Panoramica sulla sicurezza tecnica

Il diagramma seguente mostra i componenti in una distribuzione Citrix DaaS Standard per Azure (in precedenza Citrix Virtual Apps and Desktops Standard per Azure). In questo esempio viene utilizzata una connessione peering VNet.

Con Citrix DaaS per Azure, i Virtual Delivery Agent (VDA) del cliente che distribuiscono desktop e app, oltre a Citrix Cloud Connector, vengono distribuiti in un abbonamento e in un tenant Azure gestiti da Citrix.

NOTA:

Questo articolo fornisce una panoramica dei requisiti di sicurezza per i clienti che distribuiscono Citrix DaaS per Azure utilizzando un abbonamento Citrix Managed Azure. Per una panoramica dell’architettura di una distribuzione di Citrix DaaS per Azure tramite un abbonamento Azure gestito dal cliente, incluse le informazioni sulla sicurezza, vedere Architettura di riferimento: servizio Virtual Apps and Desktops - Azure.

Conformità basata su cloud Citrix

A partire da gennaio 2021, l’utilizzo di Citrix Managed Azure Capacity con varie edizioni di Citrix DaaS e Workspace Premium Plus non è stato valutato per Citrix SOC 2 (tipo 1 o 2), ISO 27001, HIPAA o altri requisiti di conformità al cloud. Per ulteriori informazioni sulle certificazioni Citrix Cloud, visita Citrix Trust Center e controlla regolarmente per gli aggiornamenti.

Responsabilità Citrix

Citrix Cloud Connectors per cataloghi non appartenenti al dominio

Citrix DaaS per Azure distribuisce almeno due Cloud Connector in ogni posizione delle risorse. Alcuni cataloghi potrebbero condividere la posizione delle risorse se si trovano nella stessa regione di altri cataloghi dello stesso cliente.

Citrix è responsabile delle seguenti operazioni di sicurezza sui Cloud Connector del catalogo non appartenenti al dominio:

• Applicazione degli aggiornamenti del sistema operativo e delle patch di sicurezza
• Installazione e manutenzione del software antivirus
• Applicazione degli aggiornamenti software di Cloud Connector

I clienti non hanno accesso ai Cloud Connector. Pertanto, Citrix è interamente responsabile delle prestazioni dei Cloud Connector del catalogo non appartenenti al dominio.

Abbonamento Azure e Azure Active Directory

Citrix è responsabile della sicurezza dell’abbonamento Azure e di Azure Active Directory (AAD) creati per il cliente. Citrix garantisce l’isolamento dei tenant, in modo che ogni cliente abbia il proprio abbonamento Azure e AAD, impedendo così la comunicazione tra i diversi tenant. Citrix limita inoltre l’accesso all’AAD a Citrix DaaS solo al personale operativo di Azure e Citrix. L’accesso da parte di Citrix all’abbonamento Azure di ciascun cliente viene verificato.

I clienti che utilizzano cataloghi non appartenenti a un dominio possono utilizzare l’AAD gestito da Citrix come mezzo di autenticazione per Citrix Workspace. Per questi clienti, Citrix crea account utente con privilegi limitati nell’AAD gestito da Citrix. Tuttavia, né gli utenti né gli amministratori dei clienti possono eseguire alcuna azione sull’AAD gestito da Citrix. Se questi clienti scelgono di utilizzare il proprio AAD, sono totalmente responsabili della sua sicurezza.

Reti e infrastrutture virtuali

All’interno dell’abbonamento Citrix Managed Azure del cliente, Citrix crea reti virtuali per isolare le posizioni delle risorse. All’interno di tali reti, Citrix crea macchine virtuali per VDA, Cloud Connector e macchine Image Builder, oltre ad account di archiviazione, Key Vault e altre risorse di Azure. Citrix, in collaborazione con Microsoft, è responsabile della sicurezza delle reti virtuali, compresi i firewall di rete virtuali.

