Directivas y acciones

Nota

Atención: Citrix Content Collaboration™ y ShareFile han llegado al final de su vida útil y ya no están disponibles para los usuarios.

Puedes crear directivas en Citrix Analytics para ayudarte a realizar acciones en las cuentas de usuario cuando se produzcan actividades inusuales o sospechosas. Las directivas te permiten automatizar el proceso de aplicar acciones como deshabilitar a un usuario y agregar usuarios a una lista de seguimiento. Cuando habilitas las directivas, se aplica una acción correspondiente inmediatamente después de que se produzca un evento anómalo y se cumpla la condición de la directiva. También puedes aplicar acciones manualmente en las cuentas de usuario con actividades anómalas.

¿Qué son las directivas?

Una directiva es un conjunto de condiciones que deben cumplirse para aplicar una acción. Una directiva contiene una o más condiciones y una única acción. Puedes crear una directiva con varias condiciones y una acción que se pueda aplicar a la cuenta de un usuario.

La puntuación de riesgo es una condición global. Las condiciones globales se pueden aplicar a un usuario específico para un origen de datos específico. Puedes vigilar las cuentas de usuario que muestren actividades inusuales. Otras condiciones son específicas de los orígenes de datos y sus indicadores de riesgo. Las condiciones contienen combinaciones de puntuaciones de riesgo, indicadores de riesgo predeterminados e indicadores de riesgo personalizados. Puedes agregar hasta 4 condiciones al crear una directiva.

Por ejemplo, si tu organización utiliza datos confidenciales, es posible que quieras restringir la cantidad de datos compartidos o a los que acceden los usuarios internamente. Pero si tienes una organización grande, no sería factible que un solo administrador gestionara y supervisara a muchos usuarios. Puedes crear una directiva en la que cualquier persona que comparta datos confidenciales de forma excesiva pueda agregarse a una lista de seguimiento o deshabilitar su cuenta inmediatamente.

Directivas predeterminadas

Las directivas predeterminadas están predefinidas y habilitadas en el panel de control de Directivas. Se crean en función de condiciones predefinidas y se asigna una acción correspondiente a cada directiva predeterminada. Puedes usar una directiva predeterminada o modificarla según tus requisitos.

Citrix Analytics admite las siguientes directivas predeterminadas:

• Explotación de credenciales correcta
• Posible exfiltración de datos
• Acceso inusual desde una IP sospechosa
• Primer acceso desde el dispositivo
• Virtual Apps and Desktops y Citrix DaaS: Viaje imposible en el acceso
• Gateway: Viaje imposible en la autenticación

Para obtener información sobre las condiciones y acciones preestablecidas relativas a las directivas predeterminadas anteriores, consulta Evaluación continua de riesgos.

Para obtener información sobre la directiva predefinida para el caso de uso de geocercado, consulta Directiva preconfigurada.

¿Cómo agregar o quitar condiciones?

Para agregar más condiciones, selecciona Agregar condición en la sección SI SE CUMPLE LA SIGUIENTE CONDICIÓN de la página Crear directiva. Para quitar una condición, selecciona el icono - que se muestra junto a la condición.

Indicadores de riesgo predeterminados y personalizados

El menú de condiciones se segrega en función de las fichas Indicadores de riesgo predeterminados e Indicadores de riesgo personalizados en la página Crear directiva. Con estas fichas, puedes identificar fácilmente el tipo de indicador de riesgo que quieres elegir al seleccionar una condición para la configuración de la directiva.

¿Qué son las acciones?

Las acciones son respuestas a eventos sospechosos que evitan que se produzcan eventos anómalos futuros. Puedes aplicar acciones en las cuentas de usuario que muestren un comportamiento inusual o sospechoso. Puedes configurar directivas para aplicar acciones en la cuenta del usuario automáticamente o aplicar una acción específica manualmente desde la cronología de riesgos del usuario.

Puedes ver las acciones globales o las acciones para cada origen de datos de Citrix. También puedes deshabilitar las acciones aplicadas anteriormente para un usuario en cualquier momento.

Nota

Independientemente del origen de datos que active un indicador de riesgo, se pueden aplicar acciones relacionadas con otros orígenes de datos.

La siguiente tabla describe las acciones que puedes tomar.

Notas

• Puedes aplicar cualquier acción a un indicador de riesgo, independientemente de los orígenes de datos.

