Documento técnico: Mejores prácticas de seguridad de dispositivos de punto final, antivirus y antimalware
Introducción
Este artículo proporciona pautas para configurar el software antivirus en entornos Citrix DaaS y Citrix Virtual Apps and Desktops. También incluye recursos para configurar el software antivirus en otras tecnologías y funciones de Citrix (por ejemplo, Cloud Connectors, Provisioning Services, etc.). La configuración incorrecta del antivirus es uno de los problemas más comunes que Citrix Consulting ve en el campo. Puede provocar varios problemas, que van desde problemas de rendimiento o experiencias de usuario degradadas hasta tiempos de espera y errores de varios componentes.
En este documento técnico, abordamos algunos temas importantes relacionados con las implementaciones óptimas de antivirus en entornos virtualizados: aprovisionamiento y desaprovisionamiento de agentes, actualizaciones de firmas, una lista de exclusiones recomendadas y optimizaciones del rendimiento. La implementación correcta de estas recomendaciones depende de su proveedor de antivirus y de su equipo de seguridad. Consúltelos para obtener recomendaciones más específicas.
¡Advertencia! Este artículo contiene exclusiones de antivirus. Es importante entender que las exclusiones y optimizaciones de antivirus aumentan la superficie de ataque de un sistema y pueden exponer a los equipos a diversas amenazas de seguridad. Sin embargo, las siguientes pautas suelen representar la mejor compensación entre seguridad y rendimiento. Citrix no recomienda implementar ninguna de estas exclusiones u optimizaciones hasta que se hayan realizado pruebas rigurosas en un entorno de laboratorio para comprender a fondo las compensaciones entre seguridad y rendimiento. Citrix también recomienda que las organizaciones contraten a sus equipos de antivirus y seguridad para revisar las siguientes pautas antes de proceder con cualquier tipo de implementación de producción.
Registros de agentes
El software de agente que se instala en cada máquina virtual aprovisionada normalmente necesita registrarse en un sitio central para la administración, la generación de informes de estado y otras actividades. Para que el registro sea correcto, cada agente debe ser identificable de forma única.
Con máquinas aprovisionadas desde una sola imagen mediante tecnologías como Provisioning Services (PVS) o Machine Creation Services (MCS), es importante comprender cómo se identifica cada agente y si se requieren instrucciones para los entornos virtualizados. Algunos proveedores utilizan información dinámica, como la dirección MAC o el nombre del equipo, para la identificación de la máquina. Otros utilizan el enfoque más tradicional de una cadena aleatoria generada durante la instalación. Para evitar registros conflictivos, cada máquina necesita generar un identificador único. El registro en entornos no persistentes a menudo se realiza mediante un script de inicio que restaura automáticamente los datos de identificación de la máquina desde una ubicación persistente.
En entornos más dinámicos, también es importante comprender cómo se comporta el desaprovisionamiento de máquinas, si la limpieza es una operación manual o si se realiza automáticamente. Algunos proveedores ofrecen integración con hipervisores o incluso Delivery Controllers donde las máquinas se pueden crear o eliminar automáticamente a medida que se aprovisionan.
Recomendación: pregunte a su proveedor de seguridad cómo se implementa el registro y la cancelación del registro de sus agentes. Si el registro requiere más pasos para entornos con administración de imagen única, incluya estos pasos en las instrucciones de sellado de imágenes, preferiblemente como un script completamente automatizado.
Actualizaciones de firmas
Las firmas actualizadas de manera oportuna y constante son uno de los aspectos más importantes de las soluciones de seguridad de puntos finales. La mayoría de los proveedores utilizan firmas almacenadas en caché local y actualizadas de forma incremental que se almacenan en cada uno de los dispositivos protegidos.
Con máquinas no persistentes, es importante comprender cómo se actualizan las firmas y dónde se almacenan. Esto le permite comprender y minimizar la ventana de oportunidad para que el malware infecte la máquina.
