インストールを保護する

設定を文書化する

ドキュメント化はセキュリティ計画の重要な部分です。あなたの YouTrack 管理者が手を変えた場合、新しい管理者は試行錯誤を通してアプリケーションがどのように構成されているかを学ぶ必要はないはずです。あなたの YouTrack 環境を安全にするためにこのガイドに従うように、それぞれの変化をメモして、そうした方法をなぜそれを設定したか説明しましょう。完了したら、あなたのメモを集めてあなたの情報セキュリティポリシードキュメントに追加してください。

最新に保つ

最新のセキュリティ強化がインストールに含まれるようにするために、常に YouTrack の最新バージョンを使用するようにしてください。重要なアップデートを見逃さないようにするために:

• YouTrack ブログ(英語)の最新情報を購読するか、Twitter(英語) の YouTrack をフォローしてください。

• グローバル設定ページの更新情報セクションで更新を確認してください。

偶然の開示を防ぐために、私達は通常 JetBrains チームのメンバーにセキュリティ課題として分類される課題への可視性を制限します。私たちのリリースノートのセキュリティ課題セクションで課題を見るかもしれません。しかしこれは決してある特定のリリースで修正されたセキュリティ関連の課題の包括的なリストではありません。

このため、できるだけ早く最新のバージョンにインストールを更新することを強くお勧めします。

安全な環境をつくる

Web ベースのアプリケーションとして、登録ユーザーはネットワーク外から YouTrack に接続できます。インターネットに公開されているサーバーは、データを破壊したり、データを暗号化して身代金のために保管したり、シークレットを盗んだりすることができるハッカーに対して脆弱です。ファイアウォールで保護された信頼できる環境に YouTrack をインストールすることをお勧めします。ファイアウォールの規則では、業務上の理由がない限りトラフィックを許可しないでください。

インストールのセキュリティを確保するために、次のガイドラインに従ってください。

• データベースファイルへのアクセスを制限して、ユーザーまたは他のプロセスが YouTrack データを変更または削除できないようにします。

• オペレーティングシステムと、インストールに接続されているサードパーティソフトウェアのセキュリティ更新プログラムをインストールします。

• ファイアウォールルールを使用して、受信ネットワーク接続に必要なポートのみを通過するトラフィックを許可します。

接続を保護する

ネットワークを介した通信を保護するには、SSL 暗号化を設定する必要があります。次に、すべてのトラフィックが HTTPS（HTTP over SSL/TLS）を使用して暗号化されます。YouTrack は、次のセットアップをサポートしています。

• YouTrack サーバーのインストールには組み込みの TLS を使用します。詳細については、YouTrack サーバーへの接続を保護するを参照してください。

• サードパーティの TLS 終端リバースプロキシサーバーを使用してください。詳しくは逆プロキシ構成を参照してください。

ユーザーが SSL/TLS 暗号化をサポートしない認証モジュール（たとえば、Hub 認証モジュール）を使用して YouTrack にログインすると、パスワードはプレーンテキストで送信されます。HTTPS を使用しない場合、パケットスニファはこのトラフィックを傍受してログに記録し、パスワードを危険にさらす可能性があります。アカウントを保護するには、リバースプロキシを使用して、HTTPS（HTTP over SSL/TLS）を使用してすべての接続を保護します。

専用サービスユーザーアカウントを使用する

サーバー上で YouTrack を実行するには常に専用のユーザーアカウントを使うべきです。

• アプリケーションを Windows サービスとして実行する場合、アプリケーションを実行するサービスアカウントは、YouTrack インストールとそのホームディレクトリへのアクセスを制限する必要があります。

• 他のインストールタイプの場合、YouTrack サービスは、アプリケーションを開始するコマンドを入力したユーザーによって実行されます。これは、YouTrack を実行するために特別に作成されたユーザーアカウントである必要があります。システムの重要な部分を保護するために、このアカウントに利用可能なアクセス権をオペレーティングシステムレベルで制限します。これは、YouTrack インストールディレクトリとホームディレクトリのみにアクセスできる非特権ユーザーである必要があります。

データを暗号化する

YouTrack はパスワードをソルト付きのハッシュとしてデータベースに保存します。各ユーザーのパスワードは、異なるランダム化されたソルトでハッシュされます。ソルト付きのパスワードは、SHA-256 暗号化ハッシュ関数を使用してハッシュされます。

ただし、YouTrack サーバーインストールのデータベースは暗号化されていません。データを確実に保護するために、YouTrack を実行するサーバーにファイルシステムレベルまたはディスク全体の暗号化を適用することをお勧めします。

