Negli ultimi anni, le implementazioni VDI (Virtual Desktop Infrastructure) sono diventate più comuni che mai. La VDI non ha sostituito l’intero mercato desktop come alcuni avevano previsto, ma sempre più aziende hanno adottato ambienti VDI grazie a una varietà di vantaggi operativi. Secondo Gartner, le grandi aziende stanno adottando la VDI a ritmi elevati, con solo il 15% che non prevede di investire nella tecnologia VDI.
Utilizzo della VDI (a livello mondiale, minimo 50 FTE IT)
Diversi settori verticali si distinguono per quanto riguarda l’adozione della VDI tra le grandi aziende. Il settore sanitario, per via della natura mobile delle attività cliniche e della dipendenza dalle cartelle cliniche elettroniche, è uno di questi. Un altro esempio è il settore dei servizi finanziari, che ha una storia di utilizzo attivo della VDI.
Anche il settore dell’istruzione e quello pubblico stanno mostrando una domanda elevata. Le scuole devono risolvere la VDI per i laboratori degli studenti, ma il principale ostacolo a una maggiore adozione della VDI nell’istruzione resta il costo.
La necessità di proteggere la VDI
I rischi comuni che impattano i dati continuano a prevalere negli ambienti VDI: ransomware, social engineering, drive-by download, sniffing di rete, exploit di vulnerabilità, minacce interne, escalation dei privilegi e malware. Alcuni sostengono che la VDI sia un’opzione più sicura, principalmente perché è possibile terminare le istanze VDI una volta terminato il lavoro, ma lo stato di sicurezza complessivo è forte quanto il suo anello più debole – e le implementazioni VDI tendono a esserlo esattamente per diversi motivi:
- I cicli di patching richiedono l’aggiornamento dell’immagine golden e pertanto non sono rapidi.
- Le implementazioni VDI cercano comunemente di consumare il minor numero possibile di risorse, quindi gli amministratori cercano di ridurre la quantità di software distribuito, a scapito della protezione.
- Il fattore umano: gli utenti tendono a essere meno consapevoli delle implicazioni di sicurezza quando operano su VDI perché spesso non possiedono il sistema e lo utilizzano per una sessione temporanea. [perché?]
Approcci alla VDI
Nel mondo dell’infrastruttura desktop virtuale, esistono due approcci di base: persistente e non persistente.
VDI persistente
La VDI persistente indica una sessione virtuale, ma gli utenti dispongono di un desktop in cui possono salvare file, modificare la configurazione e personalizzare a piacimento. In background, ogni desktop viene eseguito da un’immagine disco separata. Questi tipi di desktop consentono la personalizzazione, ma richiedono più storage e backup rispetto ai desktop non persistenti, descritti di seguito. Gli utenti che effettuano l’accesso quotidianamente preferiscono di gran lunga questo approccio, ma esso riduce alcuni dei vantaggi della VDI, come il risparmio sui costi di storage, la facilità di patching e la visibilità sugli asset.
VDI non persistente
Molti sostenitori della VDI affermano che i desktop non persistenti siano la strada da seguire perché sono più facili da gestire rispetto alla VDI persistente. Con il modello non persistente, una singola immagine disco viene condivisa tra molti utenti. Quando ciascun utente effettua l’accesso, riceve un clone del desktop master condiviso e poi quel clone viene personalizzato on-demand con la virtualizzazione delle applicazioni (Microsoft App-V, VMware ThinApp, ecc.) o con la virtualizzazione dell’ambiente utente (AppSense, RES, ecc).
Questo approccio offre molti vantaggi, come garantire il 100% di successo con un programma di patch management, ma la mancanza di persistenza può anche influire sugli utenti, poiché non possono salvare file localmente o fare altre cose, come cambiare lo sfondo del desktop o installare nuove applicazioni.
Altre tendenze
In molti casi, le aziende scelgono una modalità ibrida: eseguire immagini non persistenti ma consentire storage dedicato per diverse applicazioni.
