Sécurité VDI : 6 facteurs clés à prendre en compte

Ces dernières années, les déploiements VDI (infrastructure de postes de travail virtuels) se sont multipliés. La VDI n’a pas remplacé tous les postes de travail, contrairement à certaines prévisions. Mais de plus en plus d’entreprises adoptent ces environnements pour leurs avantages opérationnels. Selon Gartner, les grandes entreprises adoptent massivement la VDI, et seules 15 % ne prévoient pas d’investir dans cette technologie.

Utilisation de la VDI (monde, au moins 50 équivalents temps plein dans l’IT)

Plusieurs secteurs se distinguent par leur adoption de la VDI dans les grandes entreprises. C’est notamment le cas de la santé, où le personnel clinique est mobile et dépend des dossiers médicaux électroniques. Le secteur des services financiers utilise lui aussi activement la VDI depuis longtemps.

L’éducation et le secteur public affichent également une forte demande. Les établissements scolaires ont besoin de la VDI pour leurs salles informatiques, mais le coût reste le principal frein à son adoption dans l’éducation.

Pourquoi sécuriser la VDI

Les risques courants pour les données persistent dans les environnements VDI : ransomware, ingénierie sociale, téléchargements furtifs, interception du trafic réseau, exploitation de vulnérabilités, menaces internes, élévation de privilèges et malware. Certains considèrent la VDI comme plus sûre, notamment parce qu’il est possible de mettre fin aux instances après utilisation. Pourtant, la sécurité globale dépend de son maillon le plus faible – et les déploiements VDI le deviennent souvent pour plusieurs raisons :

1. Les cycles de mise à jour nécessitent de modifier l’image de référence et ne sont donc pas rapides.
2. Les déploiements VDI cherchent généralement à consommer le moins de ressources possible. Les administrateurs réduisent donc le nombre de logiciels installés – parfois au détriment de la protection.
3. Le facteur humain : les utilisateurs sont souvent moins conscients des enjeux de sécurité lorsqu’ils utilisent la VDI, car le système ne leur appartient généralement pas et leur session est temporaire. [why?]

Approches de la VDI

L’infrastructure de postes de travail virtuels repose sur deux approches principales : persistante et non persistante.

VDI persistante

Le VDI persistant repose sur une session virtuelle, mais les utilisateurs disposent d’un poste de travail sur lequel ils peuvent enregistrer des fichiers, modifier la configuration et personnaliser leur environnement à leur guise. En arrière-plan, chaque poste de travail fonctionne à partir d’une image disque distincte. Ce type de poste de travail offre davantage de possibilités de personnalisation, mais exige plus de stockage et de sauvegardes que les postes de travail non persistants, décrits ci-dessous. Les utilisateurs qui se connectent chaque jour préfèrent nettement cette approche, mais elle réduit certains avantages du VDI, comme la réduction des coûts de stockage, la facilité d’application des correctifs et la visibilité sur les actifs.

VDI non persistante

De nombreux partisans de la VDI privilégient les postes de travail non persistants, plus faciles à gérer que les environnements persistants. Dans cette approche, plusieurs utilisateurs partagent une même image disque. À chaque connexion, l’utilisateur reçoit une copie du poste de travail de référence. Cette copie est ensuite personnalisée à la demande grâce à la virtualisation des applications (Microsoft App-V, VMware ThinApp, etc.) ou de l’environnement utilisateur (AppSense, RES, etc).

Cette approche présente de nombreux avantages, notamment la réussite systématique du programme de gestion des correctifs. Mais l’absence de persistance peut aussi gêner les utilisateurs : ils ne peuvent pas enregistrer de fichiers localement, changer leur fond d’écran ou installer de nouvelles applications.

Autres tendances

Dans bien des cas, les entreprises choisissent un modèle hybride : elles exécutent des images non persistantes tout en réservant un espace de stockage à certaines applications.

Le DaaS (Desktop-as-a-Service) gagne également du terrain : les sessions sont hébergées dans le cloud. Un prestataire tiers héberge alors l’infrastructure sous-jacente des postes de travail virtuels. De grands fournisseurs proposent de plus en plus de services DaaS (Microsoft Azure, Amazon WorkSpace). Parmi les approches VDI traditionnelles sur site figurent Citrix et ses produits XenDesktop/XenApp, ainsi que la gamme HorizonView de VMware.

Quelle que soit l’approche retenue, les éléments suivants doivent être pris en compte :

6 facteurs clés pour sécuriser la VDI

Pour répondre aux besoins de sécurité, de gestion et de performance, le logiciel de sécurité doit satisfaire aux critères suivants avant tout déploiement VDI :

1. Ne dépendez pas uniquement des mises à jour

Comme indiqué, certains scénarios VDI, notamment les sessions “non persistantes”, mettent fin à chaque session individuelle et redémarrent toujours à partir de l’image de base. Les produits qui dépendent des mises à jour déclenchent une “tempête AV” à chaque connexion des utilisateurs, car ils imposent une mise à jour. Pour assurer la sécurité, ces produits doivent relever un défi : les nouvelles sessions repartent sans cesse de zéro et doivent à nouveau être mises à jour. Dès qu’une session prend fin, ce cercle vicieux recommence, consomme de la bande passante et des ressources et nuit à la productivité. Pour ces raisons, le déploiement de produits de sécurité a toujours été particulièrement difficile dans les environnements VDI.  