クロスオリジン要求を制限する

YouTrack ドメインの外部からデータを要求する統合または Web サービスがある場合は、特定の起源へのアクセスを制限できます。YouTrack は、クロスオリジンリソース共有（CORS）をサポートしています。

悪意のある攻撃からデータを保護するために、アクセスが許可されている信頼できる発信元の固定リストを作成してください。このリストはグローバル設定ページのリソース共有セクションで管理できます。詳しくは、リソース共有を参照してください。

デジタル証明書を使用する

HTTPS を介して YouTrack へのアクセスを保護するだけでなく、YouTrack とそれに接続されている Web サービスとの間で交換されるデータを保護する必要があります。外部サービスごとに SSL 証明書を取得して、その証明書を YouTrack にインポートします。

• YouTrack と統合されている外部アプリケーション用の信頼できる SSL 証明書をインポートする必要があります。詳しくは、SSL 証明書を参照してください。

• また、YouTrack がサードパーティーに接続しようとしたときに YouTrack をクライアントとして識別する SSL キーストアも必要です。詳しくは、SSL キーを参照してください。

SSL を使用して安全な接続を確立するために、次の統合を設定できます。

• インポート

• メールボックス統合

• Kotlin DSL スニペット

• VCS 統合

• Zendesk 統合

• LDAP 認証モジュール

• アトラシアン Jira 認証モジュール

YouTrack からメール通知を送信する SMTP サーバーへの接続を保護するためにもデジタル証明書を使用する必要があります。

二要素認証を要求する

YouTrack は、二要素認証（2FA）をサポートしています。YouTrack でサポートされているサードパーティの認証モジュールの多くは、2FA もサポートしています。YouTrack を使用すると、組織のすべてのメンバーに 2FA を要求できます。ユーザーは、アプリベースまたはトークンベースの 2FA でアカウントを保護することを選択できます。

• アプリベースの 2FA では、ユーザーは外部アプリを使用して認証コードを生成する必要があります。認証コードは、パスワードでログインしたときに入力する必要があります。これにより、セキュリティがさらに強化されます。パスワードが危険にさらされても、悪意のあるユーザーは外部アプリからの認証コードなしではアプリケーションにアクセスできません。

• トークンベースの 2FA を使用すると、ユーザーは Hub アカウントをハードウェアデバイスとペアリングします。ユーザーは、ログインするときにこのハードウェアデバイスを所有している必要があります。

1 つ以上のグループに 2FA が必要な場合、これらのグループのメンバーがアクセス可能な情報には、追加の保護層が適用されます。この機能を有効にする方法については、二要素認証を要求するを参照してください。

パスワードポリシーを適用する

認証にサードパーティのサービスを使用していて 2FA を必要としない場合は、すべてのユーザーがそれを設定することを保証することはできません。または強力なパスワードを使用しています。

これが知っていることです:

• 多くのユーザーは、各アカウントに固有のパスワードを作成しません。

• ほとんどのパスワードは非常に弱く、簡単に解読できます。

• 攻撃者は、システムにアクセスするために 1 つの弱いパスワードを推測するだけで済みます。

Hub 認証モジュールを使用すると、ユーザーはデータを安全に保つためのパスワードを確実に作成できます。このモジュールを使用してログインを管理する場合は、パスワードの強度を良いまたはとても強いに設定することをお勧めします。詳しくは、パスワードポリシーを設定するを参照してください。

メールの確認を要求する

自分のメールアドレスを確認するようにユーザーに要求すると、ユーザーは自分のアカウントの所有権を確認できます。これは、ユーザーに自分のアカウントを登録させるときに特に重要です。

メールボックス統合を使用して受信したメールメッセージまたは Zendesk 統合を使用してインポートされたチケットからユーザーアカウントを作成するインストールの場合、メール検証を要求するオプションにより、ユーザーは YouTrack およびビジネス環境の他のアプリケーションに不正アクセスするために使用できるアカウントを登録できなくなります。

メールによる確認を要求するオプションは、YouTrack の認証モジュール> 共通設定ページにあります。詳しくは、認証モジュールの共通設定を参照してください。

ボニッシュボット

Hub 認証モジュールを使用すると、ユーザーは自分のアカウントを YouTrack に登録できます。自己登録を許可し、インストールがネットワークの外側からアクセス可能な場合は、登録ボットからインストールを保護する必要があります。これらのボットは、人が使用することを目的としたリソースを消費し、ライセンスを請求できます。