Citrix garantisce che il criterio firewall predefinito di Azure (gruppi di sicurezza di rete) sia configurato per limitare l’accesso alle interfacce di rete nelle connessioni di peering VNet. In genere, questo controlla il traffico in entrata verso VDA e Cloud Connector. Per maggiori dettagli, vedere:

• Criterio firewall per le connessioni peering di Azure VNet

I clienti non possono modificare questa policy firewall predefinita, ma possono implementare regole firewall aggiuntive sulle macchine VDA create da Citrix, ad esempio per limitare parzialmente il traffico in uscita. I clienti che installano client di reti private virtuali o altri software in grado di aggirare le regole del firewall su macchine VDA create da Citrix sono responsabili di eventuali rischi per la sicurezza che potrebbero derivarne.

Quando si utilizza l’Image Builder in Citrix DaaS per Azure per creare e personalizzare una nuova immagine macchina, le porte 3389-3390 vengono aperte temporaneamente nella VNet gestita da Citrix, in modo che il cliente possa connettersi tramite RDP alla macchina contenente la nuova immagine macchina per personalizzarla.

Responsabilità di Citrix quando si utilizzano connessioni di peering Azure VNet

Per consentire ai VDA in Citrix DaaS per Azure di contattare controller di dominio locali, condivisioni file o altre risorse intranet, Citrix DaaS per Azure fornisce un flusso di lavoro di peering VNet come opzione di connettività. La rete virtuale del cliente gestita da Citrix è collegata tramite peering a una rete virtuale Azure gestita dal cliente. La rete virtuale gestita dal cliente può abilitare la connettività con le risorse locali del cliente utilizzando la soluzione di connettività dal cloud alla sede locale scelta dal cliente, ad esempio Azure ExpressRoute o tunnel iPsec.

La responsabilità di Citrix per il peering VNet è limitata al supporto del flusso di lavoro e della configurazione delle risorse di Azure correlate per stabilire una relazione di peering tra Citrix e le reti virtuali gestite dal cliente.

Criterio firewall per le connessioni peering di Azure VNet

Citrix apre o chiude le seguenti porte per il traffico in entrata e in uscita che utilizza una connessione peering VNet.

VNet gestito da Citrix con macchine non aggiunte al dominio

• Regole in entrata
  • Consentire le porte 80, 443, 1494 e 2598 in ingresso dai VDA ai Cloud Connector e dai Cloud Connector ai VDA.
  • Consentire l’ingresso alle porte 49152-65535 verso i VDA da un intervallo IP utilizzato dalla funzionalità di shadowing del monitor. Vedere Porte di comunicazione utilizzate da Citrix Technologies.
  • Nega tutti gli altri ingressi. Ciò include il traffico intra-VNet da VDA a VDA e da VDA a Cloud Connector.
• Regole in uscita
  • Consentire tutto il traffico in uscita.

VNet gestito da Citrix con macchine aggiunte al dominio

• Regole in entrata:
  • Consentire le porte 80, 443, 1494 e 2598 in ingresso dai VDA ai Cloud Connector e dai Cloud Connector ai VDA.
  • Consentire l’ingresso alle porte 49152-65535 verso i VDA da un intervallo IP utilizzato dalla funzionalità di shadowing del monitor. Vedere Porte di comunicazione utilizzate da Citrix Technologies.
  • Nega tutti gli altri ingressi. Ciò include il traffico intra-VNet da VDA a VDA e da VDA a Cloud Connector.
• Regole in uscita
  • Consentire tutto il traffico in uscita.

VNet gestito dal cliente con macchine aggiunte al dominio

• Spetta al cliente configurare correttamente la propria VNet. Ciò include l’apertura delle seguenti porte per l’adesione al dominio.
• Regole in entrata:
  • Consentire l’ingresso su 443, 1494, 2598 dai loro IP client per i lanci interni.
  • Consentire l’ingresso su 53, 88, 123, 135-139, 389, 445, 636 da Citrix VNet (intervallo IP specificato dal cliente).
  • Consenti l’ingresso sulle porte aperte con una configurazione proxy.
  • Altre regole create dal cliente.
• Regole in uscita:
  • Consentire l’uscita su 443, 1494, 2598 verso Citrix VNet (intervallo IP specificato dal cliente) per gli avvii interni.
  • Altre regole create dal cliente.