2. Exigez une gestion simple et évitez les entrées en double

La facilité de gestion est un autre facteur essentiel. Dans les environnements VDI, il est impossible de garantir ou de standardiser les conventions de nommage des appareils. La plupart des fournisseurs de VDI proposent de définir ces conventions, mais les noms se répètent souvent d’une session à l’autre. Les produits AV, qui s’appuient sur les noms des appareils pour identifier les utilisateurs et les paramètres de la console, rencontrent alors des conflits. Ceux-ci alourdissent inutilement la charge opérationnelle et affectent les utilisateurs finaux. La mise hors service automatique est un autre critère important. Un produit AV qui gère les environnements VDI sans retirer les sessions fermées laisse s’accumuler de nombreux « appareils fantômes ». La vue opérationnelle s’en trouve faussée, et la gestion efficace des actifs à grande échelle devient impossible.

3. Analysez les images de référence

Lors du déploiement d’une infrastructure VDI, il faut éviter d’intégrer un malware à chaque instance. Si l’image de référence n’est pas irréprochable, vous prenez un risque considérable. Les produits qui se contentent de « voir » le malware une fois déposé sur le disque ou de vérifier les fichiers uniquement à leur exécution ne suffisent pas à protéger cette surface d’attaque. Votre environnement VDI reste vulnérable.

4. Exigez une protection et des fonctionnalités équivalentes

Certains fournisseurs proposent des agents dédiés aux environnements VDI, mais aux fonctionnalités limitées. Les environnements VDI restent ainsi exposés aux attaques.  Mis à part la commodité pour votre fournisseur d'antivirus, rien ne justifie une protection VDI réduite. Choisissez des fournisseurs qui ne font aucun compromis et assurent une protection, une visibilité et des capacités de réponse complètes. Les endpoints VDI doivent aussi permettre aux analystes SOC de mener la chasse aux menaces, car toute activité suspecte détectée doit être examinée à la source pour retracer la véritable chaîne d'infection.

5. Calculez le coût réel

Deux modèles de licence sont courants :  

1. Modèle de licences simultanées (paiement à l’usage) – Vous payez pour le nombre maximal d’utilisateurs connectés en même temps. Ce modèle réduit les coûts d’achat du logiciel, car le nombre maximal d’utilisateurs simultanés (tous connectés au même moment) ne représente qu’une partie de l’ensemble des utilisateurs de l’entreprise. Par exemple, pour 5 000 utilisateurs répartis sur deux équipes, seules 2 500 licences sont nécessaires.
2. Modèle de licence par utilisateur (paiement pour chaque utilisateur) – Chaque utilisateur ayant accès à l’infrastructure VDI nécessite une licence – le total dépend donc du nombre d’utilisateurs distincts. Par exemple, une licence pour 5 000 utilisateurs autorise jusqu’à 5 000 utilisateurs nommément désignés à accéder au logiciel.

Privilégiez naturellement le modèle de licences simultanées pour réduire vos coûts.

6. Tenez compte de l’impact sur les performances

La VDI présente notamment l’avantage de réduire les coûts matériels et opérationnels. Si votre antivirus exige autant de ressources qu’un appareil physique, vous perdez l’un des principaux bénéfices de la VDI. Un autre facteur qui influence les performances de la VDI est le nombre d’applications à installer sur l’image de référence. Choisissez une protection des endpoints légère et efficace, qui ne sacrifie ni la puissance de calcul ni l’expérience et la productivité des utilisateurs pour exécuter l’antivirus. Évitez les produits à agents multiples, plus gourmands en ressources.

Pourquoi choisir SentinelOne

L’agent autonome SentinelOne répond à tous les critères ci-dessus et va même au-delà.  Il sécurise efficacement le recours croissant à la virtualisation des postes de travail, notamment les clients légers, les applications en couches et d’autres scénarios VDI. Il n’a pas besoin de mises à jour et ne dépend ni des signatures ni des autres mécanismes des antivirus traditionnels. SentinelOne prend nativement en charge tous les scénarios VDI courants sans compromis sur les fonctionnalités ou la protection, notamment :

1. Virtualisation des postes de travail :  Hébergement du système d’exploitation d’un poste de travail dans une VM sur un serveur centralisé. Citrix XenDesktop, Microsoft App-V, VMware Horizon et Systancia AppliDis en sont des exemples.
2. Services Terminal Server :  Composant de virtualisation des applications et de leur affichage sur serveur, permettant d’accéder aux applications et aux données d’un ordinateur distant via un réseau. Microsoft Windows RDP et Citrix XenApp en sont des exemples.
3. Desktop-as-a-Service :  Virtualisation des postes de travail distants à partir d’une infrastructure cloud SaaS. VMware Horizon DaaS et Amazon WorkSpaces sont des exemples de services destinés aux entreprises.

^[1] Gartner, Market Trends: VDI Demand Is Growing, but Not Everyone Will Be Successful, par Michael Warrilow et Nathan Hill, avril 2017, https://www.gartner.com/document/code/325320

SentinelOne prend en charge les fournisseurs de virtualisation suivants :

• VMware vSphere
• VMware Workstation
• VMware Fusion
• VMware Horizon
• Citrix XenApp
• Citrix XenDesktop
• Amazon WorkSpaces
• Microsoft Hyper-V
• Oracle VirtualBox

Conclusion

La sécurité des VDI associe la sécurité des endpoints, la segmentation du réseau, le chiffrement des données et les contrôles d’accès. Il existe de nombreuses approches, mais les meilleures sont celles qui conviennent à votre infrastructure. La sécurité des VDI offre de nombreux avantages, dont le principal est de préparer votre organisation pour l’avenir. SentinelOne peut simplifier votre démarche de sécurisation des VDI et devenir un partenaire précieux dans ce domaine. Essayez SentinelOne et découvrez dès aujourd’hui ce que nous pouvons apporter à votre organisation.