[PT-BR] Harmony Endpoint em VDI: Scan Storms e o S...

jorgeluiznim

Artigo 9 da serie Harmony Endpoint Deep Dives · Nota sobre a gestão: o Harmony Endpoint é gerenciado pela nuvem (Infinity Portal / Web Management) na maioria das implantações de hoje. A configuração abaixo é escrita para o modelo em nuvem; o equivalente on-premises (SmartEndpoint) está resumido no fim da seção de configuração.

Objetivo

Antivírus em VDI tem dois modos clássicos de falha: scan storms que esmagam o hypervisor, e desktops non-persistent que nascem com assinaturas velhas toda manhã. Este artigo cobre como o Harmony Endpoint resolve os dois: estratégia de periodic scan, a matriz de suporte de blades por tipo de desktop e a arquitetura do Shared Signature Server, configurado pelo console cloud Web Management.

Público

[x] Administradores de Endpoint
[x] Engenheiros de Segurança
[x] Times de VDI / Virtualização
[ ] Analistas SOC
[ ] Iniciantes

Pré-requisitos

Uma plataforma VDI: VMware Horizon (client E81.00+ para Persistent, E83.10+ para Non-Persistent) ou Citrix XenDesktop (E84.20+)
AD Scanner habilitado, obrigatório em ambientes VDI
Agent Upgrade Best Practices (Artigo 5) para o versionamento da Golden Image

VDI em 60 Segundos (como o guia define)

A Golden Image é a imagem-base ("Master") e o modelo para as imagens clonadas
Desktop Pools definem os recursos de servidor para os desktops virtuais
Persistent Mode: cada usuário tem um desktop dedicado que retém dados entre logins/reboots
Non-Persistent Mode: os desktops vêm de um pool e revertem ao estado inicial no logout. Cada login é uma máquina nova

Versões testadas (pelo guia): VMware Horizon 7 (7.6/7.10 com E81.00/E83.10; 7.13 com E86.60), Horizon 8.3 (E86.60), Citrix Virtual Apps and Desktops 7 1912. Versões próximas devem funcionar; contate o Support para as mais antigas.

Problema #1: Scan Storms

"Anti-Malware Scan Storms podem ocorrer quando scans de antivírus rodam ao mesmo tempo em múltiplas máquinas virtuais no mesmo servidor físico", degradando disk I/O e CPU para todo mundo.

Duas mitigações oficiais (configuradas na Golden Image / política):

Desabilitar o Anti-Malware Periodic Scan (recomendado), máquinas non-persistent renascem limpas de qualquer forma
Se mantiver: habilite Randomize scan time (Web & Files Protection > Advanced Settings > Files Protection > Scan). Com período semanal, o scan é randomizado dentro da semana, espalhando a carga

Problema #2: Desktops Novos, Assinaturas Velhas, e o Shared Signature Server

Todo desktop non-persistent nasce da Golden Image, com as assinaturas congeladas na data de criação da imagem. Baixar assinaturas completas a cada boot, em cada desktop, derreteria a WAN. A solução:

Fatos do guia:

O Shared Signature Server instala como um client Endpoint Security comum e "vira" servidor de assinaturas via política
Ele mantém as assinaturas mais recentes numa pasta compartilhada read-only, atualizada conforme a política
Precisa rodar numa máquina virtual persistente, de preferência no mesmo storage dos clients
Todos os endpoints conectados a ele precisam estar no mesmo domínio
Se o servidor estiver indisponível, os clients usam as assinaturas da Golden Image (degradação graciosa)

Configuração: gerenciamento cloud (Web Management), E84.20+

Lado servidor: crie um Virtual Group para a máquina do signature server > clone uma regra de Threat Prevention e atribua > Policy > Web & Files Protection > Advanced Settings > Files Protection > Signature > selecione Set as shared signature server + o caminho local da pasta (ex.: C:\Signatures, criada automaticamente se não existir) > configure a Frequency de atualização > Save > Install Policy.

Lado client (Golden Image): desabilite o Anti-Malware Periodic Scan e, na mesma janela Files Protection > Signature, informe o UNC da pasta compartilhada (ex.: \\<IP do servidor>\Signatures) para os clients non-persistent lerem as assinaturas do servidor.

Atenção (do guia): se você desmarcar e remarcar Set as shared signature server, o servidor para de compartilhar assinaturas. Para resolver, desinstale e reinstale o client na máquina do Shared Signature Server.

Ordem de rollout recomendada (oficial):

Equivalente on-premises: no SmartEndpoint o mesmo resultado se monta com dois Computer Groups (signature server + clients non-persistent) e duas regras de Anti-Malware, onde a regra dos clients define Signature Source = Shared Signature Server apontando para \\<IP do servidor>\pasta. O fluxo cloud acima substitui isso.

Matriz de Suporte de Blades em Desktops Non-Persistent

Desktops persistent têm as mesmas capacidades dos desktops físicos. O non-persistent é onde você precisa planejar:

Blade	Suporte em non-persistent	Observações
Anti-Malware	Total	Quando configurado com o Shared Signature Server
Compliance, Firewall & App Control, Remote Access VPN, URL Filtering	Total	Sem ressalva específica de VDI
Media Encryption & Port Protection	Total	Horizon: client E86.40+; Citrix PVS: E86.50+
Forensics	Parcial	Database guarda só dados da sessão atual; relatórios geram normalmente
Threat Emulation & Anti-Exploit	Parcial	Assinaturas sem cache, baixadas a cada nova instância
Anti-Bot	Parcial	Assinaturas sem cache; dados em cache (URLs verificadas no ThreatCloud, Detection List) perdidos no logoff
Behavioral Guard	Parcial	Assinaturas baixadas por instância
Honeypots de ransomware	Parcial	Fazem parte da Golden Image
Full Disk Encryption	Não suportado	Não suportado em desktops non-persistent

Nota sobre o Capsule Docs: o Capsule Docs não é uma limitação específica de VDI. A partir do E89.00 ele entrou em End of Support no produto inteiro. Para atualizar para o E89.x uma máquina com Capsule Docs gerenciado, é preciso desinstalar o Capsule Docs antes (sk183132).

