Tableau de bord d’assurance d’accès

Avec l’augmentation du télétravail, en tant qu’administrateur informatique Citrix, vous souhaitez peut-être vous assurer que vos utilisateurs accèdent à Citrix Virtual Apps and Desktops ou à Citrix DaaS (anciennement le service Citrix Virtual Apps and Desktops) depuis leurs emplacements habituels et sécurisés. Si des utilisateurs se sont connectés depuis des emplacements inconnus ou de nouveaux emplacements, vous pouvez valider leurs informations de connexion et prendre les mesures nécessaires pour atténuer toute menace pour votre environnement informatique Citrix.

Le tableau de bord d’assurance d’accès fournit un aperçu des emplacements et des réseaux à partir desquels vos utilisateurs accèdent aux applications virtuelles ou aux bureaux virtuels. Citrix Analytics for Security reçoit ces événements de connexion utilisateur de l’application Citrix Workspace installée sur les appareils des utilisateurs. Pour plus de détails sur les versions prises en charge, consultez la matrice des versions de l’application Citrix Workspace.

Afficher le tableau de bord

Pour afficher le tableau de bord, cliquez sur Sécurité > Assurance d’accès. Sélectionnez la période pour laquelle vous souhaitez afficher les détails de connexion.

Résumé de l’accès

La section de résumé du tableau de bord fournit les informations suivantes pour une période sélectionnée :

1. Nombre total de connexions utilisateur à travers les emplacements (mondial).

2. Nombre total de connexions utilisateur uniques à travers les emplacements (mondial).

   

Emplacement de connexion

La section Emplacements de connexion fournit les informations suivantes pour une période sélectionnée :

• Nombre total de pays à partir desquels les utilisateurs se sont connectés.

• Nombre total de villes à partir desquelles les utilisateurs se sont connectés.

• Nombre total de pays et de connexions utilisateur uniques dans les zones de géorepérage. Pour afficher les détails de connexion depuis les zones de géorepérage, activez le géorepérage.

• Les 10 principaux emplacements avec des connexions utilisateur uniques. Parfois, les principales connexions utilisateur uniques proviennent également de villes et de pays inconnus et sont répertoriées sous l’onglet Emplacements inconnus. La liste des emplacements inconnus est également un sous-ensemble des 10 principaux emplacements. Pour connaître les raisons pour lesquelles certains emplacements ne sont pas identifiés, consultez Emplacements identifiés comme non disponibles.

Vous pouvez également afficher la tendance à la hausse ou à la baisse du nombre total de connexions utilisateur dans le monde et du nombre total de connexions utilisateur uniques dans le monde. Pour les 10 principaux emplacements, la colonne ÉCART indique le changement (positif (+) ou négatif (-)) des connexions utilisateur pour chaque emplacement. Cette comparaison est basée sur la période sélectionnée et la période précédente de même durée. Par exemple, si vous sélectionnez la période Dernier mois, la tendance des connexions utilisateur et l’écart sont comparés entre le dernier mois et l’avant-dernier mois.

Remarque

Les informations de localisation sont fournies au niveau de la ville et du pays et ne représentent pas une géolocalisation précise. Pour plus de détails sur l’assurance d’accès et la géolocalisation, consultez la FAQ.

Dans le tableau 10 principaux emplacements de connexion uniques, sélectionnez un emplacement pour afficher les utilisateurs et leurs profils d’accès et détails de connexion.

La carte affiche le nombre d’utilisateurs uniques provenant de divers emplacements pour une période sélectionnée. Passez la souris sur la bulle bleue ou zoomez sur un emplacement pour afficher le nombre total de connexions utilisateur uniques depuis cet emplacement. Cliquez sur la bulle bleue pour afficher les détails d’accès pour un emplacement.

Dans le coin inférieur droit de la carte, vous pouvez afficher la plage des connexions utilisateur uniques. Pour une période sélectionnée, la petite bulle indique le nombre minimum de connexions utilisateur uniques à travers les emplacements. La grande bulle indique le nombre maximum de connexions utilisateur uniques à travers les emplacements.

Emplacements identifiés comme non disponibles

Dans le tableau 10 principaux emplacements de connexion uniques, vous pourriez voir que certains emplacements sont inconnus ou non disponibles. Cliquez sur un emplacement inconnu pour afficher les détails de connexion utilisateur correspondants sur la page Connexions utilisateur.

Sur la page Connexions utilisateur, le tableau DONNÉES affiche l’étiquette NA si des informations de pays ou de ville ne sont pas disponibles.

