ユーザーによるアプリケーションのインストールを避けるべき理由

　仮想デスクトップにユーザーがアプリケーションをインストールできることが問題になる理由は幾つかある。まず、会社には会社のシステムで運用されるソフトウェアのライセンスを取得する法的義務があることだ。承認されていないアプリケーションをユーザーがインストールした場合、会社がそのアプリケーションのライセンスを取得しなければならない。

　ユーザーがソフトウェアをインストールできると、マルウェアに感染するリスクが高まるのも問題だ。感染したアプリケーションをユーザーが意図的にインストールしないとしても、メールに添付された不正なファイルや、ドライブバイダウンロードによって仮想デスクトップがマルウェアに感染するリスクは上昇する。

　3つ目の理由は、VDI環境では、リソース消費が大きな問題であることだ。VDI環境では、全ての仮想デスクトップが、限られた物理ハードウェアリソースを共有している。承認済みのアプリケーションは、過剰にCPUサイクルやディスクI/O、ネットワーク帯域を使用しないことがテストにより確認されている。未承認のアプリケーションがインストールされると、既存のハードウェアプロビジョニングの微妙なバランスが崩れかねない。

　また、未承認のアプリケーションは、サポートコストも押し上げる。ヘルプデスクが仮想デスクトップの問題をトラブルシューティングする場合、仮想デスクトップの既知の構成状態を基に特定の仮説を立てて対応する。未承認のアプリケーションをインストールすると、DLLファイルの置き換えやレジストリの変更が行われて、他のアプリケーションの問題につながる可能性がある。このような問題が発生すると、ヘルプデスク技術者は当初、未承認のアプリケーションの存在に気が付いていないため、直ちに特定できないことが考えられる。

ユーザーによるアプリケーションのインストールを阻止

　仮想デスクトップのNTFSアクセス許可レベルを上げることで、ユーザーによる未承認のアプリケーションのインストールは簡単に阻止できる。ただし、この方法はマルウェアの感染防止にはほとんど役立たない。結局、OSが適切に機能するためには、ユーザーに書き込み権限があるOSフォルダ（Internet Explorerのキャッシュなど）が必要になるためだ。マルウェアの作者が、そのようなOSの脆弱性を突いてくることは多い。

　NTFSアクセス許可のレベルを上げても、インストールが不要なアプリケーションは、ユーザーによる実行を防げない。例えば筆者は現在、デスクトップ上でインストール不要のスクリーンキャプチャーアプリケーションを開いているが、これは、フラッシュドライブなどリムーバブルメディアで実行できる。エンドユーザーがこのようなアプリケーションを使って、機密情報を持ち出すなどたやすい。

　仮想デスクトップでWindows 7を実行している場合は、米MicrosoftのAppLockerを使用して、未承認のアプリケーションのインストールや実行を防止できる。AppLockerは、ユーザーに実行を許可するファイルを制御できる、Windows 7の付属機能だ。

　管理者は、AppLockerのポリシーを使ってユーザーが実行できるアプリケーションと実行できないアプリケーションを指定できる。例えば、実行可能ファイルのハッシュを基に特定のファイルをブロックすることや、発行元が信頼できるデジタル署名付きのアプリケーションを許可することが可能だ。

　AppLockerを使えば未承認のアプリケーションのインストールや実行を防ぐことはできるが、VDI環境でAppLockerを管理するのは難しいかもしれない。仮想デスクトップは、アプリケーションの新版や修正プログラムの適用に伴い、時間と共に変化していく。つまり、IT担当者はそれらに応じたルールを用意して、特定の修正プログラムや更新プログラムがインストールされないようにする必要がある。現在のバージョンのAppLockerは融通がきかないため、変動の多い環境で効率的に運用できないと多くの管理者が見なしている。

　AppLockerの他にも、実行を許可するアプリケーションを指定できるサードパーティー製品が幾つかある。そのうちの1つが米Bit9のParityだ。筆者は数年間Parityを使っていて、個人的にこの製品は実によくできていると断言できる。

　他には、米CoreTraceのBouncerがある。筆者自身は実際に使用したことはないが、評判が良い。ParityもBouncerも、AppLockerと比べて実行を許可するアプリケーションプロセスをより細かく制御できる。