Citrix Analytics for Security™

Apps and Desktops のセルフサービス検索

セルフサービス検索を使用して、Citrix Virtual Apps and Desktops データソースおよび Citrix DaaS (旧称 Citrix Virtual Apps and Desktops サービス) データソースから受信したユーザーイベントに関するインサイトを取得します。ユーザーが仮想アプリまたは仮想デスクトップを使用すると、そのアクティビティとアクションに対応するイベントが生成されます。ユーザーイベントの例としては、ファイルのダウンロード、アカウントログオン、アプリの起動などがあります。Citrix Analytics for Security はこれらのユーザーイベントを受信し、セルフサービスページに表示します。ユーザーとそのアクティビティを追跡できます。

検索機能の詳細については、「セルフサービス検索」を参照してください。

Apps and Desktops データソースの選択

Citrix Virtual Apps and Desktops または Citrix DaaS からのイベントを表示するには、リストから [Apps and Desktops] を選択します。デフォルトでは、セルフサービスページには過去 1 日間のイベントが表示されます。イベントを表示する期間を選択することもできます。

Citrix Virtual Apps and Desktops の選択

デフォルトでは、セルフサービスページには過去 1 か月間のイベントが表示されます。このページには、必要なイベントをフィルタリングして絞り込むための複数のファセットと検索ボックスも用意されています。

イベントをフィルタリングするためのファセットの選択

Apps and Desktops イベントに関連付けられている以下のファセットを使用します。

Virtual Apps and Desktops ファセット

  • イベントタイプ - アカウントログオン、アプリ終了、セッション終了などのイベントタイプに基づいてイベントを検索します。

  • ドメイン - citrate.net などのドメインに基づいてイベントを検索します。

  • OS - ユーザーのデバイスで使用されている Chrome、iOS、Windows などのオペレーティングシステムに基づいてイベントを検索します。イベントをフィルタリングするには、オペレーティングシステム名とバージョンを選択します。オペレーティングシステムのバージョンの詳細については、「検索クエリでサポートされている値」を参照してください。

イベントをフィルタリングするための検索クエリの指定

検索ボックスにカーソルを置くと、Apps and Desktops イベントのディメンションのリストが表示されます。ディメンションと 演算子 を使用してクエリを指定し、必要なイベントを検索します。

