Configurar directivas de detección de eventos

La Grabación de sesiones admite la configuración centralizada de las directivas de detección de eventos. Puede crear directivas en la consola de directivas de grabación de sesiones para registrar diferentes eventos.

Eventos que se pueden detectar

Grabación de sesiones detecta los eventos de destino y etiqueta esos eventos en las grabaciones para su posterior búsqueda y reproducción. Con esta función, se pueden buscar eventos de interés en grandes cantidades de grabaciones y se pueden localizar los eventos durante la reproducción.

Eventos definidos por el sistema

Grabación de sesiones puede detectar y registrar los siguientes eventos definidos por el sistema que ocurren durante las sesiones grabadas:

• Inserción de dispositivos USB de almacenamiento masivo

• Inicios y cierres de aplicaciones

• Fallos y errores de aplicación

• Instalaciones y desinstalaciones de aplicaciones

• Operaciones de cambio de nombre, creación, eliminación y transferencia de archivos dentro de sesiones

• Transferencias de archivos entre hosts de sesión (VDA) y dispositivos cliente (incluidas las unidades de cliente asignadas y los dispositivos genéricos de almacenamiento masivo redirigidos).

• Actividades de navegación en la web

• Eventos de la ventana principal

• Actividades del portapapeles

• Modificaciones en el Registro de Windows

• Modificaciones de la cuenta de usuario

• Conexiones RDP

Nota:

Las aplicaciones creadas con PowerBuilder pueden cerrarse de forma imprevista cuando hay directivas activas que detectan actividades de navegación web y eventos de la ventana principal. Para evitar este problema, cree las aplicaciones con PowerBuilder 2019 R3.

Inserción de dispositivos USB de almacenamiento masivo

Grabación de sesiones puede detectar la inserción de un dispositivo de almacenamiento masivo USB redirigido genérico o asignado mediante la Asignación de unidades del cliente (CDM) en un cliente donde está instalada la aplicación Citrix Workspace para Windows o Mac. La Grabación de sesiones identifica estos eventos en la grabación.

Nota:

Para utilizar un dispositivo de almacenamiento masivo USB insertado y detectar los eventos de inserción, configure la directiva Redirección de dispositivos USB del cliente como Permitida en Citrix Studio.

Actualmente, solo se puede detectar la inserción de dispositivos USB de almacenamiento masivo (USB Class 08).

Inicios y cierres de aplicaciones

Grabación de sesiones admite la detección de inicios y cierres de las aplicaciones. Al agregar un proceso a la Lista de supervisión de aplicaciones, se supervisan todas las aplicaciones controladas por el proceso agregado y sus procesos secundarios. También se pueden capturar en el registro los procesos secundarios de un proceso principal que se inicia antes de que se ejecute la Grabación de sesiones.

De forma predeterminada, la Grabación de sesiones agrega los nombres de proceso cmd.exe, powershell.exe y wsl.exe a la Lista de supervisión de aplicaciones. Si selecciona Registrar eventos de inicio de aplicaciones y Registrar eventos de cierre de aplicaciones en una directiva de detección de eventos, los inicios y finalizaciones de las aplicaciones Símbolo del sistema, PowerShell y subsistema de Windows para Linux (WSL) se registran, independientemente de si agrega manualmente sus nombres de proceso a la Lista de supervisión de aplicaciones. Los nombres de proceso predeterminados no están visibles en la Lista de supervisión de aplicaciones.

Además, la Grabación de sesiones proporciona una línea de comandos completa para cada evento de inicio de aplicación registrado.

Fallos y errores de aplicación

Si selecciona Registrar errores de la aplicación al crear la directiva de detección de eventos, Grabación de sesiones detecta el cierre de aplicaciones y las aplicaciones que dejan de responder. La regla de registro de errores de la aplicación se aplica a todas las aplicaciones.

Instalaciones y desinstalaciones de aplicaciones

La regla de registro de instalaciones y desinstalaciones de la aplicación se aplica a todas las aplicaciones.

