セキュリティと保護 (StreamInsight)
このトピックでは、Microsoft StreamInsight の重要なセキュリティ情報について説明します。
生成されたファイルへのアクセス
ダンプ
プロセスのダンプは、Windows エラー報告 (WER) フレームワークを使用して生成されます。ダンプ ファイルの生成は、WER の設定によって制御されます。ダンプにはイベント データが含まれる場合があるため、ユーザーは、ダンプ ファイルから機密情報が開示される可能性を意識する必要があります。
Windows XP および Windows Server 2003 のプラットフォームでは、Windows エラー報告ツール DW20.exe によって、ミニダンプが管理キューに格納されます。これは、管理者が所有するキューで、他のユーザーは読み取り専用でアクセスできます。ディスク上のこのキューの場所は、%USERPROFILE%\Local Settings\Application Data\PCHealth\ErrorRep\QSignoff になります。詳細については、「エラーの報告と診断」を参照してください。
SQL Server Compact メタデータ
ホストしているプロセスで、メモリ内のプロバイダーではなく、SQL Server Compact 3.5 メタデータのプロバイダーを使用するように指定すると、メタデータはディスク上の SQL Server Compact 3.5 データベース ファイル (.sdf ファイル) に書き込まれます。指定された名前のファイルが存在しない場合は、ファイルが生成されます。このデータベース ファイルの権限は、そのファイルの場所に対応しています。
ETW トレース ファイル
ETW トレース ファイルは、既定のセキュリティ記述子を使用して作成されます。つまり、ログ ファイルの ACL は親ディレクトリの ACL と同じになります。トレースを有効にしたユーザーは、トレース ファイルの場所を制御するため、その権限も制御します。トレースへのアクセスを制限する必要がある場合は、適切な ACL が設定された親ディレクトリを作成する必要があります。
チェックポイント ファイル
チェックポイント ファイルの無許可の読み取りや改ざんを防ぐため、それらのファイルを格納しているフォルダーに対する権限が、信頼できるエンティティのみがアクセスできるように設定されていることを確認します。また、信頼できないソースからのチェックポイント ファイルを受け入れたり、使用することはしないでください。
メソッドの実行
クエリ言語を使用すると、ホスト コンピューター上で .NET Framework 完全修飾メソッド名 (ユーザー定義関数など) を使用して StreamInsight サーバーの実行コンテキスト (StreamInsight サーバー ホスト コンテキストなど) にアクセスできる任意のコードの実行が可能になります。この結果、このようなクエリを送信および実行することにより、Web サービスのユーザーは、ホスト コンピューター上のホスト コンテキストの役割を果たします。ホスト プロセスの開発者または管理者 (または、提供された StreamInsightHost.exe のユーザー) は、このことを意識しておき、必要に応じて Web サービスへのアクセスを制限する必要があります。
StreamInsight のインスタンスのインストール時に作成できる StreamInsight サービスは、NetworkService アカウントで実行されます。このアカウントは、ローカル コンピューター上で最低限の権限を持ちます。
ユーザーの分離
ユーザーは、管理インターフェイス (WS エンドポイントとして公開される場合がある) を介して StreamInsight サーバーにアクセスできるようになると、管理機能に完全にアクセスでき、次の操作を実行できます。
メタデータの送信、読み取り、または削除。
クエリの開始または停止。
StreamInsight サーバーとそのクエリについての診断情報の取得。
ライブ サーバーへの StreamInsight Event Flow Debugger の接続、およびクエリの実行。
登録された StreamInsight の各インスタンスは、Windows グループに関連付けられます。このグループのユーザーのみが、そのインスタンスで作成されパブリッシュされたサーバーに接続できます。
ログおよび診断出力
管理イベント ログ
StreamInsight では、Application Log ETW チャネルを使用して Windows イベント ログに管理イベントをパブリッシュします。イベント ログの権限モデルに対応して、"イベント ログ リーダー" グループのメンバーはイベント ビューアーのこれらのイベントにアクセスできます。
デバッグ イベント ログ
デバッグ イベント ログは、別の ETW プロバイダーを使用して StreamInsight イベントを収集し、Event Flow Debugger のようなコンシューマーが使用できるようにします。このデータにイベントのペイロードが含まれることに注意してください。Windows グループ "Performance Log Users" のメンバーだけがこのトレースを使用できます。
パフォーマンス カウンター
コンピューター上のすべてのユーザーが StreamInsight パフォーマンス カウンターなどのパフォーマンス カウンター データにアクセスできます。これによりイベント ペイロード データは開示されませんが、サーバー、クエリ、およびアダプターの実行に関する情報が含まれます。