Especialmente en una situación en la que las actualizaciones no son incrementales y pueden alcanzar un tamaño significativo, puede considerar una implementación en la que el almacenamiento persistente esté conectado a cada uno de los equipos no persistentes para mantener intacta la caché de actualizaciones entre los restablecimientos y las actualizaciones de imágenes. Con este enfoque, se minimiza la ventana de oportunidad y el impacto en el rendimiento de una actualización de definiciones.
Aparte de las actualizaciones de firmas para cada una de las máquinas aprovisionadas, también es importante definir una estrategia para actualizar la imagen maestra. Se recomienda automatizar este proceso, por lo que se actualiza la imagen maestra regularmente con las firmas más recientes. Esto es especialmente importante para las actualizaciones incrementales en las que está minimizando la cantidad de tráfico requerido para cada máquina virtual.
Otro enfoque para administrar las actualizaciones de firmas en entornos virtualizados es reemplazar completamente la naturaleza de las firmas descentralizadas por un motor de análisis centralizado. Si bien esto se hace principalmente para minimizar el impacto en el rendimiento de un antivirus, también tiene la ventaja adicional de centralizar las actualizaciones de firmas.
Recomendación: Pregunte a su proveedor de seguridad cómo se actualizan las firmas en el antivirus. ¿Cuál es el tamaño y la frecuencia esperados, y las actualizaciones son incrementales? ¿Hay alguna recomendación para entornos no persistentes?
Optimizaciones del rendimiento
Un antivirus, especialmente si está mal configurado, puede tener un impacto negativo en la escalabilidad y en la experiencia general del usuario. Por lo tanto, es importante entender el impacto en el rendimiento para determinar qué lo está causando y cómo puede minimizarse.
Las estrategias y los enfoques de optimización del rendimiento disponibles son diferentes para los distintos proveedores e implementaciones de antivirus. Uno de los enfoques más comunes y efectivos es proporcionar capacidades de análisis antivirus de descarga centralizada. En lugar de que cada máquina sea responsable de escanear muestras (a menudo idénticas), el escaneo se centraliza y se realiza una sola vez. Este enfoque está optimizado para entornos virtualizados; sin embargo, asegúrese de comprender su impacto en la alta disponibilidad.
de escaneos a un dispositivo dedicado puede ser muy eficaz en entornos virtualizados.
Otro enfoque se basa en el análisis previo de partes de solo lectura de los discos, realizado en las imágenes maestras antes del Provisioning. Es importante comprender cómo esto afecta a la ventana de oportunidad (por ejemplo, ¿qué sucede si un disco ya contiene archivos infectados pero las firmas no están disponibles durante la fase previa al escaneo?). Esta optimización a menudo se combina con el análisis de eventos de solo escritura, ya que todas las lecturas se originarán de porciones de disco previamente escaneadas o de una caché de escritura/disco diferencial específica de la sesión que ya se analizó durante la operación de escritura. A menudo, un buen compromiso es combinar escaneos en tiempo real (optimizados) con escaneos programados (escaneos completos del sistema).
La optimización de análisis más común es centrarse únicamente en las diferencias entre máquinas virtuales.
Recomendación: Las optimizaciones de rendimiento pueden mejorar en gran medida las experiencias de los usuarios. Sin embargo, también pueden considerarse como un riesgo para la seguridad. Por lo tanto, se recomienda consultar con su proveedor y su equipo de seguridad. La mayoría de los proveedores de antivirus con soluciones para entornos virtualizados ofrecen motores de análisis optimizados.
Exclusiones de antivirus
La optimización más común (y a menudo la más importante) para antivirus es la definición adecuada de exclusiones antivirus para todos los componentes. Aunque algunos proveedores pueden detectar automáticamente componentes de Citrix y aplicar exclusiones, en la mayoría de los entornos, se trata de una tarea manual que debe configurarse para el antivirus en la consola de administración.
En general, se recomiendan exclusiones para el escaneo en tiempo real. Sin embargo, Citrix recomienda analizar los archivos y carpetas excluidos con regularidad mediante análisis programados. Para mitigar cualquier posible impacto en el rendimiento, se recomienda realizar análisis programados durante las horas no comerciales o fuera de las horas punta.
