Eventos de App Protection en Director y Monitor
Introducción
Citrix Workspace app (CWA) para Windows introduce comprobaciones de seguridad integradas que detectan automáticamente condiciones de alto riesgo en los puntos finales —como Microsoft Recall— sin necesidad de configuración manual. Estas detecciones proporcionan visibilidad en tiempo real al informar de los eventos a Citrix Director y Monitor, lo que permite a los administradores evaluar rápidamente el riesgo y aplicar medidas de protección como las directivas de App Protection.
Aunque la detección de eventos seleccionados (por ejemplo, Microsoft Recall) es automática, la protección contra estos eventos requiere la configuración manual de las directivas de App Protection por parte del administrador.
Al utilizar la gestión proactiva de riesgos y la reconfiguración de directivas, los administradores pueden reforzar la seguridad de los puntos finales en su entorno y reducir la exposición a las amenazas emergentes. Este enfoque proactivo refuerza el compromiso de Citrix® con la entrega segura de aplicaciones, ayudando a las organizaciones a identificar y responder a las amenazas en tiempo real.
Nota:
Citrix Workspace app recopila datos de telemetría sobre el uso del usuario y del dispositivo a través del producto para la aplicación de los derechos de licencia, así como para operar, administrar, medir y mejorar el software, incluyendo lo siguiente:
- ID del dispositivo
- Nombre de usuario
- Marca de tiempo
- Dirección IP
Requisitos previos
- Citrix Virtual Delivery Agent: VDA versión 2507 o posterior.
- Citrix Director: Citrix Virtual Apps and Desktops 2603 o posterior.
- Citrix Monitor: DDC versión 128 o posterior.
-
La aplicación Citrix Workspace (CWA) para Windows: Se requiere la versión 2603 o posterior en el punto final.
- Para los eventos de protección, el administrador debe configurar las directivas de Protección de aplicaciones pertinentes (por ejemplo, Anti-captura de pantalla, Anti-inyección de DLL) a través de la directiva de Citrix.
Tipos de eventos
Detección de Microsoft Recall
Windows Recall es un agente de IA que se ejecuta en el punto final y que captura y almacena continuamente instantáneas del contenido de la pantalla del usuario localmente para su análisis. Estas instantáneas pueden incluir información confidencial, como:
- Credenciales corporativas introducidas durante el inicio de sesión.
- Datos confidenciales de aplicaciones mostrados en escritorios virtuales o aplicaciones publicadas.
- Documentos propietarios y propiedad intelectual visibles durante una sesión.
Si se explota, esta función podría permitir a los atacantes o usuarios no autorizados recuperar datos confidenciales del dispositivo, incluso después de que finalice la sesión.
¿Cuándo se envía este evento?
Durante el inicio de la sesión, CWA detecta automáticamente si Windows Recall está activo en el punto final.
- Evento de detección: Se envía si se detecta Recall y la sesión no tiene habilitada la directiva Anti-captura de pantalla.
- Evento de protección: Se envía si se detecta Recall y la sesión tiene habilitada la directiva Anti-captura de pantalla.
Datos específicos del evento
Este evento utiliza solo los campos comunes; no incluye campos adicionales más allá de resourceType y resourceName.
Detección de captura de pantalla
Se genera un evento de captura de pantalla cuando un usuario o una herramienta intenta tomar una captura de pantalla del escritorio del punto final. Si la directiva Protección de aplicaciones contra capturas de pantalla está habilitada, el contenido de la sesión se oculta para la herramienta de captura. La herramienta aún puede capturar la región del escritorio fuera de la sesión, pero el contenido de la sesión en sí está oculto.
¿Cuándo se envía este evento?
Se envía un screenCaptureEvent cuando CWA detecta que una herramienta de captura de pantalla intenta activamente capturar la pantalla mientras una sesión con la directiva de protección contra capturas de pantalla está habilitada y en ejecución. El evento incluye el nombre y la ruta de la herramienta, junto con su estado de firma.
Detección de inyección de DLL
Una DLL (Dynamic Link Library) es una biblioteca ejecutable. La inyección de DLL se produce cuando un proceso inyecta DLL en los procesos de Citrix. Estas DLL podrían inyectarse por varias razones, tanto legítimas (por ejemplo, controladores de gráficos, software antivirus) como maliciosas (por ejemplo, interceptar el tráfico de red, interceptar credenciales).
La protección de aplicaciones contra la inyección de DLL evita que se inyecten DLL sin firmar en procesos específicos de Citrix. Una DLL sin firmar que se inyecta en un proceso de Citrix se considera un evento de inyección de DLL.
¿Cuándo se envía este evento?
Se envía un evento de inyección de DLL cuando CWA detecta que se inyecta una DLL sin firmar en un proceso protegido de Citrix mientras la directiva de protección contra la inyección de DLL está habilitada.
Detalles de datos y eventos
Esquema de eventos común
Todos los eventos de seguridad del punto final comparten un sobre común que se notifica a Director y Monitor:
| Campo | Descripción | Ejemplo |
|---|---|---|
deviceName |
Nombre del equipo del punto final. | WORKSTATION-01 |
username |
Usuario que ha iniciado sesión (formato UPN). | john@example.com |
timestamp |
Marca de tiempo de época Unix en milisegundos. | 1733805466000 |
osVersion |
Versión del sistema operativo del punto final. | Windows 11 Pro |
cwaVersion |
Versión de la aplicación Citrix Workspace en el punto final. | 25.3.2.196 |
ipAddress |
Dirección IP del punto final. | 123.45.67.89 |
version |
Versión del esquema de eventos. | 1.0 |
eventType |
Identificador del tipo de evento de seguridad. | recallEvent |
payloadType |
0 = Detección (amenaza identificada); 1 = Protección (mitigada). | 0 |
component |
Componente de CWA que generó el evento. | AppProtection |
Cada evento también incluye un objeto EndpointSecurityAdditionalData que contiene:
| Campo | Descripción | Ejemplo |
|---|---|---|
resourceType |
Tipo de recurso asociado al evento. | ICA session |
resourceName |
Nombre descriptivo del recurso publicado. | Prod_Win11_Session |
Datos específicos del evento de captura de pantalla
Además de los campos comunes, EndpointSecurityAdditionalData incluye:
| Campo | Descripción | Ejemplo |
|---|---|---|
screenCaptureToolName |
Nombre del ejecutable de la herramienta detectada. | obs64.exe |
screenCaptureToolPath |
Ruta completa del sistema de archivos al ejecutable de la herramienta. | C:\Program Files\obs-studio\bin\64bit |
signed |
Si el ejecutable detectado está firmado digitalmente. | true |
Datos específicos del evento de inyección de DLL
Además de los campos comunes, los administradores pueden ver la ruta de la DLL:
| Campo | Descripción | Ejemplo |
|---|---|---|
dllPath |
Ruta completa del sistema de archivos a la DLL sin firmar inyectada. | C:\Program Files\abc.dll |