{"id":306,"date":"2012-04-11T08:43:19","date_gmt":"2012-04-11T08:43:19","guid":{"rendered":"http:\/\/www.bsk-consulting.de\/?p=306"},"modified":"2022-03-25T14:12:09","modified_gmt":"2022-03-25T13:12:09","slug":"citrix-systeme-absichern-bzw-harten","status":"publish","type":"post","link":"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/","title":{"rendered":"Citrix Systeme absichern bzw. h\u00e4rten"},"content":{"rendered":"<p>[et_pb_section fb_built=&#8221;1&#8243; admin_label=&#8221;section&#8221; _builder_version=&#8221;3.22&#8243;][et_pb_row admin_label=&#8221;row&#8221; _builder_version=&#8221;3.25&#8243; background_size=&#8221;initial&#8221; background_position=&#8221;top_left&#8221; background_repeat=&#8221;repeat&#8221;][et_pb_column type=&#8221;4_4&#8243; _builder_version=&#8221;3.25&#8243; custom_padding=&#8221;|||&#8221; custom_padding__hover=&#8221;|||&#8221;][et_pb_text admin_label=&#8221;Text&#8221; _builder_version=&#8221;4.4.3&#8243; background_size=&#8221;initial&#8221; background_position=&#8221;top_left&#8221; background_repeat=&#8221;repeat&#8221; hover_enabled=&#8221;0&#8243;]In zahlreichen Projekten hatten wir die Aufgabe, Mehrbenutzersysteme auf Windows-Basis wie Citrix oder VDI Systeme zu h\u00e4rten. In vielen F\u00e4llen wurde eine Windows-Applikation wie z.B. ein Anwendung f\u00fcr die Bauplanung oder eine Finanzkalkulation auf einem Terminal Server System bzw. Citrix System bereitgestellt, um mehreren Nutzern den Zugriff auf den gleichen Datenbestand zu gew\u00e4hren.<br \/>\nEinige Windows-Applikationen bieten von ihrer Architektur her nicht die M\u00f6glichkeit, eine Client-Anwendung auf einer Arbeitsstation zu installieren, die dann mit einer Server-Anwendung und Datenbank kommuniziert (z.B. Microsoft ProjectWise, SAP GUI, Remedy). \u00a0Sie bieten auch kein Webfrontend an, wodurch man mittels des Browser zusammen an einem Datenbestand arbeiten k\u00f6nnte. Oftmals handelt es sich um hoch spezielle Anwendungen aus dem Baugewerbe und Finanzsektor, deren Portierung \u00a0zu einer Webl\u00f6sung eine komplexe und kostenintensive Neuentwicklung bedeuten w\u00fcrde.<br \/>\nNeben der Projektsteuerung und der Konzeption einer hinreichend sicheren Architektur kommt uns in der Regel auch die Aufgabe zu, ein solches System umfassend zu bewerten und anschlie\u00dfend zu h\u00e4rten.\u00a0In den letzten Jahren verwendeten wir zu diesem Zweck bereits h\u00e4ufig das Werkzeug &#8220;AppSense&#8221;, welches sich mittlerweile als wesentlicher Faktor im Sicherheitskonzept einer solchen Umgebung etabliert hat.<br \/>\n<strong>Wir nutzen es, um den Benutzer auf dem Windows System auf die f\u00fcr ihn vorgesehene Aufgabe einzuschr\u00e4nken und den Ausbruch aus der Umgebung zu verhindern.<\/strong><br \/>\nIm Gegensatz zur vermeintlichen H\u00e4rtung \u00fcber die Windows Gruppenrichtlinien, welche f\u00fcr unsere Auditoren niemals eine ernst zu nehmende H\u00fcrde dargestellt hatten, werden durch AppSense mehrere Schichten der Sicherheit implementiert. Einige h\u00e4ufig genutzte Features sollen hier kurz beschrieben werden:<\/p>\n<ul>\n<li>Trusted Ownership Modell<br \/>\nDieses Modell erlaubt es nur den Administratoren des Systems, ausf\u00fchrbare Anwendungen auf das System zu bringen und dort auszuf\u00fchren. Vor allem, wenn Benutzer lokale Laufwerke montieren k\u00f6nnen, um z.B. Baupl\u00e4ne auf das Citrix System zu laden, will man dennoch nicht zulassen, dass der Benutzer einen Portscanner oder einen Passwort-Dumper auf das System kopiert und dann dort startet.