Modificaciones de la cuenta de usuario

Grabación de sesiones puede detectar los intentos de creación, activación, desactivación, eliminación, cambio de nombre y modificación de contraseñas.

Conexiones RDP

Grabación de sesiones puede detectar conexiones RDP iniciadas desde el VDA que aloja la sesión grabada.

Operaciones de cambio de nombre, creación, eliminación y movimiento de archivos dentro de sesiones y transferencias de archivos entre hosts de sesión (VDA) y dispositivos cliente

Grabación de sesiones puede detectar operaciones de cambio de nombre, creación, eliminación y movimiento de archivos y carpetas de destino que especifique en la Lista de supervisión de archivos. Grabación de sesiones también puede detectar transferencias de archivos entre hosts de sesión (VDA) y dispositivos cliente (incluidas las unidades de cliente asignadas y los dispositivos genéricos de almacenamiento masivo redirigidos). Al seleccionar la opción Registrar eventos de archivos sensibles, se desencadena la detección de transferencias de archivos, independientemente de si especifica o no la Lista de supervisión de archivos.

Nota:

Para habilitar la función de arrastre y colocación de archivos y capturar los eventos de arrastre y colocación, establezca la directiva Arrastrar y colocar en Habilitada en Citrix Studio.

Actividades de navegación en la web

Grabación de sesiones puede detectar las actividades de los usuarios en los exploradores compatibles y etiquetar los eventos de la grabación. Se registran el nombre del explorador, la dirección URL y el título de la página. La siguiente captura de pantalla le sirve de ejemplo.

Cuando aparta el cursor de una página web que está en el foco, la navegación en esta página web se etiqueta sin mostrar el nombre del explorador. Esta función se puede utilizar para estimar el tiempo que un usuario permanece en una página web. La siguiente captura de pantalla le sirve de ejemplo.

Lista de exploradores admitidos:

Nota:

Esta función requiere la Grabación de sesiones 1906 o una versión posterior.

Eventos de la ventana principal

Grabación de sesiones puede detectar los eventos cuando la ventana de una aplicación está por encima de todas las demás. Se registran el nombre, el título y el número del proceso.

Actividades del portapapeles

Grabación de sesiones puede detectar operaciones de copia de texto, imágenes y archivos en las que se usa el portapapeles. En el caso de una copia de archivo, se registra el nombre del proceso y la ruta del archivo. En el caso de una copia de texto, se registra el nombre del proceso y el título. En el caso de una copia de imagen, se registra el nombre del proceso.

Nota: De forma predeterminada, el contenido del texto copiado no se registra. Para registrar el contenido de texto, vaya al Agente de grabación de sesiones y establezca HKEY_LOCAL_MACHINE\SOFTWARE\ Citrix\SmartAuditor\Agent\CaptureClipboardContent en 1 (el valor predeterminado es 0).

Modificaciones en el Registro de Windows

A partir de la versión 2109, Grabación de sesiones puede detectar y registrar las siguientes modificaciones en el Registro durante la grabación de sesiones:

Por ejemplo:

Para habilitar esta funcionalidad de supervisión del Registro, seleccione la opción Registrar modificaciones del Registro para la directiva de detección de eventos.

Eventos personalizados

El Agente de grabación de sesiones proporciona una interfaz COM de IUserApi que las aplicaciones de terceros pueden utilizar para agregar datos de eventos específicos de esas aplicaciones a sesiones grabadas. Basándose en la personalización de eventos, la Grabación de sesiones puede bloquear información confidencial y registrar los eventos de pausa y reanudación de la sesión.

Bloquear información confidencial

La Grabación de sesiones permite omitir determinados períodos de tiempo al grabar la pantalla, y permite bloquear la información confidencial mostrada en estos períodos de tiempo durante la reproducción de la sesión. Para utilizar esta función, utilice Grabación de sesiones 2012 y versiones posteriores.

Para utilizar esta función, siga estos pasos:

1. En Propiedades del agente de grabación de sesiones, marque la casilla Permitir que las aplicaciones de terceros graben datos personalizados en esta máquina VDA y haga clic en Aplicar.