Un’altra tendenza in crescita è il DaaS (Desktop-as-a-Service), in cui le sessioni risiedono nel cloud. Una terza parte ospita quindi il backend dell’infrastruttura desktop virtuale di una distribuzione. Si osserva un crescente interesse da parte di grandi vendor che offrono DaaS (Microsoft Azure, Amazon WorkSpace). Altri approcci tradizionali di VDI on-premise includono Citrix con i suoi prodotti XenDesktop/XenApp e VMware con la sua linea di prodotti HorizonView view.
Indipendentemente dall’implementazione scelta, devono essere coperti i seguenti elementi:
6 fattori chiave da considerare per la sicurezza VDI
Per soddisfare le esigenze di sicurezza, gestibilità e prestazioni, il software di sicurezza deve rispettare i seguenti parametri di riferimento prima della distribuzione VDI:
1. Non accontentarti di fare affidamento sugli aggiornamenti
Come accennato, alcuni scenari VDI come quelli “non persistenti” terminano ogni singola sessione e ripartono sempre dall’immagine di base. I prodotti che si basano sugli aggiornamenti creeranno una “tempesta AV” ogni volta che gli utenti effettuano l’accesso perché impongono un aggiornamento. I prodotti che si basano sugli aggiornamenti per la sicurezza devono superare la sfida delle nuove sessioni che si avviano continuamente e poi tentano di aggiornarle. Una volta terminata una sessione, questo circolo vizioso si ripete, consumando larghezza di banda, risorse e incidendo sulla produttività. Per questi motivi, la distribuzione di prodotti di sicurezza è stata tradizionalmente piuttosto dolorosa negli ambienti VDI.
2. Richiedi facilità di gestione ed evita voci duplicate
La facilità di gestione è un altro fattore critico. Negli ambienti VDI, non è possibile garantire o standardizzare le convenzioni di denominazione dei dispositivi. La maggior parte dei vendor VDI consente di impostare convenzioni di denominazione, ma i nomi spesso si ripetono con le nuove sessioni. Di conseguenza, i prodotti AV, che si basano sui nomi dei dispositivi per identificare utenti e parametri della console, riscontrano collisioni che causano sia un inutile carico operativo sia un impatto sugli utenti finali. Un altro criterio importante è la capacità di decommissioning automatizzato. Un prodotto AV che gestisce la VDI senza ritirare le sessioni chiuse porta a numerosi “dispositivi fantasma”, restituendo una vista operativa distorta e l’impossibilità di gestire efficacemente gli asset su larga scala.
3. Sono necessarie scansioni dell’immagine di base
L’ultima cosa desiderabile quando si distribuisce una configurazione VDI è incorporare malware in ogni istanza. Se non ti assicuri che l’immagine golden sia impeccabile, stai assumendo un rischio considerevole. I prodotti che si basano esclusivamente sul “vedere” il malware scritto sul disco o semplicemente sul controllo della sola esecuzione dei file non sono sufficienti per questa superficie di attacco, lasciando vulnerabile il tuo ambiente VDI.
4. Richiedi protezione e funzionalità equivalenti
Alcuni vendor offrono agent dedicati per la VDI, sebbene con funzionalità limitate. Questo lascia gli ambienti VDI come una superficie di attacco esposta. A parte la comodità per il tuo vendor AV, non c’è motivo di avere una copertura VDI limitata. Cerca vendor che non scendano a compromessi e siano in grado di offrire protezione completa, visibilità e capacità di risposta. Gli endpoint VDI dovrebbero anche essere superfici su cui gli analisti SOC possano fare threat hunting, perché se viene identificata un’attività sospetta, è necessario risalire alla radice dell’attività sospetta per trovare il reale percorso dell’infezione.
5. Calcola i costi reali
Esistono due modelli di licenza comuni:
- Modello di licenza concorrente (pay as you go) – Paghi per il numero massimo di utenti che operano in parallelo. La licenza per utenti concorrenti consente di acquistare software a un costo inferiore perché il numero massimo di utenti concorrenti che si prevede utilizzeranno il software in un dato momento (quegli utenti tutti connessi insieme) rappresenta solo una parte del totale degli utenti del sistema impiegati in un’azienda. Ad esempio, per 5.000 utenti che lavorano su 2 turni, sono necessarie solo 2.500 licenze.
