应用程序保护事件到 Director 和 Monitor
入门篇
适用于 Windows 的 Citrix Workspace 应用程序 (CWA) 引入了内置安全检查，可自动检测端点上的高风险状况（例如 Microsoft Recall），无需手动配置。这些检测通过向 Citrix Director 和 Monitor 报告事件来提供实时可见性，使管理员能够快速评估风险并应用应用程序保护策略等保护措施。
虽然某些事件（例如 Microsoft Recall）的检测是自动的，但要防范这些事件，管理员需要手动配置应用程序保护策略。
通过利用主动风险管理和策略重新配置，管理员可以加强其环境中的端点安全性，并减少新兴威胁的暴露。这种主动方法通过帮助组织实时识别和响应威胁，进一步履行了 Citrix® 确保应用程序交付安全的承诺。
注意：
Citrix Workspace 应用程序通过产品收集有关用户和设备使用情况的遥测数据，用于强制执行许可证权利，以及用于操作、管理、衡量和改进软件，包括以下内容：
- 设备 ID
- 用户名
- 时间戳
- IP 地址
先决条件
- Citrix 虚拟交付代理：VDA 版本 2507 或更高版本。
- Citrix Director：思杰虚拟应用和桌面 2603 或更高版本。
- Citrix 监控：DDC 版本 128 或更高版本。
- 适用于 Windows 的 Citrix Workspace 应用程序 (CWA)：端点上需要版本 2603 或更高版本。
- 对于保护事件，管理员必须通过 Citrix 策略配置相关的应用程序保护策略（例如，防屏幕捕获、防 DLL 注入）。
事件类型
微软回顾功能检测
Windows Recall 是在端点上运行的 AI 代理，它持续捕获并本地存储用户屏幕内容的快照以进行分析。这些快照可能包含敏感信息，例如：
- 登录期间输入的公司凭据。
- 在虚拟桌面或已发布的应用程序中显示的机密应用程序数据。
- 在用户会话期间显示的公司专有文件和知识产权资产。
如果被利用，此功能可能允许攻击者或未经授权的用户从设备中检索敏感数据，即使会话结束后也是如此。
何时发送此事件
在会话启动期间，CWA 会自动检测 Windows Recall 是否在端点上处于活动状态。
- 检测事件：如果检测到 Recall 且会话未启用防屏幕捕获策略，则发送此事件。
- 保护事件：如果检测到 Recall 且会话已启用防屏幕捕获策略，则发送此事件。
事件特定数据
此事件仅使用通用字段；除了 resourceType 和 resourceName 之外，不包含任何其他字段。
屏幕捕获检测
当用户或工具尝试截取端点桌面屏幕时，会引发屏幕捕获事件。如果启用了 App Protection Anti-screen capture 策略，则会话内容将对捕获工具显示为黑色。该工具仍可捕获会话外部的桌面区域，但会话内容本身会被遮蔽。
何时发送此事件
当 CWA 检测到屏幕捕获工具在启用并运行防屏幕捕获策略的会话期间主动尝试捕获屏幕时，会发送 screenCaptureEvent。该事件包括工具的名称和路径，以及其签名状态。
DLL 注入检测
DLL（动态链接库）是一种可执行库。当进程将 DLL 注入 Citrix 进程时，会发生 DLL 注入。这些 DLL 可能因各种原因被注入——既有正当原因（例如，图形驱动程序、防病毒软件），也有恶意原因（例如，拦截网络流量、拦截凭据）。
App Protection 反 DLL 注入可防止未签名的 DLL 注入到特定的 Citrix 进程中。未签名的 DLL 注入到 Citrix 进程中被视为 DLL 注入事件。
何时发送此事件
当 CWA 检测到在启用防 DLL 注入策略的情况下，有未签名的 DLL 注入到受保护的 Citrix 进程中时，会发送 DLL 注入事件。
数据和事件的详细信息
通用事件架构
所有端点安全事件都共享一个报告给 Director 和 Monitor 的通用信封：
| 字段 | 详细说明 | 示例 |
|---|---|---|
deviceName |
端点计算机名称。 | WORKSTATION-01 |
username |
已登录用户（UPN 格式）。 | john@example.com |
timestamp |
Unix 纪元时间戳（毫秒）。 | 1733805466000 |
osVersion |
端点操作系统版本。 | Windows 11 Pro |
cwaVersion |
端点上的 Citrix Workspace 应用程序版本。 | 25.3.2.196 |
ipAddress |
端点 IP 地址。 | 123.45.67.89 |
version |
事件架构版本。 | 1.0 |
eventType |
安全事件类型的标识符。 | recallEvent |
payloadType |
0 = 检测（已识别威胁）；1 = 保护（已缓解）。 | 0 |
component |
生成事件的 CWA 组件。 | AppProtection |
每个事件中还包含一个 EndpointSecurityAdditionalData 对象，该对象提供以下信息：
| 字段 | 详细描述 | 示例 |
|---|---|---|
resourceType |
与事件关联的资源类型。 | ICA session |
resourceName |
已发布资源的友好名称。 | Prod_Win11_Session |
屏幕捕获事件特定数据
除了通用字段外，EndpointSecurityAdditionalData 还包括：
| 字段 | 详细描述 | 示例 |
|---|---|---|
screenCaptureToolName |
检测到的工具的可执行文件名称。 | obs64.exe |
screenCaptureToolPath |
工具可执行文件的完整文件系统路径。 | C:\Program Files\obs-studio\bin\64bit |
signed |
检测到的可执行文件是否经过数字签名。 | true |
DLL 注入事件特定数据
除了通用字段外，管理员还可以查看 DLL 的路径：
| 字段 | 详细描述 | 示例 |
|---|---|---|
dllPath |
注入的未签名 DLL 的完整文件系统路径。 | C:\Program Files\abc.dll |