Wie MightyCare VDI-Performance, Security und Golden-Image-Management gemeinsam stabilisierte
Lange Anmeldezeiten, Lastspitzen und wiederkehrende Security-Tickets: Ein Unternehmen betrieb rund 400 virtuelle Windows-Arbeitsplätze mit Omnissa Horizon und Bitdefender GravityZone. Beide Plattformen waren eingerichtet, wurden jedoch weitgehend getrennt betrachtet. Bei Störungen blieb deshalb häufig offen, ob Security, Golden Image, Storage oder Horizon die Ursache waren.
MightyCare führte Fehleranalyse und Betrieb über diese Grenzen hinweg zusammen. Nach der Optimierung sank die P95-Anmeldezeit von 58 auf 36 Sekunden. Die Host-CPU-Spitze sank von 79 auf 63 Prozent, die P95-Storage-Leselatenz halbierte sich von 22 auf 11 Millisekunden.
Der entscheidende Schritt war kein Produktwechsel, sondern die VDI-gerechte Integration und der koordinierte Betrieb der vorhandenen Security-Lösung.
Was ist MightyCare VDI Defense?
MightyCare VDI Defense ist der Managed Integrations- und Betriebsservice von MightyCare für Bitdefender GravityZone in Omnissa-Horizon-Umgebungen. MightyCare verbindet Endpoint-Security-Kompetenz mit Golden-Image-, Instant-Clone- und VDI-Betriebskompetenz und übernimmt auf Wunsch den laufenden Managed Betrieb. EDR- und Response-Funktionen werden entsprechend des eingesetzten GravityZone-Lizenzumfangs eingebunden.
Diese Case Study basiert auf einem realen Kundenprojekt. Kundenspezifische Angaben wurden anonymisiert.
Das Projekt auf einen Blick
| Bereich | Kundenumgebung |
| Virtuelle Arbeitsplätze | Rund 400 nicht persistente Windows-Desktops |
| VDI-Plattform | Omnissa Horizon 8 mit Instant Clones auf acht ESXi-Hosts |
| Anwendungen und Benutzerumgebung | App Volumes und Dynamic Environment Manager |
| Endpoint Security | Bitdefender GravityZone On-Premises, BEST-Agent im Golden Image, Central Scan über Security Server |
| MightyCare-Leistungen | Troubleshooting, Security-Server-Optimierung, Golden-Image- und Update-Management, Policy Tuning und Managed Operations |
Ausgangslage: Ein Login-Problem mit mehreren Ursachen
Nach Änderungen am Golden Image, am Bitdefender Endpoint Security Tools Agent – kurz BEST – und an Security Policies verschlechterten sich die Anmeldezeiten. Gleichzeitig erschienen einzelne Clones verspätet oder doppelt in der Security-Verwaltung. Security Server waren zeitweise nicht erreichbar, Hosts und Storage verzeichneten Lastspitzen.
Für die Anwender war das Problem eindeutig: Der virtuelle Arbeitsplatz startete zu langsam. Für die beteiligten Betriebsteams war die Ursache weniger klar.
Die Kunden-IT und der bisherige Security-Dienstleister betrachteten jeweils ihren Zuständigkeitsbereich. Eine Policy ließ sich in GravityZone ändern, eine Storage-Latenz im Infrastruktur-Monitoring erkennen. Es fehlte jedoch die gemeinsame Analyse des gesamten Anmeldevorgangs.
MightyCare setzte deshalb nicht mit zusätzlichen Scan-Ausnahmen an, sondern mit der Frage:
Welche Komponenten belasten sich während der VDI-Anmeldung gegenseitig?
Die Lösung: GravityZone und Horizon gemeinsam betreiben
Im Kundenprojekt wurden Security-Ereignisse nicht isoliert bewertet, sondern mit Horizon-Provisionierung, Anwendungsbereitstellung, Benutzerumgebung und Infrastrukturkennzahlen zusammengeführt.
Damit wurde GravityZone nicht als separate Security-Lösung neben Horizon betrachtet, sondern als Bestandteil des gesamten VDI-Betriebsmodells.
Troubleshooting bis zur tatsächlichen Ursache
MightyCare verglich die zeitlichen Abläufe von Horizon, BEST, App Volumes und Dynamic Environment Manager mit Host-Auslastung, Storage-Latenzen und der Erreichbarkeit der Security Server.
Dabei zeigte sich ein Zusammenspiel mehrerer Belastungen: Scan- und Updateaktivitäten überschnitten sich mit der morgendlichen Anmeldewelle. Die vorhandenen Security Server wurden ungleichmäßig genutzt. Zusätzlich beeinträchtigte eine zu breit wirkende Scan-Policy eine Fachanwendung.
MightyCare entzerrte die geplanten Security-Aktivitäten, vereinheitlichte die Scanserver-Verteilung und überprüfte die betroffene Policy.