   

2. Otorgue a los usuarios permiso para invocar la API de eventos de Grabación de sesiones (interfaz COM de IUserApi).

   En la versión 7.15, se agregó a la Grabación de sesiones un control de acceso a la interfaz COM de API de eventos. Solo usuarios autorizados pueden invocar la función para insertar metadatos de evento en una grabación.

   Los administradores locales reciben este permiso de forma predeterminada. Para conceder este permiso a otros usuarios, utilice la herramienta de configuración DCOM de Windows:

   1. Ejecute dcomcnfg.exe para abrir la herramienta de configuración DCOM de Windows en el Agente de grabación de sesiones.

      

   2. Haga clic con el botón secundario en Agente de grabación de sesiones de Citrix y seleccione Propiedades.

      

   3. Seleccione la ficha Seguridad y haga clic en Modificar para agregar usuarios con permiso de activación local en la sección de permisos de inicio y activación.

      

      

   Nota:

   La configuración de DCOM surte efecto inmediatamente. No es necesario reiniciar ningún servicio o la máquina.

3. Inicie una sesión virtual de Citrix.

4. Inicie PowerShell y cambie la unidad actual a <Ruta de instalación del agente de grabación de sesiones>\Bin para importar el módulo SRUserEventHelperSnapin.dll.

5. Ejecute los cmdlets Session-Pause y Session-Resume para establecer parámetros para activar el bloqueo de información confidencial.

   Parámetro	Descripción	Obligatorio u opcional
   -APP	El nombre de la aplicación que llama al cmdlet.	Si son necesarias
   -Reason	El motivo por el que se bloquea el contenido. Si deja este parámetro sin especificar, se muestra el parámetro predeterminado, es decir Contenido bloqueado y Hay contenido confidencial y está bloqueado. Si establece este parámetro, el motivo especificado se mostrará al ir al período de tiempo bloqueado durante la reproducción de la sesión.	Opcional

   Por ejemplo, puede ejecutar Session-Pause de manera similar a la siguiente:

   

Buscar y reproducir grabaciones con eventos etiquetados

Buscar grabaciones con eventos etiquetados

El reproductor de grabación de sesiones permite realizar búsquedas avanzadas de grabaciones con eventos etiquetados.

1. En la ventana del reproductor de grabación de sesiones, haga clic en Búsqueda avanzada en la barra de herramientas o elija Herramientas > Búsqueda avanzada.
2. Defina el criterio de búsqueda en el cuadro de diálogo Búsqueda avanzada.

La ficha Eventos permite buscar los eventos etiquetados en las sesiones por Texto del evento o Tipo de evento. Puede utilizar los filtros Eventos, Común, Fecha y hora y Otros combinados, para buscar grabaciones que cumplan sus criterios.

Nota:

• La lista Tipo de evento detalla todos los tipos de eventos. Puede seleccionar un tipo de evento que buscar. Seleccionar Cualquier evento definido por Citrix significa buscar todas las grabaciones que contengan cualquier tipo de evento registrado por el componente Grabación de sesiones de Citrix.
• El filtro Texto del evento admite coincidencias parciales. No se admiten comodines.
• El filtro Texto del evento no distingue entre mayúsculas y minúsculas en la coincidencia.
• Para los tipos de eventos, las palabras App Start, App End, Client drive mapping y File Rename no participan en la coincidencia al buscar por Texto del evento. Por lo tanto, cuando escriba App Start, App End, Client drive mapping, o File Rename en el cuadro Texto del evento, no se encontrará ningún resultado.

Puede usar eventos para navegar a través de una sesión grabada, o saltar directamente a los puntos donde los eventos están etiquetados.

Directiva de detección de eventos definida por el sistema

La directiva de detección de eventos definida por el sistema es No detectar. Está inactiva de forma predeterminada. Cuando está activa, no se registran eventos.

No se puede modificar ni eliminar la directiva de detección de eventos definida por el sistema.