登録ボットをブロックするには、Hub 認証モジュールで reCAPTCHA を有効にします。詳しくは、Hub 認証モジュールを参照してください。

失敗したログイン試行のスロットル

スロットルまたはレート制限は、ブルート強制攻撃からアプリケーションを保護できます。Hub 認証モジュールには、ログインにレート制限を適用し、資格情報を確認するように要求する設定があります。レート制限は IP アドレスごとに適用されます。レート制限は、一連の連続したログイン失敗後に新しいログイン要求を短時間ブロックすることで総当たり攻撃を遅らせるのに役立ちます。そのため、パスワードを安全に保つことができます。

これらのレート制限は、アクティブな認証モジュールからのすべてのログインに適用されます。詳しくは、ログイン設定による調整を参照してください。

慎重に許可を与える

YouTrack のすべての操作は、許可スキームによって管理されます。パーミッションはロールのコレクションに割り当てられ、特定のプロジェクトのユーザーとグループに付与されます。ユーザーは、各プロジェクトで割り当てられたロールに許可されている操作を実行する権限のみを持っています。

過度に許可を与えることに寛大であるなら、あなたのシステムを内部の脅威からの高いリスクにさらします。また、アカウントが侵害されるとすぐに、外部のハッカーに機密データへのアクセスを許可します。

最小限の特権の原則に従い、各ユーザーに必要な操作を実行するために絶対に必要な情報とリソースへのアクセスのみを許可することをお勧めします。小さいところから始めて大きくしてください - それだけの正当な理由があります。機密データへの不要なアクセスを防ぐために、次のガイドラインに従ってください。

• 新しいアカウントに必要最小限のアクセス権を付与し、必要に応じて権限を追加します。

• 不要になったらアクセスを取り消します。

• 不要なユーザーアカウントを削除または禁止します。

• Hub 認証モジュールでユーザー登録が有効になっている場合は、自動参加グループオプションを避けます。

• ゲストユーザーアカウントに利用できるアクセス許可を制限します。

• すべてのユーザーおよび登録ユーザーグループに非常に限定された権限を持つロールを付与します。

• グローバルプロジェクトでロールを割り当てられているユーザーの数を制限します。

• システム管理者ロールを持つアカウントをできるだけ少なくして、それらのアクティビティを監視します。

データをバックアップする

ランサムウェアからインストールを保護し、ハードウェアまたはソフトウェアの障害から回復するには、YouTrack データベースがバックアップ計画に含まれていることを確認してください。

• YouTrack データベースの定期的なバックアップを有効にして、バックアップが失敗した場合の通知を設定します。詳しくは、データベースのバックアップを参照してください。

• プロセスが機能することを確認するために、システムを復元してバックアップをテストします。詳細については、インストールの種類に関連するページを参照してください。

  • Docker インストールを復元する

  • ZIP インストールを復元する

• 最近のバックアップのコピーを構内に置かないでください。

• バックアップが安全で暗号化されていることを確認してください。

デフォルトの管理者アカウントを保護する

サーバーに YouTrack サーバーをインストールするときに、デフォルトの管理者アカウントのユーザー名とパスワードを設定します。このアカウントには、YouTrack であらゆる操作を実行する権限があります。

リスクおよびセキュリティ監査によって検出される最も一般的な課題の 1 つは、特定の個人に関連付けられていない管理者アカウントです。単純なユーザー名とパスワードの組み合わせを作成し、デフォルトの管理者アカウントを複数の管理者と共有したくなるかもしれません。しないでください。

• 共有アカウントは、システムへの制御されていないアクセスを取得するためによく使用されます。

• 特定の個人に変更を関連付けることができない場合、監査イベントと監査ログは役に立ちません。

• 管理者アカウントには無制限のアクセス権があり、できるだけ強力なパスワードを使用する必要があります。

デフォルトの管理者アカウントを保護するには、次のガイドラインに従ってください。

• 初期設定後、各管理者用の個人ユーザーアカウントを作成し、それらに必要なアクセスレベルを付与します。管理者は自分のアカウントを使用して管理作業を実行する必要があります。

• 管理アクセス権を持つアカウントの数を、このレベルのアクセス権を必要とするユーザーに制限してください。

• 管理者権限を持つユーザーが強力なパスワードを使用し、定期的に変更することを要求します。

• 不要になったらすぐに管理アクセスを取り消してください。

• デフォルトの管理者アカウントの所有権を慎重に管理してください。このアカウントを担当するユーザーが組織を退職した場合、またはアプリケーションを担当しなくなった場合は、別のユーザーを選択して所有権を引き受け、この責任を譲渡します。以前の管理者が YouTrack へのアクセスを必要としなくなった場合:

