Análisis de puntos finales
El Análisis de puntos finales (EPA) es un proceso que escanea el dispositivo de un usuario y detecta información, como la presencia y el nivel de versión de las actualizaciones del sistema operativo, el antivirus, el firewall y el software del navegador web. El Análisis de puntos finales le permite determinar si el dispositivo de un usuario cumple con sus requisitos antes de que se conecte a su red. También se puede configurar para que compruebe periódicamente si hay cambios mientras el usuario permanece conectado. Puede comprobar archivos, procesos y entradas del registro en el dispositivo del usuario durante la sesión del usuario para asegurarse de que el dispositivo sigue cumpliendo los requisitos.
Importante:
-
El Análisis de puntos finales está diseñado para analizar el dispositivo del usuario según criterios de cumplimiento predeterminados y no aplica ni valida la seguridad de los dispositivos de los usuarios finales. Se recomienda utilizar sistemas de seguridad de puntos finales para proteger los dispositivos de ataques de administradores locales.
-
El cliente EPA está disponible como cliente independiente y también se incluye con el cliente Citrix Secure Access™. El cliente Citrix® EPA y el cliente Citrix Secure Access son independientes entre sí.
Cómo funcionan las directivas de puntos finales
Puede configurar NetScaler Gateway para comprobar si un dispositivo de usuario cumple ciertos requisitos antes de que un usuario inicie sesión. Esto se denomina directiva de autenticación previa. Puede configurar NetScaler Gateway para comprobar en un dispositivo de usuario el antivirus, el firewall, el antispam, los procesos, los archivos, las entradas del registro, la seguridad de Internet o los sistemas operativos que especifique en la directiva. Si el dispositivo del usuario no supera el análisis de autenticación previa, no se permitirá que los usuarios inicien sesión.
Para verificar otros requisitos que no se utilizan en una directiva de autenticación previa, puede configurar una directiva de sesión y vincularla a un usuario o grupo. Este tipo de directiva se denomina directiva de postautenticación, que se ejecuta durante la sesión del usuario para garantizar que los criterios requeridos, como el software antivirus o un proceso, sigan siendo conformes.
Al configurar una directiva de autenticación previa o posterior, NetScaler Gateway descarga el complemento de Análisis de puntos finales y, a continuación, ejecuta el análisis en el dispositivo de los usuarios. Cada vez que un usuario inicia sesión, el complemento de Análisis de puntos finales se ejecuta automáticamente.
Puede utilizar los tres tipos de directivas siguientes para configurar las directivas de puntos finales:
-
Directiva de autenticación previa que utiliza un parámetro Sí o No. El análisis determina si el dispositivo del usuario cumple los requisitos especificados. Si el análisis falla, el usuario no puede introducir credenciales en la página de inicio de sesión.
-
Directiva de sesión que es condicional y se puede utilizar para SmartAccess.
-
Expresión de comprobación del dispositivo cliente dentro de una directiva de sesión. Si el dispositivo del usuario no cumple los requisitos de la expresión de comprobación del dispositivo cliente, puede configurar a los usuarios para que se coloquen en un grupo de cuarentena. Si el dispositivo del usuario supera el análisis, los usuarios pueden colocarse en un grupo diferente que podría requerir otras comprobaciones.
Puede incorporar la información detectada en las directivas, lo que le permite conceder diferentes niveles de acceso en función del dispositivo del usuario. Por ejemplo, puede proporcionar acceso completo con permiso de descarga a los usuarios que se conectan de forma remota desde dispositivos de usuario que tienen los requisitos actuales de software antivirus y firewall. Para los usuarios que se conectan desde dispositivos no conformes, puede proporcionar un nivel de acceso más restringido que les permita editar documentos en servidores remotos sin descargarlos. Todos los dispositivos que ejecutan EPA se consideran dispositivos no conformes.
El Análisis de puntos finales realiza los siguientes pasos básicos:
-
Examina un conjunto inicial de información sobre el dispositivo del usuario para determinar qué análisis aplicar.
-
Ejecuta todos los análisis aplicables. Cuando los usuarios intentan conectarse, el complemento de análisis de puntos finales comprueba el dispositivo del usuario para ver si cumple los requisitos especificados en la política de autenticación previa o de sesión. Si el dispositivo del usuario supera el análisis, se permite a los usuarios iniciar sesión. Si el dispositivo del usuario no supera el análisis, no se permite a los usuarios iniciar sesión.Nota: Los análisis de Endpoint Analysis se completan antes de que la sesión del usuario utilice una licencia.
-
Compara los valores de propiedad detectados en el dispositivo del usuario con los valores de propiedad deseados que se enumeran en los análisis configurados.
-
Genera una salida que verifica si se encuentran los valores de propiedad deseados.
Atención:
Las instrucciones para crear políticas de análisis de puntos finales son pautas generales. Puede tener muchas configuraciones dentro de una política de sesión. Las instrucciones específicas para configurar políticas de sesión pueden contener indicaciones para configurar una configuración específica. Sin embargo, esa configuración puede ser una de las muchas configuraciones que se encuentran dentro de un perfil y una política de sesión.
