Виртуальные рабочие места – угроза или преимущество?

Верность традициям vs VDI

С ростом масштаба компании использование классического подхода к организации рабочих мест сотрудников чаще всего существенно усложняется. Это приводит к появлению ряда сравнительно больших издержек, например:

• на развертывание новых рабочих мест (закупка, монтаж технических средств, установка и обновление ПО, лицензий);
• на поддержку работоспособности (техническое обслуживание, в том числе резервирование и восстановление);
• на управление рабочими местами, поддержку пользователей корпоративной ИС;
• на управление инцидентами, а также ликвидацию последствий реализации угроз ИБ, приводящих, в частности, к нарушению доступности критически важных корпоративных информационных ресурсов либо разглашению конфиденциальных данных.

Эта ситуация характерна для многих крупных банков, страховых компаний, государственных учреждений в сфере образования и медицины, крупных торговых сетей, а также телеком-операторов. Отличительной чертой всех перечисленных структур является прежде всего сравнительно большое количество территориально распределенных подразделений и сотрудников. Дабы избежать трудностей и снизить возможные издержки при расширении штата компании, взгляд ИТ-директоров чаще всего падает на предлагаемые сегодня решения по виртуализации рабочих мест (Virtual Desktop Infrastructure, или VDI). В рамках такого подхода сотрудники компании получают возможность более гибкого взаимодействия с корпоративными информационными ресурсами и данными – без привязки к конкретной «прослойке» и средствам доступа.

Рис. 1. Организация инфраструктуры виртуальных рабочих мест

О подводных камнях

О преимуществах говорить можно много. Но как же в реальности обстоят дела с ИБ таких систем? Не придется ли нам понести куда большие потери в результате реализации тех угроз безопасности ИТ-инфраструктуры, которые появились и стали актуальными благодаря внедрению столь выгодных для нас технологий VDI? Сегодня на рынке представлено немало решений различных производителей, которые предлагают нам организовать VDI и сделать это «лучше всех». Несмотря на это, вопросы обеспечения ИБ здесь чаще всего рассматриваются довольно укрупненно. На что же стоит обратить особое внимание при выборе решения?

Во-первых, при выборе программной платформы VDI существенным фактором является наличие на рынке специализированных средств защиты, адаптированных под конкретные продукты виртуализации рабочих мест. Использование классического подхода к защите сводит на нет все преимущества виртуализации. Так, получив преимущество в производительности за счет гибкого планирования и распределения ресурсов, вы можете тут же его потерять. Например, за счет использования программных агентов системы защиты, которая не адаптирована для среды виртуализации. Эти программные агенты и не догадаются, что все рабочие станции виртуальные и размещаются физически на одном оборудовании. При выполнении ими регламентных процедур в рамках обеспечения защиты, даже при условии гибкого распределения времени обращения к ресурсам виртуальных машин, как правило, наблюдается нерациональный расход ресурсов, приводящий к существенному падению производительности ИТ-инфраструктуры в целом.

Кроме того, сама архитектура VDI имеет ряд технологических особенностей, вследствие которых использование неадаптированных средств защиты может привести к возникновению некоторых проблем, связанных с их эксплуатацией в составе решения. Так, загрузка операционной системы виртуальных рабочих мест в VDI осуществляется из специализированного эталонного шаблона с последующим применением требуемых для текущего пользователя настроек профиля. И в этом случае ряд классических средств антивирусной защиты не позволяет производить корректное управление лицензиями на эти рабочие места, считая каждую новую загрузку одного и того же места как регистрацию нового. Последствия? Ответ очевиден.

Использование же адаптированных средств позволяет существенно снизить показатели «побочной» нагрузки на ресурсы Virtual Desktop Infrastructure как за счет оптимизации выполняемых операций, так и путем использования специально заложенных производителями программной платформы VDI механизмов, например, VMware VMsafe.

На сегодняшний день основными игроками рынка виртуализации являются компании VMware, Citrix, Microsoft. Сопоставив реальные цифры, приведенные в отчете IDC «Worldwide Quarterly Server Virtualization Tracker», стоит отметить положение дел относительно динамики изменения доли рынка среди основных игроков. За последние несколько лет, несмотря на агрессивную политику со стороны Microsoft и Citrix, VMware сохранила лидирующие позиции в части решений по виртуализации. Так, на конец 2012 года доли рынка среди основных игроков распределялись примерно следующим образом:

• VMware – 68%;
• Citrix – 15%;
• Microsoft – 16%;
• другие – 1%.

Как показывает наша практика, именно на эти цифры ориентируются производители средств защиты информации, адаптированных для использования в VDI.

Во-вторых, немаловажным фактором при выборе платформы VDI является тот функционал защиты, который вы получаете «из коробки». Переход к виртуализации рабочих мест, как и любых других компонент ИТ-инфраструктуры, влечет за собой появление новых рисков ИБ. Если раньше рабочие места разных сотрудников представляли собой физически отделенные друг от друга устройства, то сейчас они размещаются на одной и той же аппаратной платформе. Кроме того, они связаны между собой единой высокоуровневой прослойкой программной платформы VDI, от безопасности которой теперь также зависит безопасность рабочих мест. Как следствие – увеличение «поверхности атаки» появление новых угроз ИБ.

Если говорить о безопасности как о неизменности основных характеристик системы, очень важно понимать, что ее искомый уровень напрямую зависит от совокупности реализованных механизмов защиты, определяемой возможностями как самой программной платформы VDI, так и используемых специализированных средств обеспечения ИБ. Это непосредственно влияет и на успешность бизнеса.

По нашему опыту, основной процент атак на систему совершается путем компрометации АРМ сотрудников, осуществляющих взаимодействие с ней. Большое число тестов на проникновение (Pentest) начинается именно с оценки возможности и реализации взлома АРМ с целью дальнейшего совершения атак на всю систему. И здесь та самая совокупность механизмов защиты вкупе с основными преимуществами VDI позволяет защищать автоматизированные рабочие места сотрудников централизованно, существенно повышая при этом оперативность соответствующих исполняемых операций. Так, например, оперативность локализации вредоносной активности со стороны зараженных АРМ в VDI существенно выше.

В-третьих, в ряде случаев стоит учитывать и вопрос соответствия требованиям регуляторов. Что также важно при выборе платформы VDI, если речь идет, например, о защите персональных данных? Безусловно, наличие на рынке средств защиты, сертифицированных по требованиям регуляторов, причем специализированных, адаптированных для конкретных систем. Кроме того, некоторые версии программных платформ VDI ряда производителей уже имеют действующие сертификаты, подтверждающие их соответствие требованиям ФСТЭК. Но и это не панацея, ведь всё здесь зависит от конкретной ситуации. Формальное подтверждение наличия функций защиты в составе средств VDI не всегда перевешивает на чаше весов использование внешних сертифицированных средств обеспечения ИБ. Тем не менее в ряде случаев именно такой платформе может быть отдано предпочтение.

То, насколько система уже соответствует требованиям по ИБ, будет чаще всего определять инвестиции, необходимые для ее приведения к искомому защищенному состоянию. Наличие встроенных механизмов обеспечения безопасности? Возможности бесшовной интеграции с внешними системами защиты? Соответствие требованиям регуляторов? Отсутствие таковых механизмов и возможностей? Отсутствие формальных признаков соответствия с перспективой проведения его оценки в будущем? Выбирать только вам. Безусловно, переход к VDI является перспективным решением в части оптимизации бизнеса любой крупной компании. Ну а наша задача как интегратора в сфере ИБ помочь вам в решении всех остальных проблем.