Seguridad

Protección de aplicaciones

• La Protección de aplicaciones es una función adicional que ofrece seguridad mejorada al usar Citrix Virtual Apps and Desktops y Citrix DaaS (anteriormente, el servicio Citrix Virtual Apps and Desktops). Usa esta función para:

• restringir la capacidad de los clientes para comprometerse con malware de registro de teclas y captura de pantalla.
• proteger la exfiltración de información confidencial, como las credenciales de usuario y la información sensible en pantalla.
• evitar que los usuarios y los atacantes hagan capturas de pantalla y usen registradores de teclas para obtener y explotar información sensible. Para obtener más información, consulta Protección de aplicaciones.

Aviso legal

Las directivas de Protección de aplicaciones filtran el acceso a las funciones necesarias del sistema operativo subyacente (llamadas a la API específicas necesarias para capturar pantallas o pulsaciones de teclado). Las directivas de Protección de aplicaciones ofrecen protección incluso contra herramientas de piratería personalizadas y creadas específicamente. Sin embargo, a medida que los sistemas operativos evolucionan, pueden surgir nuevas formas de capturar pantallas y registrar teclas. Aunque seguimos identificándolas y abordándolas, no podemos garantizar una protección completa en configuraciones e implementaciones específicas.

Para configurar la Protección de aplicaciones en la aplicación Citrix Workspace para Windows, consulta la sección de la aplicación Citrix Workspace para Windows en el artículo Configuración.

• Nota:

• La Protección de aplicaciones solo se admite en actualizaciones a partir de la versión 1912.

• Integración fluida de deviceTRUST® con la aplicación Citrix Workspace™ para Windows

• A partir de la versión 2503, la aplicación Citrix Workspace para Windows incluye deviceTRUST, que mejora la seguridad mediante comprobaciones continuas de la postura del dispositivo dentro de la sesión. deviceTRUST se incluye con la aplicación Citrix Workspace para una implementación unificada, lo que garantiza una integración y una administración fluidas. Para obtener más información, consulta deviceTRUST.

Instalación

• La aplicación Citrix Workspace para Windows siempre instala o actualiza deviceTRUST usando la versión empaquetada incluida en el instalador de la aplicación Citrix Workspace para Windows.
• Si la instalación de deviceTRUST falla, obtendrás los códigos de error 50024 o 50025, y no habrá ningún impacto en la instalación de la aplicación Citrix Workspace para Windows.
• Para omitir la instalación de deviceTRUST, usa el comando InstallDeviceTrust=N desde la línea de comandos. Puedes usar InstallDeviceTrust=Y para instalar deviceTRUST en caso de una actualización.

Desinstalación

• Durante la desinstalación, la aplicación Citrix Workspace solo quita deviceTRUST si ella lo instaló.

• Escenarios de actualización automática

• Para los clientes existentes con actualización automática, la aplicación Citrix Workspace instala deviceTRUST.
• Si el usuario final ha omitido la instalación de deviceTRUST en una versión compatible de la aplicación Citrix Workspace, el siguiente ciclo de actualización automática también omitirá la instalación de deviceTRUST.

Seguridad mejorada y compatibilidad con AppLocker

La aplicación Citrix Workspace para Windows es compatible con AppLocker, una herramienta de postura de seguridad. Esta función aborda los problemas de seguridad y mejora la experiencia del usuario.

Seguridad de ICA®

Cuando un usuario inicia una aplicación o un escritorio, StoreFront™ genera información de ICA, que contiene instrucciones para el cliente sobre cómo conectarse al VDA.

Inicios híbridos en memoria

Cuando el usuario inicia un recurso, StoreFront genera un archivo ICA que contiene instrucciones sobre cómo conectarse al recurso. Cuando se inicia dentro de la aplicación Citrix Workspace para Windows, el archivo ICA se gestiona en la memoria y nunca se guarda en el disco.

Cuando el usuario abre su tienda en un explorador web y usa la aplicación Citrix Workspace para Windows para conectarse al recurso, se conoce como un inicio híbrido. Dependiendo de la configuración, hay varias formas en que puede ocurrir el inicio; consulta Opciones de acceso de usuario de StoreFront.

La aplicación Citrix Workspace para Windows admite el iniciador de Citrix Workspace y las extensiones web de Citrix Workspace para inicios de ICA en memoria desde el explorador del usuario. Se recomienda que deshabilites la opción del usuario para descargar archivos ICA. Esto elimina los ataques de superficie y cualquier malware que pueda hacer un uso indebido del archivo ICA cuando se almacena localmente. Para deshabilitar la opción del usuario para descargar archivos ICA en StoreFront 2402 y versiones posteriores, consulta la documentación de StoreFront. Para deshabilitar la opción del usuario para descargar archivos ICA en Workspace, consulta la documentación de PowerShell de Workspace.

Evitar el inicio de archivos ICA desde el disco

Una vez que te hayas asegurado de que tu propio sistema siempre usa inicios en memoria, Citrix® te recomienda deshabilitar el inicio de archivos ICA desde el disco. Así, los usuarios no podrán abrir archivos ICA que hayan recibido de fuentes maliciosas por métodos como el correo electrónico. Puedes deshabilitar el inicio de archivos ICA desde el disco usando cualquiera de los siguientes métodos:

• Servicio de configuración global de aplicaciones
• Plantilla administrativa de objeto de directiva de grupo (GPO) en el cliente

Servicio de configuración global de aplicaciones

Puedes usar el servicio de configuración global de aplicaciones desde la aplicación Citrix Workspace 2106. En Seguridad y autenticación > Preferencias de seguridad, establece la directiva Bloquear inicios directos de archivos ICA en habilitada.