<\/li>\n<li>White- und Black-Lists<br \/>\n\u00dcber Listen k\u00f6nnen Anwendungen als unerw\u00fcnscht definiert werden. Das gilt auch f\u00fcr Anwendungen, die nach dem Trusted-Ownership-Modell von einem Administrator auf das System gebracht wurden, wie z.B. &#8220;cmd.exe&#8221;, &#8220;netstat.exe&#8221; oder &#8220;firefox.exe&#8221;. Bei einer Kontrolle \u00fcber Gruppenrichtlinien konnte man in der Vergangenheit einfach die &#8220;cmd.exe&#8221; in &#8220;cmd2.exe&#8221; umbenennen und sie dann starten. Beim Kopieren, wird allerdings der Besitzer auf den kopierenden Benutzer gesetzt, sodass eine solche &#8220;cmd2.exe&#8221; unter AppSense nicht zur Ausf\u00fchrung gebracht werden k\u00f6nnte.<\/li>\n<li>Device-Rules<br \/>\nEs kann unterschieden werden, ob sich ein Benutzer aus dem internen Netz von seinem Arbeitsplatz-PC anmeldet oder ob er aus dem Internet von einem unbekannten Ger\u00e4t auf das System zugreift und dementsprechend ein unterschiedliches Set an Regeln angewandt werden.<\/li>\n<li>Network-Connection Filters<br \/>\nF\u00fcr Gruppen auf dem System k\u00f6nnen auch Filterungen des Netzwerkverkehrs definiert werden. So kann man beispielsweise von extern kommenden Benutzern verbieten, mit anderen Systemen im internen Netz zu kommunizieren. Oder man kann bestimmen Gruppen verbieten, die IP des firmeneigenen Proxies anzusprechen, damit sie sich von dem System aus nicht ins Internet verbinden k\u00f6nnen.<\/li>\n<li>uvm.<\/li>\n<\/ul>\n<div>Im folgenden sieht man eine typische Blacklist mit einer vollst\u00e4ndigen Einschr\u00e4nkung was den Netzwerkverkehr der Gruppe angeht, wie auch einer sog. Gruppe &#8220;Evil Executables&#8221;, die von uns erstellt wurde und viele der Windows-eigenen Werkzeuge und die bekanntesten Hacktools umfasst.<\/div>\n<div id=\"attachment_308\" style=\"width: 522px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" aria-describedby=\"caption-attachment-308\" class=\"size-full wp-image-308\" title=\"Selection_100412_001\" src=\"\/wp-content\/uploads\/2012\/04\/Selection_100412_0011.png\" alt=\"\" width=\"512\" height=\"266\" srcset=\"\/wp-content\/uploads\/2012\/04\/Selection_100412_0011.png 512w, \/wp-content\/uploads\/2012\/04\/Selection_100412_0011-480x249.png 480w\" sizes=\"(min-width: 0px) and (max-width: 480px) 480px, (min-width: 481px) 512px, 100vw\" \/><p id=\"caption-attachment-308\" class=\"wp-caption-text\">Beispiel einer Blacklist<\/p><\/div>\n<p>Im folgenden Screenshot sieht man den Inhalt der Gruppe &#8220;Evil Executables&#8221;.<\/p>\n<div id=\"attachment_310\" style=\"width: 914px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" aria-describedby=\"caption-attachment-310\" class=\"wp-image-310 size-full\" title=\"Selection_100412_002\" src=\"\/wp-content\/uploads\/2012\/04\/Selection_100412_002.png\" alt=\"\" width=\"904\" height=\"433\" srcset=\"\/wp-content\/uploads\/2012\/04\/Selection_100412_002.png 904w, \/wp-content\/uploads\/2012\/04\/Selection_100412_002-480x230.png 480w\" sizes=\"(min-width: 0px) and (max-width: 480px) 480px, (min-width: 481px) 904px, 100vw\" \/><p id=\"caption-attachment-310\" class=\"wp-caption-text\">Inhalt der Gruppe Evil Executables<\/p><\/div>\n<p>Der Inhalt der Meldung bei einem Block kann personalisiert werden.<\/p>\n<div id=\"attachment_311\" style=\"width: 460px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" aria-describedby=\"caption-attachment-311\" class=\"wp-image-311 size-full\" title=\"AppSense blockt Anwendung\" src=\"\/wp-content\/uploads\/2012\/04\/Selection_100412_004.png\" alt=\"AppSense blockt Anwendung\" width=\"450\" height=\"186\" srcset=\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_004.png 450w, https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_004-300x124.png 300w\" sizes=\"(max-width: 450px) 100vw, 450px\" \/><p id=\"caption-attachment-311\" class=\"wp-caption-text\">AppSense blockt Anwendung<\/p><\/div>\n<p>Man kann die Anzeige des Benachrichtigungsfensters f\u00fcr die einzelnen F\u00e4lle konfigurieren und auch definieren, dass sie je nach Grund des Blocks angezeigt werden oder nicht.