アクセス保証ダッシュボード
リモートワークの増加に伴い、Citrix IT管理者として、ユーザーがCitrix Virtual Apps and DesktopsまたはCitrix DaaS（旧Citrix Virtual Apps and Desktops service）に通常かつ安全な場所からアクセスしていることを確認したいと考えるかもしれません。もし、不明な場所や新しい場所からログオンしたユーザーがいる場合、そのログオン詳細を検証し、Citrix IT環境への脅威を軽減するために必要な措置を講じることができます。
アクセス保証ダッシュボードは、ユーザーが仮想アプリまたは仮想デスクトップにアクセスしている場所とネットワークの概要を提供します。Citrix Analytics for Securityは、ユーザーのデバイスにインストールされているCitrix Workspaceアプリからこれらのユーザーログオンイベントを受信します。サポートされているバージョンの詳細については、Citrix Workspace app version matrixを参照してください。
ダッシュボードを表示する
ダッシュボードを表示するには、セキュリティ > アクセス保証をクリックします。ログオン詳細を表示したい期間を選択します。
アクセスの概要
ダッシュボードの概要セクションには、選択した期間について以下の情報が表示されます。
-
(全世界の)すべての場所からのユーザーログオンの総数。
-
(全世界の)すべての場所からのユニークユーザーログオンの総数。
ログオン場所
ログオン場所セクションには、選択した期間について以下の情報が表示されます。
-
ユーザーがログオンした国の総数。
-
ユーザーがログオンした都市の総数。
-
geofencingエリア内の国とユニークユーザーログオンの総数。geofencingエリアからのログオン詳細を表示するには、geofencingを有効にする。
-
ユニークユーザーログオンが多い上位10か所。上位のユニークユーザーログオンは、不明な都市や国からのものである場合もあり、これらは不明な場所タブに表示されます。不明な場所のリストも、上位10か所のサブセットです。一部の場所が特定されない理由については、利用不可として識別された場所を参照してください。
全世界の総ユーザーログオン数と全世界の総ユニークユーザーログオン数の上昇または下降トレンドも表示できます。上位10か所については、DEVIATION列に各場所のユーザーログオンの変化(正(+)または負(-))が表示されます。この比較は、選択された期間と、同じ長さの前の期間に基づいています。たとえば、期間として過去1か月を選択した場合、ユーザーログオンのトレンドと偏差は、過去1か月と前々月で比較されます。
注
場所の情報は都市および国レベルで提供され、正確な地理的位置を表すものではありません。Access assurance、Geolocation の詳細については、FAQを参照してください。
上位10のユニークログオン場所テーブルで、場所を選択すると、ユーザーとそのアクセスプロファイルおよびログオン詳細を表示できます。
マップには、選択した期間におけるさまざまな場所からのユニークユーザー数が表示されます。青いバブルにカーソルを合わせるか、場所を拡大すると、その場所からのユニークユーザーログオンの総数を表示できます。青いバブルをクリックすると、場所のアクセス詳細を表示できます。
マップの右下隅には、ユニークユーザーログオンの範囲が表示されます。選択した期間について、小さいバブルは場所全体のユニークユーザーログオンの最小数を示します。大きいバブルは場所全体のユニークユーザーログオンの最大数を示します。
利用不可として識別された場所
上位10のユニークログオン場所テーブルで、一部の場所が不明または利用不可として表示される場合があります。不明な場所をクリックすると、ユーザーログオンページで対応するユーザーログオンの詳細を表示できます。
ユーザーログオンページでは、国または都市の情報が利用できない場合、DATAテーブルにNAラベルが表示されます。
「NA」ラベルにカーソルを合わせると、場所情報が利用できない理由が表示されます。
場所が利用できません(/en-us/citrix-analytics/media/access-location-null-locations.png)
場所が利用できない場合、次のいずれかのシナリオが表示されることがあります。
| シナリオ | 理由 |
|---|---|
| 市名と国名が利用できません。 | 次のいずれか： |
|
|
|
|
|
|
