Directivas y acciones

Nota

:CitrixContent Collaboration y ShareFile han llegado al final de su vida útil y ya no están disponibles para los usuarios.

Puede crear directivas en Citrix Analytics para ayudarle a realizar acciones en las cuentas de usuario cuando se producen actividades inusuales o sospechosas. Las directivas permiten automatizar el proceso de aplicación de acciones como inhabilitar un usuario y añadir usuarios a una lista de seguimiento. Al habilitar directivas, se aplica una acción correspondiente inmediatamente después de que se produce un evento anómalo y se cumple la condición de la directiva. También puede aplicar acciones manualmente en cuentas de usuario con actividades anómalas.

¿Cuáles son las directivas?

Una directiva es un conjunto de condiciones que deben cumplirse para aplicar una acción. Una directiva contiene una o varias condiciones y una sola acción. Puede crear una directiva con varias condiciones y una acción que se puede aplicar a la cuenta de un usuario.

Lapuntuación de riesgo es una condición global. Las condiciones globales se pueden aplicar a un usuario específico para un origen de datos específico. Puede vigilar las cuentas de usuario que muestran actividades inusuales. Otras condiciones son específicas de los orígenes de datos y sus indicadores de riesgo. Las condiciones contienen combinaciones de puntuaciones de riesgo, indicadores de riesgo de impago e indicadores de riesgo personalizados. Puede agregar hasta 4 condiciones al crear una directiva.

Por ejemplo, si su organización utiliza datos confidenciales, es posible que quiera restringir la cantidad de datos compartidos o a los que tienen acceso los usuarios internamente. Pero si tiene una organización grande, no sería factible que un solo administrador administre y supervise a muchos usuarios. Puede crear una directiva en la que cualquier persona que comparta datos confidenciales en exceso pueda agregarse a una lista de seguimiento o tener su cuenta desactivada inmediatamente.

Directivas predeterminadas

Las directivas predeterminadas están predefinidas y habilitadas en el panel Directivas. Se crean en función de condiciones predefinidas y se asigna una acción correspondiente a cada directiva predeterminada. Puede utilizar una directiva predeterminada o modificarla según sus requisitos.

Citrix Analytics admite las siguientes directivas predeterminadas:

• Explotación de credenciales exitosas
• Exfiltración potencial de datos
• Acceso inusual desde una IP sospechosa
• Acceso por primera vez desde el dispositivo
• Virtual Apps and Desktops y Citrix DaaS: Trayecto imposible al acceder
• Gateway: Trayecto imposible al autenticarse

Para obtener información sobre las condiciones y acciones predefinidas con respecto a las directivas predeterminadas anteriores, consulte Evaluación continua del riesgo.

Para obtener información sobre la directiva predefinida para el caso de uso de geocercas, consulte Directiva preconfigurada.

¿Cómo agregar o eliminar condiciones?

Para agregar más condiciones, seleccione Agregar condición en la sección SI SE CUMPLE LA SIGUIENTE CONDICIÓN de la página Crear directiva. Para eliminar una condición, seleccione el icono - que aparece junto a la condición.

Indicadores de riesgo de incumplimiento y personalizados

El menú de condiciones se segrega en función de las fichas Indicadores de riesgo predeterminados e Indicadores de riesgo personalizados de la página Crear directiva. Con estas fichas, puede identificar fácilmente el tipo de indicador de riesgo que quiere elegir al seleccionar una condición para la configuración de directivas.

¿Cuáles son las acciones?

Las acciones son respuestas a eventos sospechosos que impiden que se produzcan eventos anómalos en el futuro. Puede aplicar acciones en cuentas de usuario que muestren comportamientos inusuales o sospechosos. Puede configurar directivas para aplicar acciones en la cuenta del usuario de forma automática o aplicar una acción específica manualmente desde el cronograma de riesgo del usuario.

Puede ver acciones o acciones globales para cada origen de datos de Citrix. También puede inhabilitar las acciones aplicadas previamente a un usuario en cualquier momento.

Nota

Independientemente del origen de datos que desencadena un indicador de riesgo, se pueden aplicar acciones relacionadas con otros orígenes de datos.

En la tabla siguiente se describen las acciones que se pueden llevar a cabo.

Notas

• Puede aplicar cualquier acción a un indicador de riesgo independientemente de los orígenes de datos.

