Sécurité VDI : 6 facteurs clés à prendre en compte

Ces dernières années, les déploiements de VDI (Virtual Desktop Infrastructure) sont devenus plus courants que jamais. Le VDI n’a pas remplacé l’ensemble du marché des postes de travail comme certains l’avaient prédit, mais de plus en plus d’entreprises ont adopté des environnements VDI en raison de divers avantages opérationnels. Selon Gartner, les grandes entreprises adoptent le VDI à un rythme élevé, et seulement 15 % ne prévoient pas d’investir dans la technologie VDI.

Utilisation du VDI (dans le monde, minimum 50 ETP IT)

Plusieurs secteurs se distinguent en matière d’adoption du VDI parmi les grandes entreprises. Le secteur de la santé, en raison de la nature mobile des activités cliniques et de la dépendance aux dossiers médicaux électroniques, en fait partie. Un autre exemple est le secteur des services financiers, qui a un historique d’utilisation active du VDI.

L’éducation et le secteur public affichent également une forte demande. Les établissements scolaires doivent résoudre les enjeux du VDI pour les laboratoires étudiants, mais le principal obstacle à une adoption plus large du VDI dans l’éducation reste le coût.

La nécessité de sécuriser le VDI

Les risques courants affectant les données restent présents dans les environnements VDI : ransomware, ingénierie sociale, téléchargements furtifs, écoute réseau, exploitation de vulnérabilités, menaces internes, élévation de privilèges et malware. Certains affirment que le VDI est une option plus sécurisée, principalement parce qu’il est possible de mettre fin aux instances VDI une fois la session terminée, mais l’état global de sécurité n’est solide qu’à hauteur de son maillon le plus faible – et les déploiements VDI ont tendance à être exactement cela pour plusieurs raisons :

1. Les cycles de correctifs nécessitent la mise à jour de l’image de référence et ne sont donc pas rapides.
2. Les implémentations VDI cherchent généralement à consommer le moins de ressources possible, de sorte que les administrateurs essaient de réduire la quantité de logiciels déployés – au détriment de la protection.
3. Le facteur humain : les utilisateurs ont tendance à être moins conscients des implications de sécurité lorsqu’ils utilisent le VDI, car ils ne possèdent souvent pas le système et l’utilisent pour une session temporaire. [pourquoi ?]

Approches du VDI

Dans le monde de la virtual desktop infrastructure, il existe deux approches de base : persistante et non persistante.

VDI persistant

Le VDI persistant signifie une session virtuelle, mais les utilisateurs disposent d’un poste de travail sur lequel ils peuvent enregistrer des fichiers, modifier la configuration et personnaliser à volonté. En arrière-plan, chaque poste de travail s’exécute à partir d’une image disque distincte. Ces types de postes permettent la personnalisation, mais ils nécessitent plus de stockage et de sauvegarde que les postes non persistants, décrits ci-dessous. Les utilisateurs qui se connectent quotidiennement préfèrent largement cette approche, mais elle réduit certains des avantages du VDI, comme les économies de stockage, la facilité d’application des correctifs et la visibilité sur les actifs.

VDI non persistant

De nombreux défenseurs du VDI affirment que les postes non persistants sont la meilleure option, car ils sont plus faciles à gérer que le VDI persistant. Avec le mode non persistant, une seule image disque est partagée entre de nombreux utilisateurs. Lorsqu’un utilisateur se connecte, il obtient un clone du poste maître partagé, puis ce clone est personnalisé à la demande avec la virtualisation des applications (Microsoft App-V, VMware ThinApp, etc.) ou avec la virtualisation de l’environnement utilisateur (AppSense, RES, etc).

Cette approche présente de nombreux avantages, comme garantir un taux de réussite de 100 % avec un programme de gestion des correctifs, mais l’absence de persistance peut également affecter les utilisateurs, car ils ne peuvent pas enregistrer de fichiers localement ni effectuer d’autres actions, comme changer le fond d’écran du poste ou installer de nouvelles applications.