- Modello di licenza per postazione (pagamento per ciascun utente) – Ogni postazione consuma una licenza, in base al numero di singoli utenti che hanno accesso all’infrastruttura VDI. Ad esempio, una licenza per 5.000 utenti significherebbe che fino a 5.000 utenti nominativamente identificati possono accedere al software.
Naturalmente, cerca un modello di licenza concorrente poiché ridurrà i costi.
6. L’impatto sulle prestazioni conta
Un vantaggio della VDI è la riduzione dei costi hardware e operativi. Se ti ritrovi con una soluzione AV che richiede l’allocazione di risorse come se si trattasse di un dispositivo fisico, perdi un valore fondamentale dell’utilizzo della VDI. Un altro aspetto che influenzerà le prestazioni della VDI è il numero di applicazioni che devi installare sull’immagine di base. Scegli soluzioni di protezione degli endpoint leggere e robuste in modo che la potenza di calcolo e l’esperienza/produttività dell’utente finale non vengano compromesse per eseguire l’AV. Evita soluzioni con più agent, poiché ciò significa un maggiore consumo di risorse.
Perché scegliere SentinelOne
L’agent autonomo SentinelOne soddisfa e supera tutti i criteri sopra indicati. È una soluzione efficiente per proteggere la crescente domanda di virtualizzazione desktop, inclusi thin client, app layered e altri scenari VDI. Non necessita di aggiornamenti e non dipende da firme o da altri requisiti legacy degli antivirus. SentinelOne supporta nativamente tutti i comuni scenari VDI senza compromettere funzionalità o protezione, inclusi:
- Virtualizzazione desktop: ospita un sistema operativo desktop in una VM su un server centralizzato. Esempi di software aziendale per la virtualizzazione delle applicazioni includono Citrix XenDesktop, Microsoft App-V, VMware Horizon e Systancia AppliDis.
- Terminal Services: un componente di elaborazione basata su server e virtualizzazione della presentazione per accedere ad applicazioni e dati su un computer remoto tramite rete. Gli esempi includono Microsoft Windows RDP e Citrix XenApp.
- Desktop-as-a-Service: virtualizzazione desktop remota dal cloud computing SaaS. Esempi di Desktop as a Service aziendale sono Horizon DaaS di VMware e WorkSpaces di Amazon.
[1] Gartner, Tendenze di mercato: la domanda di VDI è in crescita, ma non tutti avranno successo, di Michael Warrilow e Nathan Hill, aprile 2017, https://www.gartner.com/document/code/325320
SentinelOne supporta i seguenti provider virtuali:
- VMware vSphere
- VMware Workstation
- VMware Fusion
- VMware Horizon
- Citrix XenApp
- Citrix XenDesktop
- Amazon WorkSpaces
- Microsoft Hyper-V
- Oracle VirtualBox
Ridurre il rischio di identità in tutta l'organizzazione
Rilevate e rispondete agli attacchi in tempo reale con soluzioni olistiche per Active Directory ed Entra ID.
Richiedi una demoConclusione
La sicurezza VDI integra la sicurezza degli endpoint, segmentazione di rete, crittografia dei dati e controlli di accesso. Esistono molti approcci, ma i migliori sono quelli che funzionano per la tua infrastruttura. La sicurezza VDI offre molti vantaggi, ma il più importante è la possibilità di rendere la tua organizzazione pronta per il futuro. SentinelOne può semplificare il tuo percorso di sicurezza VDI ed essere un partner prezioso in questo ambito. Provalo e scopri come possiamo aiutare la tua organizzazione oggi.
FAQ sulla sicurezza VDI
Virtual Desktop Infrastructure (VDI) consente di eseguire ambienti desktop su server remoti invece che su macchine locali. Gli utenti si connettono tramite una rete per accedere a un desktop Windows o Linux completo da qualsiasi luogo.