• Los administradores ahora pueden ejecutar acciones de grabación dinámica de sesiones en los sitios de Citrix DaaS y grabar dinámicamente las sesiones virtuales de los usuarios.
• Las acciones Solicitar respuesta al usuariofinal y Notificar al usuario finalno se pueden aplicar a usuarios anónimos porque no tienen direcciones de correo electrónico enActive Directory. Por lo tanto, asegúrese de que las direcciones de correo electrónico de los usuarios estén disponibles enActive Directory con una conexión establecida entre Active Directory y Citrix Cloud.

Uso compartido de solo lectura

Antes de aplicar la acción Cambiar vínculos a uso compartido de solo lectura en la cuenta de un usuario, asegúrese de que se cumplen las siguientes condiciones:

Requisitos previos

• El administrador debe tener una cuenta Enterprise en Content Collaboration para utilizar la acción Cambiar vínculos a uso compartido de solo lectura.

• El uso compartido de solo lectura es una función disponible en una solicitud en las cuentas empresariales de Citrix Content Collaboration. Antes de aplicar la acción Cambiar vínculos al uso compartido de solo lectura en Citrix Analytics, asegúrese de que la función Compartir solo lectura ya esté habilitada en las cuentas de Content Collaboration Enterprise del usuario y del administrador. Para obtener más información, consulte el artículo de asistencia técnica de Citrix: CTX208601.

Tipos de archivo admitidos

La acción de compartir solo lectura se aplica a los siguientes tipos de archivo:

• Archivos de Microsoft Office

• PDF

• Archivos de imagen (requiere SZC v3.4.1 o posterior):

  • BMP

  • GIF

  • JPG

  • JPEG

  • PNG

  • TIF

  • TIFF

• Archivos de audio y vídeo almacenados en una zona de almacenamiento administrada por Citrix.

Configurar directivas y acciones

Por ejemplo, siguiendo los pasos que se indican a continuación, puede crear una directiva de uso compartido excesivo de archivos. Con esta directiva, cuando un usuario de la organización comparte una cantidad inusualmente grande de datos, los vínculos del recurso compartido caducaron automáticamente. Se le notifica cuando un usuario comparte datos que superan el comportamiento normal de ese usuario. Si aplica la directiva de uso compartido excesivo de archivos y toma medidas inmediatas, puede evitar la filtración de datos de la cuenta de cualquier usuario.

Para crear una directiva, haga lo siguiente:

1. Después de iniciar sesión en Citrix Analytics, vaya a Seguridad > Directivas > Crear directiva.

   

2. En el cuadro de lista SI SE CUMPLE LA SIGUIENTE CONDICIÓN, seleccione las condiciones predeterminadas o personalizadas del indicador de riesgo a las que quiere aplicar una acción.

   

3. En la lista THEN DO THE FOLLOWING, seleccione una acción.

   

4. En el cuadro de texto Nombre de la directiva, proporcione un nombre y habilite la directiva mediante el botón de alternancia proporcionado.

   

5. Haga clic en Crear directiva.

Después de crear una directiva, la directiva aparece en el panel de control Directivas.

El panel Directivas muestra las directivas asociadas a los orígenes de datos que se han detectado correctamente y se han conectado a Citrix Analytics. El panel no muestra las directivas que tienen condiciones definidas para los orígenes de datos no descubiertas.

Sin embargo, desactivar el procesamiento de datos de un origen de datos ya conectada no afecta a las directivas existentes en el panel Directivas.

Solicitud de respuesta del usuario final

Solicitar respuesta del usuario final es una acción global mediante la cual puede alertar a un usuario inmediatamente después de detectar una actividad inusual en su cuenta de Citrix. Al aplicar la acción, se envía una notificación por correo electrónico al usuario. El usuario debe responder por correo electrónico sobre la legitimidad de su actividad.

Determine qué acción quiere aplicar a sus usuarios:

En función de la respuesta del usuario, puede determinar el siguiente curso de acción que quiere tomar. Puede aplicar una acción global como Agregar a la lista de seguimiento, Notificar a los administradores. También puede aplicar una acción específica de la fuente de datos, como Citrix Gateway- Lock user.