Accesso alle infrastrutture

Citrix potrebbe accedere all’infrastruttura gestita da Citrix del cliente (Cloud Connectors) per eseguire determinate attività amministrative, come la raccolta di registri (incluso Visualizzatore eventi di Windows) e il riavvio dei servizi, senza avvisare il cliente. Citrix è responsabile dell’esecuzione di queste attività in modo sicuro e protetto, con un impatto minimo sul cliente. Citrix è inoltre tenuta a garantire che tutti i file di registro vengano recuperati, trasportati e gestiti in modo sicuro e protetto. In questo modo non è possibile accedere ai VDA dei clienti.

Backup per cataloghi non appartenenti al dominio

Citrix non è responsabile dell’esecuzione di backup di cataloghi non appartenenti al dominio.

Backup per immagini macchina

Citrix è responsabile del backup di tutte le immagini macchina caricate su Citrix DaaS per Azure, comprese le immagini create con Image Builder. Citrix utilizza un archivio ridondante locale per queste immagini.

Bastioni per cataloghi non appartenenti a domini

Se necessario, il personale operativo di Citrix ha la possibilità di creare un baluardo per accedere all’abbonamento Azure gestito da Citrix del cliente per diagnosticare e risolvere i problemi del cliente, potenzialmente prima che il cliente stesso ne venga a conoscenza. Citrix non richiede il consenso del cliente per creare un bastion. Quando Citrix crea il bastione, crea una password complessa generata casualmente per il bastione e limita l’accesso RDP agli indirizzi IP Citrix NAT. Quando il bastione non è più necessario, Citrix lo elimina e la password non è più valida. Il bastione (e le relative regole di accesso RDP) vengono eliminati al termine dell’operazione. Con il bastion, Citrix può accedere solo ai Cloud Connector del cliente non appartenenti al dominio. Citrix non ha la password per accedere ai VDA non aggiunti al dominio o ai Cloud Connector e VDA aggiunti al dominio.

Politica del firewall quando si utilizzano strumenti di risoluzione dei problemi

Quando un cliente richiede la creazione di una macchina bastion per la risoluzione dei problemi, vengono apportate le seguenti modifiche al gruppo di sicurezza sulla VNet gestita da Citrix:

• Consentire temporaneamente 3389 in ingresso dall’intervallo IP specificato dal cliente al bastion.
• Consentire temporaneamente 3389 in ingresso dall’indirizzo IP bastion a qualsiasi indirizzo nella VNet (VDA e Cloud Connector).
• Continuare a bloccare l’accesso RDP tra Cloud Connector, VDA e altri VDA.

Quando un cliente abilita l’accesso RDP per la risoluzione dei problemi, vengono apportate le seguenti modifiche al gruppo di sicurezza sulla VNet gestita da Citrix:

• Consentire temporaneamente 3389 in ingresso dall’intervallo IP specificato dal cliente a qualsiasi indirizzo nella VNet (VDA e Cloud Connector).
• Continuare a bloccare l’accesso RDP tra Cloud Connector, VDA e altri VDA.

Abbonamenti gestiti dal cliente

Per gli abbonamenti gestiti dal cliente, Citrix rispetta le responsabilità di cui sopra durante la distribuzione delle risorse di Azure. Dopo la distribuzione, tutto quanto sopra riportato ricade sotto la responsabilità del cliente, in quanto il cliente è il proprietario della sottoscrizione di Azure.

Responsabilità del cliente

VDA e immagini delle macchine

Il cliente è responsabile di tutti gli aspetti del software installato sulle macchine VDA, inclusi:

• Aggiornamenti del sistema operativo e patch di sicurezza
• Antivirus e antimalware
• Aggiornamenti software VDA e patch di sicurezza
• Regole aggiuntive del firewall software (in particolare per il traffico in uscita)
• Segui le considerazioni sulla sicurezza e le best practice di Citrix

Citrix fornisce un’immagine preparata che funge da punto di partenza. I clienti possono utilizzare questa immagine a scopo dimostrativo o di prova del concetto oppure come base per creare la propria immagine macchina. Citrix non garantisce la sicurezza di questa immagine preparata. Citrix tenterà di mantenere aggiornati il sistema operativo e il software VDA sull’immagine preparata e abiliterà Windows Defender su tali immagini.

