Secure Remote Desktop (VDI)

Virtuelle Desktop-Infrastrukturen (VDI) wie Azure Virtual Desktop bieten eine kontrollierte Umgebung, bergen aber das Risiko von Session-Hijacking.

Deine Strategie

Behandle die VDI-Umgebung als isolierte Sicherheitszone. Erzwinge MFA beim Verbindungsaufbau und nutze kurzlebige Sitzungen, um die Persistenz von Angreifern zu verhindern.

Best Practices

▸MFA: Ohne starke Authentifizierung kein Zugriff auf die VDI-Gatways.
▸Isolation: Unterbinde die Zwischenablage und Laufwerks-Umleitungen von privaten Endgeräten in die VDI.
▸Patching: Halte die Basis-Images der virtuellen Desktops täglich aktuell.

STRIDE-LM Design-Risiken

SpoofingS-WKP-01

VDI Session Hijacking

Übernahme einer aktiven virtuellen Desktop-Sitzung.

TamperingT-01

Data Tampering

Unbefugte Änderung von geteilten Daten oder Konfigurationen.

RepudiationR-01

Audit Log Manipulation

Löschen oder Verändern von Spuren einer Aktion.

Information DisclosureI-01

Sensitive Data Exposure

Unbeabsichtigte Offenlegung von internen Informationen an Externe.

Denial of ServiceD-01

Resource Exhaustion

Überlastung von Systemen durch massenhafte Anfragen oder Ressourcen-Hogging.

Elevation of PrivilegeE-01

Privilege Escalation

Erlangung von Rechten, die über das vorgesehene Mass hinausgehen.

Lateral MovementL-01

Lateral Movement

Zugriff auf weitere interne Systeme nach erstem Login.

Monitoring GapsM-01

Insufficient Logging

Fehlende oder unzureichende Aufzeichnung von sicherheitsrelevanten Ereignissen.

MITRE ATT&CK® Techniken

Reconnaissance

T1592

Gather Victim Digital Network Information

ATT&CK

Sammeln von Informationen über die Ziel-Infrastruktur.

Mitigiert durch

Data Anonymization (Differential Privacy)Erweiterter SchutzHoch

NIST: PR.PT-3

Initial Access

T1133

External Remote Services

ATT&CK

Zugriff über VPNs oder Cloud-Management-Schnittstellen.

Mitigiert durch

Conditional Access PoliciesGrundschutzMittel

CIS: 6.1NIST: PR.AC-7OWASP: API2

T1078

Valid Accounts

ATT&CK

Ausnutzung bestehender Anmeldedaten für den Zugriff.

Mitigiert durch

Conditional Access PoliciesGrundschutzMittel

CIS: 6.1NIST: PR.AC-7OWASP: API2

FIDO2 EnforcementGrundschutzMittel

CIS: 6.5NIST: PR.AC-7OWASP: A07:2021

Least Privilege PrincipleGrundschutzMittel

CIS: 6.2NIST: PR.AC-6OWASP: A01:2021

Privileged Identity Management (PIM)GrundschutzMittel

CIS: 6.2NIST: PR.AC-1OWASP: A01:2021

MFA for Windows Sign-inErweiterter SchutzMittel

CIS: 6.5NIST: PR.AC-7

Regular Access ReviewsGrundschutzNiedrig

CIS: 6.6NIST: PR.AC-1OWASP: A01:2021

Persistence

T1098

Account Manipulation

ATT&CK

Ändern von Berechtigungen oder Erstellen neuer Konten.

Mitigiert durch

Privileged Identity Management (PIM)GrundschutzMittel

CIS: 6.2NIST: PR.AC-1OWASP: A01:2021

Regular Access ReviewsGrundschutzNiedrig

CIS: 6.6NIST: PR.AC-1OWASP: A01:2021

Credential Access

T1557

Adversary-in-the-Middle

ATT&CK

Abfangen von Kommunikation zwischen zwei Parteien.

Mitigiert durch

Privileged Access Workstation (PAW)Erweiterter SchutzHoch

CIS: 6.4NIST: PR.AC-3

T1539

Steal Web Session Cookie

ATT&CK

Abgreifen von aktiven Session-Tokens zur Umgehung der Authentifizierung.

Mitigiert durch

Conditional Access PoliciesGrundschutzMittel

CIS: 6.1NIST: PR.AC-7OWASP: API2

FIDO2 EnforcementGrundschutzMittel

CIS: 6.5NIST: PR.AC-7OWASP: A07:2021

T1110

Brute Force

ATT&CK

Versuche, durch systematisches Ausprobieren Zugriff auf Konten oder API-Keys zu erhalten.

Mitigiert durch

FIDO2 EnforcementGrundschutzMittel

CIS: 6.5NIST: PR.AC-7OWASP: A07:2021

T1003

OS Credential Dumping

ATT&CK

Extrahieren von Anmeldedaten aus dem Betriebssystem.

Mitigiert durch

MFA for Windows Sign-inErweiterter SchutzMittel

CIS: 6.5NIST: PR.AC-7

Privileged Access Workstation (PAW)Erweiterter SchutzHoch

CIS: 6.4NIST: PR.AC-3

Lateral Movement

T1021

Remote Services

ATT&CK

Nutzung legitimer Remote-Dienste für laterale Bewegung im Netzwerk.

Mitigiert durch

Regular Access ReviewsGrundschutzNiedrig

CIS: 6.6NIST: PR.AC-1OWASP: A01:2021

Collection

T1213

Data from Information Repositories

ATT&CK

Abgreifen von Daten aus Wissensdatenbanken (SharePoint, Confluence).

Mitigiert durch

Least Privilege PrincipleGrundschutzMittel

CIS: 6.2NIST: PR.AC-6OWASP: A01:2021

Dein Szenario ist komplexer?

Die AYSOLI Experten unterstützen dich bei der Umsetzung deiner spezifischen Sicherheitsanforderungen.

Kostenloses Erstgespräch

Secure Remote Desktop (VDI) | IT-Sicherheit Checkliste für KMU · AYSOLI Security Hub