VDI 安全性：6 個需要考量的關鍵因素

近年來，VDI（虛擬桌面基礎架構）的部署比以往更加普遍。雖然 VDI 並未如部分人預測般取代整個桌面市場，但由於具備多種營運優勢，越來越多企業已採用 VDI 環境。根據 Gartner, 大型企業正以高比例採用 VDI，僅有 15% 未規劃投資 VDI 技術。

VDI 使用情況（全球，至少 50 名 IT 全職員工）

在大型企業中，有幾個垂直產業在 VDI 採用方面特別突出。其中之一是醫療保健產業，原因在於臨床工作具備行動特性，且高度依賴電子病歷。另一個例子是金融服務業，該產業長期以來一直積極使用 VDI。

教育與公共部門也呈現高度需求。學校需要為學生實驗室導入 VDI，但教育領域進一步擴大採用 VDI 的主要障礙仍然是成本。

保護 VDI 的必要性

影響資料的常見風險在 VDI 環境中依然存在：勒索軟體、社交工程、驅動式下載、網路封包嗅探、漏洞利用、內部威脅、權限提升，以及惡意軟體。有些人會主張 VDI 是較安全的選項，主要因為使用完畢後可終止 VDI 執行個體，但整體安全狀態取決於最弱的一環，而 VDI 部署往往正是如此，原因有數個：

1. 修補週期需要更新 golden image，因此無法快速完成。
2. VDI 部署通常會盡可能降低資源消耗，因此管理員會嘗試減少部署的軟體數量——這往往是以犧牲防護為代價。
3. 人為因素：使用者在使用 VDI 時，往往較不注意安全影響，因為他們通常不擁有該系統，且僅將其用於暫時性工作階段。[why?]

VDI 方法

在虛擬桌面基礎架構的世界中，有兩種基本方法：持久型與非持久型。

持久型 VDI

持久型 VDI 指的是虛擬工作階段，但使用者擁有一個桌面，可在其中儲存檔案、變更設定，並依需求自訂。在背景中，每個桌面都從獨立的磁碟映像執行。這類桌面允許個人化，但相較於下文所述的非持久型桌面，需要更多儲存空間與備份。每天登入的使用者通常更偏好這種方式，但它也會降低 VDI 的部分優勢，例如節省儲存成本、簡化修補，以及提升資產可視性。

非持久型 VDI

許多 VDI 擁護者認為，非持久型桌面才是較佳選擇，因為它們比持久型 VDI 更容易管理。在非持久型模式中，單一磁碟映像會由多位使用者共用。每位使用者登入時，都會取得共用主桌面的複本，接著再透過應用程式虛擬化（Microsoft App-V、VMware ThinApp 等）或使用者環境虛擬化（AppSense、RES 等）依需求進行自訂。

這種方法有許多優點，例如可確保修補程式管理計畫達到 100% 成功率，但缺乏持久性也可能影響使用者，因為他們無法在本機儲存檔案，或進行其他操作，例如變更桌面背景或安裝新應用程式。

其他趨勢

在許多情況下，企業會選擇混合模式：執行非持久型映像，但允許數個應用程式使用專屬儲存空間。

另一項正在興起的趨勢是 DaaS（Desktop-as-a-Service），其工作階段存在於雲端。接著由第三方代管部署中的虛擬桌面基礎架構後端。您可以看到大型供應商提供 DaaS（Microsoft Azure、Amazon WorkSpace）的興趣日益增加。其他傳統的內部部署 VDI 方法則包括 Citrix 的 XenDesktop/XenApp 產品，以及 VMware 的 HorizonView 產品線。

無論選擇哪種部署方式，下列要素都必須涵蓋：

VDI 安全性需考量的 6 大關鍵因素

為了滿足安全性、可管理性與效能需求，安全軟體在部署 VDI 前需要符合下列基準：

1. 不要只依賴更新

如前所述，某些 VDI 情境（例如「非持久型」）會終止每個個別工作階段，並且總是從基礎映像重新開始。依賴更新的產品會在每次使用者登入時造成「AV 風暴」，因為它們要求進行更新。依賴更新來維持安全性的產品，必須克服新工作階段一再啟動並嘗試更新的挑戰。一旦工作階段終止，這種惡性循環就會重複，消耗頻寬與資源，並影響生產力。基於這些原因，在 VDI 環境中部署安全產品傳統上一直相當痛苦。  

