IT-Sicherheit in einer Virtual Desktop Infrastructure (VDI) herstellen

Inhalt

Eine Virtual Desktop Infrastructure (VDI) verheißt ein effizientes Management großer Client-Umgebungen. Sicherer sind VDIs gegenüber physischen Desktop Infrastrukturen nicht zwangsläufig. Ein gutes Vulnerability Management und der Einsatz eines IDS/IPS sind auch in einer VDI obligatorisch.

Was ist eine Virtual Desktop Infrastructure (VDI)?

In einer Virtual Desktop Infrastructure (VDI) sind die Desktop-Einheiten als virtuelle Systeme auf einem zentralen Server gehostet. Am Arbeitsplatz braucht der Anwender in der Folge nur noch einen Client, mit dem er seinen virtuellen PC aufruft. So lässt sich die Benutzeroberfläche vom Endgerät abkoppeln und geräteunabhängiges Arbeiten realisieren.

Eine VDI verspricht in mittleren und großen IT-Infrastrukturen die Effizienz durch die Zentralisierung der Desktop-Systeme zu steigern. So lässt sich der Verwaltungsaufwand reduzieren und Sie können Wartungskosten senken. Eine VDI bietet darüber hinaus Potentiale, um Hardwarekosten einzusparen. Um die Performance zu verbessern und steigenden Leistungsanforderungen gerecht zu werden, müssen Sie nicht mehr in Hardware-Ersatz-Zyklen in neue Desktop-PCs investieren. Stattdessen können Sie die Host-Server flexibel erweitern und Ressourcen freigeben.

Ihre Stärken spielen VDIs aus, wenn die meisten Mitarbeiter simple und klar definierte Aufgaben mit einer überschaubaren Anzahl an Applikationen ausführen. In diesem Fall lassen sich relativ einfach die benötigten Services mit einer VDI bedarfsorientiert bereitstellen und Sie können eine nicht-persistente VDI einsetzen.

Nicht-persistente VDI

In einer nicht-persistenten VDI rufen die Nutzer generische Desktops auf, wenn sie sich anmelden. Änderungen an den Systemen, die sie gegebenenfalls vornehmen, werden nicht gespeichert. Bei einer Anmeldung wird stets das entsprechende Image neu geladen und der Desktop neu aufgesetzt.

Um jedem Nutzer die für seine Arbeit nötigen Services bereitzustellen, können Sie mehrere Gruppen bilden, denen Sie passende Images zuordnen. Hat ein Benutzer einen Wunsch, brauchen Sie nur das entsprechende Gruppen-Image anpassen.

Persistente VDI

Im Gegensatz dazu verbinden sich die Anwender in einer persistenten VDI stets mit demselben Desktop, der sich individuell nach den eigenen Bedürfnissen personalisieren lässt. Alle Anpassungen in den Konfigurationen sowie eigens installierte Software bleiben für ihn auch nach dem Neustart erhalten.

Bedeutet eine VDI mehr IT-Sicherheit?

Virtual Desktop Infrastrukturen können ein sinnvoller Weg sein, um die IT-Sicherheit im Unternehmen zu steigern. Die potenziell vereinfachte Administration verhindert Wildwuchs und die Entstehung von Schatten-IT. Eine verbesserte Sicherheit durch mehr Übersicht ist mit einer VDI allerdings nur dann gegebenen, wenn die Anforderungen der Nutzer dies zulassen. Haben die Mitarbeiter im Unternehmen sehr heterogene Aufgabenfelder und in der Folge unterschiedliche Software im Einsatz, schafft eine VDI kaum Entlastung. Nicht-Persistente Systeme sind dann nur wenig sinnvoll, da Sie eine Vielzahl an Images anlegen und verwalten müssten. Sind die Aufgaben und Anforderungen der Mitarbeiter jedoch ähnlich, kann ein Image-Management gegenüber einer individuellen Betreuung von Desktops stark im Vorteil sein. Persistente virtuelle Desktops unterscheiden sich in der Software- und Konfigurations-Administration kaum von physischen Systemen. Einen Sicherheitsvorteil können Sie nicht ausspielen.