• Los administradores ahora pueden ejecutar acciones de grabación de sesión dinámicas en los sitios de Citrix DaaS y grabar dinámicamente las sesiones virtuales de los usuarios.
• Las acciones Solicitar respuesta al usuario final y Notificar al usuario final no se pueden aplicar a usuarios anónimos, ya que no tienen direcciones de correo electrónico en Active Directory. Por lo tanto, asegúrate de que las direcciones de correo electrónico de tus usuarios estén disponibles en Active Directory con una conexión establecida entre tu Active Directory y Citrix Cloud.

Uso compartido de solo lectura

Antes de aplicar la acción Cambiar enlaces a uso compartido de solo lectura en la cuenta de un usuario, asegúrate de que se cumplan las siguientes condiciones:

Requisitos previos

• El administrador debe tener una cuenta Enterprise en Content Collaboration para usar la acción Cambiar enlaces a uso compartido de solo lectura.

• El uso compartido de solo lectura es una función disponible bajo solicitud en las cuentas Enterprise de Citrix Content Collaboration. Antes de aplicar la acción Cambiar enlaces a uso compartido de solo lectura en Citrix Analytics, asegúrate de que la función de uso compartido de solo lectura ya esté habilitada en las cuentas Enterprise de Content Collaboration del usuario y del administrador. Para obtener más información, consulta el artículo de soporte de Citrix: CTX208601.

Tipos de archivo admitidos

La acción de uso compartido de solo lectura se aplica únicamente a los siguientes tipos de archivo:

• Archivos de Microsoft Office

• PDF

• Archivos de imagen (requiere SZC v3.4.1 o posterior):

  • BMP

  • GIF

  • JPG

  • JPEG

  • PNG

  • TIF

  • TIFF

• Archivos de audio y vídeo almacenados en una zona de almacenamiento administrada por Citrix.

Configurar directivas y acciones

Por ejemplo, siguiendo los pasos a continuación, puedes crear una directiva de uso compartido excesivo de archivos. Con esta directiva, cuando un usuario de tu organización comparte una cantidad de datos inusualmente grande, los enlaces de uso compartido caducan automáticamente. Se te notificará cuando un usuario comparta datos que superen el comportamiento normal de ese usuario. Al aplicar la directiva de uso compartido excesivo de archivos y tomar medidas inmediatas, puedes evitar la exfiltración de datos de la cuenta de cualquier usuario.

Para crear una directiva, haz lo siguiente:

1. Después de iniciar sesión en Citrix Analytics, ve a Seguridad > Directivas > Crear directiva.

   

2. En el cuadro de lista SI SE CUMPLE LA SIGUIENTE CONDICIÓN, selecciona las condiciones del indicador de riesgo predeterminado o personalizado sobre las que quieres que se aplique una acción.

   

3. En la lista ENTONCES HAZ LO SIGUIENTE, selecciona una acción.

   

4. En el cuadro de texto Nombre de la directiva, proporciona un nombre y habilita la directiva mediante el botón de alternancia proporcionado.

   

5. Haz clic en Crear directiva.

Después de crear una directiva, esta aparece en el panel de control de Directivas.

El panel de control de Directivas muestra las directivas asociadas a los orígenes de datos que se han detectado y conectado correctamente a Citrix Analytics. El panel de control no muestra las directivas que tienen condiciones definidas para los orígenes de datos no detectados.

Sin embargo, desactivar el procesamiento de datos para un origen de datos ya conectado no afecta a las directivas existentes en el panel de control de Directivas.

Solicitar respuesta al usuario final

Solicitar respuesta al usuario final es una acción global mediante la cual puedes alertar a un usuario inmediatamente después de detectar una actividad inusual en su cuenta de Citrix. Cuando aplicas la acción, se envía una notificación por correo electrónico al usuario. El usuario debe responder por correo electrónico sobre la legitimidad de su actividad.

Determina qué acción quieres aplicar para tus usuarios:

Según la respuesta del usuario, puedes determinar el siguiente curso de acción que quieres tomar. Puedes aplicar una acción global como Agregar a la lista de seguimiento, Notificar a los administradores. O puedes aplicar una acción específica del origen de datos, como Citrix Gateway: Bloquear usuario.