Virtual Apps and Desktops ディメンション

たとえば、Windows オペレーティングシステムを使用しているユーザー「John Doe」のイベントを検索するとします。

  1. 検索ボックスに「U」と入力して、関連する候補を取得します。

    Virtual Apps and Desktop 検索クエリ 1

  2. [User-Name] をクリックし、等号演算子を使用して値「John」を入力します。

    Virtual Apps and Desktop 検索クエリ 2

  3. AND 演算子と [OS-Name] ディメンションを選択します。等号演算子を使用して値「Windows 7」を割り当てます。

    Virtual Apps and Desktop 検索クエリ 3

  4. 期間を選択し、[検索] をクリックして [DATA] テーブルに基づいてイベントを表示します。

イベントタイプとサポートされているフィールド

VDA.Print を除くすべてのイベントタイプで、以下のフィールドが利用可能です。

  • 都市

  • クライアント IP

  • デバイス ID

  • OS 名

  • OS バージョン

  • OS 追加情報

  • 時刻

  • ユーザー名

  • Workspace アプリバージョン

  • Workspace アプリステータス

以下の表は、Apps and Desktops データソースで利用可能なイベントタイプと、各イベントタイプに固有のフィールドについて説明しています。

説明 フィールド
Account.Logon Citrix Workspace アプリを介して Store にログオンしたときにトリガーされます。: Account.Logon は HTML5 クライアントでは利用できません。 上記で説明されている共通フィールドを確認してください。
Session.Logon 仮想セッションにログオンしたときにトリガーされます。 アプリ保護ポリシー、ドメイン、セッション起動タイプ、セッションサーバー名、セッションユーザー名
Session.End 仮想セッションを終了したときにトリガーされます。 ドメイン、セッション起動タイプ、セッションサーバー名、セッションユーザー名
App.Start 仮想アプリセッションを起動したときにトリガーされます。: このイベントタイプは、デスクトップセッション内でアプリケーションが起動された場合には適用されません。 アプリ名、ドメイン、セッション起動タイプ、セッションサーバー名、セッションユーザー名
App.End 仮想アプリセッションを終了したときにトリガーされます。: このイベントタイプは、デスクトップセッション内でアプリケーションが起動された場合には適用されません。 アプリ名、ドメイン、セッション起動タイプ、セッションサーバー名、セッションユーザー名
File.Download ユーザーがリモート仮想セッションからクライアントデバイスにファイルをコピーしたときにトリガーされます。仮想セッション内で発生するファイル転送ではトリガーされません。: このイベントタイプは、サーバーがファイルリダイレクトを許可し (ファイルリダイレクト設定 で詳細を確認)、クライアント Workspace の [ファイルアクセス] 設定が [読み取りと書き込み] に設定されている場合にのみ送信されます。 ドメイン、ダウンロードデバイスタイプ、ダウンロードファイル名、ダウンロードファイルパス、ダウンロードファイルサイズ、セッションサーバー名、セッションユーザー名
Printing Citrix Workspace アプリが起動されたセッションで、クライアントプリンターを介してファイルを印刷したときにトリガーされます。: 印刷イベントに影響する Citrix Workspace アプリには 2 つの技術的制限があります。まず、すべてのプラットフォームバリアントで既知の問題のため、印刷イベントに印刷ドキュメント名テレメトリは含まれません。次に、別の既知の技術的制限のため、Windows の印刷イベントに印刷ファイルサイズテレメトリは含まれません。これらのデータセット (ファイル名/ファイルサイズ) を収集するには、VDA.Print イベントを使用します。詳細については、「Citrix DaaS の印刷テレメトリの有効化」を参照してください。 ブラウザー名、ブラウザーバージョン、ドメイン、プリンター名、印刷ファイル形式、印刷ファイルサイズ、セッションサーバー名、セッションユーザー名
AppProtection.ScreenCapture 保護されたセッション中にユーザーがスクリーンショットをキャプチャしようとしたときにトリガーされます。: 詳細については、「アプリ保護」を参照してください。 保護されたアプリタイトル、スクリーンキャプチャツール名、スクリーンキャプチャツールパス
App.SaaS.Launch Citrix Workspace アプリが Citrix Enterprise Browser で SaaS アプリを起動したときにトリガーされます。 ブラウザー名、ブラウザーバージョン、SaaS アプリ名、SaaS アプリ URL
App.SaaS.End Citrix Workspace アプリが Citrix Enterprise Browser で SaaS アプリを閉じたときにトリガーされます。 ブラウザー名、ブラウザーバージョン、SaaS アプリ URL
App.SaaS.Clipboard Citrix Enterprise Browser でクリップボード操作が実行されたときにトリガーされます。 ブラウザー名、ブラウザーバージョン、クリップボード詳細形式サイズ、クリップボード詳細形式タイプ、クリップボード詳細イニシエーター、クリップボード詳細結果、クリップボード操作、SaaS アプリ URL
App.SaaS.File.Download Citrix Enterprise Browser でファイルがダウンロードされたときにトリガーされます。 ブラウザー名、ブラウザーバージョン、ダウンロードデバイスタイプ、ダウンロードファイルパス、ダウンロードファイルサイズ
