19、保障VDI安全：关键要素与策略

保障VDI安全：关键要素与策略

在当今数字化时代，无论是医院、高校、企业、联邦机构还是非营利组织，终端设备的安全已成为任何组织数据丢失预防和信息保障政策的关键组成部分。一系列的数据丢失事件，如维基解密事件，以及美国人口普查局、爱尔兰社会与家庭事务部或安海斯 - 布希公司等机构的笔记本电脑被盗且包含社保号码等，都凸显了确保敏感数据留在企业基础设施范围内的重要性。

1. 终端设备安全现状与选择

在传统的物理桌面模式中，终端用户会被分配包含可写介质（硬盘）的台式机或笔记本电脑。这些终端设备会存储用户的个人资料、文件共享数据副本、浏览器缓存、纯文本文档、图像、电子表格以及其他业务和个人数据。即便对终端设备的硬盘进行加密，敏感数据仍可能存在于笔记本电脑中。随着高功率计算实例（如亚马逊 EC2 GPU 实例）的出现，其处理能力非常适合密码破解算法，密码和加密算法的破解可以被卸载到公共云。因此，最安全的终端设备是不存储任何敏感信息的设备，无论是否加密。基于此，PCoIP 零客户端（配备泰雷兹 PCoIP 芯片的终端设备）比瘦客户端（具有锁定操作系统）更安全，而两者都比胖客户端（传统笔记本电脑或台式机）安全得多。

2. VDI 的固有安全性

一个设计合理的虚拟桌面基础架构（VDI）解决方案，所有敏感数据都存放在安全的数据中心，而不是像笔记本电脑和台式机等设备的硬盘上。虽然可以将虚拟桌面（vDesktop）中的数据复制到插入终端设备的 USB 拇指驱动器中，但也可以防止此类设备的 USB 重定向。在安全的 VDI 实现中，通常传输的唯一数据是视觉和音频流，以将桌面体验传递到终端设备。这意味着，如果终端用户在连接到他们的 vDesktop 时使用 Microsoft Word