Responsabilità del cliente quando si utilizza il peering VNet

Il cliente deve aprire tutte le porte specificate in VNet gestita dal cliente con macchine aggiunte al dominio.

Quando viene configurato il peering VNet, il cliente è responsabile della sicurezza della propria rete virtuale e della sua connettività alle risorse locali. Il cliente è inoltre responsabile della sicurezza del traffico in entrata dalla rete virtuale peer gestita da Citrix. Citrix non intraprende alcuna azione per bloccare il traffico dalla rete virtuale gestita da Citrix alle risorse locali del cliente.

I clienti hanno le seguenti opzioni per limitare il traffico in entrata:

• Assegnare alla rete virtuale gestita da Citrix un blocco IP che non sia in uso altrove nella rete locale del cliente o nella rete virtuale connessa gestita dal cliente. Ciò è necessario per il peering VNet.
• Aggiungere gruppi di sicurezza di rete e firewall di Azure nella rete virtuale e nella rete locale del cliente per bloccare o limitare il traffico dal blocco IP gestito da Citrix.
• Implementare misure quali sistemi di prevenzione delle intrusioni, firewall software e motori di analisi comportamentale nella rete virtuale e nella rete locale del cliente, prendendo di mira il blocco IP gestito da Citrix.

Procuratore

Il cliente può scegliere se utilizzare un proxy per il traffico in uscita dal VDA. Se viene utilizzato un proxy, il cliente è responsabile di:

• Configurazione delle impostazioni proxy sull’immagine della macchina VDA oppure, se la VDA è unita a un dominio, tramite Criteri di gruppo di Active Directory.
• Manutenzione e sicurezza del proxy.

Non è consentito l’uso di proxy con Citrix Cloud Connectors o altre infrastrutture gestite da Citrix.

Resilienza del catalogo

Citrix fornisce tre tipi di cataloghi con diversi livelli di resilienza:

• Statico: A ciascun utente è assegnato un singolo VDA. Questo tipo di catalogo non garantisce un’elevata disponibilità. Se il VDA di un utente non funziona più, sarà necessario sostituirlo con uno nuovo per ripristinarlo. Azure offre un SLA del 99,5% per le VM a istanza singola. Il cliente può comunque eseguire il backup del profilo utente, ma tutte le personalizzazioni apportate al VDA (ad esempio l’installazione di programmi o la configurazione di Windows) andranno perse.
• Casuale: Ogni utente viene assegnato casualmente a un server VDA al momento dell’avvio. Questo tipo di catalogo garantisce elevata disponibilità tramite ridondanza. Se un VDA non funziona, nessuna informazione viene persa perché il profilo dell’utente risiede altrove.
• Multisessione di Windows 10: Questo tipo di catalogo funziona nello stesso modo del tipo casuale, ma utilizza VDA per workstation Windows 10 anziché VDA per server.

Backup per cataloghi aggiunti al dominio

Se il cliente utilizza cataloghi aggiunti al dominio con un peering VNet, è responsabile del backup dei propri profili utente. Citrix consiglia ai clienti di configurare condivisioni file locali e di impostare policy su Active Directory o VDA per estrarre i profili utente da queste condivisioni file. Il cliente è responsabile del backup e della disponibilità di queste condivisioni di file.

Recupero dopo un disastro

In caso di perdita di dati di Azure, Citrix recupererà quante più risorse possibili nell’abbonamento Azure gestito da Citrix. Citrix tenterà di ripristinare i Cloud Connector e i VDA. Se Citrix non riesce a recuperare questi elementi, i clienti saranno tenuti a creare un nuovo catalogo. Citrix presuppone che sia stato eseguito il backup delle immagini delle macchine e che i clienti abbiano eseguito il backup dei loro profili utente, consentendo la ricostruzione del catalogo.