App.SaaS.File.Print Citrix Enterprise Browser で印刷が開始されたときにトリガーされます。 ブラウザー名、ブラウザーバージョン、印刷ファイル名、SaaS アプリ名、SaaS アプリ URL
App.SaaS.Url.Navigate Citrix Enterprise Browser が URL をナビゲートしたときにトリガーされます。 ブラウザー名、ブラウザーバージョン、SaaS アプリ名、SaaS アプリ URL
Citrix.EventMonitor.AppStart セッション記録サーバーの アプリ監視リスト に追加されたアプリケーションが仮想デスクトップセッション内で起動されたときにトリガーされます。 アプリ名
Citrix.EventMonitor.AppEnd セッション記録サーバーの アプリ監視リスト に追加されたアプリケーションが仮想デスクトップセッション内で停止されたときにトリガーされます。 アプリ名
Citrix.EventMonitor.Clipboard セッション記録内でクリップボードアクションが実行されたときにトリガーされます。 クリップボードデータ形式タイプ、プロセス名、ウィンドウタイトル
Citrix.EventMonitor.FileTransfer ユーザーが仮想デスクトップセッションとユーザーのマシン間でファイルを転送したときにトリガーされます。 ファイルサイズ、操作方向 (ホストからクライアント、クライアントからホスト)、ソースパス、宛先パス
Citrix.EventMonitor.RegistryChange レジストリ操作が実行されたときにトリガーされます。可能なレジストリ操作は、作成、削除、名前変更、値の設定、値の削除です。 レジストリ操作、レジストリ名、レジストリパス、プロセス ID、プロセスファイルパス
Citrix.EventMonitor.SessionEnd セッション記録が終了したときにトリガーされます。 説明
Citrix.EventMonitor.SessionLaunch セッション記録が開始されたときにトリガーされます。 セッション記録タイプ
Citrix.EventMonitor.TopMost 最上位ウィンドウが変更されたときにトリガーされます。 アプリ名
Citrix.EventMonitor.IdleStart セッションがアイドル状態になったときにトリガーされます。 上記で説明されている共通フィールドを確認してください。
Citrix.EventMonitor.IdleEnd アイドルセッションが終了したときにトリガーされます。 上記で説明されている共通フィールドを確認してください。
Citrix.EventMonitor.WebBrowsing ユーザーが仮想デスクトップセッション内のブラウザーでウェブページを操作したときにトリガーされます。 アプリ名、URL
Citrix.EventMonitor.FileCreate 監視対象のファイルシステムパス内の仮想デスクトップセッションでファイルまたはフォルダーが作成されたときにトリガーされます。 ファイル名、ファイルパス、ファイルサイズ
Citrix.EventMonitor.FileRename 監視対象のファイルシステムパス内の仮想デスクトップセッションでファイルまたはフォルダーの名前が変更されたときにトリガーされます。 上記で説明されている共通フィールドを確認してください。
Citrix.EventMonitor.FileMove 監視対象のファイルシステムパス内のファイルまたはフォルダーが、仮想デスクトップセッション内またはセッションホスト (VDA) とクライアントデバイス間で移動されたときにトリガーされます。 上記で説明されている共通フィールドを確認してください。
Citrix.EventMonitor.FileDelete 監視対象のファイルシステムパス内のファイルまたはフォルダーが仮想デスクトップセッションで削除されたときにトリガーされます。 ファイル名、ファイルパス、ファイルサイズ
Citrix.EventMonitor.CDMUSBDriveAttach クライアントドライブマッピング (CDM) でマップされた USB マスストレージデバイスが、仮想アプリおよびデスクトップセッションが接続されているクライアントに挿入されたときにトリガーされます。 上記で説明されている共通フィールドを確認してください。
Citrix.EventMonitor.GenericUSBDriveAttach 汎用リダイレクトされた USB マスストレージデバイスが、仮想アプリおよびデスクトップセッションが接続されているクライアントに挿入されたときにトリガーされます。 上記で説明されている共通フィールドを確認してください。
Citrix.EventMonitor.RDPConnection ユーザーが VDA マシン内でリモートデスクトップ接続を作成したときにトリガーされます。 宛先 IP、プロセス ID
Citrix.EventMonitor.UserAccountModification アカウントの作成、有効化、無効化、削除、名前の変更、パスワードの変更など、すべての種類のユーザーアカウント操作でトリガーされます。 説明、ターゲットユーザー名
VDA.Print Apps and Desktops で印刷ジョブが開始されたときにトリガーされます。: このイベントは Citrix DaaS データソースにのみ適用されます。詳細については、「Citrix DaaS の印刷テレメトリの有効化」を参照してください。 ドキュメントユーザー名、マシン名、印刷ファイル名、印刷ファイルサイズ、プリンター名、時刻、印刷された合計コピー数、印刷された合計ページ数
VDA.Clipboard Apps and Desktops でクリップボード操作が実行されたときにトリガーされます。: このイベントは Citrix DaaS データソースにのみ適用されます。詳細については、「Citrix DaaS のクリップボードテレメトリの有効化」を参照してください。 クリップボード形式タイプ、クリップボード操作、クリップボード操作方向、クリップボード操作許可、クリップボードサイズ、マシン名

