VDI-Sicherheit: 6 wichtige Faktoren, die zu berücksichtigen sind

In den letzten Jahren sind VDI-Implementierungen (Virtual Desktop Infrastructure) häufiger geworden als je zuvor. VDI hat nicht den gesamten Desktop-Markt ersetzt, wie einige vorhergesagt hatten, aber immer mehr Unternehmen haben VDI-Umgebungen aufgrund einer Vielzahl betrieblicher Vorteile eingeführt. Laut Gartner, führen große Unternehmen VDI in hohem Maße ein, wobei nur 15 % keine Investition in VDI-Technologie planen.

VDI-Nutzung (weltweit, mindestens 50 IT-FTE)

Mehrere Branchen stechen bei der VDI-Einführung in großen Unternehmen hervor. Das Gesundheitswesen ist aufgrund der mobilen Natur klinischer Tätigkeiten und der Abhängigkeit von elektronischen Patientenakten eine davon. Ein weiteres Beispiel ist der Finanzdienstleistungssektor, der auf eine Geschichte aktiver VDI-Nutzung zurückblickt.

Auch Bildungseinrichtungen und der öffentliche Sektor zeigen eine hohe Nachfrage. Schulen müssen VDI für Studentenlabore bereitstellen, aber das Haupthindernis für eine stärkere VDI-Einführung im Bildungsbereich bleiben die Kosten.

Die Notwendigkeit der Absicherung von VDI

Häufige Risiken, die Daten beeinträchtigen, bestehen auch in VDI-Umgebungen fort: Ransomware, Social Engineering, Drive-by-Downloads, Network Sniffing, Ausnutzung von Schwachstellen, Insider-Bedrohungen, Privilegieneskalation und Malware. Manche würden behaupten, VDI sei eine sicherere Option, hauptsächlich weil man die VDI-Instanzen nach Abschluss beenden kann, aber der allgemeine Sicherheitsstatus ist nur so stark wie sein schwächstes Glied – und VDI-Bereitstellungen sind aus mehreren Gründen häufig genau das:

1. Patch-Zyklen erfordern die Aktualisierung des Golden Image und sind daher nicht schnell.
2. VDI-Implementierungen versuchen üblicherweise, so wenig Ressourcen wie möglich zu verbrauchen, daher versuchen Administratoren, die Menge der bereitgestellten Software zu reduzieren – etwas auf Kosten des Schutzes.
3. Der menschliche Faktor: Benutzer sind sich der Sicherheitsauswirkungen beim Arbeiten auf VDI tendenziell weniger bewusst, weil ihnen das System oft nicht gehört und sie es für eine temporäre Sitzung verwenden. [warum?]

VDI-Ansätze

In der Welt der Virtual Desktop Infrastructure gibt es zwei grundlegende Ansätze: persistent und nicht persistent.

Persistente VDI

Persistente VDI bedeutet eine virtuelle Sitzung, aber die Benutzer haben einen Desktop, auf dem sie Dateien speichern, Konfigurationen ändern und nach Belieben anpassen können. Im Hintergrund läuft jeder Desktop von einem separaten Disk-Image. Diese Arten von Desktops ermöglichen Personalisierung, erfordern jedoch mehr Speicher und Backup als nicht persistente Desktops, die unten näher beschrieben werden. Benutzer, die sich täglich anmelden, bevorzugen diesen Ansatz deutlich, aber er reduziert einige der Vorteile von VDI, wie Einsparungen bei Speicherkosten, einfache Patch-Verwaltung und Transparenz über Assets.

Nicht persistente VDI

Viele VDI-Befürworter behaupten, dass nicht persistente Desktops der richtige Weg sind, weil sie einfacher zu verwalten sind als persistente VDI. Bei nicht persistenten Umgebungen wird ein einzelnes Disk-Image von vielen Benutzern gemeinsam genutzt. Wenn sich jeder Benutzer anmeldet, erhält er oder sie einen Klon des gemeinsam genutzten Master-Desktops, und dieser Klon wird dann bei Bedarf mit App-Virtualisierung (Microsoft App-V, VMware ThinApp usw.) oder mit Benutzerumgebungsvirtualisierung (AppSense, RES usw.) angepasst.

Dieser Ansatz bietet viele Vorteile, etwa die Sicherstellung eines 100%igen Erfolgs eines Patch-Management-Programms, aber die fehlende Persistenz kann sich auch auf Benutzer auswirken, da sie Dateien nicht lokal speichern oder andere Dinge tun können, wie den Desktop-Hintergrund ändern oder neue Anwendungen installieren.

Andere Trends

In vielen Fällen wählen Unternehmen einen Hybridmodus: Sie betreiben nicht persistente Images, erlauben aber dedizierten Speicher für mehrere Anwendungen.