  • これら 2 つのユーザーアカウントを組み合わせるには、ユーザーをマージ操作を使用します。詳しくは、ユーザーアカウントの統合を参照してください。

  • マージされたユーザーアカウントから前の管理者の資格情報を削除します。

  以前の管理者が管理者以外のロールで YouTrack へのアクセスを要求する場合は、次の手順を実行します。

  • 以前の管理者用に新しいユーザーアカウントを作成し、そのアカウントへの適切なレベルのアクセス権を付与します。

  • 上記のユーザーをマージ操作を使用して、デフォルトの管理者アカウントの所有権を新しい管理者に転送します。

監査イベントの参照とセキュリティログの確認

YouTrack は疑わしい活動のためにあなたのアプリケーションを監視することを可能にするツールを提供します。

• イベントの監査ページには、YouTrack にログインしているすべてのイベントのイベント、ターゲット、作成者のリストが表示されます。これらのイベントは、組み込み Hub サービスによって管理されているターゲットエンティティに操作が適用されるたびに記録されます。これには、とりわけ、ユーザー、グループ、プロジェクト、ロール、認証モジュール、サービス、リソースに適用される変更が含まれます。リストをフィルタリングして特定の種類のアクティビティを検索したり、さらに調査するためにイベントを JSON ファイルとしてダウンロードしたりできます。

• セキュリティ関連と考えられるイベントは、専用の security.log ファイルに出力されます。このファイルには、広範囲のイベントとターゲットエンティティが含まれています。

• ログインイベントは専用の hub-login.log ファイルに出力されます。

監査イベントとセキュリティログを参照して、異常な活動を検出したりトラブルシューティングを行ったりできます。ただし、組織でセキュリティ情報とイベント管理ソフトウェアを使用している場合は、YouTrack ログファイルをデータソースとして含めることをお勧めします。これらのソリューションを使用すると、集約されたログファイルをスキャンおよび分析し、疑わしいパターンのアクティビティが検出されたときにアラートを生成できます。

ログファイルを保護するには、次のガイドラインに従ってください。

• あなたの YouTrack ログファイルを保存するデータディレクトリにアクセスする必要があるのは、作業に関連する必要がある個人だけであることを確認してください。

• YouTrack ログファイルのバックアップコピーを一元管理されたログサーバーに作成します。

機密情報へのアクセスを制限する

課題に機密情報を保存する場合は、このデータが安全であることを確認するために特別な努力をしてください。

• 個人を特定するために使用できる情報を含む課題を保存するには、専用のプロジェクトを使用します。

• このプロジェクトの課題にアクセスできるユーザーが、この情報の機密性を理解していることを確認してください。

• この情報を表示および使用する必要があるユーザーにプロジェクトアクセスを制限してください。

• プロジェクトへのアクセス権を持つユーザーのグループに課題とコメントの可視性を制限します。

機密情報や機密情報を含む課題については、何も偶然に任せないでください。手動で可視性を設定するためにユーザに頼るなら、誰かが忘れがちです。

セキュリティスキームに従って課題とコメントの可視性を設定するためにワークフローを使用してください。以下の一般的なユースケースをサポートするワークフローを作成して添付することができます。

• 機密情報を管理するために使用されるプロジェクトで作成されたときに、課題の可視性を自動的に設定します。

• issue に特定のタイプまたはサブシステムが割り当てられているときに表示を変更します。

• 指摘の表示とは異なるコメントの表示を設定しているユーザーに警告します。

• 課題またはコメントの表示設定をユーザーが変更できないようにします。

詳しくは、ワークフローを参照してください。

匿名アクセスを制限する

デフォルトでは、すべての YouTrack インストールにゲスト専用のユーザーアカウントが含まれています。このユーザーには、グローバルプロジェクトのデフォルトの観察者ロールが付与されています。あなたのインストールがあなたのネットワークの外からアクセス可能なら、あなたのサーバーアドレスを知っている人は誰でもログインする必要なしにあなたのプロジェクトの課題を閲覧するために guest アカウントを使うことができます。

匿名アクセスを制限またはブロックしたい場合は、次の選択肢があります。

• グローバルプロジェクトの guest アカウントに割り当てられているロールを取り消すことができます。その後、一般公開するプロジェクトで guest アカウントに観察者ロールを付与するかどうかを選択できます。これらのアクションは個人に関連付けることができないため、一般的にゲストアカウントに対する更新権限を持つロールの付与はお勧めしません。

• ゲストアカウントを禁止することができます。登録されたアカウントの課題を表示するには、すべてのユーザーがログインする必要があります。各プロジェクトの課題へのアクセスは、ユーザーごとまたはグループごとに割り当てられているロールによって決まります。

詳しくは、ゲストユーザーアカウントを管理するを参照してください。