<\/p>\n<div id=\"attachment_312\" style=\"width: 486px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" aria-describedby=\"caption-attachment-312\" class=\"wp-image-312 size-full\" title=\"Einschr\u00e4nkung des Netzwerkverkehrs\" src=\"\/wp-content\/uploads\/2012\/04\/Selection_100412_003.png\" alt=\"Einschr\u00e4nkung des Netzwerkverkehrs\" width=\"476\" height=\"312\" srcset=\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_003.png 476w, https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_003-300x197.png 300w\" sizes=\"(max-width: 476px) 100vw, 476px\" \/><p id=\"caption-attachment-312\" class=\"wp-caption-text\">Einschr\u00e4nkung des Netzwerkverkehrs<\/p><\/div>\n<p>Vor allem die umfassenden M\u00f6glichkeiten der Protokollierung erm\u00f6glichen eine nahtlose \u00dcberwachung des Systems. Jede Aktion, jeder Block, jeder Autorisierung und damit jeder Ausbruchsversuch wird sichtbar gemacht.<br \/>\nAppSense kann in ein CSV oder XML File auf der Platte, in das lokale Windows Application Log oder ein eigenes Windows Log namens &#8220;AppSense&#8221; protokollieren. In unserem Fall ist vor allem die Protokollierung in das Application Log von Windows von Vorteil, da wir in vielen Projekten die lokalen Windows Eventlogs bereits per Syslog verschicken und zentral auswerten.<\/p>\n<div id=\"attachment_321\" style=\"width: 804px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" aria-describedby=\"caption-attachment-321\" class=\"wp-image-321 size-full\" title=\"AppSense Auditing\" src=\"\/wp-content\/uploads\/2012\/04\/Selection_110412_001.png\" alt=\"AppSense Auditing\" width=\"794\" height=\"592\" srcset=\"\/wp-content\/uploads\/2012\/04\/Selection_110412_001.png 794w, \/wp-content\/uploads\/2012\/04\/Selection_110412_001-480x358.png 480w\" sizes=\"(min-width: 0px) and (max-width: 480px) 480px, (min-width: 481px) 794px, 100vw\" \/><p id=\"caption-attachment-321\" class=\"wp-caption-text\">Konfiguration der \u00dcberwachung und Protokollierung<\/p><\/div>\n<p>So kann jeder Ausbruchsversuch schnell erkannt und behandelt werden.<br \/>\nIm Folgenden ist eine Ansicht aus Splunk zu erkennen, in der ein Benutzer versuchte, drei f\u00fcr ihn nicht freigegebene Programme aufzurufen, darunter auch die Kommandozeile &#8220;cmd.exe&#8221; und den MS Terminal Server Client &#8220;mstsc.exe&#8221;.<\/p>\n<p><div id=\"attachment_313\" style=\"width: 818px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" aria-describedby=\"caption-attachment-313\" class=\"wp-image-313 size-full\" title=\"Auswertung eines Ausbruchsversuchs in Splunk\" src=\"\/wp-content\/uploads\/2012\/04\/Selection_100412_006.png\" alt=\"Auswertung eines Ausbruchsversuchs in Splunk\" width=\"808\" height=\"507\" srcset=\"\/wp-content\/uploads\/2012\/04\/Selection_100412_006.png 808w, \/wp-content\/uploads\/2012\/04\/Selection_100412_006-480x301.png 480w\" sizes=\"(min-width: 0px) and (max-width: 480px) 480px, (min-width: 481px) 808px, 100vw\" \/><p id=\"caption-attachment-313\" class=\"wp-caption-text\">Auswertung eines Ausbruchsversuchs in Splunk<\/p><\/div>[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]<\/p>\n","protected":false},"excerpt":{"rendered":"<p>In zahlreichen Projekten hatten wir die Aufgabe, Mehrbenutzersysteme auf Windows-Basis wie Citrix oder VDI Systeme zu h\u00e4rten. In vielen F\u00e4llen wurde eine Windows-Applikation wie z.B. ein Anwendung f\u00fcr die Bauplanung oder eine Finanzkalkulation auf einem Terminal Server System bzw. Citrix System bereitgestellt, um mehreren Nutzern den Zugriff auf den gleichen Datenbestand zu gew\u00e4hren. Einige Windows-Applikationen bieten von ihrer