Si recibes una respuesta de que el usuario realizó la actividad notificada, entonces la actividad no es sospechosa y no es necesario que tomes medidas en la cuenta del usuario. El límite diario para enviar alertas de seguridad al usuario es de tres correos electrónicos.

Considera un usuario de Citrix Content Collaboration cuya puntuación de riesgo ha superado los 80 en un plazo de 80 minutos. Puedes alertar al usuario sobre este comportamiento inusual aplicando la acción Solicitar respuesta al usuario final. Se envía una alerta de seguridad al usuario desde la dirección de correo electrónico security-analytics@cloud.com.

El correo electrónico contiene la siguiente información:

• Actividad del usuario que activó el indicador de riesgo

• Dispositivo del usuario

• Fecha y hora de la actividad del usuario

• Ubicaciones (ciudades y países) desde donde se accede correctamente a los productos o servicios. Si la ciudad o el país no están disponibles, el valor correspondiente se muestra como “Desconocido”

La acción Solicitar respuesta al usuario final se agrega a la cronología de riesgos del usuario.

Si el usuario no reconoce la actividad detectada en su cuenta de Citrix, Citrix Analytics aplica la acción que has definido.

Si el usuario no envía su respuesta en el plazo de una hora desde la recepción del correo electrónico, Citrix Analytics agrega al usuario a la lista de seguimiento. Puedes supervisar al usuario y su cuenta para detectar actividades sospechosas y tomar las medidas oportunas.

¿Cómo configurar el tiempo de respuesta del usuario?

Puedes configurar el tiempo de respuesta del usuario a tu correo electrónico de alerta de seguridad. Si el usuario no responde a la actividad notificada dentro del período de tiempo especificado, el usuario se agrega a la lista de seguimiento para su supervisión.

Sigue los pasos para configurar el tiempo de respuesta del usuario:

1. Haz clic en Configuración > Configuración de alertas > Configuración de correo electrónico del usuario final.

   

2. En la página Configuración de correo electrónico del usuario final, introduce el número de minutos en el cuadro de texto.

   

3. Haz clic en Guardar cambios.

También puedes agregar un banner, texto de encabezado y texto de pie de página en el correo electrónico de alerta de seguridad para que parezca legítimo, atraer la atención de los usuarios y aumentar el tiempo de respuesta. Para obtener más información, consulta Configuración de correo electrónico del usuario final.

Notificar al usuario final

Notificar al usuario final es una acción global mediante la cual puedes enviar notificaciones por correo electrónico a los usuarios finales cuando se detecta un comportamiento inusual o sospechoso en sus cuentas de Citrix. La línea de asunto y el cuerpo del mensaje del correo electrónico son personalizables. Cuando se aplica la acción después de que se activa una directiva, se envía una notificación por correo electrónico al usuario. No se solicita ninguna respuesta al usuario final y no se realizan acciones disruptivas en la cuenta del usuario.

Esta acción puede ayudar a cubrir varios casos de uso de cumplimiento basados en uno o varios activadores de indicadores de riesgo integrados o personalizados. Con la línea de asunto y el cuerpo del mensaje de correo electrónico personalizables, también es lo suficientemente flexible como para cubrir muchos casos de uso genéricos de notificación al usuario final, que no requieren una respuesta o una acción disruptiva realizada en la cuenta del usuario.

El correo electrónico contiene la siguiente información:

• Nombre de la directiva asociada a la acción.

• Dispositivo del usuario (si está disponible)

• Fecha y hora de la actividad del usuario

La notificación por correo electrónico al usuario final se envía desde la dirección de correo electrónico security-analytics@cloud.com.

Nota

El límite diario entre directivas es de tres correos electrónicos por usuario. Una vez superado este umbral, la acción no se aplica y no se envía ninguna notificación por correo electrónico al usuario final. La acción es visible en la vista de cronología del usuario con el mensaje Se ha alcanzado el límite diario de correos electrónicos para el usuario.

La acción se agrega a la cronología de riesgos del usuario. Sin embargo, no es una acción manual y no se puede aplicar a un usuario desde la vista de cronología.

Personalización del contenido del correo electrónico del usuario final

Anteriormente, los administradores de Citrix Analytics se comunicaban manualmente con los usuarios finales para proporcionarles instrucciones de remediación al detectar actividades sospechosas, lo que era un proceso que consumía mucho tiempo para cerrar un incidente.

