Die Universität Stuttgart ist das Zentrum eines breit gefächerten Forschungsökosystems in einer wirtschaftlich starken Region. Rund 23.000 Studierende in einer Vielzahl von Disziplinen werden von fast 5.700 Mitarbeitern unterstützt, die sich alle dafür einsetzen, hervorragende Bedingungen für Forscher und Studierende zu schaffen. Dazu gehört auch eine digitale Infrastruktur, die einen reibungslosen Zugang zu umfassenden Ressourcen garantiert - vorausgesetzt, die notwendigen Genehmigungen sind vorhanden.
Die Verwaltung der Hardware und die Bereitstellung umfassender Dienstleistungen fallen in den Zuständigkeitsbereich der Abteilung „Technische Informations- und Kommunikationsdienste“, die zum Informations- und Kommunikationszentrum der Universität gehört. Das Team „Zentrale Verwaltungsdienste“ dieser Abteilung gewährleistet die zentrale Betreuung der Arbeitsplätze im Hinblick auf Datei- und Druckserver sowie das Geräte- und Patch-Management. Darüber hinaus unterstützt dieses Team Fachanwendungen, darunter das Dokumentenmanagement und die Personalverwaltung.
Das Team der zentralen Verwaltungsdienste ist auch für die Pflege des Active Directory verantwortlich, das Mitarbeitern und Studenten den Zugang zu den benötigten Ressourcen ermöglicht.
„Wir sind im Rahmen des Identitätsmanagements für die Sicherheit und den Betrieb von Active Directory verantwortlich“, erklärt Mike Holz, Leiter der Abteilung für zentrale Verwaltungsdienste.
Active Directory im Kern absichern
Aufgrund der Bedeutung, der Sensibilität und des potenziellen globalen Werts der Forschungsergebnisse der Universität unterliegt die Zugangssicherheit höchster Aufmerksamkeit. Die besondere Umgebung, in der einer großen Anzahl von Studenten mit privaten Geräten über ein VPN Zugang zum Universitätsnetzwerk gewährt werden muss, muss berücksichtigt werden. Auch die ständige Fluktuation der Nutzer stellt eine Herausforderung für die Neuvergabe von Rechten dar. Daher müssen die IT- und Personalverwaltungssysteme eng miteinander verzahnt werden.
„Selbstverständlich beobachten wir die aktuelle Sicherheitslage kontinuierlich und richten dabei unser Augenmerk insbesondere auf die öffentliche Infrastruktur und die Hochschulen“, erklärt Holz. „In den letzten Jahren haben wir festgestellt, dass die Angriffe auf diese Einrichtungen stetig zunehmen. Uns wurde zunehmend bewusst, dass wir proaktiv handeln müssen.“
Die Sicherung des Zugangs zu sensiblen Bereichen war nur eines der Anliegen von Herrn Holz. Darüber hinaus könnte im Falle einer Kompromittierung des zentralen Verzeichnisdienstes die Arbeitsfähigkeit der gesamten Einrichtung tagelang eingeschränkt werden – oder, schlimmer noch, vollständig zum Erliegen kommen. Daher erwogen Herr Holz und sein Team eine externe Prüfung der Sicherheit und Funktionalität der Identitätsmanagement-Infrastruktur der Universität.
„Auch wenn wir sicher waren, dass wir alle notwendigen Maßnahmen ergriffen hatten, bestand dennoch die Möglichkeit, dass wir Schwachstellen übersehen hatten. Und jeden Tag tauchen neue Angriffsvektoren auf, die wir unmöglich im Blick hätten haben können – zum Beispiel neue KI-basierte Techniken.“
„Ohne die Unterstützung eines kompetenten Partners hätte diese Bewertung für uns einen erheblichen Aufwand bedeutet, um ein ähnlich hochwertiges Ergebnis zu erzielen. Zudem hätte dies eine umfassende Schulung unserer Mitarbeiter erfordert.“
Mike Holz, Head of Central Administration Services
AD-Sicherheitsbewertung mit einem kompetenten Partner
Für eine grundlegende Active Directory-Sicherheitsbewertung (ADSA) suchte das Team von Herrn Holz einen führenden Anbieter von Active Directory-Sicherheitslösungen mit ausreichender Erfahrung und Kenntnis der aktuellen Entwicklungen. Die Entscheidung fiel auf Semperis, einen anerkannten Experten, der Unternehmen dabei unterstützt, ihre Identitäten zu schützen und Sicherheitsprozesse zu optimieren.
Semperis bietet eine Reihe von Lösungen an, die die Schwachstellen und Risiken bei der Verwendung von Active Directory beseitigen, Änderungen am Verzeichnisdienst überwachen, mögliche Bedrohungen selbst durch privilegierte Benutzer erkennen und eine schnelle Reaktion auf Angriffe ermöglichen.
Aufbauend auf umfangreichen Erfahrungen aus einer Vielzahl von weltweiten Projekten bietet Semperis ADSA einen umfassenden Überblick über das Identitätssystem.
- Eine detaillierte Bewertung der Sicherheitslage der Active Directory-Umgebung verschafft Unternehmen ein fundiertes Verständnis der identifizierten Risiken und liefert gezielte Empfehlungen zur Stärkung der Active Directory-Sicherheit.
