共有環境における Web 用 Store Commerce のセキュリティ ベスト プラクティス

Web 用 Store Commerce は、Web ブラウザーのコンテキストで動作する Web アプリケーションです。 この記事では、共有環境で Web 用 Store Commerce をセキュリティ保護するための推奨事項について説明します。

Web 用 Store Commerce は、Web ブラウザーのコンテキストで動作する Web アプリケーションです。 したがって、ユーザーが Web アプリケーションのコンテキストで任意のスクリプトを実行できるときに攻撃するのは脆弱です。 このような攻撃の要件の 1 つは、個人またはリモート デスクトップ接続を使用して、ユーザーがコンピューターへ物理的にアクセスすることです。 攻撃に対する脆弱性は、開発者ツールを提供するほとんどのブラウザーの、また権限の十分な制御なしで実行されるスクリプトを有効にするほとんどのブラウザーの既存の問題です。 Web アプリケーションはホスティング環境にほとんど影響力をもたないため、セキュリティの問題を軽減する方法の 1 つは多層防御を追加することです。 ブラウザーおよびオペレーティング システムの両方の制限の厳しい強いポリシーを活用して、多層防御を構築できます。

Web コンピューターに対する Store Commerce の問題への指示

Web 用 Store Commerce のアクティブ化されたインスタンスを持つオペレーティング システムまたはブラウザーの多層防御の推奨事項を次に示します。 設定は、オペレーティング システムの権限の高いアカウントによって有効にするか、設定する必要があります。 Web 用 Store Commerce は、これらの設定を上書きすることができない低い特権のアカウントで使用する必要があります。 次のすべての設定を有効にすることをお勧めします。 それ以外の場合、セキュリティを悪用されやすくなるセキュリティ ループホールができます。

• 必須 - ブラウザーのアドレス バーでスクリプトの実行を無効にします。
• 必須 - ブラウザーの開発者コンソールを無効にします。
• 必須 - 権限の低いユーザーがWeb 用 Store Commerce にアクセスする必要があります。
• 必須 - キオスク セッションを有効にするグループ ポリシーを設定します。
• 推奨 - セーフ リストに登録された Web サイトのみにアクセスするプロキシを設定します。

Web 用 Store Commerce を実行するブラウザのアドレスバーでスクリプトの実行を無効にする

Internet Explorer - スクリプトの実行を無効にします

Internet Explorer のアドレス バーでスクリプトの実行を無効にするオプションはありません。 1 つの方法は、アドレス バー自体を非表示にすることです。

1. Web 用 Store Commerce のショートカットを作成し、各作業者の Microsoft Windows デスクトップにコピーします。
2. regedit.exe を実行し、Internet Explorer アドレス バーを無効にするレジストリを変更します。 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Internet Explorer\ToolBars\Restrictions] "NoNavBar"=dword:00000001

Microsoft Edge - スクリプトの実行を無効にします

意図的に、Microsoft Edge はアドレス バーでのスクリプトの実行を防ぎます。 したがって、何もする必要はありません。

Web 用 Store Commerce を実行するブラウザーで開発者コンソールを無効にする

Internet Explorer - 開発者コンソールを無効にします

グループ ポリシー エディターを使用し、次のグループ ポリシーを有効にして Internet Explorer の開発者コンソールを無効にします。\管理用テンプレート\Windows コンポーネント\Internet Explorer\ツール バー\開発者ツール="有効" を無効。

Microsoft Edge - 開発者コンソールを無効にします

regedit.exe を実行し、開発者コンソールを無効にするレジストリを変更します。 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MicrosoftEdge\F12] "AllowDeveloperTools"=dword:00000000

権限の低いユーザーが Web 用 Store Commerce にアクセスする必要があります

販売時点管理 (POS) ユーザーは、適用されたポリシーを変更する権限を持たない管理者以外のアカウントである必要があります。

キオスク セッションを有効にするグループ ポリシーを設定

Web 用 Store Commerce ユーザーに次の制限を適用することをお勧めします。

• ファイル システムへのアクセスを制限します。
• コントロール パネルへのアクセスを制限します。
• リムーバブル ドライブへのアクセスを制限します。
• コマンドを実行するシェルへのアクセスを制限します。
• レジストリへのアクセスを制限します。
• アプリケーション管理へのアクセスを制限します。

次のテーブルに、キオスク モードを有効にするグループ ポリシーを示します。 一連のポリシーでは、ログイン スクリプトでブラウザーを起動する必要があります。 これらのポリシーは要件に合わせて調整できます。 常に、セキュリティへの影響を評価するか、専門家に相談する必要があります。

セーフ リストに登録された Web サイトのみにアクセスするプロキシを設定します

日常業務で店員 (レジ担当者) が必要とする Web サイトの一覧を定義し、これらの Web サイトにのみアクセス権を持つ管理者制御のプロキシを設定することができます。 Web 用 Store Commerce には、次の Web サイトへのアクセスが必要です。

• Web 向け Store Commerce Web サイト
• Microsoft Entra ID サインイン ページ
• Commerce Scale Unit Web サイト
• Bing Maps リソース
• メディア リソース
• クレジット カード支払引受ページ (オプション)