Sicherheit
App Protection
Die App Protection-Funktion ist eine Zusatzfunktion, die erweiterte Sicherheit bei der Verwendung von Citrix Virtual Apps and Desktops und Citrix DaaS (ehemals Citrix Virtual Apps and Desktops Service) bietet. Die Funktion schränkt die Fähigkeit von Clients ein, durch Keylogging- und Screen-Capturing-Malware kompromittiert zu werden. App Protection verhindert die Exfiltration vertraulicher Informationen wie Benutzeranmeldeinformationen und sensibler Informationen auf dem Bildschirm. Die Funktion verhindert, dass Benutzer und Angreifer Screenshots erstellen und Keylogger verwenden, um sensible Informationen zu sammeln und auszunutzen. Weitere Informationen finden Sie unter App Protection.
Haftungsausschluss
App Protection-Richtlinien filtern den Zugriff auf erforderliche Funktionen des zugrunde liegenden Betriebssystems (spezifische API-Aufrufe, die zum Erfassen von Bildschirmen oder Tastatureingaben erforderlich sind). App Protection-Richtlinien bieten Schutz selbst vor benutzerdefinierten und speziell entwickelten Hacker-Tools. Da sich Betriebssysteme jedoch weiterentwickeln, können neue Methoden zum Erfassen von Bildschirmen und Protokollieren von Tastenanschlägen entstehen. Obwohl wir diese weiterhin identifizieren und beheben, können wir in bestimmten Konfigurationen und Bereitstellungen keinen vollständigen Schutz garantieren.
Informationen zum Konfigurieren von App Protection in der Citrix Workspace-App für Windows finden Sie im Abschnitt „Citrix Workspace-App für Windows“ im Artikel Konfiguration.
Hinweis:
App Protection wird nur bei Upgrades ab Version 1912 unterstützt.
Verbesserte ICA®-Dateisicherheit
Diese Funktion bietet erweiterte Sicherheit beim Umgang mit ICA-Dateien während des Starts einer virtuellen Apps- und Desktops-Sitzung.
Mit der Citrix Workspace-App können Sie die ICA-Datei beim Starten einer virtuellen Apps- und Desktops-Sitzung im Systemspeicher anstatt auf der lokalen Festplatte speichern.
Diese Funktion zielt darauf ab, Oberflächenangriffe und Malware zu eliminieren, die die ICA-Datei bei lokaler Speicherung missbrauchen könnten. Diese Funktion gilt auch für virtuelle Apps- und Desktops-Sitzungen, die im Workspace für Web gestartet werden.
Die ICA-Dateisicherheit wird auch unterstützt, wenn Citrix Workspace oder StoreFront über das Web aufgerufen wird. Die Clienterkennung ist eine Voraussetzung dafür, dass die Funktion funktioniert, wenn sie über das Web aufgerufen wird. Wenn Sie über einen Browser auf StoreFront zugreifen, aktivieren Sie die folgenden Attribute in der Datei web.config bei StoreFront-Bereitstellungen:
| StoreFront-Version | Attribut |
|---|---|
| 2.x | pluginassistant |
| 3.x | protocolHandler |
Wenn Sie sich über den Browser beim Store anmelden, klicken Sie auf Workspace-App erkennen. Wenn die Aufforderung nicht angezeigt wird, löschen Sie die Browser-Cookies und versuchen Sie es erneut.
Handelt es sich um eine Workspace-Bereitstellung, finden Sie die Clienterkennungseinstellungen, indem Sie zu Kontoeinstellungen > Erweitert > Startpräferenz für Apps und Desktops navigieren.
Sie können zusätzliche Maßnahmen ergreifen, damit Sitzungen nur mit der im Systemspeicher gespeicherten ICA-Datei gestartet werden. Verwenden Sie eine der folgenden Methoden:
- Gruppenrichtlinienobjekt (GPO) Administrative Vorlage auf dem Client.
- Global App Config Service.
- Workspace für Web.
Verwendung des GPO:
Um den Start von Sitzungen aus ICA-Dateien, die auf der lokalen Festplatte gespeichert sind, zu blockieren, gehen Sie wie folgt vor:
-
- Öffnen Sie die administrative Vorlage für Gruppenrichtlinienobjekte der Citrix Workspace-App, indem Sie
gpedit.mscausführen.
- Öffnen Sie die administrative Vorlage für Gruppenrichtlinienobjekte der Citrix Workspace-App, indem Sie
-
- Navigieren Sie unter dem Knoten Computerkonfiguration zu Administrative Vorlagen > Citrix Komponenten > Citrix Workspace > Client-Engine.
-
- Wählen Sie die Richtlinie Sicheren ICA-Dateisitzungsstart aus und setzen Sie sie auf Aktiviert.
- Klicken Sie auf Übernehmen und OK.
Verwendung des Global App Config Service:
Sie können den Global App Config Service ab Citrix Workspace-App 2106 verwenden.
Um den Start von Sitzungen aus ICA-Dateien, die auf der lokalen Festplatte gespeichert sind, zu blockieren, gehen Sie wie folgt vor:
Setzen Sie das Attribut Direkte ICA-Dateistarts blockieren auf True.
Weitere Informationen zum Global App Config Service finden Sie in der Dokumentation zum Global App Config Service.
Verwendung von Workspace für Web:
Um das Herunterladen von ICA-Dateien auf die lokale Festplatte bei Verwendung von Workspace für Web zu unterbinden, gehen Sie wie folgt vor:
Führen Sie das PowerShell-Modul aus. Siehe DisallowICADownload konfigurieren.
Hinweis:
Die Richtlinie DisallowICADownload ist für StoreFront-Bereitstellungen nicht verfügbar.
Inaktivitäts-Timeout für Workspace-Sitzungen
Administratoren können den Inaktivitäts-Timeout-Wert konfigurieren, um die zulässige Leerlaufzeit anzugeben, bevor Benutzer automatisch von der Citrix Workspace-Sitzung abgemeldet werden. Sie werden automatisch vom Workspace abgemeldet, wenn Maus, Tastatur oder Touch für das angegebene Zeitintervall inaktiv sind. Das Inaktivitäts-Timeout wirkt sich nicht auf aktive virtuelle Apps- und Desktops-Sitzungen oder Citrix StoreFront-Stores aus.
Der Inaktivitäts-Timeout-Wert kann von 1 Minute bis 1.440 Minuten eingestellt werden. Standardmäßig ist das Inaktivitäts-Timeout nicht konfiguriert. Administratoren können die Eigenschaft inactivityTimeoutInMinutes mithilfe eines PowerShell-Moduls konfigurieren. Klicken Sie hier, um die PowerShell-Module für die Citrix Workspace-Konfiguration herunterzuladen.
Die Endbenutzererfahrung ist wie folgt:
- Drei Minuten vor der Abmeldung wird in Ihrem Sitzungsfenster eine Benachrichtigung mit der Option angezeigt, angemeldet zu bleiben oder sich abzumelden.
- Die Benachrichtigung wird nur angezeigt, wenn der konfigurierte Inaktivitäts-Timeout-Wert größer oder gleich fünf Minuten ist.
- Benutzer können auf Angemeldet bleiben klicken, um die Benachrichtigung zu schließen und die App weiter zu verwenden. In diesem Fall wird der Inaktivitäts-Timer auf seinen konfigurierten Wert zurückgesetzt. Sie können auch auf Abmelden klicken, um die Sitzung für den aktuellen Store zu beenden.
Hinweis:
Administratoren können das Inaktivitäts-Timeout nur für Workspace (Cloud)-Sitzungen konfigurieren.