Crear una directiva de detección de eventos personalizada

Para crear una directiva de detección de eventos personalizada:

1. Inicie la sesión como Administrador de directivas autorizado en el servidor donde está instalada la consola de directivas de grabación de sesiones.

2. Inicie la consola de directivas de grabación de sesiones. De forma predeterminada, no existe ninguna directiva de detección de eventos activa.

3. Seleccione Directivas de detección de eventos en el panel de la izquierda. En la barra de menú, elija Agregar nueva directiva para crear una directiva de detección de eventos.

4. (Opcional) Haga clic con el botón secundario en la nueva directiva de detección de eventos y cámbiele el nombre.

   

5. Haga clic con el botón secundario en la nueva directiva de detección de eventos y seleccione Agregar regla.

   1. Especifique uno o varios eventos de destino a supervisar. Para ello, marque la casilla situada junto a cada tipo de evento. Desplácese hacia abajo en la ventana para ver todos los tipos de eventos disponibles.

      

      • Registrar eventos USB asignados por CDM: Registra la inserción de un dispositivo de almacenamiento masivo por CDM (asignación de unidades del cliente) en un cliente donde está instalada la aplicación Citrix Workspace para Windows o Mac.

      • Registrar la redirección de USB genérico: Registra la inserción de un dispositivo de almacenamiento masivo genérico redirigido en un dispositivo cliente donde está instalada la aplicación Citrix Workspace para Windows o Mac.

      • Registrar eventos de inicio de aplicaciones: Registra los inicios de las aplicaciones de destino.

      • Registrar eventos de cierre de aplicaciones: Registra los cierres de las aplicaciones de destino.

        Nota:

        La casilla Registrar eventos de cierre de aplicaciones está atenuada antes de que se marque Registrar eventos de inicio de aplicaciones.

      • Lista de supervisión de aplicaciones: Cuando marque Registrar eventos de inicio de aplicaciones y Registrar eventos de cierre de aplicaciones, utilice la Lista de supervisión de aplicaciones para especificar las aplicaciones de destino a supervisar y evitar que una cantidad excesiva de eventos sature las grabaciones.

        Nota:

        • Para registrar el inicio y el cierre de una aplicación, agregue el nombre del proceso de la aplicación a la Lista de supervisión de aplicaciones. Por ejemplo, para capturar el inicio de Conexión a Escritorio remoto, agregue el nombre del proceso mstsc.exe a la Lista de supervisión de aplicaciones. Al agregar un proceso a la Lista de supervisión de aplicaciones, se supervisan todas las aplicaciones controladas por el proceso agregado y sus procesos secundarios. De forma predeterminada, la Grabación de sesiones agrega los nombres de proceso cmd.exe, powershell.exe y wsl.exe a la Lista de supervisión de aplicaciones. Si selecciona Registrar eventos de inicio de aplicaciones y Registrar eventos de cierre de aplicaciones en una directiva de detección de eventos, los inicios y finalizaciones de las aplicaciones Símbolo del sistema, PowerShell y subsistema de Windows para Linux (WSL) se registran independientemente de si agrega manualmente sus nombres de proceso a la Lista de supervisión de aplicaciones. Los nombres de proceso predeterminados no están visibles en la Lista de supervisión de aplicaciones.
        • Separe los nombres de proceso con un punto y coma (;).
        • Solo se admite la coincidencia exacta. No se admiten comodines.
        • No se distingue entre mayúsculas y minúsculas en los nombres de proceso que agregue.
        • Para evitar que una cantidad excesiva de eventos sature las grabaciones, no agregue ningún nombre de proceso del sistema (por ejemplo, explorer.exe) ni buscadores web al registro.

      • Registrar operaciones de archivos: Registra operaciones de los archivos de destino en Lista de supervisión de archivos y registra las transferencias de archivos entre hosts de sesión (VDA) y dispositivos cliente (incluidas las unidades de cliente asignadas y los dispositivos de almacenamiento masivo redirigidos genéricos). Al seleccionar esta opción, se desencadena el registro de transferencias de archivos, independientemente de si especifica la Lista de supervisión de archivos.