Architektur her nicht die M\u00f6glichkeit, eine Client-Anwendung auf einer Arbeitsstation zu installieren, die dann mit einer Server-Anwendung und Datenbank kommuniziert (z.B. Microsoft ProjectWise, SAP GUI, Remedy). \u00a0Sie bieten auch kein Webfrontend an, wodurch man mittels des Browser zusammen an einem Datenbestand arbeiten k\u00f6nnte. Oftmals handelt es sich um hoch spezielle Anwendungen aus dem Baugewerbe und Finanzsektor, deren Portierung \u00a0zu einer Webl\u00f6sung eine komplexe und kostenintensive Neuentwicklung bedeuten w\u00fcrde. Neben der Projektsteuerung und der Konzeption einer hinreichend sicheren Architektur kommt uns in der Regel auch die Aufgabe zu, ein solches System umfassend zu bewerten und anschlie\u00dfend zu h\u00e4rten.\u00a0In den letzten Jahren verwendeten wir zu diesem Zweck bereits h\u00e4ufig das Werkzeug &#8220;AppSense&#8221;, welches sich mittlerweile als wesentlicher Faktor im Sicherheitskonzept einer solchen Umgebung etabliert hat. Wir nutzen es, um den Benutzer auf dem Windows System auf die f\u00fcr ihn vorgesehene Aufgabe einzuschr\u00e4nken und den [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":307,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"on","_et_pb_old_content":"In zahlreichen Projekten hatten wir die Aufgabe, Mehrbenutzersysteme auf Windows-Basis wie Citrix oder VDI Systeme zu h\u00e4rten. In vielen F\u00e4llen wurde eine Windows-Applikation wie z.B. ein Anwendung f\u00fcr die Bauplanung oder eine Finanzkalkulation auf einem Terminal Server System bzw. Citrix System bereitgestellt, um mehreren Nutzern den Zugriff auf den gleichen Datenbestand zu gew\u00e4hren.\r\nEinige Windows-Applikationen bieten von ihrer Architektur her nicht die M\u00f6glichkeit, eine Client-Anwendung auf einer Arbeitsstation zu installieren, die dann mit einer Server-Anwendung und Datenbank kommuniziert (z.B. Microsoft ProjectWise, SAP GUI, Remedy). \u00a0Sie bieten auch kein Webfrontend an, wodurch man mittels des Browser zusammen an einem Datenbestand arbeiten k\u00f6nnte. Oftmals handelt es sich um hoch spezielle Anwendungen aus dem Baugewerbe und Finanzsektor, deren Portierung \u00a0zu einer Webl\u00f6sung eine komplexe und kostenintensive Neuentwicklung bedeuten w\u00fcrde.\r\nNeben der Projektsteuerung und der Konzeption einer hinreichend sicheren Architektur kommt uns in der Regel auch die Aufgabe zu, ein solches System umfassend zu bewerten und anschlie\u00dfend zu h\u00e4rten.\u00a0In den letzten Jahren verwendeten wir zu diesem Zweck bereits h\u00e4ufig das Werkzeug \"AppSense\", welches sich mittlerweile als wesentlicher Faktor im Sicherheitskonzept einer solchen Umgebung etabliert hat.\r\n<strong>Wir nutzen es, um den Benutzer auf dem Windows System auf die f\u00fcr ihn vorgesehene Aufgabe einzuschr\u00e4nken und den Ausbruch aus der Umgebung zu verhindern.<\/strong>\r\nIm Gegensatz zur vermeintlichen H\u00e4rtung \u00fcber die Windows Gruppenrichtlinien, welche f\u00fcr unsere Auditoren niemals eine ernst zu nehmende H\u00fcrde dargestellt hatten, werden durch AppSense mehrere Schichten der Sicherheit implementiert. Einige h\u00e4ufig genutzte Features sollen hier kurz beschrieben werden:\r\n<ul>\r\n \t<li>Trusted Ownership Modell\r\nDieses Modell erlaubt es nur den Administratoren des Systems, ausf\u00fchrbare Anwendungen auf das System zu bringen und dort auszuf\u00fchren. Vor allem, wenn Benutzer lokale Laufwerke montieren k\u00f6nnen, um z.B. Baupl\u00e4ne auf das Citrix System zu laden, will man dennoch nicht zulassen, dass der Benutzer einen Portscanner oder einen Passwort-Dumper auf das System kopiert und dann dort startet.