Ces dernières années, les déploiements de VDI (Virtual Desktop Infrastructure) sont devenus plus courants que jamais. Le VDI n’a pas remplacé l’ensemble du marché des postes de travail comme certains l’avaient prédit, mais de plus en plus d’entreprises ont adopté des environnements VDI en raison de divers avantages opérationnels. Selon Gartner, les grandes entreprises adoptent le VDI à un rythme élevé, et seulement 15 % ne prévoient pas d’investir dans la technologie VDI.
Utilisation du VDI (dans le monde, minimum 50 ETP IT)
Plusieurs secteurs se distinguent en matière d’adoption du VDI parmi les grandes entreprises. Le secteur de la santé, en raison de la nature mobile des activités cliniques et de la dépendance aux dossiers médicaux électroniques, en fait partie. Un autre exemple est le secteur des services financiers, qui a un historique d’utilisation active du VDI.
L’éducation et le secteur public affichent également une forte demande. Les établissements scolaires doivent résoudre les enjeux du VDI pour les laboratoires étudiants, mais le principal obstacle à une adoption plus large du VDI dans l’éducation reste le coût.
La nécessité de sécuriser le VDI
Les risques courants affectant les données restent présents dans les environnements VDI : ransomware, ingénierie sociale, téléchargements furtifs, écoute réseau, exploitation de vulnérabilités, menaces internes, élévation de privilèges et malware. Certains affirment que le VDI est une option plus sécurisée, principalement parce qu’il est possible de mettre fin aux instances VDI une fois la session terminée, mais l’état global de sécurité n’est solide qu’à hauteur de son maillon le plus faible – et les déploiements VDI ont tendance à être exactement cela pour plusieurs raisons :
- Les cycles de correctifs nécessitent la mise à jour de l’image de référence et ne sont donc pas rapides.
- Les implémentations VDI cherchent généralement à consommer le moins de ressources possible, de sorte que les administrateurs essaient de réduire la quantité de logiciels déployés – au détriment de la protection.
- Le facteur humain : les utilisateurs ont tendance à être moins conscients des implications de sécurité lorsqu’ils utilisent le VDI, car ils ne possèdent souvent pas le système et l’utilisent pour une session temporaire. [pourquoi ?]
Approches du VDI
Dans le monde de la virtual desktop infrastructure, il existe deux approches de base : persistante et non persistante.
VDI persistant
Le VDI persistant signifie une session virtuelle, mais les utilisateurs disposent d’un poste de travail sur lequel ils peuvent enregistrer des fichiers, modifier la configuration et personnaliser à volonté. En arrière-plan, chaque poste de travail s’exécute à partir d’une image disque distincte. Ces types de postes permettent la personnalisation, mais ils nécessitent plus de stockage et de sauvegarde que les postes non persistants, décrits ci-dessous. Les utilisateurs qui se connectent quotidiennement préfèrent largement cette approche, mais elle réduit certains des avantages du VDI, comme les économies de stockage, la facilité d’application des correctifs et la visibilité sur les actifs.
VDI non persistant
De nombreux défenseurs du VDI affirment que les postes non persistants sont la meilleure option, car ils sont plus faciles à gérer que le VDI persistant. Avec le mode non persistant, une seule image disque est partagée entre de nombreux utilisateurs. Lorsqu’un utilisateur se connecte, il obtient un clone du poste maître partagé, puis ce clone est personnalisé à la demande avec la virtualisation des applications (Microsoft App-V, VMware ThinApp, etc.) ou avec la virtualisation de l’environnement utilisateur (AppSense, RES, etc).
Cette approche présente de nombreux avantages, comme garantir un taux de réussite de 100 % avec un programme de gestion des correctifs, mais l’absence de persistance peut également affecter les utilisateurs, car ils ne peuvent pas enregistrer de fichiers localement ni effectuer d’autres actions, comme changer le fond d’écran du poste ou installer de nouvelles applications.
Autres tendances
Dans de nombreux cas, les entreprises choisissent un mode hybride : exécuter des images non persistantes tout en autorisant un stockage dédié pour plusieurs applications.