| プライベートIPを持つ場所 | ユーザーのデバイスがプライベートネットワーク内にあります。この場合、Citrix Analyticsは場所情報を利用できません。 |
| 国名は利用可能ですが、市名は利用できません。 | ユーザーのデバイスが企業IPを使用している可能性があります。企業IP範囲は外部の地理位置情報サービスで難読化されています。そのため、Citrix Analyticsは場所情報を利用できません。 |
ジオフェンシングを有効にする
ジオフェンシングは、安全なジオフェンス外および危険なジオフェンス内から仮想アプリまたは仮想デスクトップにアクセスするユーザーを特定するのに役立ちます。アクセス概要ページを表示するには、セキュリティ > アクセス保証に移動します。
デフォルトでは、ジオフェンス設定は常にオンになっています。ジオフェンスを設定するには、ジオフェンスの追加/編集をクリックします。
ジオフェンス設定ウィンドウに2つのタブが表示されます。
-
安全な場所: 安全な場所に該当する国を設定または削除できます。
-
危険な場所: 危険な場所に該当する国を設定または削除できます。 各タブで設定されている安全な場所と危険な場所の合計数も表示できます。安全な場所のジオフェンスまたは危険な場所のジオフェンスから国を削除するには、国の横にある閉じる (X) 記号をクリックします。保存をクリックしてジオフェンス設定を保存します。
危険な場所のジオフェンスに該当する国を設定できます。危険な場所のジオフェンスにリスクインジケーターが追加されていない場合、またはリスクインジケーターが削除されている場合は、ジオフェンスの追加/編集の横にジオフェンスの更新という警告メッセージが表示されます。
インジケーターを再作成するには、危険な場所タブに移動し、危険なジオフェンスのリスクインジケータートグルをオンにします。
インジケーターは、危険な場所のデフォルトリストで作成されます。
アクセス概要ページには、ジオフェンスで保護された安全な国と危険な国も表示されます。
-
ジオフェンスで保護された安全な国は、薄い灰色の円でマークされています。
-
ジオフェンスで保護された危険な国は、濃い灰色の円でマークされています。
ジオフェンス: ユニークユーザーログオン
アクセス概要ページに移動して、「ジオフェンス: ユニークユーザーログオン」を表示します。このカードには、危険な場所の内側と安全な場所の外側の数が表示されます。
-
危険な場所の内側: 危険な場所のジオフェンスエリア内からログオンしたユーザーを特定します。
-
安全な場所の外側: 安全な場所のジオフェンスエリア外からログオンしたユーザーを特定します。
合計およびユニークユーザーログオンの詳細な概要については、「危険な場所の内側」または「安全な場所の外側」の横にある数字をクリックしてください。
この機能では、次の事前設定されたカスタムリスクインジケーターを使用します。
-
CVAD-セッションがジオフェンス外で開始されました: 安全なジオフェンス外からのユーザーログオンを監視するため。
-
CVAD-セッションが危険なジオフェンス内で開始されました: 危険なジオフェンス内からのユーザーログオンを監視するため。
ジオフェンス外でユーザーログオンが検出された場合、リスクインジケーターがトリガーされ、ジオフェンス外で開始されたセッションポリシーがそれらのユーザーに適用されます。このポリシーは「エンドユーザー応答の要求」アクションをトリガーし、ユーザーの応答に基づいて、疑わしいログオンによる脅威を防ぐために適切な措置を講じることができます。詳細については、事前設定されたカスタムリスクインジケーターを参照してください。
注
-
ジオフェンス設定で国を変更すると、「CVAD-セッションがジオフェンス外で開始されました」リスクインジケーターも更新されます。
-
例えば、オーストラリアとインドを新しいジオフェンス国として選択して保存すると、リスクインジケーターの事前設定された条件が、米国（デフォルトのジオフェンス）に加えて新しい国で更新されます。デフォルトのジオフェンス国である米国を削除することもできます。リスクインジケーターの事前設定された条件:
Event-Type = \"Session.logon\" AND Country != \"\" AND Country ~ \"\" AND Country != \"United States\"ジオフェンス設定を更新した後、リスクインジケーターの条件:Event-Type = \"Session.logon\" AND Country != \"\" AND Country ~ \"\" AND Country NOT IN (\"Australia\", \"United States\", \"India\" -