La integridad de los archivos y carpetas excluidos debe mantenerse siempre. Las organizaciones pueden considerar la posibilidad de utilizar una solución comercial de supervisión de integridad de archivos o Host Intrusion Prevention para proteger la integridad de los archivos y carpetas excluidos del análisis en tiempo real o en tiempo real. Los archivos de base de datos y de registro se excluyen en este tipo de supervisión de integridad de datos porque se espera que estos archivos cambien. Si se debe excluir una carpeta completa del análisis en tiempo real o en tiempo real, Citrix recomienda supervisar estrechamente la creación de nuevos archivos en las carpetas excluidas.
Escanee solo unidades locales, o inhabilite el análisis de red. Se supone que todas las ubicaciones remotas que pueden incluir servidores de archivos que alojan perfiles de usuario y carpetas redirigidas están siendo supervisadas por soluciones de integridad de datos y antivirus. De lo contrario, se recomienda excluir los recursos compartidos de red a los que acceden todas las máquinas aprovisionadas. Un ejemplo incluye los recursos compartidos que alojan carpetas redirigidas o perfiles de usuario.
Otra consideración importante es la exclusión de los procesos. Cuando se recomiendan exclusiones de procesos, el objetivo es evitar el análisis de cualquier actividad realizada por dichos procesos en lugar de evitar el análisis del archivo exe. En algunas soluciones de seguridad, esto se conoce como definición de procesos de confianza.
Recomendación: Revise estas recomendaciones con su proveedor y equipo de seguridad.
- Revise la exclusión de todos los archivos, carpetas y procesos y confirme que existen antes de crear una directiva de exclusión.
- Implemente varias directivas de exclusión para diferentes componentes en lugar de crear una directiva grande para todos ellos.
- Para minimizar la ventana de oportunidad, implemente una combinación de escaneos en tiempo real y programados.
- Configure el escaneo en tiempo real para escanear solo las unidades locales y no las unidades de red.
- Inhabilite el escaneo al arrancar.
- Elimine cualquier entrada innecesaria relacionada con el antivirus mediante la tecla Ejecutar.
- Excluya los archivos de paginación para que no se escaneen.
- Excluya los registros de eventos de Windows del análisis.
- Excluya los archivos de registro de IIS del análisis.
Aplicaciones y escritorios virtuales
Delivery Controllers
Archivos (v1912+):
%SystemRoot%\ServiceProfiles\NetworkService\HaDatabaseName.mdf%SystemRoot%\ServiceProfiles\NetworkService\HaImportDatabaseName.mdf%SystemRoot%\ServiceProfiles\NetworkService\HaDatabaseName_log.ldf%SystemRoot%\ServiceProfiles\NetworkService\HaImportDatabaseName_log.ldf
Carpetas (v1912+):
%ProgramData%\Citrix\Broker\Cache
Procesos:
%ProgramFiles%\Citrix\Broker\Service\BrokerService.exe%ProgramFiles%\Microsoft SQL Server\150\LocalDB\Binn\sqlservr.exe
Procesos (v1912+):
%ProgramFiles%\Citrix\Broker\Service\HighAvailabilityService.exe%ProgramFiles%\Citrix\ConfigSync\ConfigSyncService.exe
Agentes de Virtual Delivery Agent
Actualizado en junio de 2023
Archivos:
%SystemRoot%\System32\drivers\CtxUvi.sys%ProgramFiles%\Citrix\HDX\bin\CitrixLogonCsp.dll-
mcsdif.vhdx(Cuando se utiliza E/S de MCS)
Procesos:
%ProgramFiles%\Citrix\User Profile Manager\UserProfileManager.exe%ProgramFiles%\Citrix\Virtual Desktop Agent\BrokerAgent.exe-
%SystemRoot%\System32\drivers\CVhdFilter.sys(Cuando se utiliza E/S de MCS)
CVAD 1912 LTSR
%ProgramFiles(x86)%\Citrix\ICAService\CtxSvcHost.exe%ProgramFiles%\Citrix\System32\ctxgfx.exe
CVAD 1912 LTSR: Solo VDA de sesión única
%ProgramFiles%\Citrix\ICAService\picaSvc2.exe%ProgramFiles%\Citrix\ICAService\CpSvc.exe%ProgramFiles%\Citrix\HDX\bin\ctxgfx.exe
CVAD 2112+
%ProgramFiles%\Citrix\HDX\bin\CtxSvcHost.exe%ProgramFiles%\Citrix\HDX\bin\ctxgfx.exe
CVAD 2112+ (solo VDA de sesión única)
%ProgramFiles%\Citrix\HDX\bin\picaSvc2.exe%ProgramFiles%\Citrix\HDX\bin\CpSvc.exe
El archivo WebSocketService.exe se puede encontrar en diferentes ubicaciones en varias versiones de CVAD. A continuación se muestra una lista de las versiones LTSR compatibles y la versión CR más reciente. Si está ejecutando cualquier otra versión de CVAD, le recomendamos que confirme primero la ubicación del archivo.