Autres tendances

Dans de nombreux cas, les entreprises choisissent un mode hybride : exécuter des images non persistantes tout en autorisant un stockage dédié pour plusieurs applications.

Une autre tendance qui gagne du terrain est le DaaS (Desktop-as-a-Service), où les sessions résident dans le cloud. Un tiers héberge alors le backend de virtual desktop infrastructure d’un déploiement. On observe un intérêt croissant de la part de grands fournisseurs proposant du DaaS (Microsoft Azure, Amazon WorkSpace). Parmi les autres approches traditionnelles du VDI sur site figurent Citrix avec ses produits XenDesktop/XenApp et VMware avec sa gamme de produits HorizonView.

Quelle que soit l’implémentation choisie, les éléments suivants doivent être couverts :

6 facteurs clés à prendre en compte pour la sécurité du VDI

Pour répondre aux besoins de sécurité, de facilité de gestion et de performance, les logiciels de sécurité doivent satisfaire aux critères suivants avant le déploiement du VDI :

1. Ne vous contentez pas d’une dépendance aux mises à jour

Comme mentionné, certains scénarios VDI comme le mode « non persistant » mettent fin à chaque session individuelle et redémarrent toujours à partir de l’image de base. Les produits qui dépendent des mises à jour créeront une « tempête AV » à chaque connexion des utilisateurs, car ils imposent une mise à jour. Les produits qui s’appuient sur les mises à jour pour la sécurité doivent relever le défi de nouvelles sessions qui redémarrent encore et encore, puis tenter de les mettre à jour. Une fois qu’une session se termine, ce cercle vicieux se répète, consommant de la bande passante, des ressources et affectant la productivité. Pour ces raisons, le déploiement de produits de sécurité a traditionnellement été assez pénible dans les environnements VDI.  

2. Exigez une gestion simple et évitez les entrées en double

La facilité de gestion est un autre facteur critique. Dans les environnements VDI, les conventions de nommage des appareils ne peuvent pas être garanties ni standardisées. La plupart des fournisseurs VDI permettent de définir des conventions de nommage, mais les noms se répètent souvent avec les nouvelles sessions. Ainsi, les produits AV, qui s’appuient sur les noms des appareils pour identifier les utilisateurs et les paramètres de console, constatent des collisions entraînant à la fois une charge opérationnelle inutile et un impact sur l’utilisateur final. Un autre critère important est la capacité de décommissionnement automatisé. Un produit AV qui gère le VDI sans retirer les sessions fermées entraîne de nombreux « appareils fantômes », ce qui donne une vue opérationnelle déformée et une incapacité à gérer efficacement les actifs à grande échelle.

3. Les analyses de l’image de base sont nécessaires

La dernière chose souhaitable lors du déploiement d’une configuration VDI est d’intégrer du malware dans chaque instance. Si vous ne vous assurez pas que l’image de référence est irréprochable, vous prenez un risque considérable. Les produits qui s’appuient uniquement sur la détection du malware déposé sur le disque ou qui vérifient simplement l’exécution des fichiers ne sont pas suffisants pour cette surface d’attaque, laissant votre environnement VDI vulnérable.

4. Exigez une protection et des fonctionnalités équivalentes

Certains fournisseurs proposent des agents dédiés au VDI, mais avec des fonctionnalités limitées. Cela laisse les environnements VDI comme une surface d’attaque exposée.  En dehors de la commodité pour votre fournisseur AV, il n’y a aucune raison d’accepter une couverture VDI limitée. Recherchez des fournisseurs qui ne font aucun compromis et peuvent offrir une protection complète, de la visibilité et des capacités de réponse. Les endpoints VDI doivent également être des surfaces sur lesquelles les analystes SOC peuvent effectuer de la chasse aux menaces, car si une activité suspecte est identifiée, vous devez remonter à la source de cette activité suspecte pour trouver la véritable chaîne d’infection.