すべてのセッション記録イベントでは、Session Recording サーバーでイベントをログに記録するためのポリシーを有効にする必要があります。詳細については、「カスタムイベント検出ポリシーの作成」を参照してください。

検索クエリでサポートされている値

検索クエリを定義するには、ディメンションに以下の値を入力します。

ディメンション タイプ 説明
App-Name アプリケーションまたはデスクトップセッション。 文字列 起動されたアプリケーションまたはデスクトップの名前。
  アプリケーションセッションの例: ファーム名なしのセッション: #Cloud - Excel 2016 ファーム名ありのセッション: XA65PROD#Concur    
  デスクトップセッションの例: ファーム名なしのセッション: #SINXIAP0616 $S1-1 ファーム名ありのセッション: XA65PROD#SINXIAP0616 $S1-1    
App-Protection-Policies 例: AntiScreenCaptureEnabled 文字列 セッションのアクティブなアプリケーション保護ポリシー。
Browser-Name 例: Google Chrome、Citrix Enterprise Browser™、Microsoft Edge、FIREFOX、SAFARI 文字列 ブラウザー名
Browser-Version 例: 80.0.3987.122、101.0.9999.0 文字列 ブラウザーバージョン
City 例: Santa Clara、Houston、Chicago 文字列 ユーザーの都市名。
Client-IP IP アドレス。例: 10.10.10.10 文字列 ユーザーエンドポイントの IP アドレス。
Client-Type Android、Windows、Macintosh、Chrome、HTML5、Unix/Linux、iOS、SessionRecording、Monitor 文字列 オペレーティングシステムまたは元のデータソースに基づくさまざまな種類の Citrix Workspace アプリを示します。
Clipboard-Format-Type 例: text、html、CF_UNICODETEXT 文字列 クリップボードにコピーされたデータ形式。
Clipboard-Initiator 例: Keyboard、context menu、javascript 文字列 クリップボード操作がどのように開始されたかを示します。: SaaS アプリケーションでのみサポートされます。
Clipboard-Operation Copy、cut、paste、または place 文字列 実行されたクリップボード操作を示します。: place 操作は、データがクリップボードに配置されたことを示します。これは、クリップボード内のデータがクライアントによって貼り付けられたか使用されたかを保証するものではありません。この操作は VDA.Clipboard イベントでのみサポートされます。
Clipboard-Operation-Direction Client To Host、Host To Client 文字列 クリップボード操作の方向を示します。: Apps and Desktop (Citrix DaaS™) クリップボード操作でのみサポートされます。
Clipboard-Operation-Permitted Allowed または Denied 文字列 Apps and Desktop セッションでクリップボード操作が許可されているかどうかを示します。: Apps and Desktop (Citrix DaaS) クリップボード操作でのみサポートされます。
Clipboard-Result Success または Blocked 文字列 クリップボード操作の結果を示します。: SaaS アプリケーションでのみサポートされます。
Clipboard-Size 例: 10、20 数値 クリップボードに現在保存されているデータのサイズ (バイト単位)。
Country 例: USA、India 文字列 ユーザーの国名。
Description Citrix.EventMonitor.UserAccountModification イベントの場合: ユーザーアカウントが作成されました、ユーザーアカウントが有効になりました、アカウントのパスワードをリセットしようとしました。 文字列 アカウントが作成、削除、名前変更された、またはパスワードのリセットが試行されたなど、ユーザーアカウントの変更ステータスについて説明します。
  Citrix.EventMonitor.SessionEnd イベントの場合: Unknown、Logoff、Rollover、Trigger、および Incomplete   セッション記録が終了した理由を説明します。
Destination-IP 例: 10.60.110.xxx 文字列 リモートデスクトップの IP アドレス。
Destination-Path 例: \H$\Desktop\Folder\example.txt 文字列 転送完了後のファイルの最終パス。
Device-ID 例: cb781185-18ad-4f45-b75f 文字列 ライセンス、クライアント名、またはオペレーティングシステムハードウェア ID に使用されるデバイス ID。
Domain 例: example.com 構造 要求を送信したサーバーのドメイン名。
