Sicurezza VDI: 6 fattori chiave da considerare

Negli ultimi anni, le implementazioni VDI (Virtual Desktop Infrastructure) sono diventate più comuni che mai. La VDI non ha sostituito l’intero mercato desktop come alcuni avevano previsto, ma sempre più aziende hanno adottato ambienti VDI grazie a una varietà di vantaggi operativi. Secondo Gartner, le grandi aziende stanno adottando la VDI a ritmi elevati, con solo il 15% che non prevede di investire nella tecnologia VDI.

Utilizzo della VDI (a livello mondiale, minimo 50 FTE IT)

Diversi settori verticali si distinguono per quanto riguarda l’adozione della VDI tra le grandi aziende. Il settore sanitario, per via della natura mobile delle attività cliniche e della dipendenza dalle cartelle cliniche elettroniche, è uno di questi. Un altro esempio è il settore dei servizi finanziari, che ha una storia di utilizzo attivo della VDI.

Anche il settore dell’istruzione e quello pubblico stanno mostrando una domanda elevata. Le scuole devono risolvere la VDI per i laboratori degli studenti, ma il principale ostacolo a una maggiore adozione della VDI nell’istruzione resta il costo.

La necessità di proteggere la VDI

I rischi comuni che impattano i dati continuano a prevalere negli ambienti VDI: ransomware, social engineering, drive-by download, sniffing di rete, exploit di vulnerabilità, minacce interne, escalation dei privilegi e malware. Alcuni sostengono che la VDI sia un’opzione più sicura, principalmente perché è possibile terminare le istanze VDI una volta terminato il lavoro, ma lo stato di sicurezza complessivo è forte quanto il suo anello più debole – e le implementazioni VDI tendono a esserlo esattamente per diversi motivi:

1. I cicli di patching richiedono l’aggiornamento dell’immagine golden e pertanto non sono rapidi.
2. Le implementazioni VDI cercano comunemente di consumare il minor numero possibile di risorse, quindi gli amministratori cercano di ridurre la quantità di software distribuito, a scapito della protezione.
3. Il fattore umano: gli utenti tendono a essere meno consapevoli delle implicazioni di sicurezza quando operano su VDI perché spesso non possiedono il sistema e lo utilizzano per una sessione temporanea. [perché?]

Approcci alla VDI

Nel mondo dell’infrastruttura desktop virtuale, esistono due approcci di base: persistente e non persistente.

VDI persistente

La VDI persistente indica una sessione virtuale, ma gli utenti dispongono di un desktop in cui possono salvare file, modificare la configurazione e personalizzare a piacimento. In background, ogni desktop viene eseguito da un’immagine disco separata. Questi tipi di desktop consentono la personalizzazione, ma richiedono più storage e backup rispetto ai desktop non persistenti, descritti di seguito. Gli utenti che effettuano l’accesso quotidianamente preferiscono di gran lunga questo approccio, ma esso riduce alcuni dei vantaggi della VDI, come il risparmio sui costi di storage, la facilità di patching e la visibilità sugli asset.

VDI non persistente

Molti sostenitori della VDI affermano che i desktop non persistenti siano la strada da seguire perché sono più facili da gestire rispetto alla VDI persistente. Con il modello non persistente, una singola immagine disco viene condivisa tra molti utenti. Quando ciascun utente effettua l’accesso, riceve un clone del desktop master condiviso e poi quel clone viene personalizzato on-demand con la virtualizzazione delle applicazioni (Microsoft App-V, VMware ThinApp, ecc.) o con la virtualizzazione dell’ambiente utente (AppSense, RES, ecc).

Questo approccio offre molti vantaggi, come garantire il 100% di successo con un programma di patch management, ma la mancanza di persistenza può anche influire sugli utenti, poiché non possono salvare file localmente o fare altre cose, come cambiare lo sfondo del desktop o installare nuove applicazioni.