Configuração de Pool Que Funciona (Horizon)

Para pools persistent, as escolhas obrigatórias do guia:

Automated Desktop Pool
User Assignment: Dedicated + Enable automatic assignment
vCenter: Instant Clones ou View Composer Linked Clones. Full Clones não são suportados atualmente
Guest Customization: Allow reuse of pre-existing computer account

Pontos-chave do Citrix: Single-Session OS + experiência de desktop dedicada.

Dica (do guia): use um padrão de nomes diferente para as máquinas de cada pool.

Boas Práticas

Boa prática: desabilite o Periodic Scan em VDI (ou no mínimo habilite o scan randomizado). Scan storm é indisponibilidade autoinfligida.

Boa prática: rode o Shared Signature Server numa VM persistente no mesmo storage dos clients, e valide com um pool de teste antes do de produção.

Boa prática: mantenha a versão de client e as assinaturas da Golden Image frescas. Ela é o template dos clones e o fallback de assinaturas.

Erros Comuns

Erro	Impacto	Solução
Periodic Scan padrão em dezenas de VMs por host	Scan storm: degradação de disk I/O e CPU	Desabilite ou randomize o scan
Planejar FDE em desktops non-persistent	Não suportado	FDE só em persistent/físico
Signature server numa VM non-persistent	O "servidor" reverte e perde as assinaturas	Só VM persistente
Clients em domínio diferente do signature server	Não conseguem consumir o share	Requisito de mesmo domínio
Full Clones no Horizon	Não suportado	Instant Clones ou Linked Clones
Esquecer o AD Scanner	Requisito de VDI não atendido	Habilite o AD Scanner

Troubleshooting

Sintoma: Desktops non-persistent reportam assinaturas de Anti-Malware desatualizadas. Causas-raiz e verificações:

VM do Shared Signature Server fora ou revertida: confirme que é persistente e está rodando
Share inacessível: teste \\<servidor>\<pasta> de uma VM do pool; verifique o mesmo domínio
Política do signature server: confirme Set as shared signature server e a Frequency
Regra dos clients: confirme que a Signature Source aponta para a localização correta
Lembre do fallback: se o servidor está indisponível, os clients usam silenciosamente as assinaturas da Golden Image. Imagem velha significa fallback velho
Versão do client: em clients abaixo do E89.10, a atualização de assinaturas do Anti-Malware pela pasta compartilhada (e pelo Super Node) podia falhar em propagar do servidor para o client e exigia retentativas manuais. A Check Point corrigiu isso no E89.10 (AHTP-32998), a versão Recommended atual, então rode E89.10 ou superior no signature server e nos clients.

FAQ

P: Desktops persistent precisam do Shared Signature Server? R: Não, eles retêm estado e atualizam assinaturas como máquinas físicas. A solução mira os pools non-persistent.

P: O que acontece se o signature server cair? R: Os clients usam as assinaturas da Golden Image. A proteção continua, mas envelhece até o servidor voltar.

P: Posso criptografar desktops non-persistent com FDE? R: Não, o FDE não é suportado em non-persistent. (O Capsule Docs, à parte, entrou em End of Support no produto inteiro no E89.00.)

P: Quais versões de client destravaram o suporte a VDI? R: Horizon Persistent: E81.00+; Horizon Non-Persistent: E83.10+; Citrix XenDesktop: E84.20+; suporte total de ME&PP: E86.40+ (Horizon) / E86.50+ (Citrix PVS).

Referências

Check Point Harmony Endpoint Administration Guide (cloud / Infinity Portal), Endpoint Security for Windows Virtual Desktop Infrastructure (VDI) (Golden Image, pools, scan storms, Shared Signature Server, matriz de blades)
Check Point Harmony Endpoint Administration Guide (cloud / Infinity Portal), Web & Files Protection > Files Protection > Signature (Set as shared signature server)
Check Point SecureKnowledge sk183132, Enterprise Endpoint Security E89.10 Windows Clients (End of Support do Capsule Docs; correção AHTP-32998 de propagação de assinaturas na pasta compartilhada / Super Node)

Histórico de Revisões

Data	Versão	Autor	Mudanças
2026-07-16	1.0	Jorge Luiz	Versão inicial
2026-07-30	2.0	Jorge Luiz	Revalidação cloud-first: configuração cloud (Web Management) como primária, on-premises SmartEndpoint condensado numa nota; adicionado o passo de assinatura no lado client (Golden Image) e o aviso de remarcação do cap. VDI; Referências apontam para o Administration Guide cloud
2026-09-08	2.1	Jorge Luiz	Revalidado contra o release Recommended E89.10: Capsule Docs saiu da matriz de blades de VDI (agora em End of Support no produto inteiro, sk183132) e virou nota; adicionada ao Troubleshooting a correção de propagação de assinaturas do E89.10 (AHTP-32998); sk183132 incluída nas Referências; removidos emoji e travessões para leitura mais limpa

Versões Suportadas: Harmony Endpoint gerenciado na nuvem (Infinity Portal / Web Management); VMware Horizon (E81.00+/E83.10+), Citrix XenDesktop (E84.20+); validado contra o client Endpoint E89.10 (Recommended) Última Atualização: 2026-09-08