Passez la souris sur l’étiquette NA pour afficher la raison de l’indisponibilité des informations de localisation.

Vous pourriez rencontrer l’un des scénarios suivants pour l’indisponibilité d’un emplacement :

Activer le géorepérage

Le géorepérage vous aide à identifier les utilisateurs qui accèdent aux applications virtuelles ou aux bureaux virtuels depuis l’extérieur d’une zone de géorepérage sécurisée et depuis l’intérieur d’une zone de géorepérage risquée. Pour afficher la page Résumé de l’accès, accédez à Sécurité > Assurance d’accès.

Par défaut, les Paramètres de géorepérage sont toujours activés. Pour configurer votre géorepérage, cliquez sur Ajouter/Modifier le géorepérage.

La fenêtre Paramètres de géorepérage apparaît avec deux onglets :

• Emplacements sécurisés : Vous pouvez configurer ou supprimer les pays qui se trouvent dans un emplacement sécurisé.
• Emplacements risqués : Vous pouvez configurer ou supprimer les pays qui se trouvent dans un emplacement risqué. Vous pouvez également afficher le nombre total d’emplacements sécurisés et risqués configurés sur chaque onglet. Pour supprimer un pays d’un géorepérage d’emplacement sécurisé ou d’un géorepérage d’emplacement risqué, cliquez sur le signe de fermeture (X) à côté du pays. Cliquez sur Enregistrer pour enregistrer les paramètres de géorepérage.

Vous pouvez configurer les pays qui se trouvent dans le géorepérage des emplacements risqués. S’il n’y a pas d’indicateurs de risque ajoutés pour le géorepérage des emplacements risqués ou si les indicateurs de risque sont supprimés, vous pouvez voir un message d’avertissement Mettre à jour le géorepérage à côté de Ajouter/Modifier le géorepérage.

Pour recréer l’indicateur, accédez à l’onglet Emplacements risqués et activez le bouton bascule Indicateur de risque pour le géorepérage risqué.

L’indicateur est créé avec la liste par défaut des emplacements risqués.

La page Résumé de l’accès affiche également les pays sécurisés et risqués géorepérés.

• Les pays sécurisés géorepérés sont marqués d’un cercle gris clair.
• Les pays risqués géorepérés sont marqués d’un cercle gris foncé.

Géorepérage : Connexions utilisateur uniques

Accédez à la page Résumé de l’accès pour afficher Géorepérage : Connexions utilisateur uniques. La carte affiche le nombre d’emplacements risqués internes et d’emplacements sécurisés externes.

• Emplacement risqué interne : Identifiez les utilisateurs qui se sont connectés depuis l’intérieur des zones de géorepérage risquées.
• Emplacement sécurisé externe : Identifiez les utilisateurs qui se sont connectés depuis l’extérieur des zones de géorepérage sécurisées.

Pour un résumé détaillé du nombre total et unique de connexions utilisateur, cliquez sur le nombre à côté de Emplacement risqué interne ou Emplacement sécurisé externe.

Cette fonctionnalité utilise l’indicateur de risque personnalisé préconfiguré suivant :

• CVAD-Session démarrée en dehors du géorepérage : Pour surveiller les connexions utilisateur en dehors du géorepérage sécurisé.
• CVAD-Session démarrée à l’intérieur du géorepérage risqué : Pour surveiller les connexions utilisateur à l’intérieur du géorepérage risqué.

Si des connexions utilisateur sont détectées en dehors du géorepérage, l’indicateur de risque est déclenché et la politique « Session démarrée en dehors du géorepérage » est appliquée à ces utilisateurs. La politique déclenche l’action Demander une réponse à l’utilisateur final et, en fonction de la réponse de l’utilisateur, vous pouvez prendre les mesures appropriées pour prévenir les menaces liées à toute connexion suspecte. Pour plus d’informations, consultez les indicateurs de risque personnalisés préconfigurés.

Remarques

• Dans les Paramètres de géorepérage, lorsque vous modifiez les pays, l’indicateur de risque CVAD-Session démarrée en dehors du géorepérage est également mis à jour.

• Par exemple, si vous sélectionnez et enregistrez l’Australie et l’Inde comme nouveaux pays géorepérés, la condition préconfigurée de l’indicateur de risque est mise à jour avec les nouveaux pays, en plus des États-Unis (qui est le géorepérage par défaut). Vous pouvez également supprimer le pays géorepéré par défaut, les États-Unis.

