension","attrs":{"layout":"default","extensionType":"com.atlassian.confluence.macro.core","extensionKey":"styleclass","parameters":{"macroParams":{"Class":{"value":"topLink"},"atlassian-macro-output-type":{"value":"INLINE"}},"macroMetadata":{"macroId":{"value":"07ef7d52-863c-4d1d-ae5e-ded388329bc8"},"schemaVersion":{"value":"1"},"title":"styleclass"}},"localId":"a926e5b0-9822-4750-9286-5bd60a8c6329"},"content":[{"type":"paragraph","content":[{"text":"ページトップ","type":"text","marks":[{"type":"link","attrs":{"href":"#"}}]}]}]},{"type":"paragraph"},{"type":"paragraph"}],"version":1}