Altre tendenze

In molti casi, le aziende scelgono una modalità ibrida: eseguire immagini non persistenti ma consentire storage dedicato per diverse applicazioni.

Un’altra tendenza in crescita è il DaaS (Desktop-as-a-Service), in cui le sessioni risiedono nel cloud. Una terza parte ospita quindi il backend dell’infrastruttura desktop virtuale di una distribuzione. Si osserva un crescente interesse da parte di grandi vendor che offrono DaaS (Microsoft Azure, Amazon WorkSpace). Altri approcci tradizionali di VDI on-premise includono Citrix con i suoi prodotti XenDesktop/XenApp e VMware con la sua linea di prodotti HorizonView view.

Indipendentemente dall’implementazione scelta, devono essere coperti i seguenti elementi:

6 fattori chiave da considerare per la sicurezza VDI

Per soddisfare le esigenze di sicurezza, gestibilità e prestazioni, il software di sicurezza deve rispettare i seguenti parametri di riferimento prima della distribuzione VDI:

1. Non accontentarti di fare affidamento sugli aggiornamenti

Come accennato, alcuni scenari VDI come quelli “non persistenti” terminano ogni singola sessione e ripartono sempre dall’immagine di base. I prodotti che si basano sugli aggiornamenti creeranno una “tempesta AV” ogni volta che gli utenti effettuano l’accesso perché impongono un aggiornamento. I prodotti che si basano sugli aggiornamenti per la sicurezza devono superare la sfida delle nuove sessioni che si avviano continuamente e poi tentano di aggiornarle. Una volta terminata una sessione, questo circolo vizioso si ripete, consumando larghezza di banda, risorse e incidendo sulla produttività. Per questi motivi, la distribuzione di prodotti di sicurezza è stata tradizionalmente piuttosto dolorosa negli ambienti VDI.  

2. Richiedi facilità di gestione ed evita voci duplicate

La facilità di gestione è un altro fattore critico. Negli ambienti VDI, non è possibile garantire o standardizzare le convenzioni di denominazione dei dispositivi. La maggior parte dei vendor VDI consente di impostare convenzioni di denominazione, ma i nomi spesso si ripetono con le nuove sessioni. Di conseguenza, i prodotti AV, che si basano sui nomi dei dispositivi per identificare utenti e parametri della console, riscontrano collisioni che causano sia un inutile carico operativo sia un impatto sugli utenti finali. Un altro criterio importante è la capacità di decommissioning automatizzato. Un prodotto AV che gestisce la VDI senza ritirare le sessioni chiuse porta a numerosi “dispositivi fantasma”, restituendo una vista operativa distorta e l’impossibilità di gestire efficacemente gli asset su larga scala.

3. Sono necessarie scansioni dell’immagine di base

L’ultima cosa desiderabile quando si distribuisce una configurazione VDI è incorporare malware in ogni istanza. Se non ti assicuri che l’immagine golden sia impeccabile, stai assumendo un rischio considerevole. I prodotti che si basano esclusivamente sul “vedere” il malware scritto sul disco o semplicemente sul controllo della sola esecuzione dei file non sono sufficienti per questa superficie di attacco, lasciando vulnerabile il tuo ambiente VDI.

4. Richiedi protezione e funzionalità equivalenti

Alcuni vendor offrono agent dedicati per la VDI, sebbene con funzionalità limitate. Questo lascia gli ambienti VDI come una superficie di attacco esposta.  A parte la comodità per il tuo vendor AV, non c’è motivo di avere una copertura VDI limitata. Cerca vendor che non scendano a compromessi e siano in grado di offrire protezione completa, visibilità e capacità di risposta. Gli endpoint VDI dovrebbero anche essere superfici su cui gli analisti SOC possano fare threat hunting, perché se viene identificata un’attività sospetta, è necessario risalire alla radice dell’attività sospetta per trovare il reale percorso dell’infezione.