  Condition préconfigurée de l’indicateur de risque : Event-Type = \"Session.logon\" AND Country != \"\" AND Country ~ \"\" AND Country != \"United States\"

  Après la mise à jour des Paramètres de géorepérage, la condition de l’indicateur de risque :

  Event-Type = \"Session.logon\" AND Country != \"\" AND Country ~ \"\" AND Country NOT IN (\"Australia\", \"United States\", \"India\"

• Si l’indicateur de risque CVAD-Session démarrée en dehors du géorepérage a été précédemment supprimé de votre compte, l’activation des Paramètres de géorepérage recrée l’indicateur de risque. Les pays géorepérés de l’indicateur de risque sont contrôlés à partir des Paramètres de géorepérage.

Après avoir activé les Paramètres de géorepérage, la carte affiche les zones géorepérées et les connexions utilisateur uniques provenant de ces zones.

Réseau de connexion

Dans le tableau de bord d’assurance d’accès, vous pouvez désormais afficher les détails utilisateur supplémentaires suivants :

• Les organisations associées aux adresses IP à partir desquelles les utilisateurs se sont connectés. Ces organisations incluent des entités telles que des entreprises, des gouvernements, des entités éducatives et des fournisseurs de services Internet.

• Le nombre total de sous-réseaux publics et privés uniques à partir desquels les utilisateurs se sont connectés.

• Les détails indiquant que l’utilisateur s’est connecté à l’aide de proxys et de services VPN privés.

Grâce à ces détails supplémentaires, en tant qu’administrateur, vous pouvez valider les informations de connexion de l’utilisateur et vous assurer que la connexion de l’utilisateur respecte les attentes de sécurité de l’organisation.

Afficher les détails du réseau utilisateur

Accédez à Sécurité > Assurance d’accès et faites défiler vers le bas pour afficher les détails sous Réseau de connexion.

• Adresses IP totales : Indique le nombre total d’adresses IP uniques utilisées pour se connecter aux sessions virtuelles.

• Sous-réseaux totaux : Indique le nombre total de sous-réseaux utilisés pour se connecter aux sessions virtuelles.

• Types de proxy totaux : Indique le nombre total de types de réseau ou de protocole utilisés par le serveur pour proxifier la connexion utilisateur.

• Sous Principale distribution des organisations d’enregistrement IP, vous pouvez visualiser un aperçu du nombre total de connexions utilisateur et des détails de connexion uniques de chaque organisation (FAI). Vous pouvez cliquer sur le graphique pour explorer les détails des utilisateurs, leurs profils d’accès et les détails de connexion associés à l’organisation sélectionnée.

• Sous Sous-réseaux publics uniques totaux, vous pouvez visualiser un aperçu des sous-réseaux, du nombre total de connexions utilisateur de chaque sous-réseau et de la tendance d’écart dans chaque sous-réseau. Vous pouvez cliquer sur chaque sous-réseau pour explorer les détails des utilisateurs, leurs profils d’accès et les détails de connexion associés au sous-réseau sélectionné.

Afficher les profils d’accès des utilisateurs

Lorsque vous explorez une métrique (emplacement, organisation ou sous-réseau), la page Profil d’accès fournit le résumé des accès de vos utilisateurs aux applications virtuelles ou aux bureaux virtuels à partir des emplacements sélectionnés. Vous pouvez sélectionner l’option de connexion unique ou de connexion totale pour afficher l’analyse des tendances pour la période sélectionnée.

Vous pouvez afficher les principaux événements d’accès pour la métrique sélectionnée (emplacement, organisation ou sous-réseau). Ces informations vous aident à examiner les modèles d’accès et les détails pour l’investigation et l’analyse des menaces.

La tendance à la hausse ou à la baisse pour le nombre total de connexions utilisateur et le nombre de connexions utilisateur uniques est comparée en fonction de la période sélectionnée et de la période précédente de même durée. Par exemple, si vous sélectionnez la période Dernier mois, la tendance est comparée entre le dernier mois et l’avant-dernier mois.

Facettes

Vous pouvez utiliser les facettes suivantes pour les événements d’accès :

• Emplacement : Filtrez les événements d’accès par pays et leurs villes.

• OS : Filtrez les événements d’accès par systèmes d’exploitation et leurs versions.

• Sous-réseau : Filtrez les événements d’accès par sous-réseaux.

• Type d’IP client : Filtrez les événements d’accès par IP publique ou privée.

• Organisation d’enregistrement IP : Filtrez l’organisation associée à l’adresse IP publique.

