セキュア構成リファレンス

セキュリティに関連するすべての制御を一か所にまとめています。既定値、変更場所、および保護対象を確認できます。セキュリティレビュー、監査、ハードニングチェックリスト向けに記述しています。

!!! NetCrunchのセキュリティ機能では、各保護機能の内容と、その存在理由について説明します。 NetCrunch Server のハードニングでは、到達可能な範囲を減らすためのサーバーの展開方法について説明します。このページは、それらのどちらでもないリファレンスです。セキュリティレビュー担当者が確認する順序に沿って、制御、既定値、場所を一つのリストにまとめています。

surface

構成する必要がないもの

監視プラットフォーム向けのハードニングガイドの多くは、NetCrunchに付属していないコンポーネントについて多くのページを割いています。まずそれらから始める価値があります。コンポーネントをセキュリティで保護する最も簡単な方法は、そのコンポーネントを使用しないことだからです。

NetCrunchはnode.jsを基盤とする独自のWebサーバーを実行し、組み込みのPostgreSQLインスタンスにデータを保存します。IIS、個別のアプリケーションサーバー、外部SQL Serverはありません。

これにより、展開が容易になるのではなく、展開時に必要な作業の一部そのものがなくなります。

• 削除対象となるWebサーバーのバナー ヘッダー、ハンドラー マッピング、既定のサイトがない
• 調整対象となるアプリケーションプールのリサイクルポリシーがない
• 分離、パッチ適用、ライセンス付与、または専用サブネットへの配置が必要な個別のデータベースサーバーがない
• 準備およびローテーションが必要なデータベースサービスアカウントがない
• 構成ウィザードによって上書きされるメッセージブローカーの構成ファイルがない

残る制御は次のとおりです。

authentication

認証とアクセス

Multi-Factor Authentication

Web ConsoleとDesktop Consoleの両方で、アカウントパスワードに加えて第2要素を必須にできます。これは、すべての接続タイプ、つまり暗号化されたTCP接続、HTTPS、およびNetCrunch Connection Cloudを経由して中継される接続に適用されます。これを回避してコンソールに入る経路はありません。

第2要素は、認証アプリから取得する時間ベースのコードです。SMSまたはメールのオプションはありません。

User profileRequires Multi Factor Authentication

これはグローバルスイッチではなくユーザープロファイルのプロパティであるため、監視構成を変更したり保存された資格情報を読み取ったりできるアカウントに対してのみ必須にし、全員に強制しないようにできます。登録は次回のサインイン時に強制され、スキップできません。

登録方法および紛失した第2要素のリセット方法については、!!! NetCrunchのセキュリティ機能を参照してください。

アカウントのソース

ローカルアカウント

NetCrunchで定義された資格情報を使用して認証します。

Active Directoryアカウント

NetCrunchはサインイン時にグループメンバーシップを確認します。アクセスプロファイルはADグループに割り当てられ、ユーザーがメンバーシップを失うとアクセスが取り消されます。 NetCrunch アクセス権の管理を参照してください。

Access Profiles

アクセスプロファイルは、プログラム機能、アトラスビュー、個々のノードを対象とする、再利用可能なロールベースの権限セットです。各ユーザーには1つのプロファイルが割り当てられ、直接割り当てることも、ADグループを通じて継承させることもできます。

権限はDeny、Access、またはManageであり、最長のパスから最短のパスの順に評価されるため、具体的なルールがより広範な既定値を上書きします。

既定ではDenyとするモデルが推奨されます。アクセス権を付与しない状態から始め、ロールに必要なものだけを追加します。もう一つの方法である、すべてを許可してから機密部分を拒否する方法は、設定は早いものの、後から正当性を説明しにくくなります。

次の2つの権限には、特に慎重な制限が必要です。どちらも実質的に管理者権限だからです。

• ユーザープロファイルの編集権限。これには、自分自身を含む任意のアカウントからMulti-Factor Authenticationの要件を削除する権限が含まれます
• 保存された資格情報の読み取り権限

完全なモデルについては、 NetCrunch アクセス権の管理を参照してください。

共有ビュー

共有ビューは、読み取り専用のグラフィカルビューへのリンクです。サインインユーザーは、専用の共有ユーザーによって提供されます。この共有ユーザーは、どちらのコンソールにもサインインできず、割り当てられたビューのみを表示できます。これらのビュー以外へのナビゲーションや構成画面はないため、アカウントを付与せずにダッシュボードを表示させる適切な方法です。