La función de personalización del contenido del correo electrónico del usuario final se introduce para solicitar la respuesta del usuario final, notificar a los usuarios finales y enviar correos electrónicos informativos. El correo electrónico de respuesta del usuario final busca la validación/respuesta del usuario; sin embargo, un correo electrónico informativo muestra el tipo de actividad sospechosa y qué tipo de acción de remediación ya se ha tomado. El correo electrónico de notificación al usuario final informa al usuario final sobre las infracciones de cumplimiento/actividad sospechosa en su cuenta de Citrix sin solicitar una respuesta de su parte.

Con la función de personalización del contenido del correo electrónico del usuario final, los administradores de Citrix Analytics pueden agregar un mensaje personalizado en la plantilla del cuerpo del correo electrónico de solicitud de respuesta del usuario final/notificación al usuario final/informativo. Usando el editor de cuadro de texto enriquecido, un administrador puede modificar el contenido por directiva utilizando varias herramientas de edición como negrita, cursiva, hipervínculo, etc.

Nota

La función de personalización del contenido del correo electrónico del usuario final solo está disponible para acciones basadas en directivas y no para acciones manuales.

Puedes personalizar el contenido para tres tipos de correos electrónicos:

• Correo electrónico de solicitud de respuesta del usuario final.
• Correo electrónico de notificación al usuario final
• Correo electrónico enviado cuando se realiza cualquiera de las siguientes acciones del usuario final:
  • Acción de cerrar sesión en Citrix Apps and Desktop
  • Cerrar sesión y bloquear usuario en Citrix Gateway

Puedes ver la lista de directivas en la ficha Seguridad > Directivas.

Puedes ver el cuerpo del correo electrónico personalizado haciendo clic en la directiva existente o al crear una nueva directiva. En el panel derecho, puedes obtener una vista previa del contenido del correo electrónico actualizado.

Nota

• El administrador puede establecer el contenido en la plantilla predeterminada haciendo clic en el enlace Restablecer a predeterminado. El límite de caracteres para el cuerpo personalizado es de 1000.

• Para la acción Notificar al usuario final, el campo Línea de asunto también es personalizable por el administrador. Se puede restablecer a predeterminado haciendo clic en el enlace Restablecer a predeterminado. El límite de caracteres para el asunto del correo electrónico personalizado es de 500.

Haz clic en Guardar cambios para crear/actualizar la directiva. Cuando se activa la directiva, se envía la siguiente notificación por correo electrónico al usuario final:

• Correo electrónico de solicitud de respuesta del usuario final: Una acción de directiva que envía un correo electrónico solicitando la respuesta del usuario.
• Correo electrónico de notificación al usuario final: Una notificación por correo electrónico enviada a los usuarios finales informándoles sobre problemas de cumplimiento, actividad sospechosa, etc., en su cuenta de Citrix.
• Correo electrónico informativo: Un correo electrónico informativo que se envía después de una acción del usuario final.

El usuario final puede leer el correo electrónico y completar las acciones de remediación según lo solicitado por el administrador.

Nota

El administrador con acceso de solo lectura no puede editar/agregar el cuerpo del correo electrónico.

Notificar al usuario después de aplicar una acción disruptiva

En este tipo de acción, puedes aplicar una acción disruptiva como Cerrar sesión del usuario y Bloquear usuario en la cuenta del usuario cuando se detecta una actividad inusual. Cuando se aplica una acción a la cuenta del usuario, los servicios de su cuenta pueden interrumpirse. En tales casos, el usuario debe ponerse en contacto con el administrador para poder acceder a su cuenta como antes.

Considera un usuario de Citrix Content Collaboration cuya puntuación de riesgo ha superado los 80 en un plazo de 80 minutos. Puedes cerrar la sesión del usuario. Una vez realizada esta tarea, el usuario no podrá acceder a su cuenta y se le enviará una notificación por correo electrónico desde la dirección security-analytics@cloud.com. El correo electrónico contiene detalles del evento, como la actividad, el dispositivo, la fecha y la hora, y la dirección IP. El usuario debe ponerse en contacto con el administrador para acceder a su cuenta como antes.

Aplicar una acción manualmente

Considera a un usuario, Lemuel, que inicia sesión en una red utilizando un nuevo dispositivo por primera vez. Para supervisar su cuenta, ya que su comportamiento es inusual, puedes usar la acción Notificar a los administradores.