-
%ProgramFiles%\Citrix\HTML5 Video Redirection\WebSocketService.exe(CVAD 7.15 LTSR: Sistema operativo de escritorio y servidor) -
%ProgramFiles(x86)%\Citrix\System32\WebSocketService.exe(CVAD 1912 LTSR: solo VDA multisesión) -
%ProgramFiles%\Citrix\ICAService\WebSocketService.exe(CVAD 1912 LTSR: solo VDA de sesión única) -
%ProgramFiles(x86)%\Citrix\HDX\bin\WebSocketService.exe(CVAD 2003+: VDA de sesión única y multisesión)
Agentes de entrega virtual - HDX RealTime Optimization Pack
Archivos:
%Temp%\Citrix\RTMediaEngineSRV\MediaEngineSRVDebugLogs**.txt%Temp%\Citrix\HDXRTConnector**.txt
Procesos:
%ProgramFiles(x86)%\Citrix\HDX RealTime Connector\AudioTranscoder.exe%ProgramFiles(x86)%\Citrix\HDX RealTime Connector\MediaEngine.Net.Service.exe%ProgramFiles(x86)%\Citrix\HDX RealTime Connector\MediaEngineService.exe
Aplicación Workspace
Actualizado en mayo de 2023
Archivos:
%UserProfile%\AppData\Local\Temp\Citrix\RTMediaEngineSRV\MediaEngineSRVDebugLogs**.txt-
%ProgramFiles(x86)%\Citrix\ICA Client\epclient32.dll(Protección de aplicaciones) -
%ProgramFiles(x86)%\Citrix\ICA Client\epclient64.dll(Protección de aplicaciones) -
%ProgramFiles(x86)%\Citrix\ICA Client\epinject.sys(Protección de aplicaciones) %ProgramFiles(x86)%\Citrix\ICA Client\EntryProtect.dll
Procesos:
-
%ProgramFiles(x86)%\Citrix\ICA Client\MediaEngineService.exe(HDX RealTime Optimization Pack) %ProgramFiles(x86)%\Citrix\ICA Client\CDViewer.exe%ProgramFiles(x86)%\Citrix\ICA Client\concentr.exe%ProgramFiles(x86)%\Citrix\ICA Client\wfica32.exe%ProgramFiles(x86)%\Citrix\ICA Client\bgblursvc.exe%ProgramFiles(x86)%\Citrix\ICA Client\AuthManager\AuthManSvr.exe%ProgramFiles(x86)%\Citrix\ICA Client\SelfServicePlugin\SelfService.exe%ProgramFiles(x86)%\Citrix\ICA Client\SelfServicePlugin\SelfServicePlugin.exe-
%ProgramFiles(x86)%\Citrix\ICA Client\HdxTeams.exe(Optimización para Microsoft Teams for Workspace aplicación 2009.5 o anterior) -
%ProgramFiles(x86)%\Citrix\ICA Client\HdxRtcEngine.exe(Optimización para Microsoft Teams for Workspace aplicación 2009.6 o posterior)Nota:
Normalmente, estas exclusiones para la aplicación Citrix Workspace no son obligatorias. Solo hemos visto su necesidad en entornos cuando el antivirus está configurado con directivas más estrictas de lo habitual, o en situaciones en las que varios agentes de seguridad están en uso simultáneamente (AV, DLP, HIP, etc.).