<\/li>\r\n \t<li>White- und Black-Lists\r\n\u00dcber Listen k\u00f6nnen Anwendungen als unerw\u00fcnscht definiert werden. Das gilt auch f\u00fcr Anwendungen, die nach dem Trusted-Ownership-Modell von einem Administrator auf das System gebracht wurden, wie z.B. \"cmd.exe\", \"netstat.exe\" oder \"firefox.exe\". Bei einer Kontrolle \u00fcber Gruppenrichtlinien konnte man in der Vergangenheit einfach die \"cmd.exe\" in \"cmd2.exe\" umbenennen und sie dann starten. Beim Kopieren, wird allerdings der Besitzer auf den kopierenden Benutzer gesetzt, sodass eine solche \"cmd2.exe\" unter AppSense nicht zur Ausf\u00fchrung gebracht werden k\u00f6nnte.<\/li>\r\n \t<li>Device-Rules\r\nEs kann unterschieden werden, ob sich ein Benutzer aus dem internen Netz von seinem Arbeitsplatz-PC anmeldet oder ob er aus dem Internet von einem unbekannten Ger\u00e4t auf das System zugreift und dementsprechend ein unterschiedliches Set an Regeln angewandt werden.<\/li>\r\n \t<li>Network-Connection Filters\r\nF\u00fcr Gruppen auf dem System k\u00f6nnen auch Filterungen des Netzwerkverkehrs definiert werden. So kann man beispielsweise von extern kommenden Benutzern verbieten, mit anderen Systemen im internen Netz zu kommunizieren. Oder man kann bestimmen Gruppen verbieten, die IP des firmeneigenen Proxies anzusprechen, damit sie sich von dem System aus nicht ins Internet verbinden k\u00f6nnen.<\/li>\r\n \t<li>uvm.<\/li>\r\n<\/ul>\r\n<div>Im folgenden sieht man eine typische Blacklist mit einer vollst\u00e4ndigen Einschr\u00e4nkung was den Netzwerkverkehr der Gruppe angeht, wie auch einer sog. Gruppe \"Evil Executables\", die von uns erstellt wurde und viele der Windows-eigenen Werkzeuge und die bekanntesten Hacktools umfasst.<\/div>\r\n\r\n[caption id=\"attachment_308\" align=\"alignnone\" width=\"512\"]<a href=\"\/wp-content\/uploads\/2012\/04\/Selection_100412_0011.png\"><img class=\"size-full wp-image-308\" title=\"Selection_100412_001\" src=\"\/wp-content\/uploads\/2012\/04\/Selection_100412_0011.png\" alt=\"\" width=\"512\" height=\"266\" \/><\/a> Beispiel einer Blacklist[\/caption]\r\n\r\nIm folgenden Screenshot sieht man den Inhalt der Gruppe \"Evil Executables\".\r\n\r\n[caption id=\"attachment_310\" align=\"alignnone\" width=\"904\"]<a href=\"\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/selection_100412_002\/\" rel=\"attachment wp-att-310\"><img class=\"wp-image-310 size-full\" title=\"Selection_100412_002\" src=\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_002.png\" alt=\"\" width=\"904\" height=\"433\" \/><\/a> Inhalt der Gruppe Evil Executables[\/caption]\r\n\r\nDer Inhalt der Meldung bei einem Block kann personalisiert werden.\r\n\r\n[caption id=\"attachment_311\" align=\"alignnone\" width=\"450\"]<a href=\"\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/selection_100412_004\/\" rel=\"attachment wp-att-311\"><img class=\"wp-image-311 size-full\" title=\"AppSense blockt Anwendung\" src=\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_004.png\" alt=\"AppSense blockt Anwendung\" width=\"450\" height=\"186\" \/><\/a> AppSense blockt Anwendung[\/caption]\r\n\r\nMan kann die Anzeige des Benachrichtigungsfensters f\u00fcr die einzelnen F\u00e4lle konfigurieren und auch definieren, dass sie je nach Grund des Blocks angezeigt werden oder nicht.\r\n\r\n[caption id=\"attachment_312\" align=\"alignnone\" width=\"476\"]<a href=\"\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/selection_100412_003\/\" rel=\"attachment wp-att-312\"><img class=\"wp-image-312 size-full\" title=\"Einschr\u00e4nkung des Netzwerkverkehrs\" src=\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_003.png\" alt=\"Einschr\u00e4nkung des Netzwerkverkehrs\" width=\"476\" height=\"312\" \/><\/a> Einschr\u00e4nkung des Netzwerkverkehrs[\/caption]\r\n\r\nVor allem die umfassenden M\u00f6glichkeiten der Protokollierung erm\u00f6glichen eine nahtlose \u00dcberwachung des Systems. Jede Aktion, jeder Block, jeder Autorisierung und damit jeder Ausbruchsversuch wird sichtbar gemacht.