In caso di perdita di un’intera regione di Azure, il cliente è tenuto a ricostruire la propria rete virtuale gestita in una nuova regione e a creare un nuovo peering VNet all’interno di Citrix DaaS per Azure.

Responsabilità condivise tra Citrix e il cliente

Citrix Cloud Connector per cataloghi aggiunti al dominio

Citrix DaaS per Azure distribuisce almeno due Cloud Connector in ogni posizione delle risorse. Alcuni cataloghi potrebbero condividere la posizione delle risorse se si trovano nella stessa regione, nello stesso peering VNet e nello stesso dominio di altri cataloghi per lo stesso cliente. Citrix configura i Cloud Connector aggiunti al dominio del cliente per le seguenti impostazioni di sicurezza predefinite sull’immagine:

• Aggiornamenti del sistema operativo e patch di sicurezza
• Software antivirus
• Aggiornamenti software Cloud Connector

Normalmente i clienti non hanno accesso ai Cloud Connector. Tuttavia, possono ottenere l’accesso eseguendo la procedura di risoluzione dei problemi del catalogo ed effettuando l’accesso con le credenziali del dominio. Il cliente è responsabile di eventuali modifiche apportate durante l’accesso tramite Bastion.

I clienti hanno inoltre il controllo sui Cloud Connector aggiunti al dominio tramite i Criteri di gruppo di Active Directory. Il cliente è tenuto a garantire che i criteri di gruppo applicati a Cloud Connector siano sicuri e ragionevoli. Ad esempio, se il cliente sceglie di disabilitare gli aggiornamenti del sistema operativo tramite Criteri di gruppo, sarà responsabile dell’esecuzione degli aggiornamenti del sistema operativo sui Cloud Connector. Il cliente può anche scegliere di utilizzare Criteri di gruppo per applicare una sicurezza più rigorosa rispetto alle impostazioni predefinite di Cloud Connector, ad esempio installando un software antivirus diverso. In generale, Citrix consiglia ai clienti di inserire Cloud Connector nella propria unità organizzativa di Active Directory senza policy, poiché ciò garantirà che le impostazioni predefinite utilizzate da Citrix possano essere applicate senza problemi.

Risoluzione dei problemi

Nel caso in cui il cliente riscontri problemi con il catalogo in Citrix DaaS per Azure, sono disponibili due opzioni per la risoluzione dei problemi: utilizzare i bastioni e abilitare l’accesso RDP. Entrambe le opzioni comportano un rischio per la sicurezza del cliente. Il cliente deve comprendere e acconsentire ad assumersi questo rischio prima di utilizzare queste opzioni.

Citrix è responsabile dell’apertura e della chiusura delle porte necessarie per eseguire le operazioni di risoluzione dei problemi e della limitazione delle macchine a cui è possibile accedere durante tali operazioni.

Sia con i bastioni che con l’accesso RDP, l’utente attivo che esegue l’operazione è responsabile della sicurezza delle macchine a cui accede. Se il cliente accede a VDA o Cloud Connector tramite RDP e contrae accidentalmente un virus, il cliente ne è responsabile. Se il personale di supporto Citrix accede a queste macchine, è responsabilità di tale personale eseguire le operazioni in modo sicuro. La responsabilità per eventuali vulnerabilità esposte da qualsiasi persona che accede al bastion o ad altre macchine nella distribuzione (ad esempio, la responsabilità del cliente di aggiungere intervalli IP all’elenco consentito, la responsabilità di Citrix di implementare correttamente gli intervalli IP) è trattata altrove in questo documento.

In entrambi gli scenari, Citrix è responsabile della corretta creazione delle eccezioni del firewall per consentire il traffico RDP. Citrix è inoltre responsabile della revoca di queste eccezioni dopo che il cliente elimina il bastion o termina l’accesso RDP tramite Citrix DaaS per Azure.