VDI centralizza la gestione dei desktop, quindi patch di sicurezza e configurazioni risiedono sul server. Continui a interagire con un ambiente di lavoro familiare, ma i dati non lasciano mai il data center, riducendo l'esposizione sui dispositivi endpoint.
La sicurezza VDI è importante perché i desktop vengono eseguiti su server centralizzati, rendendoli obiettivi di alto valore. Se gli attaccanti violano un host VDI, potrebbero accedere contemporaneamente a molti ambienti utente. Una sicurezza adeguata impedisce la diffusione del malware tra le sessioni e protegge i dati aziendali dalla copia su endpoint non protetti.
Solide difese VDI garantiscono inoltre la conformità alle policy di gestione dei dati e proteggono i lavoratori remoti, mantenendo sicura l'intera infrastruttura.
Innanzitutto, applica l'autenticazione a più fattori per ogni connessione al gateway VDI. Segmenta le reti in modo che le interfacce di gestione non siano esposte agli utenti. Mantieni hypervisor, connection broker e immagini guest aggiornati con le patch. Applica diritti utente con privilegio minimo all'interno dei desktop virtuali.
Usa agent di sicurezza endpoint e monitora l'attività delle sessioni per rilevare anomalie. Esegui regolarmente il backup delle immagini critiche e testa le procedure di ripristino per garantire un recupero rapido quando necessario.
Una Virtual Private Network (VPN) crea un tunnel crittografato tra il tuo dispositivo e una rete, estendendo l'accesso locale ma lasciando i dati sul tuo endpoint. VDI fornisce l'intero desktop da un server sicuro senza archiviare i dati localmente.
La VPN protegge il traffico; VDI protegge la posizione dei dati. Con la VPN, gli endpoint eseguono comunque le applicazioni; con VDI, le app vengono eseguite sul server, isolandole da dispositivi utente potenzialmente compromessi.
VDI centralizza esecuzione e archiviazione, quindi i file sensibili non risiedono mai sui dispositivi degli utenti. Puoi controllare snapshot e autorizzazioni utente a livello di server, limitando le modifiche non autorizzate. Se un endpoint viene infettato, la minaccia può essere contenuta all'interno di quella sessione.
Puoi ripristinare immediatamente le immagini per eliminare il malware. Il logging centralizzato offre visibilità completa sulle azioni degli utenti, aiutandoti a rilevare e rispondere rapidamente agli eventi di sicurezza.
Gli strumenti di sicurezza per VDI includono agenti di endpoint detection and response (EDR) installati sui desktop virtuali, firewall di segmentazione della rete e piattaforme di micro-segmentazione. Le soluzioni di identity and access management (IAM) aggiungono controlli di accesso sicuro.
Sarà inoltre necessario utilizzare cloud access security broker (CASB) per i VDI ospitati nel cloud, oltre ai sistemi di rilevamento delle intrusioni (IDS). Soluzioni di backup e disaster recovery per proteggere le immagini importanti. Gli scanner di vulnerabilità possono anche aiutare i dispositivi a rimanere aggiornati con le patch.
I rischi includono broker server configurati in modo errato o porte di gestione esposte, che gli attaccanti possono sfruttare. Immagini desktop obsolete senza patch aprono vulnerabilità. Hypervisor condivisi possono portare a exploit di “noisy neighbor” se l'isolamento fallisce. Un'autenticazione debole consente l'accesso a utenti non autorizzati. Un monitoraggio inadeguato nasconde i movimenti laterali.
Infine, test insufficienti dei backup significano che non puoi recuperare rapidamente dopo una violazione, prolungando il downtime e la potenziale perdita di dati.
Inizia con controlli di accesso granulari e applica un'autenticazione forte a più fattori. Segmenta le reti di gestione e quelle utente. Automatizza l'applicazione delle patch per hypervisor e immagini desktop. Distribuisci EDR e monitoraggio continuo all'interno di ogni desktop virtuale. Usa archiviazione crittografata e protocolli sicuri per tutto il traffico.
Esegui regolarmente il backup e testa le golden image. Forma gli utenti sui rischi di phishing e limita l'accesso locale a USB o appunti per impedire la fuoriuscita di dati.