Si recibe una respuesta de que el usuario realizó la actividad denunciada, la actividad no es sospechosa y no es necesario que realice ninguna acción en la cuenta del usuario. El límite diario para enviar alertas de seguridad al usuario es de tres correos electrónicos.

Considere un usuario de Citrix Content Collaboration cuya puntuación de riesgo haya superado los 80 en una duración de 80 minutos. Puede alertar al usuario sobre este comportamiento inusual aplicando la acción Solicitar respuesta del usuario final. Se envía una alerta de seguridad al usuario desde el ID de correo electrónico security-analytics@cloud.com.

El correo electrónico contiene la siguiente información:

• Actividad del usuario que ha activado el indicador de riesgo

• Dispositivo del usuario

• Fecha y hora de la actividad del usuario

• Ubicaciones (ciudades y países) desde las que se accede correctamente a los productos o servicios. Si la ciudad o el país no están disponibles, el valor correspondiente se muestra como “Desconocido”

La acción Solicitar respuesta del usuario final se agrega a la cronología de riesgo del usuario.

Si el usuario no reconoce la actividad detectada en su cuenta de Citrix, Citrix Analytics aplica la acción que ha definido.

Si el usuario no envía su respuesta en el plazo de una hora desde la recepción del correo electrónico, Citrix Analytics lo agrega a la lista de seguimiento. Puede supervisar al usuario y su cuenta para detectar cualquier actividad sospechosa y tomar las medidas oportunas.

¿Cómo configurar el tiempo de respuesta del usuario?

Puede configurar el tiempo de respuesta del usuario a su correo electrónico de alerta de seguridad. Si el usuario no responde a la actividad notificada dentro del período de tiempo especificado, se agrega a la lista de seguimiento para su supervisión.

Siga los pasos para configurar el tiempo de respuesta del usuario:

1. Haga clic en Configuración > Configuración de alertas > Configuración del correo electrónico del usuario final.

   

2. En la página Configuración del correo electrónico del usuario final, introduzca el número de minutos en el cuadro de texto.

   

3. Haga clic en Guardar cambios.

También puede agregar un banner, un texto de encabezado y un texto de pie de página en el correo electrónico de alerta de seguridad para que parezca legítimo, atraiga la atención de los usuarios y aumente el tiempo de respuesta. Para obtener más información, consulte Configuración del correo electrónico del usuario final.

Notificar al usuario final

Notificar al usuario final es una acción global mediante la cual puede enviar notificaciones por correo electrónico a los usuarios finales cuando se detecta un comportamiento inusual o sospechoso en sus cuentas de Citrix. El asunto del correo electrónico y el cuerpo del mensaje son personalizables. Cuando la acción se aplica después de activar una directiva, se envía una notificación por correo electrónico al usuario. No se solicita ninguna respuesta del usuario final y no se realizan acciones disruptivas en la cuenta del usuario.

Esta acción puede ayudar a resolver varios casos de uso de cumplimiento basados en un disparador de indicadores de riesgo integrado o personalizado. Con el asunto del correo electrónico y el cuerpo del mensaje personalizables, también es lo suficientemente flexible como para atender muchos casos de uso genéricos de notificación al usuario final, que no requieren una respuesta ni una acción disruptiva en la cuenta del usuario.

El correo electrónico contiene la siguiente información:

• Nombre de la directiva asociada a la acción.

• Dispositivo del usuario (si está disponible)

• Fecha y hora de la actividad del usuario

La notificación por correo electrónico al usuario final se envía desde el ID de correo electrónico security-analytics@cloud.com.

Nota:

El límite diario de las directivas es de tres correos electrónicos por usuario. Una vez que se supera este umbral, la acción no se aplica y no se envía ninguna notificación por correo electrónico al usuario final. La acción está visible en la vista de cronología del usuario con el mensaje Se ha alcanzado el límite diario de correo electrónico del usuario.

La acción se añade al cronograma de riesgo del usuario. Sin embargo, no es una acción manual y no se puede aplicar a un usuario desde la vista de cronología.

Personalización del contenido del correo electrónico del usuario

Anteriormente, los administradores de Citrix Analytics se ponían en contacto manualmente con los usuarios finales para proporcionarles instrucciones correctivas sobre la detección de actividades sospechosas, lo que suponía un proceso lento para cerrar un incidente.

