使用进程层次结构控制保护 Citrix Workspace™ 环境
在 Citrix Workspace 环境中，某些应用程序可能并非按预期启动。这种情况可能会带来安全风险，尤其是当 CMD 和 PowerShell 等功能强大的 Windows 工具启动时。
作为管理员，您可能希望限制用户只能启动允许的应用程序。Workspace Environment Management™ (WEM) 为您提供了进程层次结构控制功能，有助于防止最终用户启动子进程。
您可以控制在 Citrix Workspace 环境中是否可以从其父进程启动某些子进程。此功能在您希望防止通过已发布的应用程序运行意外进程的场景中非常有用。
本文以 CMD 为例。借助进程层次结构控制，您可以通过阻止 CMD 通过已发布的应用程序启动，从而防止在 Citrix® 虚拟应用程序环境中通过 CMD 发起的攻击。使用此功能的通用工作流程如下：
-
在 WEM 代理上启用进程层次结构控制
-
在 WEM 控制台中配置进程层次结构控制规则
建议
我们建议您使用 WEM 工具 VUEMAppCmd 来发布应用程序。该工具可确保 WEM 代理在已发布的应用程序启动之前完成处理进程层次结构控制规则。
使用“完整配置”管理界面编辑应用程序设置，然后添加指向 VUEMAppCmd.exe 的可执行文件路径。有关详细信息，请参阅应用程序。
在 WEM 代理上启用进程层次结构控制
要启用此功能，请在代理计算机上使用 AppInfoViewer 工具。该工具位于代理安装文件夹中。启用或禁用此功能后，需要重新启动计算机。
在 WEM 控制台中配置进程层次结构控制规则
假设您要阻止 CMD 通过记事本启动。要创建进程层次结构控制规则，请完成以下步骤：
-
转到 旧版控制台 > 安全 > 进程层次结构控制，然后选择 启用进程层次结构控制。
-
单击 添加规则，按如下所示配置设置，然后单击 下一步。注意：在此示例中，您将创建一个规则以阻止 CMD 通过记事本启动。您可以使用三种规则类型（路径、发布者和哈希）之一来指定父进程和子进程。在 分配 下，选择要应用规则的用户。有关设置的详细信息，请参阅进程层次结构控制。
-
将记事本配置为父进程，然后单击 下一步。注意：用户界面因您在步骤 2 中选择的规则类型而异。
-
根据需要向规则中添加多个子进程，然后单击 创建。
这样就完成了规则的创建。代理将阻止 CMD 在 Citrix Workspace 环境中通过记事本启动。