仮想デスクトップは、ハイパーバイザー上にゲストOSを構築し、ユーザーごとにデスクトップ環境を提供する。ネットワークを利用できる環境であれば、ロケーションにかかわらず、どこでも自分のデスクトップ環境を呼び出せる。また、データはローカルにある端末に残らず、サーバ側に保存されるため、情報漏えいを防ぐ効果もある。仮想デスクトップの概要とメリットについては、「デスクトップ仮想化の仕組みとメリット」で詳しく解説しているため、こちらを参照してほしい。

仮想デスクトップの利用イメージ

仮想デスクトップにおけるウイルス対策の問題点

　仮想デスクトップ環境でウイルス対策ソフトのウイルス検索やパターンファイルの更新などを予約実行するように設定すると、仮想マシンがすべて同じタイミングでこれらの処理を実行することになる。そのため、CPUやHDD、ネットワークに負荷が集中し、仮想デスクトップを構築するプラットフォーム全体のパフォーマンスが下がってしまう。

　通常のPCを使用していても、予約検索の際にマシンの動作が重くなることを実感することがあるだろう。仮想デスクトップの場合、1台の物理サーバ上に存在する仮想マシン40～50台が一斉にウイルス検索を行うため、処理に対するレスポンスが大きく劣化し、デスクトップがフリーズしたり落ちたりするという問題が発生する。

　また、仮想デスクトップ環境では、OSやアプリケーションの共通テンプレートを各デスクトップで共有する。このため、すべての仮想デスクトップ環境のウイルス検索を行うと、共通部分を何度もスキャンすることになり、ウイルス検索に大幅な時間を要することになってしまう。

仮想マシンの負荷が増大するケース

　このような問題に対して、IT管理者は次のような運用を行っているのが現状だ。

予約検索を行わない

　ウイルス検索を行うタイミングは大きく2つ存在する。ウイルスがマシンに侵入・感染しようとした際に検出するリアルタイム検索と、定期的にマシン全体のウイルス検索を行う予約検索だ。仮想デスクトップ環境における負荷を増大させないために、予約検索を行わずにリアルタイム検索のみを行う方法がある。こうすれば、負荷の集中を回避できる。しかし、リアルタイム検索のみの対策では、パターンファイルのアップデートを定期的に行っていない場合など、最新のウイルスを検出できないケースがある。

予約検索の時間を手動で設定する

　このリスクを取れない場合には、手動で検索時間をずらして負荷が過度に集中しないように運用することになる。例えば、仮想マシン1～10は月曜日の12時～13時に検索し、仮想マシン11～20は13時～14時に検索する。この方法は一見問題がないように思えるが、1台の物理マシンで稼働している仮想マシンが非常に多い場合、1台当たりどのくらいの時間をかければよいのかなど、個々の検索時間を見積もることが難しいという問題が存在する。

ウイルス対策ソフトを利用しない

　設定によっては、仮想デスクトップのセッションを終了すると、ログイン時の環境へ自動的にロールバックする方法がある。初期の設定環境に戻して繰り返し利用するような業務に仮想デスクトップ環境を利用している企業は、ロールバックを前提に運用していることが多い。

　この方法を用いることで、ウイルスに感染した場合でも、セッションを終了すれば感染前の状態に戻すことが可能だ。環境を簡単にロールバックできるのは仮想デスクトップの強みの1つだが、ロールバックした環境自体にセキュリティ上のリスクがあると、問題を内包することになりかねない。また、ロールバックを前提にしたセキュリティ対策は、ウイルスに感染している状態を放置していることにほかならないため、セキュリティリスクが非常に大きい。

　このように、仮想デスクトップ環境では新たなセキュリティ上の問題があることをご理解いただけたと思う。ここからは、この問題に対してどのような対策を取っていけばよいのかを具体的に解説しよう。

仮想デスクトップ環境に必要なウイルス対策

クラウドを利用したパターンマッチング

　トレンドマイクロの調査では、1.5秒に1つ新しいウイルスが発生している（出典：2009年 AV-Test提供データに基づきトレンドマイクロ算出）。このペースで増え続けると、対策のためのシグネチャも増加するため、ウイルス対策ソフトのパターンファイルがどうしても大きくなってしまう。

　仮想デスクトップ環境では、共通部分にパターンファイルを含む環境を構築することが多いため、パターンファイルのサイズが増大するにつれて共通部分のサイズも増大することになる。共通部分のサイズが大きくなると、ストレージの容量を圧迫するだけでなく、ロールバックに要する時間も増えてしまう。管理者が共通部分の履歴を管理する上で、パターンファイルのサイズが小さいことに越したことはない。

　ウイルス対策ソフトのパターンファイルサイズは見逃されがちだが、仮想デスクトップ環境でのウイルス対策を考えているなら、最小限のパターンファイルをクライアント側に持ち、大部分はクラウドに格納したパターンを参照するクラウド―クライアント型のウイルス対策ソフトの導入をお勧めする。

検索時間やパターンアップデート時間の自動調整

　ウイルス対策ソフトのパターンファイルやエンジンの更新とウイルス検索が仮想デスクトップ環境をホストしているプラットフォームに与える影響は非常に大きい。場合によってはパターンファイルの更新が数時間にわたってしまうため、早朝や深夜などの業務時間外にパターンファイルの更新を行わなくてはならない。この処理が集中しないように、負荷を自動的に分散させるような仕組みがあれば、通常の物理環境と同等のセキュリティ対策が業務時間中でも行える。

ウイルス検索時間の自動調整

共通テンプレートを効率的にウイルス検索する

　製品バージョンや設定にも依存するが、VMware View 4やCitrix XenDesktop 4には各仮想マシンに共通のテンプレート（OSやアプリケーションなど）が存在する。この共通テンプレートは仮想マシンにおける容量のうち非常に多くの割合を占めている。

　従来のウイルス対策ソフトでは、このような共通テンプレートのウイルス検索を各仮想マシンに行っていたため、元のデータは同じにもかかわらず重複してウイルス検索していた。仮想デスクトップ環境に適したウイルス対策はこのような重複した共通テンプレートの検索については初回のみ行い、2回目以降の検索からは除外するような製品といえるだろう。

共通部分のウイルス検索

　これらのソリューションを持った製品を導入することで、仮想デスクトップを導入する目的となる“統合率”に大きな影響を与えることなく、物理環境と同じレベルのウイルス対策が可能になる。

　また、仮想デスクトップを導入している多くの企業では、すべての業務を一斉に仮想デスクトップへ移行するのではなく、順々に通常の物理環境から仮想デスクトップへ移行している。そのため、仮想、物理環境にかかわらず一元的な管理が可能な製品が、仮想デスクトップ環境に移行しようとしているユーザーにも適した製品といえる。

　仮想デスクトップのような新しい技術は日々市場に導入されている。しかし、それに伴う課題が発生するのも事実だ。IT管理者は新しい市場環境にはそれに見合ったセキュリティ対策も併せて検討することで、自社のITシステムを安心安全に運用できるといえるだろう。