如何发现和修复虚拟桌面基础设施部署中的真实安全威胁

近年来，笔记本电脑和移动电话已经变得足够便宜，个人用户可以拥有，同时能够运行对工作场所操作至关重要的应用程序进程。

这一点——以及无处不在的互联网接入——并没有以任何方式降低互联网的重要性或需求虚拟桌面基础架构(VDI)环境，使用针对特定工作负载设计和配置的大型虚拟机池。它们可以透明地托管在云或本地数据中心上，为最终用户提供随需应变、随时随地的桌面界面，使VDI成为企业中主要的虚拟化应用程序之一。

灾难恢复:如果在映像中发现了漏洞，管理员可以简单地取消它并分配一个不同的版本。如果某种恶意软件或病毒已经渗透到一个特定的节点或底层主机的虚拟机被破坏时,管理员可以删除来宾操作系统或克隆图像节点和虚拟机移动到一个不同的,健康的主机,它影响主机操作系统或主形象的机会。

及时补丁管理:未打补丁的终端，其应用程序或操作系统未升级到最新版本，在大规模网络中存在巨大风险。在过去，IT部门不得不手动将更新“推送”到各个系统，这增加了过程的延迟。VDIs使管理员能够使用安全的“黄金映像”，他们可以在需要时进行集中更新，同时牢记终端用户的适当部分的硬件和网络需求。

数据隐私和法规遵从性:对数据访问和存储的控制对于财务和企业来说是至关重要的卫生保健．VDI通过集中访问策略、处理和屏蔽个人身份信息(PII)和财务或医疗数据，以及安全更新数据，实现了更好的数据治理。

尽管(在某些情况下，也正是因为)这些引人注目的安全优势，VDI(及其云等效的DaaS)经常被宣传为一种可伸缩的全部、最终解决方案。然而，VDI的安全性并不是给定的，它也不是完全不受黑客攻击的。

需要一个简单的VDI安全计划

虚拟化技术的一贯进步导致临时和永久运行方案中的VDI广泛采用。VDI为各种业务功能带来了许多福利（也称为风险加倍），最大的成本节约和降低TCO。

VDI非常适合拥有只需要一组有限的应用程序（思考呼叫中心或Android游戏开发人员）的大量用户的组织。添加到Covid-19 Pandemery的后果中的大规模转移到工作 - 在家中，它很容易恢复数十万个设备上的虚拟操作系统的廉价副本。

一种Gartner的调查在他们调查的300多名首席财务官中，近四分之三的人正考虑将远程工作作为一种削减成本的措施。首席财务官们已经面临着严格管理成本的压力，他们显然意识到了实现远程劳动力成本效益的机会。事实上，近四分之一的受访者表示，他们将至少将20%的现场员工调到永久的远程岗位。”

在许多情况下，这种压力或过度的成本切割 - 而不是IT成本“优化”- 可能会留下攻击者可以利用的安全漏洞。

此外，还有一些实际情况是所有管理VDI部署的IT团队都必须面对的。

首先，新冠肺炎疫情发生后，公司面临着巨大的挑战，要适应在家或远程工作的员工的大规模突然换班。他们用来连接公司服务器的“虚拟端点”或节点可能成为各种日志记录、入侵、社会工程和中间人攻击的起点。

在VDI次数（甚至在PER-COVID时代）中，具有敏感的企业数据的用户设备位于本地或由公司拥有;因此，数据和应用程序被硬化并配置为在组织安全的周边内运行。当VDI和云变得更加普遍时，这会产生隔离的错觉。

几乎每个组织都使其用户，供应商和合作伙伴能够将自己的设备连接到企业网络。员工的笔记本电脑和智能手机经常访问特权IT资产，包括敏感数据和应用程序，客户记录，财务信息，专有源代码 - 通过关键基础架构路径和网络。这些笔记本电脑和智能手机很少符合公司的安全政策或任何有意义的安全标准。

因此，终端设备安全可能是VDI安全中最薄弱的环节，也是VDI安全中最重要的环节。

一旦攻击者入侵或控制了某个节点，他们就可能危及VDI工作负载的底层应用程序，甚至进入企业网络和数据中心。

随着从不同地点、本地或云安全软件进入公司服务器的未经验证的(可能被泄露的)流量的增加，以及终端客户端必须扫描大量内存和网络，并生成和报告错误日志。当然，这需要相当多的带宽和计算能力，使端点设备饱和，在许多情况下，违背了VDI本身的目的。

解决VDI部署中的安全风险和挑战

在VDI中，在维护功能、提高性能和用户体验的同时减轻和管理威胁并非易事。确保周边安全并加强服务器是最重要的。虽然没有什么灵丹妙药，但IT部门肯定可以采取一些简单的安全措施来保持VDI的运行。