\r\nAppSense kann in ein CSV oder XML File auf der Platte, in das lokale Windows Application Log oder ein eigenes Windows Log namens \"AppSense\" protokollieren. In unserem Fall ist vor allem die Protokollierung in das Application Log von Windows von Vorteil, da wir in vielen Projekten die lokalen Windows Eventlogs bereits per Syslog verschicken und zentral auswerten.\r\n\r\n[caption id=\"attachment_321\" align=\"alignnone\" width=\"794\"]<a href=\"\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/selection_110412_001\/\" rel=\"attachment wp-att-321\"><img class=\"wp-image-321 size-full\" title=\"AppSense Auditing\" src=\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_110412_001.png\" alt=\"AppSense Auditing\" width=\"794\" height=\"592\" \/><\/a> Konfiguration der \u00dcberwachung und Protokollierung[\/caption]\r\n\r\nSo kann jeder Ausbruchsversuch schnell erkannt und behandelt werden.\r\nIm Folgenden ist eine Ansicht aus Splunk zu erkennen, in der ein Benutzer versuchte, drei f\u00fcr ihn nicht freigegebene Programme aufzurufen, darunter auch die Kommandozeile \"cmd.exe\" und den MS Terminal Server Client \"mstsc.exe\".\r\n\r\n[caption id=\"attachment_313\" align=\"alignnone\" width=\"808\"]<a href=\"\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/selection_100412_006\/\" rel=\"attachment wp-att-313\"><img class=\"wp-image-313 size-full\" title=\"Auswertung eines Ausbruchsversuchs in Splunk\" src=\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_006.png\" alt=\"Auswertung eines Ausbruchsversuchs in Splunk\" width=\"808\" height=\"507\" \/><\/a> Auswertung eines Ausbruchsversuchs in Splunk[\/caption]","_et_gb_content_width":"","footnotes":""},"categories":[264],"tags":[348,309,239,349,350,311,351,352,353],"class_list":["post-306","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tool","tag-absichern","tag-appsense","tag-citrix","tag-hardening","tag-harten","tag-monitoring","tag-systeme","tag-terminal-server","tag-vdi"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v24.9 - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Citrix Systeme absichern bzw. h\u00e4rten - Nextron Systems<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/\"},\"author\":{\"name\":\"Florian Roth\",\"@id\":\"https:\/\/www.nextron-systems.com\/#\/schema\/person\/4fd503007d60aabaf1ae747502f36919\"},\"headline\":\"Citrix Systeme absichern bzw. h\u00e4rten\",\"datePublished\":\"2012-04-11T08:43:19+00:00\",\"dateModified\":\"2022-03-25T13:12:09+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/\"},\"wordCount\":881,\"publisher\":{\"@id\":\"https:\/\/www.nextron-systems.com\/#organization\"},\"image\":{\"@id\":\"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_001.png\",\"keywords\":[\"absichern\",\"AppSense\",\"Citrix\",\"Hardening\",\"h\u00e4rten\",\"monitoring\",\"systeme\",\"terminal server\",\"VDI\"],\"articleSection\":[\"Tool\"],\"inLanguage\":\"en-US\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/\",\"url\":\"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/\",\"name\":\"Citrix Systeme absichern bzw. h\u00e4rten - Nextron Systems\",\"isPartOf\":{\"@id\":\"https:\/\/www.nextron-systems.com\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/#primaryimage\"},\"image\":{\"@id\":\"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_001.png\",\"datePublished\":\"2012-04-11T08:43:19+00:00\",\"dateModified\":\"2022-03-25T13:12:09+00:00\",\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/#primaryimage\",\"url\":\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_001.png\",\"contentUrl\":\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_001.png\",\"width\":512,\"height\":266,\"caption\":\"AppSense