プロセス階層制御を使用してCitrix Workspace™環境を保護する
Citrix Workspace環境では、一部のアプリケーションが意図しない方法で起動される可能性があります。この状況は、特にCMDやPowerShellのような強力なWindowsツールが起動された場合に、セキュリティリスクをもたらす可能性があります。
As an administrator, you might want to restrict your users only to launching allowed applications. Workspace Environment Management™ (WEM) provides you with the process hierarchy control feature, which helps prevent end users from launching child processes.
Citrix Workspace環境で、特定の親プロセスから特定の子プロセスが起動できるかどうかを制御できます。この機能は、公開されたアプリケーションを介して意図しないプロセスが実行されるのを防ぎたいシナリオで役立ちます。
この記事では、CMDを例として使用します。プロセス階層制御を使用すると、公開されたアプリを介してCMDが起動されるのを防ぐことで、Citrix®仮想アプリ環境でCMDを介して開始される攻撃から保護できます。この機能を使用するための一般的なワークフローは次のとおりです。
-
WEMエージェントでプロセス階層制御を有効にする
-
WEMコンソールでプロセス階層制御ルールを構成する
推奨事項
アプリケーションを公開するには、WEMツールVUEMAppCmdを使用することをお勧めします。このツールは、公開されたアプリケーションが起動する前に、WEMエージェントがプロセス階層制御ルールの処理を完了することを保証します。
フル構成管理インターフェイスを使用してアプリケーション設定を編集し、VUEMAppCmd.exeを指す実行可能ファイルパスを追加します。詳細については、「アプリケーション」を参照してください。
アプリケーション設定(/en-us/workspace-environment-management/service/media/application-settings-full-config.png)
WEMエージェントでプロセス階層制御を有効にする
この機能を有効にするには、エージェントマシンでAppInfoViewerツールを使用します。このツールはエージェントのインストールフォルダーにあります。この機能を有効または無効にした後、マシンの再起動が必要です。
アプリケーション情報ビューア(/en-us/workspace-environment-management/service/media/application-info-viewer.png)
WEMコンソールでプロセス階層制御ルールを構成する
メモ帳を介してCMDが起動するのをブロックしたいとします。プロセス階層制御ルールを作成するには、次の手順を実行します。
-
「レガシーコンソール > セキュリティ > プロセス階層制御」に移動し、「プロセス階層制御を有効にする」を選択します。プロセス階層制御(/en-us/workspace-environment-management/service/media/process-hierarchy-control.png)
-
「ルールの追加」をクリックし、次のように設定を構成して、「次へ」をクリックします。注:この例では、メモ帳を介したCMDの起動を防止するルールを作成します。親プロセスと子プロセスを指定するには、3つのルールタイプ（パス、発行元、ハッシュ）のいずれかを使用できます。「割り当て」で、ルールを適用するユーザーを選択します。設定の詳細については、「プロセス階層制御」を参照してください。プロセス階層制御ルール1の追加(/en-us/workspace-environment-management/service/media/add-process-hierarchy-control-rule-1.png)
-
メモ帳を親プロセスとして構成し、「次へ」をクリックします。注:ユーザーインターフェイスは、手順2で選択したルールタイプによって異なります。プロセス階層制御ルール2の追加(/en-us/workspace-environment-management/service/media/add-process-hierarchy-control-rule-2.png)
-
必要に応じてルールに複数の子プロセスを追加し、「作成」をクリックします。プロセス階層制御ルール3の追加(/en-us/workspace-environment-management/service/media/add-process-hierarchy-control-rule-3.png)
これでルールの作成は完了です。エージェントは、Citrix Workspace環境でメモ帳を介したCMDの起動を防止します。