准备最糟糕的是：vdi中的桌面和其他端点设备将被突破。与无担保的Wi-Fi网络，消济申请（思考变焦)和容易受到各处扫描仪攻击的纯文本电子邮件，攻击者的目标比受保护的公司桌面更容易进入，而且这个目标可能已经被攻破或存在安全漏洞。

即使检测到桌面漏洞，要确定它是如何发生的以及已经造成的损害程度，也可能是一个耗时的过程。功能的恢复和恢复取决于基础设施的规模和复杂性。

选择可靠的登录方法：用户登录VDI有两个选项。一个是单点登录（SSO），或用于访问所有资源的一个登录。While this may seem risky on the face of it (once a hacker has the password, they can access all the user’s privileges), the advantage is that the user has only one password to remember, and therefore, will likely not write it down anywhere. SSO is ideal when users have to access services or apps that live outside their desktops, like SaaS.

另一种是双因素身份验证，它需要多种身份证明和登录操作，比如在桌面输入密码，然后轻按手机屏幕，或者登录VPN，然后进入浏览器提供的服务。当然，这比SSO本身更安全。It部门要根据用户的级别、应用程序需求、数据的敏感性或系统和网络的功能来选择适合用户的方法。

管理用户身份：这是基于零信任模型，其规定了用户只需要访问它们所需的那些资源，它们需要分配给它们的角色或任务，而且更多。策略指定用户和组角色，并为所有登录用户单独监视和控制活动会话。这可以防止攻击者渗透用户会话并访问敏感数据或横向进入服务器。

应用程序细分:可以将应用程序和工作负载与VDI中的其他业务关键或敏感应用程序隔离开来。基于流程、资源或其他资产的细粒度策略在缩小漏洞方面大有帮助。VDI内部的环形围栏段确保了攻击者在发生破坏时无法实现横向移动。

结合用户身份管理，可以确保所有用户只能访问它们需要的应用程序的服务和部分，并且不会退出其相关环境。

严谨的数据保护政策：现代黑客更有兴趣窃取数据和知识产权，而不是闯入服务器或网络以及造成伤害。VDIS允许更严格的数据控制，它应该利用此功能。首先，数据不应离开数据中心或中央服务器，无论是本地还是云中。数据中心资源可用于自动备份和恢复桌面数据。应该加密运输中的所有数据。

全面的可见性：安全解决方案或VDI管理平台应允许管理员实时监控（按需）以下参数：

• 所有在线的节点
• 每台桌面或虚拟机是否更新或打补丁
• 每个登录的用户，以及活动日志
• 运行在每个服务器和节点上的进程和服务
• 哪些应用程序和服务用于什么目的，由哪些会话使用
• 正在生成的所有流
• 过程如何沟通

持续的、自动化的端点安全管理:对于It团队来说，确保端点软件和硬件始终符合组织的安全策略和标准是至关重要的。一个安全的VDI需要自动检查，以及软件安装和删除、补丁和升级、异常检测和端点支持过程。

主动事件响应：虚拟桌面对攻击和安全漏洞的影响是一个神话。授予，它们具有比物理桌面更少的漏洞，但它们仍然易于各种类型的键盘，筛网刮板，恶意电子邮件链接，远程访问特洛伊木马（大鼠）和横向运动。非持久性桌面甚至容易出现防病毒启动风暴（签名和算法更新，即Spike Usage），领先的VDI供应商建议关闭防病毒更新。

因此，该解决方案具有实用的事件响应流程，可以加快威胁缓解和恢复，同时最大限度地减少对操作的干扰。一旦发现受感染的虚拟机，就需要阻止它并将其与网络隔离，必要时甚至终止它，重点是回收用户数据。

VDI是IT安全领域的变革者

增加了混合动力车，多箱环境和超收敛正在改变虚拟化以复杂的方式，让安全专家处于边缘。然而，虚拟化本身已经改变了数据中心的工作方式，迫使遗留基础设施升级，现在正推动组织向更可伸缩和更健壮的基础设施部署方向发展。

随着越来越多的日常交易变得基于技术，在家工作变得越来越普遍，公司将需要安全解决方案来检测和防止复杂的恶意软件，同时消耗更少的资源和带宽。这颠覆了传统的安全实践，因为缺乏集中控制或可执行的标准。因此，如果VDI安全方面的有效解决方案将为整个it安全指明方向，那就不足为奇了。

Dipti Parmar是一位营销顾问和Nutanix的特约撰稿人。她为IDG的CIO.com、Adobe的CMO.com、Entrepreneur Mag和Inc.等主要科技和商业出版物撰写专栏。在推特上关注她@dipTparmar和她保持联系linkedin．

©2020 Nutanix, Inc.保留所有权利。如需其他法律信息，请去这里．