La Universidad de Stuttgart es el centro de un amplio ecosistema de investigación en una región económicamente fuerte. Alrededor de 23.000 estudiantes de diversas disciplinas cuentan con el apoyo de casi 5.700 empleados, todos ellos dedicados a crear excelentes condiciones para investigadores y estudiantes. Esto incluye una infraestructura digital que garantiza un acceso fluido a amplios recursos, siempre que se cuente con las autorizaciones necesarias.
La gestión del hardware y de los servicios integrales es responsabilidad del departamento de Servicios Técnicos de Información y Comunicación, que forma parte del Centro de Información y Comunicación de la universidad. El equipo de Servicios de Administración Central de este departamento se encarga del soporte centralizado de los servidores de archivos e impresión, así como de la gestión de dispositivos y parches. Además, este equipo presta soporte a aplicaciones especializadas, entre las que se incluyen la gestión de documentos y la administración de personal.
El equipo de los Servicios Centrales de Administración también es responsable del mantenimiento del Directorio Activo, que permite a empleados y estudiantes acceder a los recursos que necesitan.
«Somos responsables de la seguridad y el funcionamiento de Active Directory como parte de la gestión de identidades», explica Mike Holz, responsable de Servicios de Administración Central.
Protección de Active Directory en el núcleo
Debido a la importancia, sensibilidad y potencial valor global de los resultados de investigación de la universidad, la seguridad de acceso está sujeta al máximo escrutinio. Debe tenerse en cuenta el entorno especial en el que un gran número de estudiantes con dispositivos privados deben tener acceso a la red de la universidad a través de una VPN. Las continuas fluctuaciones de usuarios también suponen un reto para el reaprovisionamiento de derechos. Por ello, los sistemas informáticos y de gestión de personal deben estar estrechamente integrados.
«Por supuesto, supervisamos constantemente la situación actual en materia de seguridad, prestando especial atención a las infraestructuras públicas y a las universidades», explica Holz. «En los últimos años, hemos observado que los ataques contra estas entidades no dejan de aumentar. Cada vez teníamos más claro que teníamos que actuar de forma proactiva».
Garantizar el acceso a las zonas sensibles era solo una de las preocupaciones de Holz. Además, si el servicio de directorio central se viera comprometido, la capacidad de trabajo de toda la institución podría verse limitada durante días o, lo que es peor, paralizarse por completo. Por ello, Holz y su equipo barajaron la posibilidad de someter a una auditoría externa la seguridad y la funcionalidad de la infraestructura de gestión de identidades de la universidad.
«Aunque estábamos seguros de haber hecho lo necesario, seguía existiendo la posibilidad de que se nos hubieran pasado por alto algunos puntos débiles. Además, cada día surgen nuevos vectores de ataque que no podíamos haber previsto, como, por ejemplo, nuevas técnicas basadas en la inteligencia artificial».
«Sin el apoyo de un socio competente, esta evaluación nos habría exigido un gran esfuerzo para conseguir un resultado de una calidad similar. Además, habría sido necesario impartir una formación exhaustiva a nuestros empleados».
Mike Holz, Head of Central Administration Services
Evaluación de la seguridad AD con un socio competente
Para llevar a cabo una evaluación básica de la seguridad de Active Directory (ADSA), el equipo de Holz buscaba un proveedor líder en soluciones de seguridad para Active Directory que contara con la experiencia y los conocimientos suficientes sobre las últimas novedades. La decisión recayó en Semperis, un experto reconocido que ayuda a las organizaciones a proteger sus identidades y a optimizar los procesos de seguridad.
Semperis ofrece una gama de soluciones que abordan los puntos débiles y los riesgos del uso de Active Directory, supervisan los cambios en el servicio de directorio, detectan posibles amenazas incluso de usuarios con privilegios y permiten responder rápidamente a los ataques.
Basándose en la amplia experiencia adquirida en diversos proyectos en todo el mundo, Semperis ADSA ofrece una visión completa del sistema de identidad.
- Una evaluación detallada de la postura de seguridad del entorno de Active Directory proporciona a las organizaciones una sólida comprensión de los riesgos identificados y ofrece recomendaciones específicas para reforzar la seguridad de Active Directory.