Ein weiterer Trend, der an Fahrt aufnimmt, ist DaaS (Desktop-as-a-Service), bei dem die Sitzungen in der Cloud laufen. Ein Drittanbieter hostet dann das Backend der Virtual Desktop Infrastructure einer Bereitstellung. Es ist ein wachsendes Interesse großer Anbieter zu beobachten, die DaaS anbieten (Microsoft Azure, Amazon WorkSpace). Andere traditionelle Ansätze für lokale VDI umfassen Citrix mit seinen XenDesktop/XenApp-Produkten und VMware mit seiner HorizonView-Produktlinie.

Unabhängig von der gewählten Implementierung müssen die folgenden Elemente abgedeckt werden:

6 wichtige Faktoren für die VDI-Sicherheit

Um Anforderungen an Sicherheit, Verwaltbarkeit und Leistung zu erfüllen, muss Sicherheitssoftware vor der VDI-Bereitstellung die folgenden Maßstäbe erfüllen:

1. Verlassen Sie sich nicht auf Updates

Wie erwähnt, beenden einige VDI-Szenarien wie „nicht persistent“ jede einzelne Sitzung und starten immer vom Basis-Image. Produkte, die auf Updates angewiesen sind, erzeugen bei jeder Benutzeranmeldung einen „AV-Sturm“, weil sie ein Update erzwingen. Produkte, die für Sicherheit auf Updates angewiesen sind, müssen die Herausforderung bewältigen, dass immer wieder neue Sitzungen gestartet werden und dann versucht wird, diese zu aktualisieren. Sobald eine Sitzung beendet wird, wiederholt sich dieser Teufelskreis, verbraucht Bandbreite und Ressourcen und beeinträchtigt die Produktivität. Aus diesen Gründen war die Bereitstellung von Sicherheitsprodukten in VDI-Umgebungen traditionell recht schmerzhaft.  

2. Einfache Verwaltung verlangen und doppelte Einträge vermeiden

Einfache Verwaltung ist ein weiterer kritischer Faktor. In VDI-Umgebungen können Gerätekonventionen bei der Benennung nicht sichergestellt oder standardisiert werden. Die meisten VDI-Anbieter erlauben das Festlegen von Namenskonventionen, aber Namen wiederholen sich oft bei neuen Sitzungen. Daher sehen AV-Produkte, die sich auf Gerätenamen verlassen, um Benutzer und Konsolenparameter zu identifizieren, Kollisionen, die sowohl unnötige betriebliche Belastungen als auch Auswirkungen auf Endbenutzer verursachen. Ein weiteres wichtiges Kriterium sind automatisierte Decommissioning-Funktionen. Ein AV-Produkt, das VDI verwaltet, ohne geschlossene Sitzungen außer Betrieb zu nehmen, führt zu zahlreichen „Phantomgeräten“, was eine verzerrte operative Sicht und die Unfähigkeit zur effektiven Verwaltung von Assets im großen Maßstab zur Folge hat.

3. Scans des Basis-Images sind erforderlich

Das Letzte, was man bei der Bereitstellung einer VDI-Umgebung möchte, ist, Malware in jede Instanz einzubacken. Wenn Sie nicht sicherstellen, dass das Golden Image fehlerfrei ist, gehen Sie ein erhebliches Risiko ein. Produkte, die sich ausschließlich darauf verlassen, Malware zu „sehen“, die auf die Festplatte geschrieben wurde, oder nur bei der Dateiausführung prüfen, sind für diese Angriffsfläche nicht ausreichend und lassen Ihre VDI-Umgebung verwundbar.

4. Gleichwertigen Schutz und gleichwertige Funktionalität verlangen

Einige Anbieter bieten dedizierte Agents für VDI an, allerdings mit eingeschränkter Funktionalität. Dadurch bleiben VDI-Umgebungen eine exponierte Angriffsfläche.  Abgesehen von der Bequemlichkeit für Ihren AV-Anbieter gibt es keinen Grund für eingeschränkte VDI-Abdeckung. Suchen Sie nach Anbietern, die keine Kompromisse eingehen und vollständigen Schutz, Transparenz und Reaktionsfähigkeiten liefern können. VDI-Endpunkte sollten auch Oberflächen sein, auf denen SOC-Analysten Threat Hunting betreiben können, denn wenn verdächtige Aktivitäten identifiziert werden, müssen Sie der Ursache der verdächtigen Aktivität auf den Grund gehen, um den tatsächlichen Infektionspfad zu finden.