Bastioni

Citrix può creare bastioni nella rete virtuale gestita da Citrix del cliente all’interno dell’abbonamento gestito da Citrix del cliente per diagnosticare e riparare i problemi, in modo proattivo (senza notifica al cliente) o in risposta a un problema segnalato dal cliente. Il bastione è una macchina a cui il cliente può accedere tramite RDP e che può poi utilizzare per accedere ai VDA e (per i cataloghi aggiunti al dominio) ai Cloud Connector tramite RDP per raccogliere registri, riavviare i servizi o eseguire altre attività amministrative. Per impostazione predefinita, la creazione di un bastion apre una regola del firewall esterno per consentire il traffico RDP da un intervallo di indirizzi IP specificato dal cliente alla macchina bastion. Apre inoltre una regola firewall interna per consentire l’accesso ai Cloud Connector e ai VDA tramite RDP. L’apertura di queste regole comporta un grosso rischio per la sicurezza.

Il cliente è tenuto a fornire una password complessa da utilizzare per l’account Windows locale. Il cliente è inoltre responsabile della fornitura di un intervallo di indirizzi IP esterni che consenta l’accesso RDP al bastione. Se il cliente sceglie di non fornire un intervallo IP (consentendo a chiunque di tentare l’accesso RDP), sarà responsabile di qualsiasi tentativo di accesso da parte di indirizzi IP dannosi.

Il cliente è inoltre responsabile dell’eliminazione del bastion una volta completata la risoluzione dei problemi. L’host bastion espone una superficie di attacco aggiuntiva, pertanto Citrix spegne automaticamente la macchina otto (8) ore dopo l’accensione. Tuttavia, Citrix non elimina mai automaticamente un bastion. Se il cliente decide di utilizzare Bastion per un periodo di tempo prolungato, è tenuto ad applicare patch e aggiornamenti. Citrix consiglia di utilizzare un bastion solo per alcuni giorni prima di eliminarlo. Se il cliente desidera un bastion aggiornato, può eliminare quello attuale e crearne uno nuovo, che fornirà una nuova macchina con le patch di sicurezza più recenti.

Accesso RDP

Per i cataloghi aggiunti al dominio, se il peering VNet del cliente è funzionante, il cliente può abilitare l’accesso RDP dal proprio peering VNet al proprio VNet gestito da Citrix. Se il cliente utilizza questa opzione, è responsabile dell’accesso ai VDA e ai Cloud Connector tramite il peering VNet. È possibile specificare intervalli di indirizzi IP di origine in modo da limitare ulteriormente l’accesso RDP, anche all’interno della rete interna del cliente. Per accedere a queste macchine il cliente dovrà utilizzare le credenziali di dominio. Se il cliente sta collaborando con il supporto Citrix per risolvere un problema, potrebbe dover condividere queste credenziali con il personale di supporto. Una volta risolto il problema, il cliente è tenuto a disabilitare l’accesso RDP. Mantenere aperto l’accesso RDP dalla rete peer o locale del cliente rappresenta un rischio per la sicurezza.

Credenziali di dominio

Se il cliente sceglie di utilizzare un catalogo aggiunto al dominio, è tenuto a fornire a Citrix DaaS per Azure un account di dominio (nome utente e password) con le autorizzazioni per aggiungere macchine al dominio. Quando fornisce le credenziali di dominio, il cliente è responsabile del rispetto dei seguenti principi di sicurezza:

• Verificabile: L’account deve essere creato appositamente per l’utilizzo di Citrix DaaS per Azure, in modo che sia facile verificare a cosa serve.
• Ambito: L’account richiede solo i permessi per unire le macchine a un dominio. Non dovrebbe essere un amministratore di dominio completo.
• Sicuro: Si consiglia di impostare una password complessa per l’account.

Citrix è responsabile dell’archiviazione sicura di questo account di dominio in un Azure Key Vault nell’abbonamento Azure gestito da Citrix del cliente. L’account viene recuperato solo se un’operazione richiede la password dell’account di dominio.

Ulteriori informazioni

Per informazioni correlate, vedere:

• Guida alla distribuzione sicura per la piattaforma Citrix Cloud: Informazioni sulla sicurezza per la piattaforma Citrix Cloud.
• Panoramica sulla sicurezza tecnica: Informazioni sulla sicurezza per Citrix DaaS
• Notifiche di terze parti