Confluence のセキュリティ設定のベスト プラクティス
べスト プラクティス
このガイドのすべてがお客様の環境に当てはまるわけではありませんが、説明されている原則はほとんどの環境に適用できます。
これらのプラクティスに従っても、100% のセキュリティを提供できるわけではない点にご注意ください。システムが危険にさらされた場合に、影響を軽減して侵入者の動きを抑制する措置になります。
アドバイザリー アラートを購読する
アドバイザリー アラートを購読して技術担当者の詳細情報を最新に保ち、セキュリティ アドバイザリー アラートとその他の重要な技術的な最新情報を確実に受け取ってください。
インストール ディレクトリとデータ ディレクトリの保護
Confluence インストール ディレクトリ、ホーム ディレクトリ、および添付ファイル、スペースのエクスポート、またはデータ パイプラインのエクスポート用に定義できるストレージの場所の安全性を確認することが重要です。
We strongly recommend you to:
- 専用の非 root ユーザー アカウントで、Confluence を実行する。
- limit the user accounts that can access any Confluence directories.
実行する方法については、「オペレーティング システム上に Confluence 実行専用のユーザー アカウントを作成する」をご確認ください。
バイナリも監視する必要があります。攻撃者がシステムのあるアカウントに不正アクセスする場合は、通常、他のアカウントにもアクセスしようとするものです。これを目的に、攻撃者はシステムのファイルを変更するなど、悪意のあるコードを追加する場合があります。悪意のある変更が行われていないことを定期的に確認できる方法をご検討ください。
データベースを保護する
Confluence データベースのユーザー (およびすべてのデータソースのデータベース ユーザー) が、本当に必要な範囲のデータベース権限しか持たないようにします。
データベース アクセスを Confluence ホストのみに制限します (iptables または組み込みのデータベース セキュリティ ツールを使用)。これを行う方法については、ご利用のデータベースのドキュメントをご確認ください。
管理者機能へのアクセスを制限する
原則として、Confluence 管理者の数をできるだけ少なくして、これらのユーザー アカウントを一つひとつ頻繁に確認することで、アクセス レベルを適切な状態に維持してください。
- Avoid shared administrator or user accounts, and easily guessed usernames like “admin”.
- Provide administrators with two separate accounts to allow them to separate day-to-day work, such as creating pages, from administration tasks.
- Limit the number of people in the confluence-administrators group. Members of this “super group” can access all admin functions and access all content, including restricted pages. Consider limiting the members of this group and instead create a new group with system administrator global permissions.
Learn about the confluence-administrators super group
- セキュア管理者セッションを使用して、管理機能にアクセスする際のパスワードを再入力するように管理者に要求して、管理者セッションのタイムアウトを短い値に設定します。
セキュア管理者セッションを有効化する方法をご確認ください。
- Use Apache to lock down the administration interface to specific IP addresses. This can be used as a template for your reverse proxy of choice.
Using Apache to limit access to the Confluence administration interface
受送信接続を制限する
ファイアウォールやプロキシ サーバーなど、受送信接続を制限する方法はいくつかあります。
- Use the allowlist to limit incoming and outgoing connections to avoid Server-Side Request Forgery (SSRF) attacks. Confluence relies on the allowlist for things like macros that may be displaying content from external sites.
Learn how to turn on the allowlist
ユーザー アカウントを管理する
Good user management practices can help prevent user accounts from being compromised.
- シングル サインオンと 2 要素認証に向けて、Confluence と ID プロバイダを統合することをご検討ください。
利用可能なさまざまな SSO オプションをご確認ください。
- 統合には個人用アクセス トークンを使用します。これによって、API リクエストの認証で基本認証 (ユーザー名とパスワード) よりも安全な方法がユーザーに提供されます。
個人用アクセス トークンの管理方法をご確認ください。
- 基本認証を無効にします。シングル サインオンを設定している場合は、ログインと REST の各リクエストの基本認証を無効にできます。基本認証は、シングル サインオンや個人用アクセス トークンよりも安全性が低くなります。基本認証を無効にする方法をご確認ください。
- Disable user accounts when people leave your organization. If required, you can also delete user accounts which will replace their name with an anonymized ID.
Delete and disable users
- 強力なロールまたはグループ メンバーシップを持つユーザーの数を制限します。特に機密性の高いデータへのアクセス権を 1 部門だけに持たせる必要がある場合は、データへのアクセスをその部門のユーザーのみに制限します。セキュリティよりも利便性を優先してはいけません。不要なのに、機密データへのアクセス権をすべてのスタッフに与えてはいけません。
ログイン試行を制限して、アクセスとアクティビティを監視する
There are several things you can do to reduce the risk of brute force or denial of service (DoS) attacks:
- Fail2Ban can help you reduce the risk of brute-force attacks.
Using Fail2Ban to limit login attempts
- Use rate limiting to block REST API requests from anonymous users if you don't have a reason to allow them, or limit the number of requests to reduce the risk of DoS attacks.
Learn how to use rate limiting to block requests
- 監査ログの設定をレビューして、管理者とエンド ユーザーの重要なアクションを記録していることを確認します。
監査ログに書き込めるイベントをご確認ください。
- アクセス ログは、異常なアクティビティを識別する際に役立ちます。ログはインストール ディレクトリに書き込まれます。お好みの監視ツールでこれらのログを監視することをお勧めします。
アクセス ログをご確認ください。
定期的なセキュリティ監査を実行
定期的なセキュリティ監査は潜在的な脅威の特定に役立つだけではなく、セキュリティ ポリシーと手順を見直す機会でもあります。
- セキュリティ侵害が発生した場合にサポートできる人を把握しましょう。潜在的な脅威が特定された場合のプロセスは何ですか?
- Perform “what if” planning exercises. Consider questions like “What is the worst thing that could happen if a privileged user's password were stolen while on vacation? What can we do to minimize damage?”.
- Document your security measures, and regularly monitor that all measures are still in place, and are adequate. For example, after upgrading or migrating, someone may forget to apply the rule to the new system or version.
- Perform a security check-up when preparing for a major upgrade. It's a good time to compare your current configuration against our current recommendations.