• Service VPN privé : Filtrez les événements d’accès par les noms de réseau VPN privés.

• Type de proxy : Filtrez les événements d’accès par les classifications de type de proxy telles que HTTP, web, Tor et SOCKS.

Remarque

Vous pourriez également voir l’étiquette « non disponible » si les données sont soit indisponibles, soit non identifiées.

En fonction des filtres appliqués, affichez les informations suivantes pour le nombre total de connexions utilisateur et de connexions utilisateur uniques :

• Réseau : Les principaux sous-réseaux et adresses IP à partir desquels les utilisateurs se sont connectés aux applications virtuelles ou aux bureaux virtuels.

  

• Emplacements : Les principaux pays et villes à partir desquels les utilisateurs se sont connectés aux applications virtuelles ou aux bureaux virtuels.

  

• Points de terminaison : Les principaux noms d’appareils et de systèmes d’exploitation basés sur les connexions utilisateur d’applications et de bureaux.

  

Afficher les détails de connexion des utilisateurs

La page Connexions utilisateur fournit les détails des connexions utilisateur aux applications virtuelles ou aux bureaux virtuels à partir des emplacements sélectionnés. Ces informations vous aident lors de l’investigation et de l’analyse des menaces.

Le tableau DONNÉES affiche les détails de connexion suivants pour les emplacements et la période sélectionnés :

• Heure. La date et l’heure de connexion de l’utilisateur.

• Nom d’utilisateur. L’identité de l’utilisateur.

• IP client. L’adresse IP de l’appareil de l’utilisateur.

• Type d’IP client. Le type d’adresse IP de l’utilisateur, tel que public ou privé.

• Ville et pays. Les emplacements à partir desquels l’utilisateur s’est connecté aux applications virtuelles ou aux bureaux virtuels.

• ID de l’appareil. Le code d’identité de l’appareil de l’utilisateur.

• Nom de l’OS. Le système d’exploitation sur l’appareil de l’utilisateur. Pour plus d’informations, consultez Recherche en libre-service pour les applications et les bureaux.

  

Si vous développez chaque événement, vous pouvez voir les détails suivants :

• Version de l’OS. La version du système d’exploitation sur l’appareil de l’utilisateur. Pour plus d’informations, consultez Recherche en libre-service pour les applications et les bureaux.

• Informations supplémentaires sur l’OS : Toute information supplémentaire sur le système d’exploitation, telle que les numéros de build, les Service Packs et les correctifs. Pour plus d’informations, consultez Recherche en libre-service pour les applications et les bureaux.

• Version de l’application Workspace. La version de build de l’application Citrix Workspace™ ou de Citrix Receiver.

  

Dans le tableau DONNÉES, vous pouvez effectuer les opérations suivantes :

• Cliquez sur Ajouter ou supprimer des colonnes pour mettre à jour les colonnes du tableau en fonction de la manière dont vous souhaitez afficher les données.

• Cliquez sur Trier par et sélectionnez les éléments de données pour effectuer un tri multi-colonnes. Pour plus d’informations, consultez Tri multi-colonnes.

• Cliquez sur Exporter au format CSV pour télécharger les données affichées dans le tableau DONNÉES dans un fichier CSV et les utiliser pour votre analyse.

Barre de recherche

Vous pouvez également utiliser la barre de recherche pour définir votre requête à l’aide des dimensions associées à un événement de connexion.

Par exemple :

User = “test user” AND Client-IP = “10.xx.xx.xx AND Client-IP-Type = public”

User = “demo_user@citrix.com” AND OS-Major-Version = “macOS 10.13” AND OS-Minor-Version = 6

Facettes

Vous pouvez utiliser les facettes suivantes pour les événements de connexion :

• Emplacements : Filtrez les événements de connexion par pays et leurs villes.

• OS : Filtrez les événements de connexion par système d’exploitation et leurs versions.

• Sous-réseau : Filtrez les événements d’accès par sous-réseaux.

• Type d’IP client : Filtrez les événements d’accès par les types d’IP publiques et privées.

• Organisation d’enregistrement IP : Filtrez les événements d’accès par FAI utilisé par l’utilisateur.

• Service VPN privé : Filtrez les événements d’accès par les noms de réseau VPN privés.

• Type de proxy : Filtrez les événements d’accès par les classifications de type de proxy telles que HTTP, web, Tor et SOCKS.

Remarque

Vous pourriez également voir l’étiquette « non disponible » si les données sont soit indisponibles, soit non identifiées.