        • Eventos de archivo presentados en el reproductor web

          

        • Eventos de archivo presentados en el reproductor de grabación de sesiones

          

      • Lista de supervisión de archivos: Al seleccionar Registrar operaciones de archivos, utilice la Lista de supervisión de archivos para especificar los archivos de destino que se van a supervisar. Puede especificar carpetas para capturar todos los archivos dentro de ellas. De manera predeterminada, no hay ninguna carpeta especificada, lo que significa que no se captura el inicio de ningún archivo.

        Nota:

        • Para capturar operaciones de cambio de nombre, creación, eliminación o transferencia en un archivo, agregue la cadena de la ruta de acceso de la carpeta del archivo (no el nombre del archivo o la ruta raíz de la carpeta del archivo) a la Lista de supervisión de archivos. Por ejemplo, para capturar operaciones de cambio de nombre, creación, eliminación y transferencia en el archivo sharing.ppt en C:\User\File, agregue la cadena de ruta C:\User\File a la Lista de supervisión de archivos.
        • Se admiten tanto las rutas de acceso de archivos locales como las rutas de carpetas compartidas remotas. Por ejemplo, para capturar operaciones en el archivo RemoteDocument.txt de la carpeta \\remote.address\Documents, agregue la cadena de ruta \\remote.address\Documents a la Lista de supervisión de archivos.
        • Separe las rutas supervisadas con un punto y coma (;).
        • Solo se admiten coincidencias exactas. No se admiten comodines.
        • No se distingue entre mayúsculas y minúsculas en las cadenas de ruta.

        Limitaciones:

        • No se captura la copia de archivos o carpetas desde una carpeta supervisada a una carpeta no supervisada.
        • Cuando la longitud de una ruta de archivo o carpeta, incluido el nombre del archivo o la carpeta, supera la longitud máxima de 260 caracteres, no se capturan las operaciones en el archivo o carpeta.
        • Fíjese en el tamaño de la base de datos. Para evitar que se capture un gran número de eventos, realice una copia de seguridad o elimine la tabla “Evento” con regularidad.
        • Cuando se capturan grandes cantidades de eventos en intervalos de tiempo breves, se muestra el reproductor y la base de datos almacena solo un evento de cada tipo para evitar la expansión desmesurada del almacenamiento.

      • Registrar actividades de navegación en la web: Registra las actividades del usuario en los exploradores admitidos y etiqueta el nombre del explorador, la URL y el título de la página en la grabación.

        

        Lista de exploradores admitidos:

        Explorador web	Versión
        Chrome	69 y versiones posteriores
        Internet Explorer	11
        Firefox	61 y versiones posteriores

      • Registrar eventos de la ventana principal: Registra los eventos de la ventana principal y etiqueta el nombre del proceso, el título y el número del proceso en la grabación.

        

      • Registrar actividades del portapapeles: Captura en registro las operaciones de copia de texto, imágenes y archivos mediante el portapapeles. En el caso de una copia de archivo, se registra el nombre del proceso y la ruta del archivo. En el caso de una copia de texto, se registra el nombre del proceso y el título. En el caso de una copia de imagen, se registra el nombre del proceso.

      • Registrar modificaciones del Registro: Registra las siguientes modificaciones del Registro de Windows: Agregar una clave o valor, cambiar el nombre de una clave o valor, cambiar un valor existente y eliminar una clave o un valor.

      • Lista de supervisión del Registro: Cuando seleccione Registrar modificaciones del Registro, escriba las rutas absolutas de los registros de destino que quiere supervisar y separe las rutas con un punto y coma (;). Inicie una ruta con HKEY_USERS, HKEY_LOCAL_MACHINE o HKEY_CLASSES_ROOT. Por ejemplo, puede escribir HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows;HKEY_CLASSES_ROOT\GuestStateVDev. Si deja esta lista sin especificar, no se captura ninguna modificación del Registro.