Ansicht auf Citrix System\"},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.nextron-systems.com\/#website\",\"url\":\"https:\/\/www.nextron-systems.com\/\",\"name\":\"Nextron Systems\",\"description\":\"We Detect Hackers\",\"publisher\":{\"@id\":\"https:\/\/www.nextron-systems.com\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.nextron-systems.com\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"en-US\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/www.nextron-systems.com\/#organization\",\"name\":\"Nextron Systems GmbH\",\"url\":\"https:\/\/www.nextron-systems.com\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/www.nextron-systems.com\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2017\/11\/Nextron_0.2s_inv_symbol_only.png\",\"contentUrl\":\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2017\/11\/Nextron_0.2s_inv_symbol_only.png\",\"width\":260,\"height\":260,\"caption\":\"Nextron Systems GmbH\"},\"image\":{\"@id\":\"https:\/\/www.nextron-systems.com\/#\/schema\/logo\/image\/\"}},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.nextron-systems.com\/#\/schema\/person\/4fd503007d60aabaf1ae747502f36919\",\"name\":\"Florian Roth\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/www.nextron-systems.com\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/0dfaa838ce5d82e2e7bfa75ed3f43ae5?s=96&d=mm&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/0dfaa838ce5d82e2e7bfa75ed3f43ae5?s=96&d=mm&r=g\",\"caption\":\"Florian Roth\"},\"description\":\"Florian Roth serves as the Head of Research and Development at Nextron Systems. With a background in IT security since 2000, he has delved deep into nation-state cyber attacks since 2012. Florian has developed the THOR Scanner and actively engages with the community via his Twitter handle @cyb3rops. He has contributed to open-source projects, including 'Sigma', a generic SIEM rule format, and 'LOKI', an open-source scanner. Additionally, he has shared valuable resources like a mapping of APT groups and operations and an Antivirus Event Analysis Cheat Sheet.\",\"url\":\"https:\/\/www.nextron-systems.com\/author\/florian\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Citrix Systeme absichern bzw. h\u00e4rten - Nextron Systems","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/","schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/#article","isPartOf":{"@id":"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/"},"author":{"name":"Florian Roth","@id":"https:\/\/www.nextron-systems.com\/#\/schema\/person\/4fd503007d60aabaf1ae747502f36919"},"headline":"Citrix Systeme absichern bzw. h\u00e4rten","datePublished":"2012-04-11T08:43:19+00:00","dateModified":"2022-03-25T13:12:09+00:00","mainEntityOfPage":{"@id":"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/"},"wordCount":881,"publisher":{"@id":"https:\/\/www.nextron-systems.com\/#organization"},"image":{"@id":"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/#primaryimage"},"thumbnailUrl":"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_001.png","keywords":["absichern","AppSense","Citrix","Hardening","h\u00e4rten","monitoring","systeme","terminal server","VDI"],"articleSection":["Tool"],"inLanguage":"en-US"},{"@type":"WebPage","@id":"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/","url":"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/","name":"Citrix Systeme absichern bzw. h\u00e4rten - Nextron