Une autre tendance qui gagne du terrain est le DaaS (Desktop-as-a-Service), où les sessions résident dans le cloud. Un tiers héberge alors le backend de virtual desktop infrastructure d’un déploiement. On observe un intérêt croissant de la part de grands fournisseurs proposant du DaaS (Microsoft Azure, Amazon WorkSpace). Parmi les autres approches traditionnelles du VDI sur site figurent Citrix avec ses produits XenDesktop/XenApp et VMware avec sa gamme de produits HorizonView.
Quelle que soit l’implémentation choisie, les éléments suivants doivent être couverts :
6 facteurs clés à prendre en compte pour la sécurité du VDI
Pour répondre aux besoins de sécurité, de facilité de gestion et de performance, les logiciels de sécurité doivent satisfaire aux critères suivants avant le déploiement du VDI :
1. Ne vous contentez pas d’une dépendance aux mises à jour
Comme mentionné, certains scénarios VDI comme le mode « non persistant » mettent fin à chaque session individuelle et redémarrent toujours à partir de l’image de base. Les produits qui dépendent des mises à jour créeront une « tempête AV » à chaque connexion des utilisateurs, car ils imposent une mise à jour. Les produits qui s’appuient sur les mises à jour pour la sécurité doivent relever le défi de nouvelles sessions qui redémarrent encore et encore, puis tenter de les mettre à jour. Une fois qu’une session se termine, ce cercle vicieux se répète, consommant de la bande passante, des ressources et affectant la productivité. Pour ces raisons, le déploiement de produits de sécurité a traditionnellement été assez pénible dans les environnements VDI.
2. Exigez une gestion simple et évitez les entrées en double
La facilité de gestion est un autre facteur critique. Dans les environnements VDI, les conventions de nommage des appareils ne peuvent pas être garanties ni standardisées. La plupart des fournisseurs VDI permettent de définir des conventions de nommage, mais les noms se répètent souvent avec les nouvelles sessions. Ainsi, les produits AV, qui s’appuient sur les noms des appareils pour identifier les utilisateurs et les paramètres de console, constatent des collisions entraînant à la fois une charge opérationnelle inutile et un impact sur l’utilisateur final. Un autre critère important est la capacité de décommissionnement automatisé. Un produit AV qui gère le VDI sans retirer les sessions fermées entraîne de nombreux « appareils fantômes », ce qui donne une vue opérationnelle déformée et une incapacité à gérer efficacement les actifs à grande échelle.
3. Les analyses de l’image de base sont nécessaires
La dernière chose souhaitable lors du déploiement d’une configuration VDI est d’intégrer du malware dans chaque instance. Si vous ne vous assurez pas que l’image de référence est irréprochable, vous prenez un risque considérable. Les produits qui s’appuient uniquement sur la détection du malware déposé sur le disque ou qui vérifient simplement l’exécution des fichiers ne sont pas suffisants pour cette surface d’attaque, laissant votre environnement VDI vulnérable.
4. Exigez une protection et des fonctionnalités équivalentes
Certains fournisseurs proposent des agents dédiés au VDI, mais avec des fonctionnalités limitées. Cela laisse les environnements VDI comme une surface d’attaque exposée. En dehors de la commodité pour votre fournisseur AV, il n’y a aucune raison d’accepter une couverture VDI limitée. Recherchez des fournisseurs qui ne font aucun compromis et peuvent offrir une protection complète, de la visibilité et des capacités de réponse. Les endpoints VDI doivent également être des surfaces sur lesquelles les analystes SOC peuvent effectuer de la chasse aux menaces, car si une activité suspecte est identifiée, vous devez remonter à la source de cette activité suspecte pour trouver la véritable chaîne d’infection.
5. Calculez les coûts réels
Il existe deux modèles de licence courants :
- Modèle de licence simultanée (paiement à l’usage) – Vous payez pour le nombre maximal d’utilisateurs exécutés en parallèle. La licence utilisateur simultanée vous permet d’acheter le logiciel à moindre coût, car le nombre maximal d’utilisateurs simultanés censés utiliser le logiciel à un moment donné (ces utilisateurs étant tous connectés en même temps) ne représente qu’une partie du nombre total d’utilisateurs du système employés dans une entreprise. Par exemple, pour 5 000 utilisateurs travaillant en 2 équipes, seules 2 500 licences sont nécessaires.