Al instalar la aplicación Citrix Workspace mediante el instalador de Virtual Delivery Agent, aparecerá una carpeta “Complemento en línea” en la ruta de instalación, como
%ProgramFiles(x86)%\Citrix\online plugin\ICA Client\
Provisioning
Citrix Provisioning (PVS)
Archivos:
*.vhd*.avhd*.vhdx*.avhdx*.pvp*.lok-
%SystemRoot%\System32\drivers\CvhdBusP6.sys(Windows Server 2008 R2) -
%SystemRoot%\System32\drivers\CVhdMp.sys(Windows Server 2012 R2) %SystemRoot%\System32\drivers\CfsDep2.sys%ProgramData%\Citrix\Provisioning Services\Tftpboot\ARDBP32.BIN
Procesos:
%ProgramFiles%\Citrix\Provisioning Services\BNTFTP.EXE%ProgramFiles%\Citrix\Provisioning Services\PVSTSB.EXE%ProgramFiles%\Citrix\Provisioning Services\StreamService.exe%ProgramFiles%\Citrix\Provisioning Services\StreamProcess.exe%ProgramFiles%\Citrix\Provisioning Services\soapserver.exe%ProgramFiles%\Citrix\Provisioning Services\Inventory.exe%ProgramFiles%\Citrix\Provisioning Services\Notifier.exe%ProgramFiles%\Citrix\Provisioning Services\MgmtDaemon.exe-
%ProgramFiles%\Citrix\Provisioning Services\BNPXE.exe(solo si se utiliza PXE) %ProgramFiles%\Citrix\Provisioning Services\CdfSvc.exe%ProgramFiles%\Citrix\Provisioning Services\BNAbsService.exe
Aprovisionamiento de dispositivos de destino
Archivos:
.vdiskcache-
vdiskdif.vhdx(7.x y versiones posteriores cuando se usa caché en RAM con desbordamiento)
Procesos:
%SystemRoot%\System32\drivers\bnistack6.sys%SystemRoot%\System32\drivers\CfsDep2.sys-
%SystemRoot%\System32\drivers\CVhdBusP6.sys(Windows Server 2008 R2) %SystemRoot%\System32\drivers\cnicteam.sys-
%SystemRoot%\System32\drivers\CVhdMp.sys(solo 7.x) %ProgramFiles%\Citrix\Provisioning Services\BNDevice.exe%ProgramFiles%\Citrix\Provisioning Services\drivers\BNIstack6.sys%ProgramFiles%\Citrix\Provisioning Services\drivers\CNicTeam.sys%ProgramFiles%\Citrix\Provisioning Services\drivers\CFsDep2.sys%ProgramFiles%\Citrix\Provisioning Services\drivers\CVhdMp.sys
StoreFront
Archivos:
%SystemRoot%\ServiceProfiles\NetworkService\AppData\Roaming\Citrix\SubscriptionsStore\**\PersistentDictionary.edb
Procesos:
%ProgramFiles%\Citrix\Receiver StoreFront\Services\SubscriptionsStoreService\Citrix.DeliveryServices.SubscriptionsStore.ServiceHost.exe%ProgramFiles%\Citrix\Receiver StoreFront\Services\CredentialWallet\Citrix.DeliveryServices.CredentialWallet.ServiceHost.exe
Cloud Connector
Archivos:
%SystemRoot%\ServiceProfiles\NetworkService\HaDatabaseName.mdf%SystemRoot%\ServiceProfiles\NetworkService\HaImportDatabaseName.mdf%SystemRoot%\ServiceProfiles\NetworkService\HaDatabaseName_log.ldf%SystemRoot%\ServiceProfiles\NetworkService\HaImportDatabaseName_log.ldf
Carpetas:
%SystemDrive%\Logs\CDF%ProgramData%\Citrix\WorkspaceCloud\Logs
Procesos:
%ProgramFiles%\Citrix\XaXdCloudProxy\XaXdCloudProxy.exe%ProgramFiles%\Citrix\Broker\Service\HighAvailabilityService.exe%ProgramFiles%\Citrix\ConfigSync\ConfigSyncService.exe%ProgramFiles%\Citrix\ConfigSync\ConfigSyncRun.exe%ProgramFiles%\Microsoft SQL Server\150\LocalDB\Binn\sqlservr.exe%ProgramFiles(x86)%\Citrix\NetScaler Cloud Gateway\MetricsService.exe
Workspace Environment Management
Actualizado en mayo de 2023
Carpetas:
-