La función de personalización del contenido del correo electrónico del usuario final se introduce para solicitar la respuesta del usuario final, notificar a los usuarios finales y correos electrónicos informativos. El correo electrónico de respuesta del usuario final busca la validación/respuesta del usuario; sin embargo, un correo electrónico informativo muestra el tipo de actividad sospechosa y qué tipo de acción correctiva ya se ha tomado. El correo electrónico de notificación al usuario final informa al usuario final sobre las infracciones de cumplimiento o las actividades sospechosas en su cuenta de Citrix sin solicitarle una respuesta.

Con la función de personalización del contenido del correo electrónico del usuario final, los administradores de Citrix Analytics pueden añadir un mensaje personalizado en la plantilla del cuerpo del correo electrónico informativo o de respuesta del usuario final de solicitud del usuario final o notificación. Con el editor de cuadros de texto enriquecido, un administrador puede modificar el contenido por directiva utilizando varias herramientas de edición, como negrita, cursiva, hipervínculo, etc.

Nota

La función Personalización del contenido del correo electrónico del usuario final solo está disponible para las acciones basadas en directivas y no para las acciones manuales.

Puede personalizar el contenido de tres tipos de correos electrónicos:

• Solicitar correo electrónico de respuesta para el usuario final.
• Notificar correo electrónico al usuario final
• Correo electrónico enviado cuando se realiza alguna de las siguientes acciones del usuario final:
  • Acción de cierre de sesión en Citrix Apps and Desktop
  • Cerrar sesión y bloquear al usuario en Citrix Gateway

Puede ver la lista de directivas en la ficha Seguridad > Directivas.

Se puede ver el cuerpo del correo electrónico personalizado haciendo clic en la directiva existente o al crear una nueva directiva. En el panel derecho, puede obtener una vista previa del contenido actualizado del correo electrónico.

Nota

• El administrador puede establecer el contenido en la plantilla predeterminada haciendo clic en el enlace Restablecer valores predeterminados. El límite de caracteres para el cuerpo personalizado es de 1000.

• Para la acción Notificar al usuario final, el administrador también puede personalizar el campo Línea de asunto. Se puede restablecer a los valores predeterminados haciendo clic en el enlace Restablecer valores predeterminados. El límite de caracteres para el asunto del correo electrónico personalizado es de 500.

Haga clic en Guardar cambios para crear o actualizar la directiva. Cuando se activa la directiva, se envía la siguiente notificación por correo electrónico al usuario final:

• Solicitar correo electrónico de respuesta del usuario final: acción de directiva que envía un correo electrónico solicitando la respuesta del usuario.
• Correo electrónico de notificación al usuario final: notificación por correo electrónico que se envía a los usuarios finales informándoles de problemas de cumplimiento, actividades sospechosas, etc. en su cuenta de Citrix.
• Correo electrónico informativo: correo electrónicoinformativo que se envía después de una acción del usuario final.

El usuario final puede leer el correo electrónico y completar las acciones de corrección según lo solicite el administrador.

Nota

El administrador con acceso de solo lectura no puede modificar/agregar el cuerpo del correo electrónico.

Notificar al usuario después de aplicar la acción disruptiva

En este tipo de acción, puede aplicar una acción perjudicial como Cerrar sesión del usuario y Bloquearusuario en la cuenta del usuario cuando se detecta una actividad inusual. Cuando se aplica una acción a la cuenta del usuario, es posible que se interrumpan los servicios de su cuenta. En tales casos, el usuario debe ponerse en contacto con el administrador para poder acceder a su cuenta como antes.

Considere un usuario de Citrix Content Collaboration cuya puntuación de riesgo haya superado los 80 en una duración de 80 minutos. Puede cerrar la sesión del usuario. Una vez realizada esta tarea, el usuario no puede acceder a su cuenta y se envía una notificación por correo electrónico al usuario desde el ID de correo electrónico security-analytics@cloud.com. El correo electrónico contiene detalles del evento, como la actividad, el dispositivo, la fecha y la hora y la dirección IP. El usuario debe ponerse en contacto con el administrador para acceder a su cuenta como antes.

Aplicar una acción manualmente

Piense en un usuario, Lemuel, que inicia sesión en una red mediante un dispositivo nuevo por primera vez. Para supervisar su cuenta, ya que su comportamiento es inusual, puede utilizar la acción Notificar a los administradores.

