Sicurezza VDI: 6 fattori chiave da considerare

Negli ultimi anni, le implementazioni VDI (Virtual Desktop Infrastructure) sono diventate più diffuse che mai. La VDI non ha sostituito l'intero mercato dei desktop come alcuni prevedevano, ma sempre più aziende hanno adottato ambienti VDI grazie a diversi vantaggi operativi. Secondo Gartner, le grandi aziende adottano la VDI a ritmi sostenuti, e solo il 15% non prevede di investire in questa tecnologia.

Utilizzo della VDI (a livello mondiale, almeno 50 dipendenti IT a tempo pieno)

Tra le grandi aziende, alcuni settori si distinguono per l'adozione della VDI. Uno è quello sanitario, per la mobilità richiesta dalle attività cliniche e la dipendenza dalle cartelle cliniche elettroniche. Un altro è quello dei servizi finanziari, che utilizza attivamente la VDI da tempo.

Anche l'istruzione e il settore pubblico mostrano una domanda elevata. Le scuole devono adottare la VDI per i laboratori degli studenti, ma i costi restano il principale ostacolo a una maggiore diffusione nel settore dell'istruzione.

La necessità di proteggere la VDI

Negli ambienti VDI persistono i rischi comuni per i dati: ransomware, ingegneria sociale, download drive-by, intercettazione del traffico di rete, sfruttamento delle vulnerabilità, minacce interne, escalation dei privilegi e malware. Alcuni sostengono che la VDI sia più sicura, soprattutto perché le istanze possono essere terminate al termine dell'utilizzo. Ma la sicurezza complessiva dipende dall'anello più debole – e le implementazioni VDI tendono a esserlo per diversi motivi:

1. Applicazione delle patch i cicli richiedono l'aggiornamento dell'immagine master e quindi non sono rapidi.
2. Le implementazioni VDI puntano comunemente a consumare meno risorse possibile, perciò gli amministratori cercano di ridurre il software installato – a scapito della protezione.
3. Il fattore umano: gli utenti tendono a prestare meno attenzione alle implicazioni per la sicurezza quando usano la VDI, perché spesso il sistema non è di loro proprietà e lo utilizzano solo per una sessione temporanea. [perché?]

Approcci alla VDI

Nel mondo delle infrastrutture desktop virtuali, esistono due approcci di base: persistente e non persistente.

VDI persistente

La VDI persistente prevede una sessione virtuale, ma gli utenti hanno un desktop su cui possono salvare file, modificare la configurazione e personalizzarlo a piacimento. In background, ogni desktop viene eseguito a partire da un'immagine disco separata. Questi desktop offrono maggiore personalizzazione, ma richiedono più spazio di archiviazione e backup rispetto ai desktop non persistenti, descritti di seguito. Gli utenti che accedono ogni giorno preferiscono di gran lunga questo approccio, ma la VDI persistente riduce alcuni vantaggi della VDI, come il risparmio sui costi di archiviazione, la facilità di applicazione delle patch e la visibilità sugli asset.

VDI non persistente

Molti sostenitori della VDI ritengono che i desktop non persistenti siano la scelta migliore perché sono più facili da gestire rispetto alla VDI persistente. Nell'approccio non persistente, molti utenti condividono un'unica immagine disco. Quando un utente accede, riceve un clone del desktop master condiviso, che viene poi personalizzato su richiesta tramite la virtualizzazione delle applicazioni (Microsoft App-V, VMware ThinApp, ecc.) o dell'ambiente utente (AppSense, RES, ecc.).

Questo approccio offre molti vantaggi, come la possibilità di garantire il pieno successo di un programma di gestione delle patch. La mancanza di persistenza può però incidere sugli utenti, che non possono salvare file in locale o svolgere altre operazioni, come cambiare lo sfondo del desktop o installare nuove applicazioni.

Altre tendenze

In molti casi, le aziende scelgono una modalità ibrida: eseguono immagini non persistenti, ma riservano spazio di archiviazione dedicato ad alcune applicazioni.

Un'altra tendenza in crescita è il DaaS (Desktop-as-a-Service), in cui le sessioni risiedono nel cloud. Un fornitore terzo ospita quindi il backend dell'infrastruttura desktop virtuale. Cresce l'interesse dei grandi fornitori che offrono DaaS (Microsoft Azure, Amazon WorkSpace). Tra gli approcci tradizionali alla VDI on-premise figurano Citrix con i prodotti XenDesktop/XenApp e VMware con la linea di prodotti HorizonView.

Indipendentemente dall'implementazione scelta, occorre considerare i seguenti elementi:

6 fattori chiave da considerare per la sicurezza VDI

Per soddisfare le esigenze di sicurezza, gestibilità e prestazioni, il software di sicurezza deve rispondere ai seguenti requisiti prima dell'implementazione della VDI:

1. Non accontentatevi di una protezione basata sugli aggiornamenti

Come accennato, alcuni scenari VDI, come quelli “non persistenti”, terminano ogni singola sessione e ripartono sempre dall'immagine di base. I prodotti che dipendono dagli aggiornamenti creano una “tempesta AV” ogni volta che gli utenti accedono, perché richiedono un aggiornamento. I prodotti che dipendono dagli aggiornamenti per la sicurezza devono affrontare la sfida di sessioni che ripartono continuamente da zero e che poi devono essere aggiornate. Quando una sessione termina, questo circolo vizioso si ripete, consumando larghezza di banda e risorse e incidendo sulla produttività. Per questi motivi, distribuire prodotti di sicurezza negli ambienti VDI è sempre stato piuttosto complicato.  