      • Registrar errores de la aplicación: Registra los cierres inesperados de aplicaciones y las aplicaciones que dejan de responder. Esta regla se aplica a todas las aplicaciones.

      • Registrar modificaciones de la cuenta de usuario: Registra las siguientes modificaciones de las cuentas de usuario: intentos de creación, activación, desactivación, eliminación, bloqueo, cambio de nombre y modificación de contraseñas.

      • Registrar conexiones RDP: Registra conexiones RDP iniciadas desde el VDA que aloja la sesión grabada.

      • Registrar instalaciones y desinstalaciones de la aplicación: Registra instalaciones y desinstalaciones de aplicaciones durante la sesión grabada. Esta regla se aplica a todas las aplicaciones.

      • Registrar datos de rendimiento: Habilita la función de superposición de datos de sesión. Marque esta casilla para ver los puntos de datos relacionados con la sesión grabada.

   2. Seleccione y modifique los criterios de las reglas.

      Al igual que en la creación de una directiva de grabación personalizada, puede elegir uno o varios criterios de las reglas: Usuarios o grupos, Aplicaciones publicadas o escritorio, Grupos de entrega o máquinas y Dirección IP o intervalo de IP. Para obtener las listas de aplicaciones o escritorios publicados y de grupos de entrega o máquinas VDA, debe tener el permiso de lectura como administrador del sitio. Configure el permiso de lectura del administrador en el Delivery Controller del sitio.

      Para obtener más información, consulte las instrucciones de la sección Crear una directiva de grabación personalizada.

      Nota:

      Es posible que algunas sesiones no cumplan ningún criterio de reglas en una directiva de detección de eventos. Para estas sesiones, se aplica la acción de la regla de reserva, que siempre es No detectar. No se puede modificar ni eliminar la regla alternativa.

   3. Siga las instrucciones del asistente para completar la configuración.

      

Una vez que se haya iniciado una sesión que coincide con una directiva de detección de eventos, el ID de sesión y sus valores del Registro de eventos aparecen en el Agente de grabación de sesiones. Por ejemplo:

Compatibilidad con configuraciones del Registro

Cuando la Grabación de sesiones se acaba de instalar o actualizar, no hay ninguna directiva de detección de eventos activa disponible de forma predeterminada. En este caso, cada Agente de grabación de sesiones respeta los valores de Registro ubicados en HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\SessionEvents para determinar si registrar eventos específicos. Para ver una descripción de los valores del Registro, consulte la tabla siguiente:

Estos son algunos de los casos compatibles:

• Si Grabación de sesiones acaba de instalarse o actualizarse desde una versión anterior a 1811 que no permite la detección (registro) de eventos, los valores del Registro relacionados que constan en cada Agente de grabación de sesiones son los predeterminados. Como no hay ninguna directiva de detección de eventos activa de forma predeterminada, no se registra ningún evento.

• Si su versión de Grabación de sesiones se actualiza desde una versión anterior a 1811 que permite la detección de eventos, pero tiene la función inhabilitada antes de la actualización, los valores del Registro relacionados que constan en cada Agente de grabación de sesiones siguen siendo los predeterminados. Como no hay ninguna directiva de detección de eventos activa de forma predeterminada, no se registra ningún evento.

• Si su versión de Grabación de sesiones se actualiza desde una versión anterior a 1811 que admite la detección de eventos y tiene la función habilitada parcial o totalmente antes de la actualización, los valores del Registro relacionados en cada Agente de grabación de sesiones siguen siendo los mismos. Dado que no hay ninguna directiva de detección de eventos activa de forma predeterminada, el comportamiento de la detección de eventos sigue siendo el mismo.

• Si su versión de Grabación de sesiones se actualiza desde 1811, siguen usándose las directivas de detección (registro) de eventos configuradas en la consola de directivas.

Precaución:

Activar la directiva de detección de eventos personalizada o definida por el sistema significa ignorar la configuración de Registro relevante en cada Agente de grabación de sesiones. Si lo hace, ya no podrá utilizar la configuración del Registro para la detección de eventos.