共有の作成時に、次の3つの制御を設定します。

パスワード保護

任意です。公開ステータスページ以外では設定する価値があります。パスワードはリンクとは別のチャネルで送信してください。

有効期限

任意です。一時的な共有には設定してください。

埋め込み制限

既定値は*です。これは、任意のオリジンがiframeにビューを埋め込めることを意味します。特定のホスト名を入力すると、埋め込みを制限できます。

管理者は、Users & Access Rights ManagerSharingで、すべての共有ユーザー、作成者、パスワード保護の有無、および公開しているビューの数を確認できます。このパネルは可視性と監査のためのものであり、変更は個々のビューから行います。

transit

転送中の暗号化

接続	転送方式	プロパティ
Desktop ConsoleおよびProbeからServer	Direct TCP, port 12009	X25519 key exchange、AES-256-GCM encryption、mutual PSK authentication。Certificatesは不要です。
Web ConsoleからServer	HTTPS	組み込みWebサーバーはTLS 1.3をネイティブにサポートします。
Connection Cloud経由のConsoleまたはProbe	Outbound HTTPS, port 443	certificate validationおよびsingle-tenant isolationを備えたTLS。受信接続は不要です。
通知メール	SMTP with TLS	Encrypted connection (TLS)オプションで有効になります。

Web Server Certificate

SettingsNetCrunch SystemConnections

内部利用のみの場合でも、証明書をインストールしてください。ここでHTTPSが必要なのは機密性のためだけではありません。SSH Terminalや埋め込みビュー、共有ビューなど、複数のコンソール機能はセキュアなページでのみ利用できます。ブラウザーがプレーンHTTP上でこれらを制限するためです。

自己署名証明書は内部利用には適しており、ブラウザー警告が表示されます。信頼された認証局の証明書を使用すると警告がなくなり、セキュアなWebSocket接続に必要です。

証明書はコマンドラインから生成することもできます。

nccli generate-web-certificate

追加の認証局を信頼する

NetCrunchは送信SSL/TLS接続およびHTTPS接続にnode.jsを使用します。一部の認証局は既定の信頼ストアに含まれていません。追加のルート証明書は、PEM形式でNetCrunch Serverのデータディレクトリにあるexternal\Root Certificatesフォルダーに配置します。

at-rest

保存された資格情報と保存データ

NetCrunchは、監視用資格情報、SNMPプロファイル、統合プロファイル、ユーザープロファイルなどの資格情報をユーザーに代わって保持します。これらはすべて、マスター暗号化キーを基盤として暗号化されて保存されます。すべてのインストールにマスターキーが1つあります。異なるのは、それを何で保護するかです。

既定値

マスターキーは組み込みのシステムパスワードで保護されます。データは暗号化され、インストールは移植可能です。バックアップを別のコンピューターに復元すると、資格情報も一緒に復元されます。この移植性は同時にリスクでもあります。バックアップを取得した人物は、その中に含まれる資格情報も取得できるからです。

Advanced Data Security

マスターキーは独自のマスターパスワードで保護され、すべてのバックアップはそのパスワードを使用してAES-256で暗号化されます。

SettingsNetCrunch SystemServerAdvanced Data Security

マスターパスワードは12文字以上で、小文字、大文字、数字、特殊文字をそれぞれ1文字以上含める必要があります。後から変更できます。

データフォルダーのアクセス許可

データフォルダーにはマスター暗号化キーと資格情報データベースが保存されるため、ツリー全体に対して、ProgramDataから継承するのではなく、明示的なアクセス制御リストが設定されます。

SYSTEM、BUILTIN\Administrators、およびサービスがLocalSystemとして実行されていない場合のサービスアカウントにフルコントロールが付与されます。BUILTIN\Usersには何も付与されません。

インストーラーはセットアップ中にこれを適用し、サーバーは起動後にバックグラウンドでツリーの残りの部分を正規化します。これにより、アップグレードされたインストールも適用対象になります。データルートに対して意図的にカスタマイズされたアクセス許可は、そのまま維持されます。

api

プログラムによるアクセス

REST APIとMCP Serverは、1つのAPIキー機構、1つのユーザーバインディング、1セットのアクセス権、および1つのレートリミッターを共有します。REST用に作成されたキーはMCPでも使用できます。

User ProfilesAPI Keys

APIキーは、バインド先のNetCrunchユーザーのアクセス権を継承するため、キーのスコープはコンソールアクセスと同じアクセスプロファイルによって管理されます。

利用可能な制限：

読み取り専用モード

キーは構成の読み取りはできますが、変更はできません。

送信元アドレス制限

指定されたアドレスからのアクセスでのみキーが受け付けられます。

有効期限

設定した日付にキーが機能しなくなります。

レート制限

RESTとMCPで共有されるトークンバケットにより、キーごとにリクエスト数が制限されます。

推奨事項：

• 個人の管理者アカウントではなく、自動化専用のNetCrunchユーザーアカウントを使用してください。使用状況を監査可能にし、担当者の退職時に統合が機能しなくなるのを防止できます
• スクリプトまたは統合ごとに個別のキーを使用してください
• 読み取り専用で開始し、スクリプトが構成を変更する必要がある場合にのみ書き込みアクセスを付与してください
• 呼び出し元に固定アドレスがある場合は、可能な限り送信元アドレスで制限してください
• URLはログやブラウザー履歴に残るため、キーはURLではなくx-api-keyヘッダーで渡してください

