DirectorおよびMonitorへのApp Protectionイベント
はじめに
Windows向けCitrix Workspaceアプリ (CWA) には、Microsoft Recallなどのエンドポイント上の高リスク状態を手動設定なしで自動的に検出する組み込みのセキュリティチェックが導入されています。これらの検出は、Citrix DirectorおよびMonitorにイベントを報告することでリアルタイムの可視性を提供し、管理者がリスクを迅速に評価し、App Protectionポリシーなどの保護対策を適用できるようにします。
特定のイベント（たとえば、Microsoft Recall）の検出は自動ですが、これらのイベントからの保護には、管理者によるApp Protectionポリシーの手動設定が必要です。
プロアクティブなリスク管理とポリシーの再構成を利用することで、管理者は環境内のエンドポイントセキュリティを強化し、新たな脅威への露出を減らすことができます。このプロアクティブなアプローチは、組織がリアルタイムで脅威を特定し、対応するのを支援することで、Citrix®が安全なアプリケーション配信にコミットしていることをさらに推進します。
注:
Citrix Workspaceアプリは、ライセンスエンタイトルメントの適用、およびソフトウェアの運用、管理、測定、改善のために、製品を通じてユーザーおよびデバイスの使用状況に関するテレメトリデータを収集します。以下を含みます。
-
デバイスID
-
ユーザー名
-
タイムスタンプ
-
IPアドレス
前提条件
-
Citrix Virtual Delivery Agent: VDAバージョン2507以降。
-
シトリックス ディレクター: シトリックス バーチャル アプリケーションズ アンド デスクトップ 2603以降。
-
Citrix Monitor: DDCバージョン128以降。
-
Windows 用 Citrix Workspace アプリ (CWA): エンドポイントにはバージョン 2603 以降が必要です。
-
保護イベントの場合、管理者は関連するアプリ保護ポリシー (例: 画面キャプチャ防止、DLL インジェクション防止) を Citrix ポリシーを通じて構成する必要があります。
-
イベントの種類
Microsoft Recall の検出
Windows Recall は、エンドポイントで実行される AI エージェントであり、ユーザーの画面コンテンツのスナップショットを継続的にキャプチャしてローカルに保存し、分析します。これらのスナップショットには、次のような機密情報が含まれる可能性があります。
-
サインイン時に入力された企業資格情報。
-
仮想デスクトップまたは公開アプリケーションに表示される機密性の高いアプリケーションデータ。
-
セッション中に表示される専有文書および知的財産。
Director ビュー - Recall イベント(/en-us/citrix-workspace-app/media/director-recall-screenshot1.png)
悪用された場合、この機能により、攻撃者または不正なユーザーが、セッション終了後でもデバイスから機密データを取得できる可能性があります。
このイベントはいつ送信されますか?
セッション起動時、CWA は Windows Recall がエンドポイントでアクティブであるかどうかを自動的に検出します。
-
検出イベント: Recall が検出され、セッションで画面キャプチャ防止ポリシーが有効になっていない場合に送信されます。
-
保護イベント: Recall が検出され、セッションで画面キャプチャ防止ポリシーが有効になっている場合に送信されます。
Director ビュー - Recall イベント(/en-us/citrix-workspace-app/media/director-recall-screenshot.png)
イベント固有のデータ このイベントは共通フィールドのみを使用し、
resourceTypeおよびresourceName以外の追加フィールドは含まれません。
スクリーンキャプチャの検出
ユーザーまたはツールがエンドポイントデスクトップのスクリーンショットを撮ろうとすると、スクリーンキャプチャイベントが発生します。App Protection Anti-screen captureポリシーが有効になっている場合、セッションの内容はキャプチャツールに対して黒く塗りつぶされます。ツールはセッション外のデスクトップ領域をキャプチャできますが、セッションの内容自体は隠されます。
このイベントはいつ送信されますか?
Anti-screen captureポリシーが有効で実行中のセッション中に、CWAがスクリーンキャプチャツールが積極的に画面をキャプチャしようとしていることを検出すると、
screenCaptureEventが送信されます。イベントには、ツールの名前とパス、およびその署名ステータスが含まれます。
DLLインジェクションの検出
DLL（ダイナミックリンクライブラリ）は実行可能なライブラリです。DLLインジェクションは、プロセスがDLLをCitrixプロセスに挿入するときに発生します。これらのDLLは、正当な理由（例：グラフィックドライバー、ウイルス対策ソフトウェア）と悪意のある理由（例：ネットワークトラフィックの傍受、資格情報の傍受）の両方で挿入される可能性があります。
App Protection Anti-DLL Injectionは、署名されていないDLLが特定のCitrixプロセスに挿入されるのを防ぎます。署名されていないDLLがCitrixプロセスに挿入されることは、DLLインジェクションイベントと見なされます。
このイベントはいつ送信されますか?
Anti-DLL injectionポリシーが有効になっている間に、CWAが保護されたCitrixプロセスに署名されていないDLLが挿入されていることを検出すると、DLLインジェクションイベントが送信されます。
データとイベントの詳細
共通イベントスキーマ
すべてのエンドポイントセキュリティイベントは、DirectorおよびMonitorに報告される共通のエンベロープを共有します。
| フィールド | 説明 | 例 |
|---|---|---|
deviceName |
エンドポイントコンピューター名。 | WORKSTATION-01 |
username |
ログインユーザー (UPN形式)。 | john@example.com |
timestamp |
ミリ秒単位のUnixエポックタイムスタンプ。 | 1733805466000 |
osVersion |
エンドポイントオペレーティングシステムバージョン。 | Windows 11 Pro |
cwaVersion |
エンドポイント上のCitrix Workspaceアプリのバージョン。 | 25.3.2.196 |
ipAddress |
エンドポイントのIPアドレス。 | 123.45.67.89 |
version |
イベントスキーマのバージョン。 | 1.0 |
eventType |
セキュリティイベントタイプの識別子。 | recallEvent |
payloadType |
0 = 検出 (脅威を特定); 1 = 保護 (軽減済み)。 | 0 |
component |
イベントを生成したCWAコンポーネント。 | AppProtection |
すべてのイベントには、次の内容を含むEndpointSecurityAdditionalDataオブジェクトも含まれます。
| フィールド | 説明 | 例 |
|---|---|---|
resourceType |
イベントに関連付けられているリソースの種類。 | ICA session |
resourceName |
公開されたリソースのフレンドリ名。 | Prod_Win11_Session |
画面キャプチャイベント固有のデータ
共通フィールドに加えて、
EndpointSecurityAdditionalDataには以下が含まれます。
| フィールド | 説明 | 例 |
|---|---|---|
screenCaptureToolName |
検出されたツールの実行可能ファイル名。 | obs64.exe |
screenCaptureToolPath |
ツール実行可能ファイルへの完全なファイルシステムパス。 | C:\Program Files\obs-studio\bin\64bit |
signed |
検出された実行可能ファイルがデジタル署名されているかどうか。 | true |
DLLインジェクションイベント固有のデータ
共通フィールドに加えて、管理者はDLLのパスを確認できます。
| フィールド | 説明 | 例 |
|---|---|---|
dllPath |
挿入された署名なしDLLへの完全なファイルシステムパス。 | C:\Program Files\abc.dll |