- Además de identificar errores de configuración peligrosos y los riesgos asociados, la evaluación detecta rutas de ataque dentro del entorno AD que podrían permitir a un atacante poner en peligro recursos críticos de nivel 0.
- Una revisión de la arquitectura de seguridad y los procesos operativos completa la evaluación identificando desviaciones de las mejores prácticas. Las entrevistas con personas y expertos en ámbitos clave como la gobernanza de la seguridad, la arquitectura de redes, los dominios de confianza, la administración de sistemas y la supervisión de la seguridad descubren posibles vulnerabilidades y sirven de base para las recomendaciones pertinentes.
El resultado son recomendaciones a medida para reforzar la seguridad, incluidas las mejores prácticas para configurar Active Directory de forma segura. La aplicación de estas medidas es responsabilidad de la organización.
Un proceso de evaluación de la seguridad fluido y eficaz
Una vez tomada la decisión de abordar el proyecto, se reunieron los equipos pertinentes y se emprendió un proceso estructurado.
Dirigidos por el equipo de gestión del proyecto, expertos de Semperis de todo el mundo aportaron su experiencia a la evaluación. Se utilizaron herramientas para capturar de forma eficiente y automática la configuración de Active Directory y la información complementaria necesaria para el análisis.
Este enfoque coordinado redujo al mínimo la carga de trabajo para el personal de TI de la propia universidad. La evaluación completa —que incluía la definición del objetivo, la clarificación de los ámbitos que debían evaluarse, el inventario de la estructura de identidades, el análisis de todo el entorno y la evaluación de riesgos— se llevó a cabo en unas seis u ocho semanas. El tiempo neto que se requirió del personal de los servicios administrativos centrales de la universidad fue de solo unos pocos días.
El análisis resultante proporcionó a la universidad una visión completa de la infraestructura y los procesos existentes.
«De hecho, solo se detectaron unos pocos problemas graves», señala Holz. «Sobre todo si lo comparamos con otras instituciones de nuestro tamaño y con requisitos de seguridad similares, el resultado fue bastante positivo».
Sin embargo, esto no significa que podamos seguir con las prácticas actuales sin preocuparnos. «Algunos aspectos [de la evaluación] nos dan motivos para analizar ciertos puntos que, dados los posibles riesgos, deberían abordarse ahora paso a paso».
Transferencia de conocimientos incluida
Aunque el resultado de la evaluación puso de manifiesto en gran medida el buen trabajo realizado por el equipo de la universidad, su puesta en práctica tiene otras muchas repercusiones positivas.
En primer lugar, refuerza la confianza en los mecanismos de seguridad establecidos y en las personas implicadas. Además, mejora la reputación de la universidad en el ecosistema internacional, fomentando una cooperación de confianza con otras instituciones científicas y socios del sector empresarial.
Además, los resultados del análisis ayudarán a la universidad a distribuir los recursos humanos disponibles de forma más eficaz. No se puede subestimar este efecto positivo, explica Holz. «Sin el apoyo de un socio competente, esta evaluación nos habría exigido un gran esfuerzo para lograr un resultado de calidad similar. Y habría requerido una formación exhaustiva de nuestros empleados».
«De hecho —afirma—, los conocimientos de nuestro propio equipo han aumentado considerablemente gracias a la colaboración con los expertos de Semperis en lo que respecta al funcionamiento y las vulnerabilidades de Active Directory: una transferencia de conocimientos que ha sido todo un éxito».
Desde una perspectiva a largo plazo, el equipo de AD de la universidad considera que está bien preparado gracias a los procesos ya optimizados, aunque también reconoce que no se puede garantizar una seguridad absoluta en un entorno tan dinámico.
«Dado el esfuerzo que están realizando las partes interesadas para obtener resultados de investigación valiosos, incluido el uso de tecnologías de inteligencia artificial, debemos hacer frente continuamente a nuevos vectores de ataque».
De hecho, la gestión de identidades siempre conlleva riesgos, pero estos pueden minimizarse mediante métodos como el seguimiento de cambios y la corrección automática. En última instancia, incluso en el peor de los casos, es importante poder restaurar el Active Directory en cuestión de minutos. Para ello existen herramientas como Active Directory Forest Recovery , que pueden implementarse con un esfuerzo mínimo.