5. Calcola i costi reali

Esistono due modelli di licenza comuni:  

1. Modello di licenza concorrente (pay as you go) – Paghi per il numero massimo di utenti che operano in parallelo. La licenza per utenti concorrenti consente di acquistare software a un costo inferiore perché il numero massimo di utenti concorrenti che si prevede utilizzeranno il software in un dato momento (quegli utenti tutti connessi insieme) rappresenta solo una parte del totale degli utenti del sistema impiegati in un’azienda. Ad esempio, per 5.000 utenti che lavorano su 2 turni, sono necessarie solo 2.500 licenze.
2. Modello di licenza per postazione (pagamento per ciascun utente) – Ogni postazione consuma una licenza, in base al numero di singoli utenti che hanno accesso all’infrastruttura VDI. Ad esempio, una licenza per 5.000 utenti significherebbe che fino a 5.000 utenti nominativamente identificati possono accedere al software.

Naturalmente, cerca un modello di licenza concorrente poiché ridurrà i costi.

6. L’impatto sulle prestazioni conta

Un vantaggio della VDI è la riduzione dei costi hardware e operativi. Se ti ritrovi con una soluzione AV che richiede l’allocazione di risorse come se si trattasse di un dispositivo fisico, perdi un valore fondamentale dell’utilizzo della VDI. Un altro aspetto che influenzerà le prestazioni della VDI è il numero di applicazioni che devi installare sull’immagine di base. Scegli soluzioni di protezione degli endpoint leggere e robuste in modo che la potenza di calcolo e l’esperienza/produttività dell’utente finale non vengano compromesse per eseguire l’AV. Evita soluzioni con più agent, poiché ciò significa un maggiore consumo di risorse.

Perché scegliere SentinelOne

L’agent autonomo SentinelOne soddisfa e supera tutti i criteri sopra indicati.  È una soluzione efficiente per proteggere la crescente domanda di virtualizzazione desktop, inclusi thin client, app layered e altri scenari VDI. Non necessita di aggiornamenti e non dipende da firme o da altri requisiti legacy degli antivirus. SentinelOne supporta nativamente tutti i comuni scenari VDI senza compromettere funzionalità o protezione, inclusi:

1. Virtualizzazione desktop:  ospita un sistema operativo desktop in una VM su un server centralizzato. Esempi di software aziendale per la virtualizzazione delle applicazioni includono Citrix XenDesktop, Microsoft App-V, VMware Horizon e Systancia AppliDis.
2. Terminal Services:  un componente di elaborazione basata su server e virtualizzazione della presentazione per accedere ad applicazioni e dati su un computer remoto tramite rete. Gli esempi includono  Microsoft Windows RDP e Citrix XenApp.
3. Desktop-as-a-Service:  virtualizzazione desktop remota dal cloud computing SaaS. Esempi di Desktop as a Service aziendale sono Horizon DaaS di VMware e WorkSpaces di Amazon.

^[1] Gartner, Tendenze di mercato: la domanda di VDI è in crescita, ma non tutti avranno successo, di Michael Warrilow e Nathan Hill, aprile 2017, https://www.gartner.com/document/code/325320

SentinelOne supporta i seguenti provider virtuali:

• VMware vSphere
• VMware Workstation
• VMware Fusion
• VMware Horizon
• Citrix XenApp
• Citrix XenDesktop
• Amazon WorkSpaces
• Microsoft Hyper-V
• Oracle VirtualBox

Conclusione

La sicurezza VDI integra la sicurezza degli endpoint, segmentazione di rete, crittografia dei dati e controlli di accesso. Esistono molti approcci, ma i migliori sono quelli che funzionano per la tua infrastruttura. La sicurezza VDI offre molti vantaggi, ma il più importante è la possibilità di rendere la tua organizzazione pronta per il futuro. SentinelOne può semplificare il tuo percorso di sicurezza VDI ed essere un partner prezioso in questo ambito. Provalo e scopri come possiamo aiutare la tua organizzazione oggi.