- Die Bewertung identifiziert nicht nur gefährliche Fehlkonfigurationen und die damit verbundenen Risiken, sondern deckt auch Angriffspfade innerhalb der AD-Umgebung auf, die es einem Angreifer ermöglichen könnten, kritische Tier 0-Ressourcen zu kompromittieren.
- Eine Überprüfung der Sicherheitsarchitektur und der Betriebsprozesse vervollständigt die Bewertung, indem Abweichungen von bewährten Verfahren identifiziert werden. Interviews mit Mitarbeitern und Experten in Schlüsselbereichen wie Sicherheitsmanagement, Netzwerkarchitektur, Domain Trusts, Systemadministration und Sicherheitsüberwachung decken potenzielle Schwachstellen auf und geben entsprechende Empfehlungen.
Das Ergebnis sind maßgeschneiderte Empfehlungen zur Stärkung der Sicherheit, einschließlich Best Practices für die sichere Konfiguration von Active Directory. Die Umsetzung dieser Maßnahmen liegt in der Verantwortung der Organisation.
Ein reibungsloser und effizienter Prozess der Sicherheitsbewertung
Nachdem die Entscheidung getroffen war, das Projekt in Angriff zu nehmen, wurden die entsprechenden Teams zusammengestellt und ein strukturierter Prozess eingeleitet.
Unter der Leitung des Projektmanagement-Teams trugen Semperis-Experten aus der ganzen Welt ihr Fachwissen zur Bewertung bei. Es wurden Tools zur effizienten und automatischen Erfassung der Active Directory-Konfiguration und der für die Analyse erforderlichen Zusatzinformationen eingesetzt.
Durch diesen koordinierten Ansatz wurde der Zeitaufwand für das universitätseigene IT-Personal auf ein Minimum reduziert. Die gesamte Bewertung – einschließlich der Zieldefinition, der Klärung der zu bewertenden Bereiche, der Bestandsaufnahme der Identitätsstruktur, der Analyse der gesamten Umgebung und der Risikobewertung – wurde in etwa sechs bis acht Wochen abgeschlossen. Der Nettozeitaufwand für die Mitarbeiter der zentralen Verwaltungsdienste der Universität betrug lediglich einige Tage.
Die daraus resultierende Analyse verschaffte der Universität einen umfassenden Überblick über die bestehende Infrastruktur und die Prozesse.
„Tatsächlich wurden nur wenige kritische Probleme festgestellt“, bemerkt Holz. „Insbesondere im Vergleich zu anderen Einrichtungen unserer Größe und mit vergleichbaren Sicherheitsanforderungen war das Ergebnis durchaus positiv.“
Dies bedeutet jedoch nicht, dass die derzeitigen Praktiken selbstgefällig fortgeführt werden können. „Einige Aspekte [der Bewertung] geben uns Anlass, bestimmte Punkte zu prüfen, die angesichts der potenziellen Risiken nun Schritt für Schritt angegangen werden sollten.“
Know-how-Transfer inklusive
Auch wenn das Ergebnis der Bewertung vor allem die erfolgreiche Arbeit des Teams der Universität bestätigte, hat dessen Umsetzung eine Reihe weiterer positiver Auswirkungen.
Zum einen stärkt dies das Vertrauen in die bestehenden Sicherheitsmechanismen und die beteiligten Personen. Zum anderen verbessert es den Ruf der Universität im internationalen Umfeld und fördert eine vertrauensvolle Zusammenarbeit mit anderen wissenschaftlichen Einrichtungen und Partnern aus der Industrie.
Darüber hinaus werden die Ergebnisse der Analyse der Universität dabei helfen, die verfügbaren personellen Ressourcen effektiver einzusetzen. Dieser positive Effekt sei nicht zu unterschätzen, erklärt Holz. „Ohne die Unterstützung eines kompetenten Partners hätte diese Bewertung für uns einen erheblichen Aufwand bedeutet, um ein ähnlich hochwertiges Ergebnis zu erzielen. Und es hätte eine umfassende Schulung unserer Mitarbeiter erfordert.“
„Tatsächlich“, sagt er, „hat sich das Fachwissen unseres eigenen Teams durch die Zusammenarbeit mit den Experten von Semperis hinsichtlich der Funktionsweise und der Schwachstellen von Active Directory erheblich erweitert – ein gelungener Know-how-Transfer.“
Langfristig gesehen sieht sich das AD-Team der Universität mit den nun optimierten Prozessen gut gerüstet, auch wenn es sich bewusst ist, dass in einem hochdynamischen Umfeld absolute Sicherheit nicht garantiert werden kann.
„Angesichts der Anstrengungen, die interessierte Kreise unternehmen, um wertvolle Forschungsergebnisse zu erzielen – unter anderem durch den Einsatz von Technologien der künstlichen Intelligenz –, müssen wir uns kontinuierlich mit neuen Angriffsvektoren auseinandersetzen.“
Tatsächlich birgt die Verwaltung von Identitäten stets Risiken, doch diese lassen sich durch den Einsatz von Methoden wie der Änderungsverfolgung und der automatischen Fehlerbehebung minimieren. Letztendlich ist es selbst im schlimmsten Fall wichtig, das Active Directory innerhalb weniger Minuten wiederherstellen zu können. Zu diesem Zweck stehen Tools wie „ Active Directory Forest Recovery “ zur Verfügung, die mit minimalem Aufwand implementiert werden können.