Aus dem unspezifischen Verdacht „Bitdefender macht die VDI langsam“ wurde eine nachvollziehbare Diagnose mit konkreten Maßnahmen.
Central Scan: vorhandene VDI-Vorteile richtig nutzen
Bitdefender GravityZone war bereits mit zentralem Scanning im Einsatz. Die Optimierung bestand daher nicht darin, lediglich weitere Security-Komponenten zu installieren.
Beim Central Scan übernehmen Security Server wesentliche Antimalware-Aufgaben von den virtuellen Desktops. Caching reduziert wiederholte Prüfungen identischer Dateien – besonders relevant, wenn viele Clones aus demselben Golden Image entstehen.
MightyCare überprüfte die tatsächliche Scanlast, die Ressourcenausstattung der Security Server, ihre Zuordnung und die verfügbaren Kapazitätsreserven. Die Verteilung wurde vereinheitlicht und mit dem Verhalten der Desktop-Pools abgestimmt.
Auch Wartungs- und Ausfallszenarien wurden berücksichtigt: alternative Security Server sowie ein Local-Scan-Fallback mit den dafür erforderlichen lokalen Komponenten.
Der Nutzen lag nicht allein im Central Scan, sondern in einer Scan-Infrastruktur, die zur realen Horizon-Last passte.
Golden Images: Security-Updates kontrolliert ausrollen
Ein BEST-Update im Golden Image kann sich auf einen ganzen Desktop-Pool auswirken. MightyCare behandelte Security-Updates deshalb als VDI-Änderung mit Test, Freigabe und Rückfallmöglichkeit.
Neue Agentenstände wurden zunächst in einer Kopie des Golden Images integriert. Anschließend prüfte MightyCare im Testpool:
- Anmeldeverhalten
- Anwendungen
- Scanmodus
- Policy-Zuweisung
- Clone-Registrierung
Erst nach Freigabe folgte der Rollout in Produktionswellen.
Die vorherige freigegebene Image-Version blieb als Rückfallpunkt verfügbar. Gleichzeitig wurde die GravityZone-Konfiguration für Golden Images und geklonte Endpoints überprüft.
Ein Security-Agent-Update auf einem einzelnen Endpoint betrifft einen Arbeitsplatz. Ein Update im Golden Image kann einen kompletten VDI-Pool betreffen.
Deshalb entstand ein reproduzierbarer Update-Prozess statt einzelner Änderungen an kurzlebigen Desktops.
Policy Tuning: gezielt anpassen statt pauschal ausschließen
Eine über App Volumes bereitgestellte Fachanwendung reagierte empfindlich auf die vorhandene Security-Konfiguration. MightyCare untersuchte, welches Schutzmodul, welcher Prozess und welcher Zugriffspfad den Konflikt auslösten.
Die Anpassung wurde auf die betroffene Anwendung und die vorgesehenen VDI-Gruppen begrenzt. Notwendige Ausnahmen wurden dokumentiert und mit Verantwortlichkeit und Überprüfungstermin versehen. Anschließend wurden Anwendungsfunktion, Login-Verhalten und Schutzfunktionen erneut getestet.
Das Ziel war nicht, Security für bessere Performance abzuschalten, sondern den konkreten Konflikt mit einer möglichst eng begrenzten Änderung zu beheben.
Incident Response: Einen Clone ersetzen heißt nicht, einen Vorfall aufzuklären
Nicht persistente Desktops erfordern auch bei Sicherheitsvorfällen einen passenden Betriebsprozess. Ein Clone kann nach der Abmeldung neu erstellt werden. Damit können lokale Spuren verschwinden, obwohl die Untersuchung noch nicht abgeschlossen ist.
MightyCare berücksichtigte deshalb die Sicherung und Zuordnung verfügbarer Alarm-, Benutzer-, Pool- und Clone-Informationen im Incident-Prozess. Anschließend lässt sich untersuchen, ob weitere Desktops, Benutzeridentitäten, App-Volumes-Pakete oder das Golden Image betroffen sind.
EDR – Endpoint Detection and Response – kann dabei Untersuchung und Reaktion unterstützen. Welche Maßnahmen, etwa eine Endpoint-Isolation, eingesetzt werden, richtet sich nach den lizenzierten Funktionen und den vereinbarten Freigaben.
Ein Recompose beziehungsweise die Neuerstellung eines Desktops beseitigt den Clone – klärt aber nicht automatisch den Security Incident.
Entscheidend ist daher nicht nur, einen betroffenen Desktop wieder bereitzustellen, sondern die Ursache und den Umfang des Vorfalls zu verstehen.