Systems","isPartOf":{"@id":"https:\/\/www.nextron-systems.com\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/#primaryimage"},"image":{"@id":"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/#primaryimage"},"thumbnailUrl":"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_001.png","datePublished":"2012-04-11T08:43:19+00:00","dateModified":"2022-03-25T13:12:09+00:00","inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/"]}]},{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/www.nextron-systems.com\/2012\/04\/11\/citrix-systeme-absichern-bzw-harten\/#primaryimage","url":"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_001.png","contentUrl":"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2012\/04\/Selection_100412_001.png","width":512,"height":266,"caption":"AppSense Ansicht auf Citrix System"},{"@type":"WebSite","@id":"https:\/\/www.nextron-systems.com\/#website","url":"https:\/\/www.nextron-systems.com\/","name":"Nextron Systems","description":"We Detect Hackers","publisher":{"@id":"https:\/\/www.nextron-systems.com\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.nextron-systems.com\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"en-US"},{"@type":"Organization","@id":"https:\/\/www.nextron-systems.com\/#organization","name":"Nextron Systems GmbH","url":"https:\/\/www.nextron-systems.com\/","logo":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/www.nextron-systems.com\/#\/schema\/logo\/image\/","url":"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2017\/11\/Nextron_0.2s_inv_symbol_only.png","contentUrl":"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2017\/11\/Nextron_0.2s_inv_symbol_only.png","width":260,"height":260,"caption":"Nextron Systems GmbH"},"image":{"@id":"https:\/\/www.nextron-systems.com\/#\/schema\/logo\/image\/"}},{"@type":"Person","@id":"https:\/\/www.nextron-systems.com\/#\/schema\/person\/4fd503007d60aabaf1ae747502f36919","name":"Florian Roth","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/www.nextron-systems.com\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/0dfaa838ce5d82e2e7bfa75ed3f43ae5?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/0dfaa838ce5d82e2e7bfa75ed3f43ae5?s=96&d=mm&r=g","caption":"Florian Roth"},"description":"Florian Roth serves as the Head of Research and Development at Nextron Systems. With a background in IT security since 2000, he has delved deep into nation-state cyber attacks since 2012. Florian has developed the THOR Scanner and actively engages with the community via his Twitter handle @cyb3rops. He has contributed to open-source projects, including 'Sigma', a generic SIEM rule format, and 'LOKI', an open-source scanner. Additionally, he has shared valuable resources like a mapping of APT groups and operations and an Antivirus Event Analysis Cheat Sheet.","url":"https:\/\/www.nextron-systems.com\/author\/florian\/"}]}},"_links":{"self":[{"href":"https:\/\/www.nextron-systems.com\/wp-json\/wp\/v2\/posts\/306","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.nextron-systems.com\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.nextron-systems.com\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.nextron-systems.com\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.nextron-systems.com\/wp-json\/wp\/v2\/comments?post=306"}],"version-history":[{"count":5,"href":"https:\/\/www.nextron-systems.com\/wp-json\/wp\/v2\/posts\/306\/revisions"}],"predecessor-version":[{"id":7646,"href":"https:\/\/www.nextron-systems.com\/wp-json\/wp\/v2\/posts\/306\/revisions\/7646"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.nextron-systems.com\/wp-json\/wp\/v2\/media\/307"}],"wp:attachment":[{"href":"https:\/\/www.nextron-systems.com\/wp-json\/wp\/v2\/media?parent=306"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.nextron-systems.com\/wp-json\/wp\/v2\/categories?post=306"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.nextron-systems.com\/wp-json\/wp\/v2\/tags?post=306"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}