WebSphere IBM WebSphere Application Server の DMZ Secure Proxy Server
IBM® WebSphere® Application Server の DMZ Secure Proxy Serverを使用 して、プロキシー・サーバー用のセキュアな技術基盤を実現できます。

![[z/OS]](../images/ngzos.gif)
IBM WebSphere Application Server の DMZ Secure Proxy Server を使用して、プロキシー・サーバーのホスティングのためにアプリケーション・サーバーを非武装地帯 (DMZ) にインストールした場合に発生するおそれがあるセキュリティー・リスクを減らしつつ、DMZ にプロキシー・サーバーをインストールすることができます。プロキシー・サーバーのホスティングには不要で、セキュリティー・リスクが生じる可能性のある機能をアプリケーション・サーバーから除去することによって、このリスクが削減されます。セキュア・プロキシー・サーバーを保護されたゾーンではなく DMZ にインストールする場合、セキュリティーに関する新たな課題があります。ただし、セキュリティー・プロキシー・サーバーには、これらの課題から保護する機能が装備されています。
- 開始時のユーザー権限
- セキュア・プロキシー・サーバーのプロセスを変更して、開始後に非特権ユーザーとして実行するように指定できます。 セキュア・プロキシー・サーバーは特権ユーザーとして開始する必要がありますが、サーバー・プロセスを非特権ユーザーとして実行するように変更すると、ローカルのオペレーティング・リソースの保護を強化することができます。
- ルーティングに関する考慮事項
- セキュア・プロキシー・サーバーを構成して、静的ルーティング情報または動的情報に基づいて要求をターゲット・サーバーにルーティングするように指定できます。静的ルーティングの場合、サーバーは、ルーティング情報をローカルのフラット・ファイルから取得します。 動的ルーティングの場合、サーバーは、プロキシー・サーバーからセキュア・ゾーン内のサーバーへの Hypertext Transfer Protocol (HTTP) トンネル接続からルーティング情報を取得します。 動的ルーティングの使用には内部ファイアウォールを介した接続の追加が必要となるため、静的ルーティングを使用するほうがよりセキュアとなります。 静的ルーティングは、HTTP 要求にのみ適用されます。
- 管理オプション
- セキュア・プロキシー・サーバーには Web コンテナーが含まれていないため、管理コンソールをホストすることはできません。 アプリケーション成果物のホスティングはセキュリティー・リスクと見なされており、不要な占有スペースをプロキシー・サーバーに追加することになるため、DMZ Secure Proxy Server上に Web コンテナーを配置しないことをお勧めします。 セキュア・プロキシー・サーバーは個別にインストールされ、セキュリティーへの影響がある管理オプションがいくつかあります。
- エラー処理
- セキュア・プロキシー・サーバーでは、特定のエラー・コードやエラー・コード・グループに対してカスタム・エラー・ページを使用できます。カスタム・エラー・ページ・アプリケーションを使用してエラー・メッセージを生成するか、またはカスタム・エラー・ページのフラット・ファイルをローカルのファイル・システムに保管して実行時に使用することができます。カスタム・エラー・アプリケーションの代わりにフラット・カスタム・エラー・ページを使用すると、セキュリティー・レベルがより高くなります。このオプションを選択すると、コード・パスが制限され、エラー・ページが必要なときに非認証済みの可能性があるアプリケーションを実行する必要がなくなります。
- サービス妨害からの保護
- サービス妨害からの保護は、2 つのプロパティー (要求本文バッファー・チャンクの最大サイズおよび応答本文バッファー・チャンクの最大サイズ) を含めることで実現されます。これらのプロパティーは、これらのプロパティーが正しく設定されなかった場合に発生する可能性のあるパフォーマンス・オーバーヘッドと、保護レベルとのバランスを取るように調整する必要があります。
- 低 DMZ セキュリティー・レベル
表 1. 低 DMZ セキュリティー・レベルのデフォルト値. この表は、低 DMZ セキュリティー・レベルの設定値およびデフォルト値について説明します。 設定値 デフォルト値 開始許可 特権ユーザーとして実行 ルーティング 動的ルーティング 管理 リモート管理 エラー処理 ローカル・エラー・ページ処理 - 中 DMZ セキュリティー・レベル
表 2. 中 DMZ セキュリティー・レベルのデフォルト値. この表は、中 DMZ セキュリティー・レベルの設定値およびデフォルト値について説明します。 設定値 デフォルト値 開始許可 非特権ユーザーとして実行 ルーティング 動的ルーティング 管理 ローカル管理 エラー処理 ローカル・エラー・ページ処理 - 高 DMZ セキュリティー・レベル
表 3. 高 DMZ セキュリティー・レベルのデフォルト値. この表は、高 DMZ セキュリティー・レベルの設定値およびデフォルト値について説明します。 設定値 デフォルト値 開始許可 非特権ユーザーとして実行 ルーティング 静的ルーティング 管理 ローカル管理 エラー処理 ローカル・エラー・ページ処理
これらの定義済み設定に加えて、個別の要件に合わせて設定をカスタマイズすることができます。設定をカスタマイズする場合でも、使用する DMZ Secure Proxy Server には、現行セキュリティー・レベルと呼ばれるセキュリティー・レベルの性質上のカテゴリー化が割り当てられます。 カスタム設定はそれぞれ、「高」、「中」、または「低」の値が割り当てられます。 現行セキュリティー・レベルは、最低限のセキュア設定の値が使用されていることと同じです。現行セキュリティー・レベルを高にするには、高 の値を割り当てられた設定のみを構成します。現行セキュリティー・レベルを中にするには、高または中 の値を割り当てられた設定のみを使用します。低 の値が割り当てられた設定が 1 つでも設定されると、現行セキュリティー・レベル低が使用されます。
DMZ Secure Proxy Serverの保護を強化する別の変更としては、Java™ Development Kit (JDK) から Java Runtime Environment (JRE) への切り替えがあります。 JDK から JRE に切り替えることで、インストール時にコンパイラーが組み込まれなくなります。 コンパイラーは、セキュリティー・ブリーチ (抜け穴) が存在した場合に悪用されるおそれがあるため、この変更は有益です。
i5/OS™ システムで使用可能な JRE は現在ないため、JDK が使用されます。
このタイプの脅威から保護するために、JDK インストール・ルートから tools.jar ファイルを手動で除去できます。