キーの作成方法についてははじめにを、MCP固有のモデルについては MCPおよびAI対応の自動化を参照してください。

monitoring-credentials

監視に使用する資格情報

NetCrunchが監視対象システムに接続するために使用する資格情報は、NetCrunchに接続するために使用する資格情報と同じように慎重に扱う必要があります。

SNMP

SNMPv3を優先してください。v1およびv2cのコミュニティ文字列は、保護されていない状態でネットワークを通過します。NetCrunchは、DES、3DES、AES 128、AES 192、およびAES 256のプライバシー方式によるSNMPv3をサポートします。v3トラップを受信するには、個別のSNMPv3通知プロファイルが必要です。これがない場合、暗号化されたトラップをデコードできません。SNMPv3 Notifications の受信を参照してください。

Windows

ドメイン管理者ではなく、監視専用アカウントを使用し、リモート管理のファイアウォールルールをNetCrunch Serverのアドレスに限定してください。 Windows 監視設定を参照してください。

クラウドおよびAPIターゲット

プラットフォームに読み取り専用ロールまたはスコープを限定したトークンがある場合は、それを使用してください。Proxmoxの監視に必要なのはPVEAuditorのみで、Azureに必要なのはMonitoring Readerのみです。

auditing

監査

NetCrunch Audit monitoring pack

Desktop ConsoleとWeb Consoleの両方について、ログイン、ログアウト、ログイン失敗を含む、コンソールへのユーザーアクセスを追跡します。有効にすると、サインイン活動によって、他の監視条件と同様にイベントを発生させることができます。

Activity Log

ApplicationsServerには、共有操作、つまりビューが共有された日時と共有者、共有ビューのユーザーのログインおよびログアウトイベント、ならびに共有リンクにアクセスしたIPアドレスが記録されます。

API使用状況イベント

APIキーがリクエストを実行すると、イベントログに記録されます。これにより、どの統合、スクリプト、またはMCPクライアントがアクションを実行したかを特定できます。

Security Audit monitoring pack

監視対象のWindowsマシンにおけるアカウントイベント、ログイン、パスワードの問題を監視します。NetCrunch自体ではなく環境全体が対象ですが、NetCrunchサーバーでも有効にする価値があります。

deployment

展開

上記の制御はインストールを保護します。サーバーの展開方法によって、そもそも保護すべき対象の量が決まります。

• サーバーではNetCrunch以外を実行しない
• 別のコンピューター上のProbeから監視する。サーバーのProbeはNetCrunch自体のみを監視し、それ以外は監視しない
• サーバーのProbeからスクリプトセンサーやプログラムを実行するアラートアクションを実行しない。これらは資格情報データベースの隣で、サーバーの権限を使用して実行されます
• スタートアップスクリプトはインストールディレクトリ内の固定ファイルです。そのため、サーバー起動時に実行する内容を定義するには、そのコンピューターのローカル管理者権限が必要であり、リモートから設定することはできません

これらの項目については NetCrunch Server のハードニングで詳しく説明しています。利用可能なコンピューターが1台しかない場合に適用される内容も含まれます。

summary

設定の概要

制御	既定値	場所
Multi-factor authentication	Off; set per profile	User profile -> Requires Multi Factor Authentication
Access model	Deny by default	Access profile -> Atlas Defaults
Advanced Data Security (master password, AES-256 backups)	Off; built-in system password	Settings -> NetCrunch System -> Server -> Advanced Data Security
Web server certificate	Self-signed	Settings -> NetCrunch System -> Connections
Data folder ACL	Applied by installer	Filesystem; normalized by the server at startup
API key read-only mode	Off	User Profiles -> API Keys
API key source restriction	None	User Profiles -> API Keys
API key expiration	None	User Profiles -> API Keys
API rate limiting	On	Per key, not configurable
Console sign-in auditing	Off	NetCrunch Audit monitoring pack
SNMP version	Per credential profile	Settings -> Monitoring -> SNMP Communities and Passwords
FIPS mode	Off	Windows Local Security Policy, not NetCrunch

access profilesapi keyattack surfaceauditcertificatechecklistcompliancecontrolsdata at restdefaultsencryptionfipsfips modehardeningmaster passwordmfarate limitingsecure configurationsecuritysnmpv3tls