Download-Device-Type 例: USB、Hard Disk Drive、RemoteDrive、cdrom、またはブラウザーダウンロード。 文字列 ファイルがダウンロードまたは転送されるデバイスタイプ。
Download-File-Format 例: txt、PDF、xlsx、docx 文字列 ダウンロードされたファイルの形式。
Download-File-Name 例: example-file.txt 文字列 ダウンロードされたファイルの名前。
Download-File-Path 例: C:\Users\admin\Desktop 文字列 ダウンロードされたファイルのパス。
Download-File-Size 例: 8.05 数値 ダウンロードされたファイルのサイズ (キロバイト単位)。
Event-Type Account.Logon、Session.Logon、Session.End、App.Start、App.End、File.Download、Printing、AppProtection.ScreenCapture、App.SaaS.Launch、App.SaaS.End、App.SaaS.Clipboard、App.SaaS.File.Download、App.SaaS.File.Print、App.SaaS.Url.Navigate、Citrix.EventMonitor.AppStart、Citrix.EventMonitor.AppEnd、Citrix.EventMonitor.TopMost、Citrix.EventMonitor.WebBrowsing、Citrix.EventMonitor.FileCreate、Citrix.EventMonitor.FileRename、Citrix.EventMonitor.FileMove、Citrix.EventMonitor.FileDelete、Citrix.EventMonitor.CDMUSBDriveAttach、Citrix.EventMonitor.GenericUSBDriveAttach、Citrix.EventMonitor.RDPConnection、Citrix.EventMonitor.UserAccountModification、VDA.Print、VDA.Clipboard、Citrix.EventMonitor.RegistryChange、Citrix.EventMonitor.SessionLaunch、Citrix.EventMonitor.SessionEnd、Citrix.EventMonitor.Clipboard、Citrix.EventMonitor.FileTransfer 文字列 詳細については、「イベントタイプとサポートされているフィールド」を参照してください。
Jail-Broken Yes または No 文字列 デバイスがルート化されているかどうかを示します。: このディメンションが存在しない場合、デバイスはルート化されていません。このキーは、iOS および Android デバイス用の Citrix Workspace™ アプリに適用されます。
Operation-Direction Host to Client/ Client to Host 文字列 ファイル転送の方向を示します。
OS-Extra-Info 例: 20G80、Service Pack 1、19043 文字列 ビルド番号、サービスパック、パッチなどのオペレーティングシステムの追加情報を示します。
OS-Name 例: macOS 11、Windows 7、Android 8.1、Windows 10 Enterprise 文字列 オペレーティングシステムの名前を示します。
OS-Version 例: 11.5.1、14.7.1、2009 文字列 オペレーティングシステムのバージョンを示します。
Print-File-Format 例: PDF、PS、DOCX 文字列 印刷されたファイルの形式。
Print-File-Name 例: example-file.pdf 文字列 印刷されたファイルの名前。
Print-File-Size 例: 10、20 文字列 印刷されたファイルのサイズ (バイト単位)。
Printer-Name 例: testprinter-1 文字列 使用されたプリンターの名前。
Process-ID 例: 11248 文字列 2 つのアクションを実行する特定のプロセスを識別するために使用されるプロセス ID を指します: 新しいプロセスの作成リモートデスクトップ接続の作成。Process-ID は現在、Citrix.EventMonitor.RDPConnection イベントにのみ関連付けられています。
Protected-App-Titles 例: Admin Desktop - Citrix Workspace 文字列 保護されたセッションで実行されているアプリケーションの名前。
Registry-Name 変更されたレジストリの名前 文字列 変更されたレジストリの名前。
Registry-Operation Rename、Create、Delete、SetValue、DeleteValue 文字列 実行されたレジストリ操作を示します。
Registry-Path 変更されたレジストリのパス 文字列 変更されたレジストリのパス。
SaaS-App-Name 例: Workday 文字列 SaaS アプリケーションの名前。
