WebSphere IBM WebSphere Application Server の DMZ Secure Proxy Server

IBM® WebSphere® Application Server の DMZ Secure Proxy Serverを使用 して、プロキシー・サーバー用のセキュアな技術基盤を実現できます。

非推奨の機能 (Deprecated feature) 非推奨の機能 (Deprecated feature): DMZ Secure Proxy Server は、WebSphere Application Server traditional バージョン 9.0 では推奨されていません。depfeat
[z/OS]重要: WebSphere Application Server traditional バージョン 9.0 では、z/OS オペレーティング・システムで DMZ Secure Proxy Server は使用できません。

IBM WebSphere Application Server の DMZ Secure Proxy Server を使用して、プロキシー・サーバーのホスティングのためにアプリケーション・サーバーを非武装地帯 (DMZ) にインストールした場合に発生するおそれがあるセキュリティー・リスクを減らしつつ、DMZ にプロキシー・サーバーをインストールすることができます。プロキシー・サーバーのホスティングには不要で、セキュリティー・リスクが生じる可能性のある機能をアプリケーション・サーバーから除去することによって、このリスクが削減されます。セキュア・プロキシー・サーバーを保護されたゾーンではなく DMZ にインストールする場合、セキュリティーに関する新たな課題があります。ただし、セキュリティー・プロキシー・サーバーには、これらの課題から保護する機能が装備されています。

DMZ Secure Proxy Server のセキュリティーを強化し、割り当てるセキュリティー・レベルを判別するため、以下の機能を使用できます。
開始時のユーザー権限
セキュア・プロキシー・サーバーのプロセスを変更して、開始後に非特権ユーザーとして実行するように指定できます。 セキュア・プロキシー・サーバーは特権ユーザーとして開始する必要がありますが、サーバー・プロセスを非特権ユーザーとして実行するように変更すると、ローカルのオペレーティング・リソースの保護を強化することができます。
ルーティングに関する考慮事項
セキュア・プロキシー・サーバーを構成して、静的ルーティング情報または動的情報に基づいて要求をターゲット・サーバーにルーティングするように指定できます。静的ルーティングの場合、サーバーは、ルーティング情報をローカルのフラット・ファイルから取得します。 動的ルーティングの場合、サーバーは、プロキシー・サーバーからセキュア・ゾーン内のサーバーへの Hypertext Transfer Protocol (HTTP) トンネル接続からルーティング情報を取得します。 動的ルーティングの使用には内部ファイアウォールを介した接続の追加が必要となるため、静的ルーティングを使用するほうがよりセキュアとなります。 静的ルーティングは、HTTP 要求にのみ適用されます。
管理オプション
セキュア・プロキシー・サーバーには Web コンテナーが含まれていないため、管理コンソールをホストすることはできません。 アプリケーション成果物のホスティングはセキュリティー・リスクと見なされており、不要な占有スペースをプロキシー・サーバーに追加することになるため、DMZ Secure Proxy Server上に Web コンテナーを配置しないことをお勧めします。 セキュア・プロキシー・サーバーは個別にインストールされ、セキュリティーへの影響がある管理オプションがいくつかあります。
エラー処理
セキュア・プロキシー・サーバーでは、特定のエラー・コードやエラー・コード・グループに対してカスタム・エラー・ページを使用できます。カスタム・エラー・ページ・アプリケーションを使用してエラー・メッセージを生成するか、またはカスタム・エラー・ページのフラット・ファイルをローカルのファイル・システムに保管して実行時に使用することができます。カスタム・エラー・アプリケーションの代わりにフラット・カスタム・エラー・ページを使用すると、セキュリティー・レベルがより高くなります。このオプションを選択すると、コード・パスが制限され、エラー・ページが必要なときに非認証済みの可能性があるアプリケーションを実行する必要がなくなります。
サービス妨害からの保護
サービス妨害からの保護は、2 つのプロパティー (要求本文バッファー・チャンクの最大サイズおよび応答本文バッファー・チャンクの最大サイズ) を含めることで実現されます。これらのプロパティーは、これらのプロパティーが正しく設定されなかった場合に発生する可能性のあるパフォーマンス・オーバーヘッドと、保護レベルとのバランスを取るように調整する必要があります。
DMZ Secure Proxy Server を作成するときに、デフォルトのセキュリティー・レベルを高、中、低の中から選択できます。
  • 低 DMZ セキュリティー・レベル
    表 1. 低 DMZ セキュリティー・レベルのデフォルト値. この表は、低 DMZ セキュリティー・レベルの設定値およびデフォルト値について説明します。
    設定値 デフォルト値
    開始許可 特権ユーザーとして実行
    ルーティング 動的ルーティング
    管理 リモート管理
    エラー処理 ローカル・エラー・ページ処理
  • 中 DMZ セキュリティー・レベル
    表 2. 中 DMZ セキュリティー・レベルのデフォルト値. この表は、中 DMZ セキュリティー・レベルの設定値およびデフォルト値について説明します。
    設定値 デフォルト値
    開始許可 非特権ユーザーとして実行
    ルーティング 動的ルーティング
    管理 ローカル管理
    エラー処理 ローカル・エラー・ページ処理
  • 高 DMZ セキュリティー・レベル
    表 3. 高 DMZ セキュリティー・レベルのデフォルト値. この表は、高 DMZ セキュリティー・レベルの設定値およびデフォルト値について説明します。
    設定値 デフォルト値
    開始許可 非特権ユーザーとして実行
    ルーティング 静的ルーティング
    管理 ローカル管理
    エラー処理 ローカル・エラー・ページ処理
重要: SIP プロキシー・サーバーでは 静的ルーティングを使用できないため、高 DMZ セキュリティー・レベルは、SIP プロキシー・サーバーでは使用できません。

これらの定義済み設定に加えて、個別の要件に合わせて設定をカスタマイズすることができます。設定をカスタマイズする場合でも、使用する DMZ Secure Proxy Server には、現行セキュリティー・レベルと呼ばれるセキュリティー・レベルの性質上のカテゴリー化が割り当てられます。 カスタム設定はそれぞれ、「」、「」、または「」の値が割り当てられます。 現行セキュリティー・レベルは、最低限のセキュア設定の値が使用されていることと同じです。現行セキュリティー・レベルを高にするには、 の値を割り当てられた設定のみを構成します。現行セキュリティー・レベルを中にするには、高または の値を割り当てられた設定のみを使用します。 の値が割り当てられた設定が 1 つでも設定されると、現行セキュリティー・レベル低が使用されます。

DMZ Secure Proxy Serverの保護を強化する別の変更としては、Java™ Development Kit (JDK) から Java Runtime Environment (JRE) への切り替えがあります。 JDK から JRE に切り替えることで、インストール時にコンパイラーが組み込まれなくなります。 コンパイラーは、セキュリティー・ブリーチ (抜け穴) が存在した場合に悪用されるおそれがあるため、この変更は有益です。

[IBM i]i5/OS™ システムで使用可能な JRE は現在ないため、JDK が使用されます。 このタイプの脅威から保護するために、JDK インストール・ルートから tools.jar ファイルを手動で除去できます。


トピックのタイプを示すアイコン 概念トピック



タイム・スタンプ・アイコン 最終更新: last_date
http://www14.software.ibm.com/webapp/wsbroker/redirect?version=cord&product=was-nd-mp&topic=cjpx_secpxdmz
ファイル名:cjpx_secpxdmz.html