Ejemplos de expresiones EPA
A continuación, se muestran ejemplos de expresiones de algunos componentes de EPA, como eliminar proceso, eliminar archivos y certificado de dispositivo:
-
Windows:
-
Eliminar proceso:
sys.client_expr(\“proc_0_perl\“) -killProcess processToKill.exe -
Certificado de dispositivo :
sys.client_expr(“device-cert_0_0”) -
Eliminar archivos :
sys.client_expr(\“proc_0_perl\“) -deletefiles “C:/removefile.txt”
-
-
MAC
-
Eliminar proceso:
sys.client_expr(\“proc_0_perl\“) -killProcess processToKill.exe -
Certificado de dispositivo:
sys.client_expr(“device-cert_0_0”) -
Eliminar archivos:
sys.client_expr(\“proc_0_perl\“) -deletefiles “C:/removefile.txt”
-
Evaluar opciones de inicio de sesión de usuario
Cuando los usuarios inician sesión, pueden optar por omitir el análisis de Endpoint Analysis. Si los usuarios omiten el análisis, NetScaler Gateway procesa esta acción como un Endpoint Analysis fallido. Cuando los usuarios fallan el análisis, solo obtienen acceso a través del acceso sin cliente.
Por ejemplo, desea proporcionar a los usuarios acceso mediante el cliente Citrix Secure Access. Para iniciar sesión en NetScaler Gateway con el complemento, los usuarios deben tener una aplicación antivirus en ejecución, como Norton Antivirus. Si el dispositivo del usuario no está ejecutando la aplicación, los usuarios solo pueden iniciar sesión con Receiver y usar aplicaciones publicadas. También puede configurar el acceso sin cliente, que restringe el acceso a aplicaciones específicas, como Outlook Web Access.
Para configurar NetScaler Gateway para lograr este escenario de inicio de sesión, asigne una política de sesión restrictiva como política predeterminada. Luego, configure los ajustes para actualizar a los usuarios a una política de sesión privilegiada cuando el dispositivo del usuario pase el análisis de Endpoint Analysis. En ese momento, los usuarios tienen acceso a la capa de red y pueden iniciar sesión con el cliente Citrix Secure Access.
Para configurar NetScaler Gateway para aplicar primero la política de sesión restrictiva, realice los siguientes pasos:
-
Configure los ajustes globales con ICA® Proxy habilitado y todos los demás ajustes necesarios si la aplicación especificada no se está ejecutando en el dispositivo del usuario.
-
Cree una política y un perfil de sesión que habiliten el cliente Citrix Secure Access.
-
Cree una expresión dentro de la parte de la regla de la política de sesión para especificar la aplicación, como
(client.application.process(symantec.exe) exists)Cuando los usuarios inician sesión, la política de sesión se aplica primero. Si Endpoint Analysis falla o el usuario omite el análisis, NetScaler Gateway ignora la configuración de la política de sesión (la expresión de la política de sesión se considera falsa). Como resultado, los usuarios tienen acceso restringido mediante acceso sin cliente. Si Endpoint Analysis se supera, NetScaler Gateway aplica la política de sesión y los usuarios tienen acceso completo con el cliente Citrix Secure Access.
Omitir el análisis de EPA
Puede omitir el análisis de EPA solo para la postautenticación y la autenticación avanzada. La opción Omitir EPA está disponible en los navegadores de todos los sistemas operativos compatibles. Los usuarios deben hacer clic en el botón Omitir EPA que aparece al acceder a la puerta de enlace. Si los usuarios omiten el análisis, NetScaler Gateway procesa esta acción como un Endpoint Analysis fallido. Cuando los usuarios fallan el análisis, solo obtienen acceso a través del acceso sin cliente.
Consulte también
<https://support.citrix.com/article/CTX200748>.
Análisis de Endpoint Analysis compatibles con Ubuntu
Los siguientes análisis de Endpoint Analysis (EPA) son compatibles con el complemento EPA instalado para el sistema operativo Ubuntu. Se incluye una expresión de ejemplo para configurar cada uno de los análisis junto con los análisis EPA. Puede configurar estas expresiones en las políticas de autenticación.
-
Archivo
-
Existencia: sys.client_expr("file_0_/home/user/test.txt")
-
Suma de comprobación MD5: sys.client_expr("file_0_/home/user/test.txt_md5_ ce780e271debcc29f551546e8db3368f")
-
Texto dentro de un archivo (compatibilidad con expresiones regulares): sys.client_expr("file_0_/home/user/test.txt_search_cloud”)
-
-
Proceso
-
Existencia: sys.client_expr("proc_0_perl")
-
Suma de comprobación MD5: sys.client_expr("proc_0_perl_md5_ c060d3a5f97e27066cef8c116785567a")
-
Ruta: sys.client_expr("proc_0_perl_path_/usr/bin/perl")
-
-
Dispositivo del sistema de archivos o nombre del punto de montaje: sys.client_expr("mountpoint_0_/sys”)
Si utiliza políticas avanzadas, las expresiones para cada análisis se pueden generar desde la GUI (Security > AAA > Policies > Authentication > Advanced Policies > EPA).
Nota:
-
En la página del Editor de expresiones, para el cliente Linux, puede seleccionar Common, y, a continuación, seleccionar Process, File o Mount Point.
-
El análisis EPA para direcciones MAC no es compatible con clientes Linux.