ディレクターおよびモニターへのアプリ保護イベント
はじめに
Windows向けCitrix Workspaceアプリ (CWA) には、手動設定なしで、Microsoft Recallなどのエンドポイント上の高リスク状態を自動的に検出する組み込みのセキュリティチェックが導入されています。これらの検出は、Citrix DirectorおよびMonitorにイベントを報告することでリアルタイムの可視性を提供し、管理者がリスクを迅速に評価してApp Protectionポリシーなどの保護対策を適用できるようにします。
特定のイベント（たとえば、Microsoft Recall）の検出は自動ですが、これらのイベントからの保護には、管理者によるApp Protectionポリシーの手動設定が必要です。
プロアクティブなリスク管理とポリシーの再構成を利用することで、管理者は環境内のエンドポイントセキュリティを強化し、新たな脅威への露出を減らすことができます。このプロアクティブなアプローチは、組織がリアルタイムで脅威を特定し対応するのを支援することで、Citrix®が安全なアプリケーション配信にコミットしていることをさらに推進します。
注：
Citrix Workspaceアプリは、ライセンスエンタイトルメントの適用、およびソフトウェアの運用、管理、測定、改善のために、製品を通じてユーザーおよびデバイスの使用状況に関するテレメトリデータを収集します。これには以下が含まれます。
- デバイスID
- ユーザー名
- タイムスタンプ
- IPアドレス
前提条件
- シトリックス バーチャル デリバリー エージェント：VDA バージョン 2507 以降。
- シトリックス ディレクター：シトリックス バーチャル アプリケーションズ アンド デスクトップス 2603 以降。
- Citrix Monitor：DDC バージョン 128 以降が必要です。
-
Windows 用 Citrix Workspace アプリ (CWA): エンドポイントにはバージョン 2603 以降が必要です。
- 保護イベントの場合、管理者は関連するアプリ保護ポリシー (例: 画面キャプチャ防止、DLL インジェクション防止) を Citrix ポリシーを通じて構成する必要があります。
イベントの種類
マイクロソフト リコール の検出
Windows Recall は、エンドポイントで実行される AI エージェントであり、ユーザーの画面コンテンツのスナップショットを継続的にキャプチャしてローカルに保存し、分析します。これらのスナップショットには、次のような機密情報が含まれる可能性があります。
- サインイン時に入力された企業資格情報。
- 仮想デスクトップまたは公開アプリケーションに表示される機密性の高いアプリケーションデータ。
- セッション中に表示される専有文書および知的財産。
Director の表示 - リコール イベント(/ja-jp/citrix-workspace-app/media/director-recall-screenshot1.png)
悪用された場合、この機能により、攻撃者や不正なユーザーがセッション終了後でもデバイスから機密データを取得できる可能性があります。
このイベントはいつ送信されますか
セッション起動中、CWA は Windows Recall がエンドポイントでアクティブであるかどうかを自動的に検出します。
- 検出イベント: Recall が検出され、セッションで画面キャプチャ防止ポリシーが有効になっていない場合に送信されます。
- 保護イベント: Recall が検出され、セッションで画面キャプチャ防止ポリシーが有効になっている場合に送信されます。
Director ビュー - リコールイベント(/ja-jp/citrix-workspace-app/media/director-recall-screenshot.png)
イベント固有のデータ
このイベントは共通フィールドのみを使用し、resourceTypeおよびresourceName以外の追加フィールドは含まれません。
スクリーンキャプチャの検出
ユーザーまたはツールがエンドポイントデスクトップのスクリーンショットを撮ろうとすると、スクリーンキャプチャイベントが発生します。App Protection Anti-screen captureポリシーが有効になっている場合、セッションのコンテンツはキャプチャツールに対して黒く塗りつぶされます。ツールはセッション外のデスクトップ領域をキャプチャできますが、セッションコンテンツ自体は隠されます。
このイベントはいつ送信されますか
Anti-screen captureポリシーが有効で実行中のセッション中に、CWAがスクリーンキャプチャツールが積極的に画面をキャプチャしようとしていることを検出すると、screenCaptureEventが送信されます。このイベントには、ツールの名前とパス、およびその署名ステータスが含まれます。
DLLインジェクションの検出
DLL（ダイナミックリンクライブラリ）は実行可能なライブラリです。DLLインジェクションは、プロセスがDLLをCitrixプロセスに挿入するときに発生します。これらのDLLは、正当な理由（例：グラフィックドライバー、ウイルス対策ソフトウェア）と悪意のある理由（例：ネットワークトラフィックの傍受、資格情報の傍受）の両方で挿入される可能性があります。
App Protection Anti-DLL Injectionは、署名されていないDLLが特定のCitrixプロセスに挿入されるのを防ぎます。署名されていないDLLがCitrixプロセスに挿入されることは、DLLインジェクションイベントと見なされます。
このイベントはいつ送信されますか
Anti-DLL injectionポリシーが有効になっている間に、CWAが保護されたCitrixプロセスに署名されていないDLLが挿入されていることを検出すると、DLLインジェクションイベントが送信されます。
データとイベントの詳細
共通イベントスキーマ
すべてのエンドポイントセキュリティイベントは、DirectorおよびMonitorに報告される共通のエンベロープを共有します。
| フィールド | 説明欄 | 例 |
|---|---|---|
deviceName |
エンドポイントコンピューター名。 | WORKSTATION-01 |
username |
ログインユーザー (UPN形式)。 | john@example.com |
timestamp |
ミリ秒単位のUnixエポックタイムスタンプ。 | 1733805466000 |
osVersion |
エンドポイントオペレーティングシステムバージョン。 | Windows 11 Pro |
cwaVersion |
エンドポイント上のCitrix Workspaceアプリのバージョン。 | 25.3.2.196 |
ipAddress |
エンドポイントのIPアドレス。 | 123.45.67.89 |
version |
イベントスキーマのバージョン。 | 1.0 |
eventType |
セキュリティイベントタイプの識別子。 | recallEvent |
payloadType |
0 = 検出（脅威を特定）。1 = 保護（軽減済み）。 | 0 |
component |
イベントを生成したCWAコンポーネント。 | AppProtection |
すべてのイベントには、次の内容を含むEndpointSecurityAdditionalDataオブジェクトも含まれています。
| フィールド | 説明文 | 例 |
|---|---|---|
resourceType |
イベントに関連付けられているリソースの種類。 | ICA session |
resourceName |
公開されたリソースのフレンドリ名。 | Prod_Win11_Session |
画面キャプチャイベント固有のデータ
共通フィールドに加えて、EndpointSecurityAdditionalData には以下が含まれます。
| フィールド | 説明文 | 例 |
|---|---|---|
screenCaptureToolName |
検出されたツールの実行可能ファイル名。 | obs64.exe |
screenCaptureToolPath |
ツール実行可能ファイルへの完全なファイルシステムパス。 | C:\Program Files\obs-studio\bin\64bit |
signed |
検出された実行可能ファイルがデジタル署名されているかどうか。 | true |
DLLインジェクションイベント固有のデータ
共通フィールドに加えて、管理者はDLLのパスを確認できます。
| フィールド | 説明内容 | 例 |
|---|---|---|
dllPath |
挿入された署名なしDLLへの完全なファイルシステムパス。 | C:\Program Files\abc.dll |