Ergebnisse: Kürzere Logins und geringere Infrastrukturbelastung
Der Vorher-nachher-Vergleich erfasste jeweils zehn Arbeitstage im morgendlichen Messfenster von 07:00 bis 10:00 Uhr. Benutzer- und Pool-Mix sowie Messmethodik wurden vergleichbar gehalten.
| Messgröße | Vorher | Nachher | Veränderung |
| P95-Anmeldezeit | 58 Sekunden | 36 Sekunden | rund 38 % kürzer |
| Host-CPU-Spitze | 79 % | 63 % | 16 % niedriger |
| P95-Storage-Leselatenz | 22 Millisekunden | 11 Millisekunden | 50 % niedriger |
P95 bezeichnet den Wert, den 95 Prozent der erfassten Messungen nicht überschreiten. Er macht auch längere Anmeldungen beziehungsweise höhere Latenzen sichtbar, die ein Durchschnittswert weniger deutlich abbildet.
Zusätzlich wurde die Clone-Zuordnung bereinigt und der Umgang mit Agentenupdates, Security Policies und Störungen vereinheitlicht.
Die Ergebnisse beziehen sich auf diese konkrete Kundenumgebung und das Zusammenspiel der Maßnahmen. Sie sind kein Vergleichstest zwischen Bitdefender und anderen Security-Produkten und keine allgemeine Leistungszusage.
Vom Troubleshooting zum laufenden Managed Service
Die Verbesserung endete nicht mit der Fehlerbehebung. MightyCare überführte die Maßnahmen in einen abgestimmten Betrieb mit der Kunden-IT.
Dazu gehören:
- Überwachung von BEST, Security Servern und Policy-Zuständen
- Beobachtung von Horizon-Pools und Clone-Provisionierung
- koordinierte Security-, Image- und VDI-Änderungen
- regelmäßige Überprüfung von Ausnahmen, Kapazität und Performance
- dokumentierte Update- und Rollback-Verfahren
- definierte Incident- und Eskalationsprozesse
Betriebs-, Update-, Rollback- und Incident-Verfahren dokumentieren, wie bei Änderungen oder Störungen vorzugehen ist. Zuständigkeiten und Herstellereskalationen sind festgelegt.
Für den Kunden bedeutet das: GravityZone und Horizon werden nicht nur gemeinsam analysiert, sondern dauerhaft aufeinander abgestimmt betrieben.
Warum ein VDI-spezialisierter Bitdefender-Partner den Unterschied machte
Die besondere Anforderung dieses Projekts war nicht die Bedienung der GravityZone-Konsole.
Der Unterschied liegt darin, Security-Probleme über die GravityZone-Konsole hinaus bis in Golden Image, Instant Clones, Hypervisor und Storage verfolgen zu können, und die notwendige Änderung anschließend kontrolliert umzusetzen.
Genau hier liegt der Mehrwert von MightyCare VDI Defense:
MightyCare verbindet Bitdefender-GravityZone-Kompetenz mit Omnissa-Horizon-Integration und Managed Operations. Dadurch werden Security, VDI-Performance und Image-Lifecycle innerhalb eines gemeinsamen Betriebsprozesses betrachtet.
Für Unternehmen mit nicht persistenten Horizon-Desktops ist diese Verbindung ein wichtiges Auswahlkriterium. Neben den Funktionen einer Endpoint-Security- oder EDR-Lösung zählt, wer sie in die konkrete VDI integriert, ihre Auswirkungen bewertet und den laufenden Betrieb übernimmt.
Was diese Case Study zeigt
Für nicht persistente VDI ist die Auswahl der Endpoint-Security nur ein Teil der Entscheidung.
Ebenso relevant sind:
- Golden-Image-Integration
- korrektes Clone-Handling
- VDI-gerechte Scanarchitektur
- kontrollierte Agenten- und Security-Updates
- Policy Tuning mit Blick auf Security und Performance
- Incident-Prozesse für kurzlebige Desktops
- ein Betriebspartner, der Security und VDI gemeinsam analysieren kann
Bitdefender GravityZone stellt dafür VDI-spezifische technische Funktionen bereit. MightyCare VDI Defense sorgt dafür, dass diese Funktionen passend zur Omnissa-Horizon-Umgebung integriert, optimiert und dauerhaft betrieben werden.
Autor: Marc Bourgeois, IT-Consultant bei MightyCare
Bitdefender GravityZone in Ihrer VDI überprüfen
Verlängerte Login-Zeiten, wiederkehrende Agentenprobleme oder unklare Zuständigkeiten zwischen Security und VDI?
MightyCare analysiert das Zusammenspiel von Bitdefender GravityZone, Omnissa Horizon und Ihrer Infrastruktur – von der bestehenden Konfiguration über Golden Images und Security Server bis zum Update- und Betriebsprozess.
Technisches Erstgespräch zu MightyCare VDI Defense vereinbaren