5. Calculez les coûts réels

Il existe deux modèles de licence courants :  

1. Modèle de licence simultanée (paiement à l’usage) – Vous payez pour le nombre maximal d’utilisateurs exécutés en parallèle. La licence utilisateur simultanée vous permet d’acheter le logiciel à moindre coût, car le nombre maximal d’utilisateurs simultanés censés utiliser le logiciel à un moment donné (ces utilisateurs étant tous connectés en même temps) ne représente qu’une partie du nombre total d’utilisateurs du système employés dans une entreprise. Par exemple, pour 5 000 utilisateurs travaillant en 2 équipes, seules 2 500 licences sont nécessaires.
2. Modèle de licence par poste (paiement pour chaque utilisateur) – Chaque poste consomme une licence, en fonction du nombre d’utilisateurs individuels ayant accès à l’infrastructure VDI. Par exemple, une licence de 5 000 utilisateurs signifie que jusqu’à 5 000 utilisateurs nommément désignés peuvent accéder au logiciel.

Naturellement, recherchez un modèle de licence simultanée, car il réduira vos coûts.

6. L’impact sur les performances compte

L’un des avantages du VDI est la réduction des coûts matériels et opérationnels. Si vous vous retrouvez avec une solution AV qui nécessite une allocation de ressources comme s’il s’agissait d’un appareil physique, vous passez à côté d’une valeur fondamentale du VDI. Un autre aspect qui influencera les performances du VDI est le nombre d’applications que vous devez installer sur l’image de base. Optez pour des solutions de protection des endpoints légères et robustes afin que la puissance de calcul et l’expérience/la productivité de l’utilisateur final ne soient pas compromises pour exécuter l’AV. Évitez les solutions avec plusieurs agents, car cela signifie une consommation de ressources plus élevée.

Pourquoi choisir SentinelOne

L’agent autonome SentinelOne répond à tous les critères ci-dessus et les dépasse.  Il s’agit d’une solution efficace pour sécuriser la demande croissante de virtualisation des postes de travail, y compris les clients légers, les applications en couches et d’autres scénarios VDI. Il n’a pas besoin de mises à jour et ne dépend pas des signatures ni d’autres exigences héritées des antivirus traditionnels. SentinelOne prend en charge nativement tous les scénarios VDI courants sans compromis sur les fonctionnalités ni la protection, notamment :

1. Virtualisation des postes de travail :  héberger un système d’exploitation de poste de travail dans une VM sur un serveur centralisé. Parmi les exemples de logiciels de virtualisation d’applications d’entreprise figurent Citrix XenDesktop, Microsoft App-V, VMware Horizon et Systancia AppliDis.
2. Services Terminal :  un composant de virtualisation de présentation et de calcul basé sur serveur permettant d’accéder aux applications et aux données sur un ordinateur distant via un réseau. Les exemples incluent  Microsoft Windows RDP et Citrix XenApp.
3. Desktop-as-a-Service :  virtualisation de poste de travail à distance depuis le cloud SaaS. Parmi les exemples de Desktop as a Service d’entreprise figurent Horizon DaaS de VMware et WorkSpaces d’Amazon.

^[1] Gartner, Tendances du marché : la demande de VDI augmente, mais tout le monde ne réussira pas, par Michael Warrilow et Nathan Hill, avril 2017, https://www.gartner.com/document/code/325320

SentinelOne prend en charge les fournisseurs virtuels suivants :

• VMware vSphere
• VMware Workstation
• VMware Fusion
• VMware Horizon
• Citrix XenApp
• Citrix XenDesktop
• Amazon WorkSpaces
• Microsoft Hyper-V
• Oracle VirtualBox

Conclusion

La sécurité du VDI associe la sécurité des endpoints, la segmentation réseau, le chiffrement des données et les contrôles d’accès. Il existe de nombreuses approches, mais les meilleures sont celles qui fonctionnent pour votre infrastructure. La sécurité du VDI présente de nombreux avantages, mais le plus important est la manière dont elle peut pérenniser votre organisation. SentinelOne peut rationaliser votre démarche de sécurité VDI et être un partenaire précieux à cet égard. Essayez-nous et découvrez comment nous pouvons aider votre organisation dès aujourd’hui.