La sécurité des VDI (Virtual desktop infrastructure)

1. SRS Day – Conférence 17 novembre 2010 La sécurité des VDI(Virtual desktop infrastructure) Par : • Anthony Soquin – soquin_a • Armand Fouquiau – fouqui_a • Benoît Guillemaille – guille_b • Etienne Folio – folio_e • Jocelyn Mocquant – mocqua_j • Jonathan Philippe – philip_j • Julien Ceraudo – ceraud_j

2. SOMMAIRE • Virtualisation et VDI • Impacts stratégiques et opérationnels • Risques techniques et recommandations • Conclusion SRS Day @ EPITA - 17 novembre 2010

3. Virtualisation et VDI • Virtualisation • Plusieurs OS exécutés sur une même machine physique • Hyperviseur • VDI (Virtual Desktop Infrastructure) • Réduction des couts opérationnels • Simplification de la maintenance et de l’administration • Bureaux virtuels (Hosted Virtual Desktops) • La bonne virtualisation d’un système dépend de son niveau d’isolation SRS Day @ EPITA - 17 novembre 2010

4. Hyperviseurs • Type I • Il s’exécute directement sur une plateforme matérielle • Noyau hôte allégé et optimisé : performant • Onéreux • Type II • Logiciel qui s’exécute sur l’OS hôte • Pas d’adaptation des OS invités • Très comparable à un émulateur • Moins performant SRS Day @ EPITA - 17 novembre 2010

5. Hosted Virtual Desktop (HVD) • Virtualisation des OS et des applications • Remplacement des postes de travail par des clients légers ou des clients zéro • Avantages : • Moins de maintenance • Economies d’échelle • Rationalisation du SI • Implique : • Renouvellement potentiel du réseau • Nouvelle infrastructure en datacenter • Nouvelles politiques de gestion du SI SRS Day @ EPITA - 17 novembre 2010

6. Architecture HVD typique • Calcul et stockage centralisés • Archi distribuée => résistance aux pannes • Répartition de charge automatique • Sauvegardes facilitées (snapshots) • Virtualisation des machines servant à la gestion du SI • Mobilité facilement mise en place • Déploiement simplifié : • Des nouveaux postes de travail • Des nouveaux logiciels SRS Day @ EPITA - 17 novembre 2010

7. SRS Day @ EPITA - 17 novembre 2010

8. Impacts opérationnels • CAPEX • Initiaux très élevés • Sur 500+ postes, moins cher qu’une archi traditionnelle • Beaucoup moins d’OPEX • Moins de maintenance • Déploiement matériel et logiciel simplifié • Facilité de résolution de problèmes • Administration des postes simplifiée • Attention au prix des licences ! SRS Day @ EPITA - 17 novembre 2010

9. Failles sur les VM • Vecteurs d’attaques • Architecture, jeu d’instruction… • Corruption, lecture de la mémoire de l’hyperviseur • Root théorique ! • Point critique : l’hyperviseur !! • Failles non divulguées • Solutions : • Mise à jour • Veille technologique • Audits de sécurité SRS Day @ EPITA - 17 novembre 2010

10. Sécurisation des VM • Architecture plus résistante aux virus • Nouvelle VM à chaque boot • Destruction du contenu de la mémoire et des malwares y résidant lors de l’extinction • Virus se propageant de VM en VM • Antivirus léger par VM • Pare-feu au niveau de l’hyperviseur • Transmission des identifiants de l'utilisateur à la session Windows • Attention à la solution choisie (tickets Kerberos ?) SRS Day @ EPITA - 17 novembre 2010

11. Sécurisation réseau et clients • Mise à jour du firmware automatique ? • Chiffrage de bout en bout • Sécurisation du réseau entre hyperviseurs • Risques classiques • MITM, DDoS, pannes… • Redondance, réplication, 2è site… • Administration des VM • VLAN dédié accessible que depuis les VM des admins • Réseau d'administration dédié (mieux mais onéreux) • => Point critique : l’hyperviseur et sa config SRS Day @ EPITA - 17 novembre 2010

12. Sécurisation SAN et données • Risque majeur : l’accès physique • Vérifications manuelles ? • Confiance dans le datacenter ? • Seul l’hyperviseur a accès au SAN • LUNs accessibles à tous les hyperviseurs (partage intégral) • Si l’hyperviseur est rooté, toutes les données deviennent accessibles • => Point critique : l’hyperviseur (encore…) SRS Day @ EPITA - 17 novembre 2010

13. Risques humains • Déploiement très simple de logiciels • Risque de diffusion facilitée de malware • Séparation des besoins • Procédure de cellule de crise • Encore plus important qu’avec une infra classique • Erreurs de config • Procédures critiques nécessitant 2 admins ? • Garder les logs • Former le personnel (users et admins) SRS Day @ EPITA - 17 novembre 2010

14. Risques de gestion du SI • Politique de gestion globale renforcée • Découpage en groupes organisationnels • Séparation des données • Droits d’accès… (problématiques classiques…) • Problèmes de migration • Incompatibilités • Matérielle (accès direct à la carte graphique…) • Logicielle (de moins en moins…) SRS Day @ EPITA - 17 novembre 2010

15. Consolidation de l’infrastructure • 2 groupes de serveurs de virtualisation totalement séparés • Un pour les serveurs, l’autre pour les bureaux • Les hyperviseurs compromis n’ont pas accès au SAN ni aux serveurs critiques • Couteux ! SRS Day @ EPITA - 17 novembre 2010

16. Conclusion • Impacts opérationnels (CAPEX, OPEX) • Recommandations importantes : • Mises à jour (hyperviseur, firmware client…) • Antivirus + pare-feu • Sécurité physique + redondance + réplication • Veille technologique • Cellules de crise • Formation • Droits d’accès… • VDI de plus en plus utilisés • Nouvelles failles à découvrir • Haut niveau de technicité requis (double tranchant) SRS Day @ EPITA - 17 novembre 2010

17. Questions ? SRS Day @ EPITA - 17 novembre 2010