- Modèle de licence par poste (paiement pour chaque utilisateur) – Chaque poste consomme une licence, en fonction du nombre d’utilisateurs individuels ayant accès à l’infrastructure VDI. Par exemple, une licence de 5 000 utilisateurs signifie que jusqu’à 5 000 utilisateurs nommément désignés peuvent accéder au logiciel.
Naturellement, recherchez un modèle de licence simultanée, car il réduira vos coûts.
6. L’impact sur les performances compte
L’un des avantages du VDI est la réduction des coûts matériels et opérationnels. Si vous vous retrouvez avec une solution AV qui nécessite une allocation de ressources comme s’il s’agissait d’un appareil physique, vous passez à côté d’une valeur fondamentale du VDI. Un autre aspect qui influencera les performances du VDI est le nombre d’applications que vous devez installer sur l’image de base. Optez pour des solutions de protection des endpoints légères et robustes afin que la puissance de calcul et l’expérience/la productivité de l’utilisateur final ne soient pas compromises pour exécuter l’AV. Évitez les solutions avec plusieurs agents, car cela signifie une consommation de ressources plus élevée.
Pourquoi choisir SentinelOne
L’agent autonome SentinelOne répond à tous les critères ci-dessus et les dépasse. Il s’agit d’une solution efficace pour sécuriser la demande croissante de virtualisation des postes de travail, y compris les clients légers, les applications en couches et d’autres scénarios VDI. Il n’a pas besoin de mises à jour et ne dépend pas des signatures ni d’autres exigences héritées des antivirus traditionnels. SentinelOne prend en charge nativement tous les scénarios VDI courants sans compromis sur les fonctionnalités ni la protection, notamment :
- Virtualisation des postes de travail : héberger un système d’exploitation de poste de travail dans une VM sur un serveur centralisé. Parmi les exemples de logiciels de virtualisation d’applications d’entreprise figurent Citrix XenDesktop, Microsoft App-V, VMware Horizon et Systancia AppliDis.
- Services Terminal : un composant de virtualisation de présentation et de calcul basé sur serveur permettant d’accéder aux applications et aux données sur un ordinateur distant via un réseau. Les exemples incluent Microsoft Windows RDP et Citrix XenApp.
- Desktop-as-a-Service : virtualisation de poste de travail à distance depuis le cloud SaaS. Parmi les exemples de Desktop as a Service d’entreprise figurent Horizon DaaS de VMware et WorkSpaces d’Amazon.
[1] Gartner, Tendances du marché : la demande de VDI augmente, mais tout le monde ne réussira pas, par Michael Warrilow et Nathan Hill, avril 2017, https://www.gartner.com/document/code/325320
SentinelOne prend en charge les fournisseurs virtuels suivants :
- VMware vSphere
- VMware Workstation
- VMware Fusion
- VMware Horizon
- Citrix XenApp
- Citrix XenDesktop
- Amazon WorkSpaces
- Microsoft Hyper-V
- Oracle VirtualBox
Réduire les risques liés à l'identité dans l'ensemble de votre organisation
Détecter et répondre aux attaques en temps réel grâce à des solutions globales pour Active Directory et Entra ID.
Obtenir une démonstrationConclusion
La sécurité du VDI associe la sécurité des endpoints, la segmentation réseau, le chiffrement des données et les contrôles d’accès. Il existe de nombreuses approches, mais les meilleures sont celles qui fonctionnent pour votre infrastructure. La sécurité du VDI présente de nombreux avantages, mais le plus important est la manière dont elle peut pérenniser votre organisation. SentinelOne peut rationaliser votre démarche de sécurité VDI et être un partenaire précieux à cet égard. Essayez-nous et découvrez comment nous pouvons aider votre organisation dès aujourd’hui.
FAQ sur la sécurité VDI
L’infrastructure de postes de travail virtuels (VDI) vous permet d’exécuter des environnements de bureau sur des serveurs distants au lieu de machines locales. Les utilisateurs se connectent via un réseau pour accéder à un bureau Windows ou Linux complet depuis n’importe où.
Le VDI centralise la gestion des postes de travail, de sorte que les correctifs de sécurité et les configurations résident sur le serveur. Vous interagissez toujours avec un espace de travail familier, mais les données ne quittent jamais le centre de données, ce qui réduit l’exposition sur les appareils endpoint.
