ハイブリッドワーク環境における「VDI（仮想デスクトップ）」のセキュリティ再設計
確認時の注意：事例の報道内容や影響範囲は更新される可能性があります。公開時点の一次情報、公式発表、脆弱性情報を確認し、環境の所有者の承認とバックアップを準備してから対策を適用してください。
【背景と概要】
在宅勤務やハイブリッドワークの普及に伴い、従業員に社内データを持たせずに安全な端末環境を提供する方法として「VDI（Virtual Desktop Infrastructure：仮想デスクトップ）」の導入が進みました。
VDIは「端末にデータが残らないため安全」と評価されてきましたが、VDI自体の基盤（Citrix、VMware Horizon、Amazon WorkSpaces等）の未修復脆弱性を突く攻撃や、VDIセッションに対するクレデンシャル強奪が増加しており、VDIを導入しているからといって「安全が保障されるわけではない」という認識のもとでセキュリティの再設計が求められています。
【VDI環境が直面しているセキュリティ上の課題】
VDI特有の集中管理構造が裏目に出るケースが存在します。
- VDIゲートウェイ機器の脆弱性と突破
インターネットに露出しているVDIのアクセスゲートウェイ機器に脆弱性が存在する場合、攻撃者はそこから侵入してVDI基盤全体の管理者権限を獲得する恐れがあります。
- 画面転送を通じた「クリップボード・ローカルドライブ経由」の流出
VDIの設定において、ローカルPCとの間の「クリップボード共有（コピー＆ペースト）」や「ローカルドライブのマウント」が許可されている場合、VDI内部の機密データがローカル端末側へ簡単に持ち出されてしまいます。
- VDI内部でのマルウェア横展開
VDIの仮想デスクトップ同士が同じ内部ネットワークセグメントに配置されている場合、一契約者のVDIが感染すると、他の従業員のVDIへ内部で横移動（ラテラルムーブメント）が発生します。
【VDI環境を安全に運用するための再設計ポイント】
VDI内部に対しても「ゼロトラスト原則」を適用することが推奨されます。
- VDIアクセスに対する「フィッシング耐性MFA」と条件付きアクセス
VDIへのログイン時には、単なるID・パスワードではなく、パスキーやFIDO2ハードウェアキーによる強固なMFAを必須とし、認可された端末からのみ接続を許可します。
- クリップボード・ローカルリダイレクトの徹底制限
業務上の必要性がない限り、VDIとローカルPC間のファイル転送、クリップボード共有、ローカルプリンタ出力機能をポリシーで一括無効化します。
- VDI仮想マシン間のマイクロセグメンテーション
仮想デスクトップ（VDIマシン）同士の通信を標準で遮断（分離）し、一端末が感染しても他のVDIマシンへ感染が広がらない構造を構築します。