Banyak solusi Infrastruktur Desktop Virtual (VDI) menawarkan baik klien asli maupun alternatif berbasis HTML5; yang terakhir ini tentu saja memiliki keunggulan karena tidak memerlukan instalasi apa pun di komputer pengguna dan memungkinkan pengguna untuk mengaksesnya dari perangkat apa pun.
Klien HTML5 memang bukanlah hal baru, namun hingga baru-baru ini, kinerjanya masih jauh di bawah alternatif berbasis aplikasi asli.
Meskipun HTML5 kini telah memberikan pengalaman pengguna yang dianggap cukup baik oleh banyak pihak, masih ada pertanyaan mengenai masalah keamanan dan privasi, yang tidak dapat dipenuhi oleh fitur-fitur yang disediakan oleh peramban. Di banyak industri yang diatur, keamanan seharusnya lebih diutamakan daripada kemudahan penggunaan—selama masih dalam batas yang wajar—sehingga pertanyaan apakah VDI berbasis HTML5 cukup aman menjadi sangat penting.
Apakah isolasi yang disediakan oleh klien HTML5 memberikan keamanan yang memadai sehingga perangkat pribadi yang tidak dikelola pun dapat digunakan untuk mengakses aplikasi penting, misalnya aplikasi perbankan, dengan aman?
Mengujinya
Kami mensimulasikan sebuah malware berbahaya yang merekam layar untuk mengumpulkan informasi pada perangkat host saat terhubung ke berbagai situs. “Serangan” tersebut berhasil, dan kami berhasil mengekstrak informasi dari sesi HTML5 yang sedang berlangsung. Dengan fitur “MetaDefender Access”, kami kemudian menerapkan profil untuk mencegah perekaman layar, dan peretas pun melihat layar hitam seperti pada contoh di sini:
Lalu, ApakahSolusi VDI Berbasis HTML5 Cukup Aman untuk Lembaga Keuangan ?
Singkatnya, tidak.
Masih ada risiko yang cukup besar terkait masalah privasi dan keamanan yang secara inheren timbul dari setiap perangkat yang terhubung ke sumber daya perusahaan, terutama di sektor yang diatur oleh peraturan.
Sebagai bagian dari metodologi zero-trust, sangatlah penting untuk memastikan perangkat menerapkan praktik keamanan yang baik sebelum mengizinkan koneksi, seperti solusi antimalware yang selalu diperbarui dan dikonfigurasi sepenuhnya, drive terenkripsi, kunci layar yang diaktifkan, dan sebagainya. Selain itu, sangatlah penting untuk mendapatkan gambaran umum mengenai status kepatuhan organisasi untuk keperluan audit.
Misalkan organisasi Anda telah memutuskan untuk mengizinkan perangkat apa pun terhubung ke sumber daya perusahaan melalui HTML5. Ada kemungkinan perlindungan terhadap malware tidak diaktifkan, dan bahkan jika sudah diaktifkan, ada kemungkinan bahwa trojan akses jarak jauh (RAT) yang berbahaya mampu menghindari deteksi tersebut.
Jika So, Wapa yang Risikonya?
Risikonya adalah mereka akan mengakses data secara jarak jauh melalui tangkapan layar dan pencatatan ketikan, tanpa sepengetahuan pemilik perangkat atau perusahaan.
Akibatnya, data sensitif yang ditampilkan dan dimasukkan ke dalam sesi HTML5 bocor ke tangan penyerang.
Untuk melindungi diri dari serangan yang sebenarnya tidak terlalu mustahil ini, penting untuk menggunakan fitur perlindungan tangkapan layar dan teknologi anti-keylogger yang dapat menggagalkan upaya penyerang.
Tidak Dragu Atentang hal itu. CKepatuhan dan PPrivasi Regulasi NPerlu harus Tdilakukan Sdengan serius.
Perusahaan seperti Morgan Stanley dan JP Morgan baru-baru ini sama-sama belajar dari pelajaran yang sangat mahal ini. Oleh karena itu, sangatlah penting untuk menerapkan pendekatan pertahanan berlapis. OPSWAT menawarkan teknologi semacam itu sebagai bagian dari solusi MetaDefender Access.
- Jika fitur pencegahan tangkapan layar di MetaDefender Access diaktifkan, gambar yang ditangkap akan diganti dengan gambar kosong, seperti yang ditunjukkan di sini:
- MetaDefender Fitur Kontrol Aplikasi di Access memblokir penggunaan aplikasi pesan, seperti WhatsApp, saat aplikasi tersebut terhubung ke sistem VDI perusahaan
- Dengan fitur anti-keylogging di MetaDefender Access yang diaktifkan, peretas hanya akan melihat teks acak, bukan apa yang diketik pengguna, seperti yang ditunjukkan di sini:
Kekuatan Sejati untuk Perlindungan Sejati
MetaDefender Access memberikan perlindungan yang diperlukan untuk mencegah kebocoran data dan menghindari denda, namun kekuatan sesungguhnya dalam perlindungan VDI terletak pada integrasi yang ditawarkan bersama VMware Horizon.
OPSWAT telah menjalin kemitraan dengan VMware untuk menyediakan solusi bersama yang terintegrasi secara erat, yang dapat memastikan bahwa langkah-langkah perlindungan ini telah diterapkan—dengan pendekatan zero-trust—baik sebelum maupun saat pengguna mengakses aplikasi melalui Horizon.
Misalnya, jika seorang pengguna memanipulasi berkas MetaDefender Endpoint untuk menonaktifkan perlindungan tangkapan layar, pengguna tersebut akan diblokir dari akses ke sesi VDI.
Untuk klien HTML5 Horizon, MetaDefender Access memanfaatkan solusi Manajemen Identitas dan Akses (IAM) yang sudah ada di organisasi Anda, seperti Ping Identity atau Okta, untuk memeriksa kepatuhan sebagai bagian dari proses otentikasi SAML sebelum pengguna mendapatkan akses ke aplikasi apa pun.
Hal ini terbukti efektif dalam memastikan kepatuhan — bahkan untuk kebijakan BYOD.
Kembali ke pertanyaan utama, yaitu apakah isolasi sesi VDI HTML5 sudah cukup untuk mengamankan perangkat yang tidak tepercaya, jawabannya tetap tidak.
Untuk mematuhi peraturan dan melindungi data sensitif perusahaan, penting untuk menerapkan alat-alat pertahanan berlapis pada host enclave yang dilengkapi dengan kemampuan seperti yang ditawarkan oleh MetaDefender Access.