La sécurité VDI est importante parce que les postes de travail s’exécutent sur des serveurs centralisés, ce qui en fait des cibles à forte valeur. Si des attaquants compromettent un hôte VDI, ils pourraient accéder à de nombreux environnements utilisateur à la fois. Une sécurité appropriée empêche la propagation des malwares entre les sessions et protège les données de l’entreprise contre la copie vers des endpoints non sécurisés.
De solides défenses VDI garantissent également la conformité aux politiques de traitement des données et protègent les travailleurs à distance, assurant ainsi la sécurité de l’ensemble de l’infrastructure.
Tout d’abord, appliquez l’authentification multifacteur pour chaque connexion à la passerelle VDI. Segmentez les réseaux afin que les interfaces de gestion ne soient pas exposées aux utilisateurs. Maintenez les hyperviseurs, les brokers de connexion et les images invitées à jour avec les correctifs. Appliquez les droits utilisateur de moindre privilège au sein des postes de travail virtuels.
Utilisez des agents de sécurité endpoint et surveillez l’activité des sessions pour détecter les anomalies. Sauvegardez régulièrement vos images critiques et testez les procédures de restauration afin d’assurer une récupération rapide lorsque cela est nécessaire.
Un réseau privé virtuel (VPN) crée un tunnel chiffré entre votre appareil et un réseau, étendant l’accès local mais laissant les données sur votre endpoint. Le VDI fournit l’ensemble du bureau depuis un serveur sécurisé sans stocker les données localement.
Le VPN protège le trafic ; le VDI protège l’emplacement des données. Avec un VPN, les endpoints exécutent toujours les applications ; avec le VDI, les applications s’exécutent sur le serveur, les isolant des appareils utilisateur potentiellement compromis.
Le VDI centralise l’exécution et le stockage, de sorte que les fichiers sensibles ne résident jamais sur les appareils des utilisateurs. Vous contrôlez les snapshots et les autorisations utilisateur au niveau du serveur, limitant les modifications non autorisées. Si un endpoint est infecté, la menace peut être contenue dans cette session.
Vous pouvez restaurer instantanément les images à un état antérieur pour éliminer les malwares. La journalisation centralisée offre une visibilité complète sur les actions des utilisateurs, vous aidant à détecter rapidement les événements de sécurité et à y répondre.
Les outils de sécurité pour les VDI comprennent des agents de détection et de réponse sur les terminaux (EDR) installés sur les postes de travail virtuels, des pare-feu de segmentation réseau et des plateformes de microsegmentation. Les solutions de gestion des identités et des accès (IAM) ajoutent des contrôles de connexion sécurisés.
Vous devrez également utiliser des courtiers de sécurité d’accès au cloud (CASB) pour les VDI hébergés dans le cloud, ainsi que des systèmes de détection d’intrusion (IDS). Des solutions de sauvegarde et de reprise après sinistre pour protéger vos images importantes. Les scanners de vulnérabilités peuvent également aider les appareils à rester corrigés.
Les risques incluent des serveurs broker mal configurés ou des ports de gestion exposés, que les attaquants peuvent exploiter. Des images de bureau obsolètes sans correctifs ouvrent des vulnérabilités. Des hyperviseurs partagés peuvent entraîner des exploits de type « noisy neighbor » si l’isolation échoue. Une authentification faible permet à des utilisateurs non autorisés d’entrer. Une surveillance inadéquate masque les mouvements latéraux.
Enfin, des tests de sauvegarde insuffisants signifient que vous ne pouvez pas récupérer rapidement après une compromission, prolongeant l’indisponibilité et la perte potentielle de données.
Commencez par des contrôles d’accès granulaires et appliquez une authentification forte à plusieurs facteurs. Segmentez les réseaux de gestion et les réseaux utilisateur. Automatisez l’application des correctifs des hyperviseurs et des images de bureau. Déployez l’EDR et une surveillance continue dans chaque poste de travail virtuel. Utilisez un stockage chiffré et des protocoles sécurisés pour tout le trafic.
Sauvegardez régulièrement et testez les golden images. Formez les utilisateurs aux risques de phishing et limitez l’accès local USB ou au presse-papiers pour empêcher les fuites de données.