2. 要求易於管理並避免重複項目

易於管理是另一個關鍵因素。在 VDI 環境中，無法確保或標準化裝置命名慣例。大多數 VDI 供應商允許設定命名慣例，但新工作階段經常會重複使用名稱。因此，依賴裝置名稱來識別使用者與主控台參數的 AV 產品，會因名稱衝突而造成不必要的營運負擔與終端使用者影響。另一項重要標準是自動除役能力。若 AV 產品在管理 VDI 時未將已關閉的工作階段除役，將導致大量「幽靈裝置」，造成失真的營運視圖，並無法有效地大規模管理資產。

3. 需要進行基礎映像掃描

部署 VDI 架構時，最不希望發生的事情之一，就是將惡意軟體預先寫入每個執行個體。如果您未能確保 golden image 毫無瑕疵，就等於承擔了相當大的風險。若產品僅依賴「看到」惡意軟體被寫入磁碟，或只是檢查檔案執行時的狀況，對於這類攻擊面而言並不足夠，會使您的 VDI 環境暴露於風險之中。

4. 要求同等級的防護與功能

有些供應商提供專用於 VDI 的代理程式，但功能有限。這會使 VDI 環境成為暴露的攻擊面。  除了方便您的 AV 供應商之外，沒有理由接受功能受限的 VDI 防護。請尋找不妥協、能提供完整防護、可視性與回應能力的供應商。VDI 端點也應是 SOC 分析師可進行威脅狩獵的範圍，因為若識別出可疑活動，您需要追查其根本原因，以找出真正的感染軌跡。

5. 計算真實成本

常見的授權模式有兩種：  

1. 並行授權模式（隨用隨付）– 您依同時執行的最大使用者數付費。並行使用者授權可讓您以較低成本購買軟體，因為在任何特定時間預期同時使用該軟體的最大使用者數（即同時登入的使用者）僅占公司總使用者數的一部分。例如，若有 5,000 名使用者分兩班工作，則只需要 2,500 份授權。
2. 每席次授權模式（按每位使用者付費）– 每個席次都會消耗一份授權，依據可存取 VDI 基礎架構的個別使用者數量計算。例如，5,000 使用者授權表示最多可有 5,000 位具名使用者存取該軟體。

很自然地，請尋找並行授權模式，因為這將降低您的成本。

6. 效能影響很重要

VDI 的一項優勢是降低硬體與營運成本。如果您最終採用的 AV 解決方案所需資源配置與實體裝置相同，那麼您就失去了使用 VDI 的核心價值。另一個會影響 VDI 效能的面向，是您需要在基礎映像上安裝的應用程式數量。請選擇輕量且強固的端點防護解決方案，以免為了執行 AV 而犧牲運算能力與終端使用者體驗／生產力。避免使用具有多個代理程式的解決方案，因為這代表會消耗更多資源。

為何選擇 SentinelOne

SentinelOne 自主代理程式符合並超越上述所有標準。  它是保護日益增長的桌面虛擬化需求的高效解決方案，包括精簡型用戶端、分層應用程式及其他 VDI 情境。它不需要更新，也不依賴特徵碼或其他傳統防毒需求。SentinelOne 原生支援所有常見的 VDI 情境，且不犧牲功能或防護，包括：

1. 桌面虛擬化：  在集中式伺服器上的 VM 中託管桌面作業系統。企業應用程式虛擬化軟體的例子包括 Citrix XenDesktop、Microsoft App-V、VMware Horizon 與 Systancia AppliDis。
2. 終端服務：  一種以伺服器為基礎的運算與呈現虛擬化元件，可透過網路存取遠端電腦上的應用程式與資料。例子包括  Microsoft Windows RDP 與 Citrix XenApp。
3. Desktop-as-a-Service：  來自 SaaS 雲端運算的遠端桌面虛擬化。企業 Desktop as a Service 的例子包括 VMware 的 Horizon DaaS、Amazon 的 WorkSpaces。

^[1] Gartner，Market Trends: VDI Demand Is Growing, but Not Everyone Will Be Successful，作者 Michael Warrilow 與 Nathan Hill，2017 年 4 月，https://www.gartner.com/document/code/325320

SentinelOne 支援下列虛擬化供應商：

• VMware vSphere
• VMware Workstation
• VMware Fusion
• VMware Horizon
• Citrix XenApp
• Citrix XenDesktop
• Amazon WorkSpaces
• Microsoft Hyper-V
• Oracle VirtualBox

結論

VDI 安全性結合了端點安全、網路分段、資料加密與存取控制。實作方式有很多種，但最佳選項是最適合您基礎架構的方案。VDI 安全性有許多優勢，其中最大的一項是可協助您的組織做好未來準備。SentinelOne 可簡化您的 VDI 安全性歷程，並在這方面成為有價值的合作夥伴。立即試用，了解我們今天如何協助您的組織。