VDIに必要なセキュリティ保護をチェック

「仮想デスクトップは物理PCより安全」はウソ？　“VDI安全神話”を検証する（2/2 ページ）

公開 2015年09月03日 12時00分

[TechTarget]

印刷する

BYOD端末のマルウェア対策

　LAN／WANといった社内ネットワークに、スマートフォンやタブレットから接続できるようにしている企業は少なくない。社内ネットワークで許可しているモバイル端末全てを保護できるように、自社で使う全てのマルウェア検出ソフトウェアについて、モバイル版が用意されているかどうかを確認する必要がある。

　マルウェア対策ベンダーは、私物端末の業務利用（BYOD）制度の実施に伴い、データ流出などのセキュリティトラブルが発生する可能性を理解している。ただし、これらのベンダーが皆、社内ネットワークに接続される全てのモバイル端末を保護する製品をラインアップしているとは限らない。

　導入したマルウェア対策ソフトウェアが特定のモバイル端末をサポートしていない場合は、無線LANアクセスポイントでMACアドレスフィルタを設定し、こうした端末からの社内ネットワークへの接続を禁止すればよい。保護対象にしていないモバイル端末については、社内ネットワークへの接続を絶対に許可してはならない。

併せて読みたいお薦め記事

BYODを検証する

VDIのセキュリティに関する他の考慮点

　マルウェアのリアルタイムスキャンなどでインフラとクライアント端末を保護するだけでなく、VDIのデスクトップイメージとユーザープロファイルのセキュリティを確保する必要もある。クライアント端末に提供されるデスクトップイメージは、攻撃されやすいポイントの1つだ。デスクトップイメージをインフラ内で安全に保存しつつ、可能であればノンパーシステントデスクトップ方式（エンドユーザーに特定の仮想デスクトップをひも付けるのではなく、毎回異なる仮想デスクトップを割り当てる方式）を採用するとよい。

　ノンパーシステントデスクトップ方式では、ユーザープロファイルとカスタマイズ設定をデスクトップイメージとは別に保存する。1日の終わりにエンドユーザーがログオフすると、エンドユーザーによるそれまでの変更を全て、エンドユーザーのアプリケーションデータやプロファイルのカスタマイズ設定とともに保存するか、または破棄する。どちらの場合も、マルウェア感染の可能性が低いクリーンなOSイメージが残されることになる。

　マルウェアによるユーザープロファイルの破損を防ぐには、社内ネットワークの高度に安全な領域にユーザープロファイルを保存することが大切だ。ユーザープロファイルを保管するサーバにマルウェア感染の疑いがある場合は、バックアップからリストアするようにする。

　クライアント／サーバ環境における従来の物理デスクトップと比べて、VDIのセキュリティは高くも低くもない。単に異なっているだけだ。VDIの機能とアーキテクチャは、従来の物理デスクトップとは明らかに違う。マルウェア対策も、VDIに固有の要件とリスクに合わせて工夫しなければならない。

　VDI向けのマルウェア対策ソフトウェアを選択する際は、自社の社内ネットワークで許可し、サポートしている端末やOS全てを保護できる製品を選ぶようにする。包括的なマルウェア対策がなされていない端末については、社内ネットワークへの接続を禁止しなければならない。