Directiva de grupo

Para bloquear los inicios de sesión desde archivos ICA almacenados en el disco local usando la Directiva de grupo, haz lo siguiente:

1. Abre la plantilla administrativa de GPO de la aplicación Citrix Workspace ejecutando gpedit.msc.

• 1. En el nodo Configuración del equipo, ve a Plantillas administrativas > Componentes de Citrix > Citrix Workspace > Motor cliente.
• 1. Selecciona la directiva Inicio seguro de sesión de archivo ICA y establécela en Habilitada.
• 1. Haz clic en Aplicar y luego en Aceptar.

Firma de archivos ICA

La firma de archivos ICA te ayuda a protegerte de un inicio no autorizado de aplicaciones o escritorios. La aplicación Citrix Workspace verifica que una fuente de confianza haya generado el inicio de la aplicación o el escritorio basándose en una directiva administrativa y protege contra los inicios desde servidores no fiables. Puedes configurar la firma de archivos ICA usando la plantilla administrativa de GPO o StoreFront. La función de firma de archivos ICA no está habilitada de forma predeterminada.

Para obtener información sobre cómo habilitar la firma de archivos ICA para StoreFront, consulta Firma de archivos ICA en la documentación de StoreFront.

Configurar la firma de archivos ICA

Nota:

Si CitrixBase.admx\adml no se agrega al GPO local, es posible que la directiva Habilitar firma de archivos ICA no esté presente.

1. Abre la plantilla administrativa de GPO de la aplicación Citrix Workspace ejecutando gpedit.msc
2. En el nodo Configuración del equipo, ve a Plantillas administrativas > Componentes de Citrix.
3. Selecciona la directiva Habilitar firma de archivos ICA y elige una de las opciones según sea necesario:
   1. Habilitada: indica que puedes agregar la huella digital del certificado de firma a la lista de permitidos de huellas digitales de certificados de confianza.
   2. Certificados de confianza: haz clic en Mostrar para quitar la huella digital del certificado de firma existente de la lista de permitidos. Puedes copiar y pegar las huellas digitales del certificado de firma desde las propiedades del certificado de firma.
   3. Directiva de seguridad: selecciona una de las siguientes opciones del menú.
      1. Solo permitir inicios firmados (más seguro): permite solo inicios de aplicaciones y escritorios firmados desde un servidor de confianza. Aparece una advertencia de seguridad cuando hay una firma no válida. El inicio de la sesión falla debido a la no autorización.
      2. Preguntar al usuario sobre inicios sin firmar (menos seguro): aparece un mensaje cuando se inicia una sesión sin firmar o con una firma no válida. Puedes elegir continuar con el inicio o cancelarlo (predeterminado).
4. Haz clic en Aplicar y luego en Aceptar para guardar la directiva.
5. Reinicia la sesión de la aplicación Citrix Workspace para que los cambios surtan efecto.

Al seleccionar un certificado de firma digital, te recomendamos que elijas de la siguiente lista de prioridades:

1. Compra un certificado de firma de código o un certificado de firma SSL de una autoridad de certificación (CA) pública.
2. Si tu empresa tiene una CA privada, crea un certificado de firma de código o un certificado de firma SSL usando la CA privada.
3. Usa un certificado SSL existente.
4. Crea un certificado de CA raíz y distribúyelo a los dispositivos de los usuarios usando GPO o instalación manual.

Tiempos de espera por inactividad

Tiempo de espera para sesiones de Workspace

Los administradores pueden configurar el valor del tiempo de espera por inactividad para especificar la cantidad de tiempo de inactividad permitida antes de que los usuarios cierren sesión automáticamente en la sesión de Citrix Workspace. Se cierra tu sesión de Workspace automáticamente si el ratón, el teclado o la función táctil están inactivos durante el intervalo de tiempo especificado. El tiempo de espera por inactividad no afecta a las sesiones activas de aplicaciones y escritorios virtuales ni a los almacenes de Citrix StoreFront.

Para configurar el tiempo de espera por inactividad, consulta la documentación de Workspace.

La experiencia del usuario final es la siguiente:

• Aparece una notificación en la ventana de tu sesión tres minutos antes de que se cierre la sesión, con una opción para mantener la sesión iniciada o cerrarla.
• La notificación aparece solo si el valor de tiempo de espera por inactividad configurado es mayor o igual a cinco minutos.
• Los usuarios pueden hacer clic en Mantener sesión iniciada para descartar la notificación y seguir usando la aplicación, en cuyo caso el temporizador de inactividad se restablece a su valor configurado. También puedes hacer clic en Cerrar sesión para finalizar la sesión del almacén actual.

Tiempo de espera para sesiones de StoreFront

Cuando te conectas a un almacén de StoreFront, la aplicación Citrix Workspace no aplica un tiempo de espera por inactividad. Si usas un Citrix Gateway, puedes configurar el tiempo de espera de la sesión del gateway. Para obtener más información, consulta la documentación de StoreFront.