%ProgramFiles(x86)%\Citrix\Workspace Environment Management Agent(en SO de 64 bits) -
%Program Files%\Citrix\Workspace Environment Management Agent(en SO de 32 bits)
Procesos:
%ProgramFiles%\Citrix\Workspace Environment Management Agent\AgentCacheUtility.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\AgentGroupPolicyUtility.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\AppInfoViewer.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\Agent Log Parser.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\AppsMgmtUtil.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\Citrix.Wem.Agent.EnrollmentUtility.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\Citrix.Wem.Agent.Service.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\Citrix.Wem.Agent.LogonService.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\PrnsMgmtUtil.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\VUEMAppCmd.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\VUEMAppCmdDbg.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\VUEMAppHide.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\VUEMCmdAgent.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\VUEMMaintMsg.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\VUEMRSAV.exe%ProgramFiles%\Citrix\Workspace Environment Management Agent\VUEMUIAgent.exe
Grabación de sesiones - Servidor
Procesos:
%ProgramFiles%\Citrix\SessionRecording\Server\Bin\SsRecStorageManager.exe%ProgramFiles%\Citrix\SessionRecording\Server\Bin\SsRecAnalyticsService.exe%ProgramFiles%\Citrix\SessionRecording\Server\Bin\SsRecWebSocketServer.exe%ProgramFiles%\Citrix\SessionRecording\Server\Bin\icldb.exe%ProgramFiles%\Citrix\SessionRecording\Server\Bin\iclstat.exe%ProgramFiles%\Citrix\SessionRecording\Server\Bin\SsRecServerConsole.exe%ProgramFiles%\Citrix\SessionRecording\Server\Bin\TestPolicyAdmin.exe
Archivos:
%ProgramFiles%\Citrix\SessionRecording\Server\App_Data*.xml
Carpetas:
C:\SessionRecordingsC:\SessionRecordingsRestored%SystemRoot%\System32\msmq%ProgramFiles%\Citrix\SessionRecording\Server\Bin\log
Grabación de sesiones - Agente
Procesos:
%ProgramFiles%\Citrix\SessionRecording\Agent\Bin\SsRecAgent.exe%ProgramFiles%\Citrix\SessionRecording\Agent\Bin\SsRecAgentWrapper.exe%ProgramFiles%\Citrix\SessionRecording\Agent\Bin\SsRecEventMonitorService.exe%ProgramFiles%\Citrix\SessionRecording\Agent\Bin\SsRecSRGraphics.exe
Archivos:
%SystemRoot%\System32\drivers\ssrecdrv.sys%SystemRoot%\System32\drivers\srminifilterdrv.sys
Carpetas:
%SystemRoot%\System32\msmq
Grabación de sesiones - Reproductor
Procesos:
%ProgramFiles(x86)%\Citrix\SessionRecording\Player\Bin\SsRecPlayer.exe
Carpetas:
%UserProfile%\AppData\Local\Citrix\SessionRecording\Player\Cache
Proveedores de antivirus
Bitdefender - Implementación de prácticas recomendadas de seguridad en el centro de datos virtual
Microsoft - Windows Defender en entornos VDI
Microsoft - Exclusiones de antivirus de FSLogix
Trend Micro - Exclusiones recomendadas de seguridad profunda
Recursos adicionales
Programa de seguridad de Citrix Ready Workspace
Directrices de Citrix para la configuración del software antivirus
Prácticas recomendadas para el antivirus de Provisioning Services