Die Bedrohung, der virtuelle Desktops ausgesetzt sind, unterscheidet sich nicht von physischen Desktops. Sie sind ebenso mit dem Internet verbunden und besitzen gegebenenfalls USB-Schnittstellen. Schadsoftware und Hacking-Attacken können auch in einer VDI erfolgreich sein. Nicht-persistente Systeme sind insofern im Vorteil, dass nach einem Neustart zum Beispiel ein Virus wieder vom System gelöscht ist. Bedenken Sie jedoch, dass sich der Eindringling bis zum Neustart bereits in der Unternehmens-IT ausgebreitet haben könnte. Nach dem Neustart des Systems kann sich in diesem Fall die Schadsoftware wieder zurück ausbreiten und das System erneut infizieren.

Wie lässt sich IT-Sicherheit in einer VDI umsetzen?

Ein Virtualisierung Ihrer Desktops in einer VDI führt nicht automatisch zu einem höheren Sicherheitsniveau. Ob eine VDI überhaupt sinnvoll ist, hängt zudem stark von den Anforderungen ab. Zur Umsetzung einer IT-Sicherheits-Strategie sind insbesondere zwei Fragen von Bedeutung: Das Vulnerability Management sowie die Detektion und das Blocking von Cyberattacken.

Vulnerability Management: CVE-Scans und Updates

Um keine Sicherheitslücken für Angreifer anzubieten, sollten Sie die Software, welche auf ihren virtuellen Desktops zum Einsatz kommt, auf CVEs untersuchen. Common Vulnerabilities and Exposures (CVE) sind bekannte Schwachstellen in Software, die gesammelt und eindeutig benannt werden. Findet ein CVE-Scanner auf Ihren Systemen Sicherheitslücken, sollten Sie sich um einen Patch kümmern und die entsprechenden Updates einspielen.

Nach Vulnerabilities auf VDI scannen
Welche Sicherheitslücken sind auf dem Client vorhanden? Die Grundlage eines jeden Vulnerability Managements. (Zum Vergrößern klicken)

Auf nicht persistenten virtuellen Desktops haben alle Systeme, die auf demselben Image basieren, die gleichen Sicherheitslücken. Schließlich ist jeweils die gleiche Software im Einsatz. Updates spielen Sie entsprechend ein, indem Sie das Image anpassen. Dennoch kann es sinnvoll sein, jeden Client auf CVEs zu überwachen. Insbesondere wenn Sie eine Mischumgebung aus persistenten, nicht-persistenten und physischen Desktops verwalten, ist es wichtig, alle Systeme in eine gemeinsame Security-Monitoring-Software hinzuzufügen. So erhalten Sie eine Abschätzung über die gesamte IT-Infrastruktur und darüber, wie viele Assets von welcher Sicherheitslücke betroffen sind. Das hilft Ihnen bei der Priorisierung Ihres Patch-Managements.

Das Vunerability Management auf persistenten virtuellen Desktops unterscheidet nicht von physischen Desktops: Da jeder einzelne Nutzer potenziell andere Software(versionen) im Einsatz hat, brauchen Sie in jedem Fall auf allen Desktops einen CVE-Scanner und auch das Patch-Management müssen Sie nutzerspezifisch organisieren.

Intrusion Detection (IDS) und Prevention (IPS) für VDI

Unabhängig vom Typus der VDI ist die Bedeutung eines Intrusion Detections Systems (IDS) und Intrusion Prevention Systems (IPS). Damit sich keine Angreifer in der Unternehmens-IT festsetzen, sollten Sie den Netzwerkverkehr auf Auffälligkeiten überwachen (IDS) und gegebenenfalls blockieren (IPS).