2. Esigete una gestione semplice ed evitate le voci duplicate

La facilità di gestione è un altro fattore critico. Negli ambienti VDI, non è possibile garantire o standardizzare le convenzioni di denominazione dei dispositivi. La maggior parte dei fornitori VDI consente di impostare convenzioni di denominazione, ma spesso i nomi si ripetono nelle nuove sessioni. Di conseguenza, i prodotti AV, che si basano sui nomi dei dispositivi per identificare gli utenti e i parametri della console, riscontrano conflitti che comportano un carico operativo inutile e ripercussioni sugli utenti finali. Un altro criterio importante è la capacità di dismettere automaticamente le sessioni. Un prodotto AV che gestisce gli ambienti VDI senza rimuovere le sessioni chiuse genera numerosi “dispositivi fantasma”, distorcendo la visione operativa e impedendo una gestione efficace delle risorse su larga scala.

3. Eseguite scansioni dell'immagine di base

Quando implementate un ambiente VDI, l'ultima cosa che volete è incorporare malware in ogni istanza. Se non verificate che l'immagine master sia priva di problemi, correte un rischio considerevole. I prodotti che si limitano a rilevare il malware depositato sul disco o a controllare solo l'esecuzione dei file non sono sufficienti per questa superficie di attacco e lasciano vulnerabile il vostro ambiente VDI.

4. Esigete protezione e funzionalità equivalenti

Alcuni fornitori offrono agenti dedicati alla VDI, ma con funzionalità limitate. Questo lascia gli ambienti VDI esposti agli attacchi.  A parte la comodità per il vostro fornitore di antivirus, non c'è motivo di accettare una protezione VDI ridotta. Cercate fornitori che non scendano a compromessi e offrano funzionalità complete di protezione, visibilità e risposta. Anche sugli endpoint VDI gli analisti SOC devono poter svolgere la ricerca delle minacce, perché se viene individuata un'attività sospetta, dovete risalire alla sua origine per ricostruire il vero percorso dell'infezione.

5. Calcolate i costi effettivi

Esistono due modelli di licenza comuni:  

1. Modello di licenza per utenti simultanei (pagate in base all'utilizzo) – Pagate in base al numero massimo di utenti attivi contemporaneamente. Questo modello riduce il costo del software perché il numero massimo di utenti che si prevede lo utilizzino nello stesso momento (tutti connessi contemporaneamente) rappresenta solo una parte degli utenti totali dell'azienda. Per esempio, per 5,000 utenti che lavorano su 2 turni servono solo 2,500 licenze.
2. Modello di licenza per postazione (pagate per ogni utente) – Ogni postazione consuma una licenza – in base al numero di singoli utenti che hanno accesso all'infrastruttura VDI. Per esempio, una licenza per 5,000 utenti consente l'accesso al software a un massimo di 5,000 utenti nominativi.

Scegliete un modello di licenza per utenti simultanei per ridurre i costi.

6. Valutate l'impatto sulle prestazioni

Uno dei vantaggi della VDI è la riduzione dei costi hardware e operativi. Se scegliete un prodotto antivirus che richiede la stessa allocazione di risorse di un dispositivo fisico, perdete uno dei principali vantaggi della VDI. Un altro fattore che incide sulle prestazioni della VDI è il numero di applicazioni da installare nell'immagine di base. Scegliete prodotti di protezione degli endpoint leggeri ed efficaci, così da non compromettere la potenza di elaborazione e l'esperienza o la produttività degli utenti per eseguire l'antivirus. Evitate i prodotti con più agenti, che consumano più risorse.

Perché scegliere SentinelOne

L'agente autonomo SentinelOne soddisfa e supera tutti i criteri indicati.  Protegge in modo efficiente gli ambienti di virtualizzazione dei desktop, la cui domanda è in crescita, inclusi thin client, applicazioni a livelli e altri scenari VDI. Non richiede aggiornamenti e non dipende dalle firme o da altri requisiti degli antivirus tradizionali. SentinelOne supporta nativamente tutti gli scenari VDI più comuni senza compromettere funzionalità o protezione, tra cui:

1. Virtualizzazione dei desktop:  ospita il sistema operativo di un desktop in una VM su un server centralizzato. Tra gli esempi di software aziendale per la virtualizzazione delle applicazioni figurano Citrix XenDesktop, Microsoft App-V, VMware Horizon e Systancia AppliDis.
2. Servizi terminal:  un componente di elaborazione basata su server e virtualizzazione della presentazione per accedere tramite rete ad applicazioni e dati su un computer remoto. Tra gli esempi figurano  Microsoft Windows RDP e Citrix XenApp.
3. Desktop-as-a-Service:  virtualizzazione dei desktop remoti tramite il cloud computing SaaS. Tra gli esempi di Desktop-as-a-Service aziendale figurano VMware Horizon DaaS e Amazon WorkSpaces.

^[1] Gartner, Market Trends: VDI Demand Is Growing, but Not Everyone Will Be Successful, di Michael Warrilow e Nathan Hill, aprile 2017, https://www.gartner.com/document/code/325320

SentinelOne supporta i seguenti provider di virtualizzazione:

• VMware vSphere
• VMware Workstation
• VMware Fusion
• VMware Horizon
• Citrix XenApp
• Citrix XenDesktop
• Amazon WorkSpaces
• Microsoft Hyper-V
• Oracle VirtualBox

Conclusione

La sicurezza VDI unisce la sicurezza degli endpoint, la segmentazione della rete, la crittografia dei dati e i controlli degli accessi. Esistono molti approcci, ma i migliori sono quelli adatti alla vostra infrastruttura. La sicurezza VDI offre numerosi vantaggi, soprattutto la possibilità di preparare la vostra organizzazione al futuro. SentinelOne può semplificare il vostro percorso verso la sicurezza VDI e affiancarvi in questo processo. Metteteci alla prova e scoprite come possiamo supportare la vostra organizzazione già oggi.