Directivas e indicadores de riesgo personalizados preconfigurados

Citrix Analytics for Security proporciona una lista de preconfigurados indicadores de riesgo personalizados y un policy para ayudarlo a supervisar la seguridad de su infraestructura Citrix. Las condiciones de estos indicadores de riesgo personalizados preconfigurados y la política ya están definidas de acuerdo con escenarios de riesgo de seguridad específicos, tales como usuarios comprometidos, amenazas internas y filtración de datos. También puede modificar estas condiciones preconfiguradas o agregar sus propias condiciones según sus requisitos de seguridad y utilizar los indicadores de riesgo personalizados para mitigar los riesgos.

Actualmente, los indicadores de riesgo personalizados preconfigurados están disponibles para los siguientes escenarios:

• Geocerca

• Acceso por primera vez

Indicadores de riesgo personalizados preconfigurados para el escenario de geofencing

Utilice los siguientes indicadores de riesgo personalizados preconfigurados para detectar los eventos de usuario del escenario de geoesgrima. Estos indicadores de riesgo personalizados preconfigurados se activan cada vez que los usuarios acceden a los productos Citrix desde fuera de su país de operación habitual. De forma predeterminada, el país de operación se establece en “Estados Unidos”. Puede establecer el país requerido para el geocercado.

• Sesión CVAD iniciada fuera de la geocerca

• Cruce GW-Geocerca

• Cruce de geocerca CCC

De forma predeterminada, los indicadores de riesgo personalizados preconfigurados se encuentran en estado inhabilitado. Utilice el botón STATUS para habilitarlos.

En la tabla siguiente se describen los distintos indicadores de riesgo personalizados preconfigurados para geofencing.

Directiva preconfigurada para el escenario de geoesgrima

Citrix proporciona una directiva preconfigurada que aplica la acción Solicitar respuesta del usuario final a una cuenta de usuario cada vez que el usuario inicia una sesión virtual desde fuera de su país de operación. El usuario recibe un correo electrónico y, en función de la respuesta del usuario, se realiza una acción apropiada, como agregar al usuario a la lista de seguimiento o notificar al administrador para realizar acciones adicionales. Para obtener más información, consulte Solicitar respuesta del usuario.

En la tabla siguiente se describe la directiva preconfigurada para la geoesgrima.

Nota

La acción Solicitar respuesta del usuario final solo se admite en la región Estados Unidos. Por lo tanto, si su organización está incorporada a la región de la Unión Europea en Citrix Cloud, la directiva preconfigurada no se aplicará a su cuenta. Para utilizar la directiva preconfigurada, modifique la directiva y seleccione otra acción de su elección.

Cree su propia política con indicadores de riesgo personalizados preconfigurados para geofencing

También puede crear sus propias directivas con estos indicadores de riesgo personalizados preconfigurados y aplicar acciones como bloquear usuarios o cerrar sesión de usuarios siempre que se activen los indicadores. Para obtener información sobre cómo crear directivas, consulte Configurar directivas y acciones.

En el ejemplo siguiente se muestra una directiva que bloquea a los usuarios que intentan acceder a los servicios Citrix desde fuera de Estados Unidos. El acceso de usuario se bloquea si el usuario no reconoce su actividad de acceso.

Condición: cruce GW-Geocerca

Acción: Solicitar respuesta del usuario final

Siguiente acción: Bloquear el usuario si el usuario no reconoce la actividad

Nota

La acción Solicitar respuesta del usuario final solo se admite en la región Estados Unidos. Por lo tanto, si su organización está integrada en la región Unión Europea, seleccione otra acción de su elección en lugar de la acción Solicitar respuesta del usuario final.

Indicadores de riesgo personalizados preconfigurados para el escenario de acceso por primera vez

Utilice los siguientes indicadores de riesgo personalizados para detectar los eventos de usuario por primera vez los escenarios de acceso:

• CVAD- Acceso por primera vez desde un nuevo dispositivo

• Acceso por primera vez a la puerta de enlace desde una nueva IP

De forma predeterminada, estos indicadores de riesgo personalizados preconfigurados se encuentran en estado habilitado. Utilice el botón STATUS si quieres deshabilitarlos.

En la tabla siguiente se describen los indicadores de riesgo personalizados preconfigurados para el acceso por primera vez.

En la barra de condiciones, también puede agregar sus propias condiciones además de las condiciones preconfiguradas para identificar amenazas según sus requisitos.

Por ejemplo, si desea identificar los eventos de usuario de un país determinado, puede agregar la dimensión de país junto con la condición preconfigurada:

• Event-Type = "Session.Logon" AND Client-Type IN ("XA.Receiver.Windows", "XA.Receiver.Mac", "XA.Receiver.Chrome", "XA.Receiver.Android", "XA.Receiver.Linux", "XA.Receiver.iOS") AND Country = “United States”

• Event-Type = "Authentication" AND Status-Code = "Successful login" AND Client-IP-Type != "private" AND Access-Insight-Flags = 1 AND Country = “United States”