VDI auf Angriffe untersuchen mit einem IDS
Findet gerade ein Angriff statt? Das sagt Ihnen ein Intrusion Detection System. (Zum Vergrößern klicken)

Während netzwerkbasierte Intrusion Detection und Prevention Systeme hinter der Firewall oder zwischen Netzwerksegmenten platziert werden, analysieren und blockieren hostbasierte Systeme die Netzwerkpakete direkt auf dem einzelnen Client oder Server. So können hostbasierte Systeme Cyberattacken aus dem Inneren des Netzwerks schon innerhalb einzelner Subnetze stoppen. Für ein hostbasiertes IDS/IPS ist die Installation eines Agents auf den einzelnen Systemen notwendig.

Enginsight Pulsar-Agent in VDI-Umgebungen

Der Enginsight Pulsar-Agent ermöglicht Ihnen ein Security-Monitoring von physischen und virtuellen Desktops, persistent oder nicht-persistent. Er läuft plattformunabhängig auf Windows ebenso wie Linux. So können Sie alle Ihre Clients und Server überwachen. Sie erhalten einen Schwachstellen-Scanner mit 100% validen Ergebnissen, ein hostbasiertes Intrusion Detection und Prevention System sowie eine Analyse der Logs (u.a. Anmeldeversuche). Darüber hinaus liefert er ein Monitoring der Leistungsmetriken, eingesetzter Software sowie ausgeführter Prozesse und Dienste.

Den Enginsight Pulsar-Agent zeichnet aus, dass keinerlei Konfigurationen notwendig sind, um das Securtiy-Monitoring zu starten. Rollen Sie den Agent einfach aus, indem Sie ein Installationsskript ausführen. Um den Pulsar-Agent in einer Virtual Desktop Infrastructure einzusetzen, fügen Sie den Pulsar-Agent einfach zu Ihrem Image hinzu. Anschließend brauchen Sie lediglich kleine Anpassungen in der Konfigurationsdatei vornehmen. Eine Schritt-für-Schritt-Anleitung erhalten Sie in unserer Dokumentation. Beim erstmaligen Start eines virtuellen Desktops erstellt sich fortan automatisch ein Client-Host mit dem entsprechenden Account-Namen.

Enginsight kennenlernen und ausprobieren

Der Funktionsumfang von Enginsight übersteigt die Überwachung Ihrer Server und Clients durch den Pulsar-Agent. Überwachen Sie mit Enginsight außerdem Ihre Webanwendungen, inventarisieren Sie Ihre Assets und führen Sie automatisierte Penetrationstests durch. Wie all diese Funktionen zusammenspielen? Erklären wir Ihnen in einer persönlichem Web-Demo. Oder Sie schauen sich Enginsight auf eigene Faust an: Nutzen Sie einen kostenlosen 14-tägigen Testaccount.

Share on linkedin
Share on twitter
Share on facebook
Der IT-Security Newsletter

News rund um Enginsight und IT-Sicherheit für clevere Admins, CISOs und alle Sicherheits-Verantwortlichen

Weitere interessante Security-Beiträge

Neuigkeiten über Enginsight, IT-Sicherheit, IT-Monitoring, Asset-Management, Risikomanagement und vieles mehr aus der Security-Branche, erfahren Sie in unserem Blog.

Mit XXS lassen sich Sitzungen von Browsern übernehmen.

Webseite von Bundesbehörde erlaubte Cross-Site-Scripting

Cross-Site-Scripting (XXS) ist seit vielen Jahren eine der meistgenutzten Angriffsvektoren auf Webseiten. Von einer Sicherheitslücke betroffen, die XXS-Attacken ermöglicht, sind leider noch immer zu viele Webseiten. Bis vor Kurzem betroffen: die Webseite des Bundesamts für Wirtschaft und Ausfuhrkontrolle (BAFA). Wir erklären, was es damit auf sich hat und was sich daraus lernen lässt.

Weiterlesen »
NGS-Fantasy
7-Tage Newsletter
Werden Sie zum Helden Ihrer Kunden

7 Tage Wissen und Insights für IT-Security Dienstleister.

Enginsight Logo