CVAD-Session started outside of geofence リスクインジケーターが以前にアカウントから削除されている場合、ジオフェンス設定を有効にすると、リスクインジケーターが再度作成されます。リスクインジケーターのジオフェンス国は、ジオフェンス設定から制御されます。
ジオフェンス設定を有効にすると、マップにはジオフェンスされたエリアと、これらのエリアからのユニークなユーザーログオンが表示されます。
ログオンネットワーク
Access Assuranceダッシュボードで、以下の追加のユーザー詳細を表示できるようになりました。
-
ユーザーがログオンしたIPアドレスに関連付けられている組織。これらの組織には、企業、政府、教育機関、インターネットサービスプロバイダーなどのエンティティが含まれます。
-
ユーザーがログオンした合計ユニークなパブリックサブネットとプライベートサブネット。
-
ユーザーがプロキシおよびプライベートVPNサービスを使用してログオンした詳細。
これらの追加の詳細を使用することで、管理者としてユーザーログオンの詳細を検証し、ユーザーログオンが組織のセキュリティ要件内にあることを確認できます。
ユーザーネットワークの詳細を表示
セキュリティ > アクセス保証に移動し、下にスクロールしてログオンネットワークの下の詳細を表示します。
-
合計IPアドレス: 仮想セッションにログオンするために使用されたユニークなIPアドレスの総数を示します。
-
合計サブネット：仮想セッションへのログオンに使用されたサブネットの総数を示します。
-
合計プロキシタイプ：サーバーがユーザー接続をプロキシするために利用したネットワークまたはプロトコルの総タイプ数を示します。
-
IP登録組織のトップ分布の下で、各組織（ISP）からの合計ユーザーログオンと固有のログオン詳細の概要を視覚化できます。グラフをクリックすると、選択した組織に関連付けられたユーザーの詳細、アクセスプロファイル、およびログオン詳細をドリルダウンして表示できます。
-
合計固有パブリックサブネットの下で、サブネットの概要、各サブネットからの合計ユーザーログオン、および各サブネットの偏差傾向を視覚化できます。各サブネットをクリックすると、選択したサブネットに関連付けられたユーザーの詳細、アクセスプロファイル、およびログオン詳細をドリルダウンして表示できます。
ユーザーのアクセスプロファイルを表示する
いずれかのメトリック（場所、組織、またはサブネット）をドリルダウンすると、「アクセスプロファイル」ページには、選択した場所からの仮想アプリまたは仮想デスクトップへのユーザーのアクセス概要が表示されます。固有のログオンまたは合計ログオンオプションを選択して、選択した期間の傾向分析を表示できます。
固有および合計ユーザーログオン(/en-us/citrix-analytics/media/unique-and-total-user-logon.png)
選択したメトリック（場所、組織、またはサブネット）のトップアクセスイベントを表示できます。この情報は、アクセスパターンと脅威調査および分析の詳細を確認するのに役立ちます。
合計ユーザーログオンと固有ユーザーログオンの増加または減少傾向は、選択された期間と、それと同じ長さの前の期間に基づいて比較されます。たとえば、期間として「過去1か月」を選択した場合、傾向は過去1か月と過去2か月の間で比較されます。
アクセスプロファイルページビュー(/en-us/citrix-analytics/media/access-profile-page.png)
ファセット
アクセスイベントには、以下のファセットを使用できます。
-
場所- アクセスイベントを国と都市でフィルタリングします。
-
OS- アクセスイベントをオペレーティングシステムとそのバージョンでフィルタリングします。
-
サブネット- アクセスイベントをサブネットでフィルタリングします。
-
クライアントIPタイプ - アクセスイベントをパブリックまたはプライベートでフィルタリングします。
-
IP登録組織 - パブリックIPアドレスに関連付けられた組織をフィルタリングします。
-
プライベートVPNサービス - プライベートVPNネットワーク名でアクセスイベントをフィルタリングします。
-
プロキシタイプ - HTTP、Web、Tor、SOCKSなどのプロキシタイプ分類でアクセスイベントをフィルタリングします。
注
データが利用できないか、識別されていない場合、「利用不可」ラベルが表示される場合があります。