SaaS-App-URL 例: https://xyz.com 文字列 SaaS アプリケーションまたはゲートウェイ/プロキシ URL の URL。: SaaS アプリケーションが最初に起動されたときに、ゲートウェイ/プロキシ URL が App.SaaS.Launch イベントに表示されます。
Screen-Capture-Tool-Name 例: ScreenShotTool.exe 文字列 スクリーンキャプチャツールの名前。
Screen-Capture-Tool-Path 例: c:\Program files (x86)\ScreenContent Client 文字列 スクリーンキャプチャツールのパス。
Session-Launch-Type Application または Desktop 文字列 起動されたセッションがアプリケーションタイプかデスクトップタイプかを示します。
Session-Recording-Type Traditional recording/ Event only recording 文字列 起動されたセッション記録のタイプを示します。
Session-Server-Name 例: Hosted Desktop、Cloud-VDA-1 文字列 サーバーから受信した、接続されているアプリケーションまたはデスクトップの名前。
Session-User-Name 例: demo-user、test-user 文字列 サーバーから受信したユーザー名。
Source-Path 例: C:\Users\admin\Desktop\example.txt 文字列 転送前のファイルの初期パス。
Target-User-Name 例: user01 文字列 現在、Target-User-Name は Citrix.EventMonitor.UserAccountModification イベントでのみ使用され、変更されたユーザーアカウントを指します。
Total-Copies-Printed 例: 1、2 数値 ユーザーが印刷した合計コピー数。
Total-Pages-Printed 例: 1、2 数値 ユーザーが印刷したドキュメントの合計ページ数。
User-Name ユーザー名または Domain\username 文字列 ユーザー名またはドメイン\ユーザー名。StoreFront ログインに使用されます。StoreFront ログインが HTML5 または Chrome 用の Citrix Workspace アプリを介していない場合、この値はサーバーから受信した値と同じです。
VDA-Name 例: TSVDA-19-01.xd.local 文字列 VDA マシンの名前を示します。
Window-Title 例: Administrator - 01 Command Prompt 文字列 クリップボード操作が実行されたウィンドウのタイトルを示します。
Workspace-App-Version 例: 20.8.0.3 (2008) 文字列 ユーザーのデバイスにインストールされ、リモート仮想アプリおよびデスクトップセッションの起動に使用される Citrix Workspace アプリまたは Citrix Receiver のバージョン。
Workspace-App-Status Supported または Unsupported 文字列 ユーザーのデバイスにインストールされている Citrix Workspace アプリまたは Citrix Receiver のバージョンが、Citrix Analytics for Security でサポートされているか、サポートされていないかを示します。Workspace アプリがサポートされていない場合は、[Unsupported] にカーソルを合わせます。サポートされているバージョンのリストを表示するためのリンクを含むポップアップウィンドウが表示されます。Workspace アプリのバージョンがサポート対象外になる時期が近づくと、セルフサービス検索ページにバナーが表示され、アップグレードを開始できるサポートされているバージョンがリストされます。

オペレーティングシステムの命名形式

Citrix Analytics は、ユーザーデバイスのオペレーティングシステム (OS) の詳細を受信し、それらを OS 名、OS バージョン、OS 追加情報に変換します。

  • OS 名 は、オペレーティングシステムの名前を示します。

  • OS バージョン は、オペレーティングシステムのリリース ID またはリリースバージョンを示します。

  • OS 追加情報 は、ビルド番号、サービスパック、パッチなどのオペレーティングシステムの追加情報を示します。

以下の表は、オペレーティングシステムのバージョン番号形式のいくつかの例を示しています。

OS 名 OS バージョン OS 追加情報
macOS 11 11.5.1 20G80
iOS 14 14.7.1 利用不可
Windows 10 Enterprise 2009 19043
Windows 7 6.1 Service Pack 1
Android 8.1 8.1.0 利用不可

  • Mac バージョン 11.x 以降の OS 詳細を取得するには、Citrix Workspace アプリ for Mac 2108 以降のクライアントバージョンが推奨されます。

  • Windows 10 の OS 詳細については、現在利用できません。

Apps and Desktops のセルフサービス検索