Para aplicar la acción manualmente al usuario, debe:

Navegue hasta el perfil de un usuario y seleccione el indicador de riesgo adecuado. En el menú Acciones, seleccione la acción Notificar a los administradores y haga clic en Aplicar.

Se envía una notificación por correo electrónico a todos los administradores o a los seleccionados para supervisar su cuenta. La acción aplicada se agrega a su línea de tiempo de riesgo y los detalles de la acción se muestran en el panel derecho de la página de línea de tiempo de riesgo.

Notas

• Si es administrador de Citrix Cloud con permisos de acceso total, de forma predeterminada, las notificaciones por correo electrónico están inhabilitadas para su cuenta de Citrix Cloud. Para recibir notificaciones por correo electrónico, habilítelo en su cuenta de Citrix Cloud. Para obtener más información, consulte Recibir notificaciones por correo electrónico.

• Si es administrador de Citrix Cloud con permisos de acceso personalizados (solo lectura y acceso completo) para administrar Security Analytics, las notificaciones por correo electrónico están habilitadas para su cuenta de Citrix Cloud. Para dejar de recibir notificaciones por correo electrónico de Citrix Analytics, solicite al administrador de acceso total de Citrix Cloud que elimine su nombre de la lista de distribución de notificaciones a los administradores. Para obtener información sobre, consulte Lista de distribución de correo electrónico.

Administrar directivas

Puede ver el panel Directivas para administrar todas las directivas creadas en Citrix Analytics para supervisar e identificar incoherencias en la red. En el panel de control Directivas, puede:

1. Ver la lista de directivas

2. Detalles de la directiva

   • Nombre de la directiva

   • Estado: habilitado o inhabilitado.

   • Duración de la directiva: Días que la directiva ha estado activa o inactiva.

   • Ocurrencias: Veces que se activa la directiva.

   • Modificada: Marca de tiempo, solo si se ha modificado la directiva.

3. Eliminar la directiva

   • Para eliminar una directiva, puede seleccionar la directiva que quiere eliminar y hacer clic en Eliminar.

   • O bien, puede hacer clic en el nombre de la directiva para dirigirse a la página Modificar directiva. Haga clic en Eliminar directiva. En el cuadro de diálogo, confirme su solicitud para eliminar la directiva.

4. Crear una directiva

5. Haga clic en el nombre de una directiva para ver más detalles. También puede modificar la directiva al hacer clic en su nombre. Otras modificaciones que se pueden hacer son las siguientes:

   • Cambia el nombre de la directiva.

   • Condiciones de la directiva.

   • Acciones que se van a aplicar.

   • Habilite o inhabilite la directiva.

   • Elimine la directiva.

Nota

• Si no quiere eliminar la directiva, puede optar por inhabilitarla.

• Para volver a habilitar la directiva en el panel de directivas, haga lo siguiente:

  • On the Policies dashboard, click the Status slider button and refresh the page. The Status slider button turns green.

  • On the Modify Policy page, click the Enabled slider button on the bottom of the page.

Modelos compatibles

Citrix Analytics admite los siguientes modos de directivas:

• Modo de aplicación: En este modo, las directivas configuradas afectan a las cuentas de usuario.

• Modo de supervisión: En este modo, las directivas configuradas no afectan a las cuentas de usuario. Puede establecer directivas en este modo si quiere probar cualquier configuración de directivas.

Siga las instrucciones siguientes para configurar los modos de las directivas:

1. Vaya a Seguridad > Directivas.

2. En la página Directivas, seleccione el icono de la esquina superior derecha que se muestra junto a la barra de búsqueda. Aparece la ventana SELECCIONAR MODO.

3. Selecciona el modo que prefieras y haga clic en Guardar configuración.

Nota

Las directivas predeterminadas creadas por Analytics están configuradas en modo de supervisión. Como resultado, las directivas existentes también heredan este modo. Puede evaluar el impacto de todas las directivas conjuntamente y, a continuación, cambiarlas al modo de aplicación.

Búsqueda de directivas de autoservicio

En la página de búsqueda de autoservicio, puede ver los eventos de usuario que han cumplido las condiciones definidas en las directivas. La página también muestra las acciones aplicadas a estos eventos de usuario. Filtrar los eventos de usuario en función de las acciones aplicadas.