適用されたフィルターに基づいて、合計ユーザーログオン数とユニークユーザーログオン数について次の情報を表示します。
-
ネットワーク - ユーザーが仮想アプリまたは仮想デスクトップにログオンした上位のサブネットとIPアドレス。
-
場所 - ユーザーが仮想アプリまたは仮想デスクトップにログオンした上位の国と都市。
-
エンドポイント - アプリとデスクトップのユーザーログオンに基づいた上位のデバイス名とOS名。
ユーザーのログオン詳細を表示する
ユーザーログオンページには、選択した場所からの仮想アプリまたは仮想デスクトップへのユーザーログオンの詳細が表示されます。この情報は、脅威の調査と分析に役立ちます。
ユーザーログオンページ(/en-us/citrix-analytics/media/access-assurance-logon-page.png)
DATAテーブルには、選択した場所と期間について、以下のログオン詳細が表示されます。
-
時間。ユーザーがログオンした日時。
-
ユーザー名。ユーザーのID。
-
クライアントIP。ユーザーデバイスのIPアドレス。
-
クライアントIPタイプ。パブリックまたはプライベートなど、ユーザーのIPアドレスの種類。
-
都市と国。ユーザーが仮想アプリまたは仮想デスクトップにログオンした場所。
-
デバイスID。ユーザーデバイスの識別コード。
-
OS名。ユーザーデバイス上のオペレーティングシステム。詳細については、「Self-service search for Apps and Desktops」を参照してください。ユーザーログオンデータテーブル(/en-us/citrix-analytics/media/user-logon-data-table.png)
各イベントを展開すると、以下の詳細が表示されます。
-
OSバージョン。ユーザーデバイス上のオペレーティングシステムのバージョン。詳細については、「Self-service search for Apps and Desktops」を参照してください。
-
OS追加情報 - ビルド番号、サービスパック、パッチなど、オペレーティングシステムの追加情報。詳細については、「Self-service search for Apps and Desktops」を参照してください。
-
Workspaceアプリバージョン。Citrix Workspace™アプリまたはCitrix Receiverのビルドバージョン。アクセスログオンデータテーブル(/en-us/citrix-analytics/media/access-logon-data-table.png)
DATAテーブルで、以下の操作を実行できます。
-
列の追加または削除をクリックして、データの表示方法に基づいてテーブルの列を更新します。
-
並べ替えをクリックし、データ要素を選択して複数列の並べ替えを実行します。詳細については、複数列の並べ替えを参照してください。
-
CSV形式でエクスポートをクリックして、DATAテーブルに表示されているデータをCSVファイルにダウンロードし、分析に利用できます。
検索バー
ログオンイベントに関連付けられたディメンションを使用して、検索バーでクエリを定義することもできます。
例:
User = “test user” AND Client-IP = “10.xx.xx.xx AND Client-IP-Type = public”
User = “demo_user@citrix.com” AND OS-Major-Version = “macOS 10.13” AND OS-Minor-Version = 6
ファセット
ログオンイベントに対して、以下のファセットを使用できます。
-
場所 - ログオンイベントを国と都市でフィルタリングします。
-
OS - ログオンイベントをオペレーティングシステムとそのバージョンでフィルタリングします。
-
サブネット - アクセスイベントをサブネットでフィルタリングします。
-
クライアントIPタイプ - パブリックIPタイプとプライベートIPタイプでアクセスイベントをフィルタリングします。
-
IP登録組織 - ユーザーが利用したISPでアクセスイベントをフィルタリングします。
-
プライベートVPNサービス - プライベートVPNネットワーク名でアクセスイベントをフィルタリングします。
-
プロキシタイプ - HTTP、Web、Tor、SOCKSなどのプロキシタイプ分類でアクセスイベントをフィルタリングします。
注
データが利用できないか、または識別できない場合、「利用不可」というラベルが表示されることがあります。