Ressourcen schonendes Scannen bei Desktopvirtualisierung

VDI: Effiziente Endpoint-Security für virtuelle Clients

Der serielle Ablauf der kompletten Scans auf den Client-Systemen mit Trend-Micro-Technik verringert deutlich die Last.

Virtuelle Desktops brauchen speziell auf sie abgestimmte Sicherheitslösungen. Auch wenn sich die Anforderungen auf den ersten Blick kaum von denen ihrer physischen Pendants unterscheiden, führt ein simples Übertragen der Konzepte fast immer zu Leistungsengpässen. Diese lassen sich mit Ansätzen wie Whitelisting, Pre-Scanning oder einem seriellen Scan vermeiden.

Dabei kann es sich um Thin Clients jeglicher Couleur handeln, aber auch um ganz gewöhnliche PCs. Dies ist der Schlüssel zum Erfolg des VDI-Ansatzes, denn viele Endanwender wollen die Vorteile ihrer traditionellen Desktops nicht missen. Die Ansätze der großen Player in diesem Marktsegment unterscheiden sich in technischen Details wie dem Übertragungsprotokoll teilweise erheblich. Allen gemein ist jedoch, dass das Betriebssystem oder zumindest wesentliche Teile davon auf dem Server residieren, und außerdem auch die Applikationen, die der Endanwender auf seinem Client-Gerät nutzen kann.

Erfolgreiche Techniken und Produkte kommen derzeit von VMware (VMotion), Citrix (XenDesktop) oder auch Microsoft mit den Terminal-Server-Spielarten.

Auf dem im Backend arbeitenden physischen Server laufen verschiedene Betriebssysteminstanzen, außerdem muss die Software auf dem Server auch garantieren, dass diese Instanzen sicher gegeneinander abgeschottet sind. Der Server kümmert sich um das Backup der User-Daten und übernimmt die Kommunikation zur Außenwelt. Weitere Vorteile sind die hervorragende Eignung einer solchen Umgebung zur zentralen Administration und die Verlängerung des Lifecycles der Endgeräte, da vielfach gewissermaßen nur als Terminal dienen müssen.

Unsichere Schnittstellen

Im Prinzip würde bereits allein mit den geschilderten Parametern eine auf den Clients besonders sichere Umgebung entstehen. Doch wie immer steckt der Teufel im Detail: Da grundsätzlich jede Art von Client an diese Umgebung andocken kann, können auch solche mit USB-Anschluss oder anderen externen Verbindungen dazu gehören.

Über diese Schnittstelle können unerwünschte Daten oder Anwendungen auf den Client gelangen. Mobile Clients sind zudem womöglich zwischenzeitlich in andere – fremde – Netze eingebunden, deren Sicherheitsstatus unbekannt ist. Anwender können sich per Mail Malware oder durch Surfen im Internet auf die Clients holen. Bei genauer Betrachtung gelten also dieselben Sicherheitsanforderungen wie bei ganz gewöhnlichen Arbeitsplatz-PCs – allerdings ergänzt durch die Bedingung, dass die dazu notwendigen Lösungen vom Server möglichst schnell und mit wenig Mehraufwand bereit gestellt werden müssen.

Das Deployment von Betriebssystem, Applikationen und Patches auf den Desktop geschieht im Unternehmen meist mithilfe eines Standard-Images (dem „Gold Image“), dass natürlich auch eines besonderen Schutzes bedarf. Dennoch können Situationen auftreten, in denen die Software auf den Clients in der Lage sein muss, schon vor der Installation eines Security-Patches auf eine bestimmte Bedrohung zu reagieren. Zur Vervollständigung des Sicherheitskonzepts gehört in jedem Fall auch die Option, regelmäßige oder per Hand angestoßene Scans auf Malware auf den Clients durchführen zu können.