Para aplicar la acción manualmente al usuario, debes:

Navega al perfil de un usuario y selecciona el indicador de riesgo apropiado. En el menú Acciones, selecciona la acción Notificar a los administradores y haz clic en Aplicar.

Se envía una notificación por correo electrónico a todos o a los administradores seleccionados para supervisar su cuenta. La acción aplicada se agrega a su cronología de riesgos y los detalles de la acción se muestran en el panel derecho de la página de cronología de riesgos.

Notas

• Si eres un administrador de Citrix Cloud con permisos de acceso total, las notificaciones por correo electrónico están deshabilitadas de forma predeterminada para tu cuenta de Citrix Cloud. Para recibir notificaciones por correo electrónico, habilítalas en tu cuenta de Citrix Cloud. Para obtener más información, consulta Recibir notificaciones por correo electrónico.

• Si eres un administrador de Citrix Cloud con permisos de acceso personalizados (solo lectura y acceso total) para administrar Security Analytics, las notificaciones por correo electrónico están habilitadas para tu cuenta de Citrix Cloud. Para dejar de recibir notificaciones por correo electrónico de Citrix Analytics, pide a tu administrador de acceso total de Citrix Cloud que elimine tu nombre de la lista de distribución de administradores a notificar. Para obtener información al respecto, consulta Lista de distribución de correo electrónico.

Administrar directivas

Puedes ver el panel de control de Directivas para administrar todas las directivas creadas en Citrix Analytics para supervisar e identificar inconsistencias en tu red. En el panel de control de Directivas, puedes:

1. Ver la lista de directivas

2. Detalles de la directiva
   • Nombre de la directiva
   • Estado: Habilitada o deshabilitada.
   • Duración de la directiva: Número de días que la directiva ha estado activa o inactiva.
   • Ocurrencias: El número de veces que se activa la directiva.
   • Modificado: Marca de tiempo, solo si la directiva ha sido modificada.
3. Eliminar la directiva
   • Para eliminar una directiva, puedes seleccionar la directiva que quieres eliminar y hacer clic en Eliminar.
   • O puedes hacer clic en el nombre de la directiva para ir a la página Modificar directiva. Haz clic en Eliminar directiva. En el cuadro de diálogo, confirma tu solicitud para eliminar la directiva.

4. Crear una directiva

5. Haz clic en el nombre de una directiva para ver más detalles. También puedes modificar la directiva cuando haces clic en su nombre. Otras modificaciones que se pueden realizar son las siguientes:
   • Cambiar el nombre de la directiva.
   • Condiciones de la directiva.
   • Las acciones que se deben aplicar.
   • Habilitar o deshabilitar la directiva.
   • Eliminar la directiva.

Nota

• Si no quieres eliminar tu directiva, puedes optar por deshabilitarla.

• Para volver a habilitar la directiva en el panel de control de Directivas, haz lo siguiente:

  • En el panel de control de Directivas, haz clic en el botón deslizante Estado y actualiza la página. El botón deslizante Estado se vuelve verde.

  • En la página Modificar directiva, haz clic en el botón deslizante Habilitado en la parte inferior de la página.

Modos admitidos

Citrix Analytics admite los siguientes modos de directivas:

• Modo de aplicación - En este modo, las directivas configuradas afectan a las cuentas de usuario.

• Modo de supervisión - En este modo, las directivas configuradas no afectan a las cuentas de usuario. Puedes establecer las directivas en este modo si quieres probar cualquier configuración de directiva.

Usa las siguientes instrucciones para configurar los modos en las directivas:

1. Navega a Seguridad > Directivas.

2. En la página Directivas, selecciona el icono en la esquina superior derecha que se muestra junto a la barra de Búsqueda. Se muestra la ventana SELECCIONAR MODO.

3. Selecciona el modo de tu elección y haz clic en Guardar configuración.

Nota

Las directivas predeterminadas creadas por Analytics se establecen en modo de supervisión. Como resultado, las directivas existentes también heredan este modo. Puedes evaluar el impacto de todas las directivas juntas y luego cambiarlas a modo de aplicación.

Búsqueda de autoservicio para directivas

En la página de búsqueda de autoservicio, puedes ver los eventos de usuario que han satisfecho las condiciones definidas en las directivas. La página también muestra las acciones aplicadas a estos eventos de usuario. Filtra los eventos de usuario en función de las acciones aplicadas.