5. Die tatsächlichen Kosten berechnen

Es gibt zwei gängige Lizenzmodelle:  

1. Concurrent-Lizenzmodell (Pay as you go) – Sie zahlen für die maximale Anzahl von Benutzern, die parallel arbeiten. Die Lizenzierung gleichzeitiger Benutzer ermöglicht es Ihnen, Software zu geringeren Kosten zu erwerben, weil die maximale Anzahl gleichzeitiger Benutzer, die die Software zu einem bestimmten Zeitpunkt voraussichtlich nutzen (diese Benutzer sind alle gleichzeitig angemeldet), nur einen Teil der Gesamtzahl der in einem Unternehmen beschäftigten Systembenutzer ausmacht. Zum Beispiel werden für 5.000 Benutzer, die in 2 Schichten arbeiten, nur 2.500 Lizenzen benötigt.
2. Per-Seat-Lizenzmodell (Bezahlung pro Benutzer) – Jeder Seat verbraucht eine Lizenz – basierend auf der Anzahl einzelner Benutzer, die Zugriff auf die VDI-Infrastruktur haben. Zum Beispiel würde eine Lizenz für 5.000 Benutzer bedeuten, dass bis zu 5.000 individuell benannte Benutzer auf die Software zugreifen können.

Suchen Sie natürlich nach einem Concurrent-Lizenzmodell, da es Ihre Kosten senken wird.

6. Auswirkungen auf die Leistung sind wichtig

Ein Vorteil von VDI ist die Reduzierung von Hardware- und Betriebskosten. Wenn Sie am Ende eine AV-Lösung haben, die eine Ressourcenzuweisung erfordert, als wäre es ein physisches Gerät, verfehlen Sie einen zentralen Wert der Nutzung von VDI. Ein weiterer Aspekt, der die Leistung von VDI beeinflusst, ist die Anzahl der Anwendungen, die Sie auf dem Basis-Image installieren müssen. Entscheiden Sie sich für Endpoint-Protection-Lösungen, die leichtgewichtig und robust sind, damit Rechenleistung sowie Endbenutzererfahrung/Produktivität nicht beeinträchtigt werden, um AV auszuführen. Vermeiden Sie Lösungen mit mehreren Agents, da dies mehr Ressourcenverbrauch bedeutet.

Warum SentinelOne wählen

Der autonome Agent von SentinelOne erfüllt und übertrifft alle oben genannten Kriterien.  Er ist eine effiziente Lösung, um die wachsende Nachfrage nach Desktop-Virtualisierung abzusichern, einschließlich Thin Clients, Layered Apps und anderer VDI-Szenarien. Er benötigt keine Updates und ist nicht von Signaturen oder anderen Legacy-Antivirus-Anforderungen abhängig. SentinelOne unterstützt nativ alle gängigen VDI-Szenarien, ohne Kompromisse bei Funktionalität oder Schutz einzugehen, einschließlich:

1. Desktop-Virtualisierung:  Hosting eines Desktop-Betriebssystems in einer VM auf einem zentralisierten Server. Beispiele für Enterprise-Software zur Anwendungsvirtualisierung sind Citrix XenDesktop, Microsoft App-V, VMware Horizon und Systancia AppliDis.
2. Terminal Services:  Eine serverbasierte Computing- und Präsentationsvirtualisierungskomponente für den Zugriff auf Anwendungen und Daten auf einem Remote-Computer über ein Netzwerk. Beispiele sind  Microsoft Windows RDP und Citrix XenApp.
3. Desktop-as-a-Service:  Remote-Desktop-Virtualisierung aus SaaS-Cloud-Computing. Beispiele für Enterprise Desktop as a Service sind VMware’s Horizon DaaS, Amazon’s WorkSpaces.

^[1] Gartner, Markttrends: Die VDI-Nachfrage wächst, aber nicht jeder wird erfolgreich sein, von Michael Warrilow und Nathan Hill, April 2017, https://www.gartner.com/document/code/325320

SentinelOne unterstützt die folgenden Virtualisierungsanbieter:

• VMware vSphere
• VMware Workstation
• VMware Fusion
• VMware Horizon
• Citrix XenApp
• Citrix XenDesktop
• Amazon WorkSpaces
• Microsoft Hyper-V
• Oracle VirtualBox

Fazit

VDI-Sicherheit vereint Endpoint-Sicherheit, Netzwerksegmentierung, Datenverschlüsselung und Zugriffskontrollen. Es gibt viele Ansätze dafür, aber die besten sind die Optionen, die für Ihre Infrastruktur funktionieren. VDI-Sicherheit bietet viele Vorteile, aber der größte ist, wie Sie Ihre Organisation zukunftssicher machen können. SentinelOne kann Ihre VDI-Sicherheitsstrategie optimieren und dabei ein wertvoller Partner sein. Testen Sie uns und sehen Sie, wie wir Ihrer Organisation noch heute helfen können.