L'université de Stuttgart est au cœur d'un vaste écosystème de recherche dans une région économiquement forte. Environ 23 000 étudiants dans une variété de disciplines sont soutenus par près de 5 700 employés, tous dédiés à la création d'excellentes conditions pour les chercheurs et les étudiants. Cela inclut une infrastructure numérique qui garantit un accès aisé à des ressources complètes, à condition que les autorisations nécessaires soient en place.
La gestion du matériel informatique et des services globaux relève de la responsabilité du département des Services techniques d'information et de communication, qui fait partie du Centre d'information et de communication de l'université. L'équipe des Services administratifs centraux de ce département assure le support centralisé des postes de travail, notamment pour les serveurs de fichiers et d'impression, ainsi que la gestion des périphériques et des correctifs. De plus, cette équipe assure le support d'applications spécialisées, notamment dans les domaines de la gestion documentaire et de l'administration du personnel.
L'équipe des services d'administration centrale est également responsable de la maintenance de l'Active Directory, qui permet aux employés et aux étudiants d'accéder aux ressources dont ils ont besoin.
« Nous sommes responsables de la sécurité et du fonctionnement d'Active Directory dans le cadre de la gestion des identités », explique Mike Holz, responsable des services d'administration centrale.
Sécuriser le cœur d'Active Directory
En raison de l'importance, de la sensibilité et de la valeur mondiale potentielle des résultats de la recherche de l'université, la sécurité de l'accès est soumise à la plus grande attention. L'environnement particulier dans lequel un grand nombre d'étudiants disposant d'appareils privés doivent avoir accès au réseau de l'université par l'intermédiaire d'un VPN doit être pris en compte. Les fluctuations constantes du nombre d'utilisateurs posent également un défi pour le réapprovisionnement des droits. Par conséquent, les systèmes informatiques et de gestion du personnel doivent être étroitement intégrés.
« Bien sûr, nous surveillons en permanence la situation actuelle en matière de sécurité, en accordant une attention particulière aux infrastructures publiques et aux universités », explique M. Holz. « Ces dernières années, nous avons constaté que les attaques visant ces entités ne cessent d’augmenter. Nous avons pris de plus en plus conscience de la nécessité d’adopter une approche proactive. »
La sécurisation de l’accès aux zones sensibles n’était qu’une des préoccupations de M. Holz. En outre, si le service d’annuaire central venait à être compromis, le fonctionnement de l’ensemble de l’établissement pourrait être perturbé pendant plusieurs jours, voire, pire encore, être complètement paralysé. C’est pourquoi M. Holz et son équipe ont envisagé de faire réaliser un audit par un tiers portant sur la sécurité et le bon fonctionnement de l’infrastructure de gestion des identités de l’université.
« Même si nous étions convaincus d'avoir pris toutes les mesures nécessaires, il était toujours possible que nous ayons négligé certains points faibles. Et de nouveaux vecteurs d'attaque que nous n'aurions pas pu anticiper — par exemple, de nouvelles techniques basées sur l'IA — apparaissent chaque jour. »
« Sans le soutien d'un partenaire compétent, cette évaluation nous aurait demandé beaucoup d'efforts pour obtenir un résultat d'une qualité équivalente. Et cela aurait nécessité une formation approfondie de nos collaborateurs. »
Mike Holz, Head of Central Administration Services
Évaluation de la sécurité des AD avec un partenaire compétent
Pour réaliser un audit de sécurité Active Directory (ADSA) de base, l'équipe de Holz recherchait un prestataire de premier plan spécialisé dans les solutions de sécurité Active Directory, disposant d'une expérience et d'une connaissance suffisantes des dernières évolutions. Le choix s'est porté sur Semperis, un expert reconnu qui aide les organisations à protéger leurs identités et à optimiser leurs processus de sécurité.
Semperis propose une gamme de solutions qui traitent les faiblesses et les risques liés à l'utilisation d'Active Directory, surveillent les changements apportés au service d'annuaire, détectent les menaces éventuelles, même de la part d'utilisateurs privilégiés, et permettent de réagir rapidement aux attaques.
S'appuyant sur une vaste expérience acquise dans le cadre de divers projets internationaux, Semperis ADSA offre une vue d'ensemble du système d'identité.
- Une évaluation détaillée du niveau de sécurité de l'environnement Active Directory permet aux organisations de bien comprendre les risques identifiés et fournit des recommandations ciblées pour renforcer la sécurité d'Active Directory.
- En plus d'identifier les mauvaises configurations dangereuses et les risques associés, l'évaluation détecte les chemins d'attaque dans l'environnement AD qui pourraient permettre à un attaquant de compromettre les ressources critiques de niveau 0.
- Un examen de l'architecture de sécurité et des processus opérationnels complète l'évaluation en identifiant les écarts par rapport aux meilleures pratiques. Des entretiens avec des personnes et des experts dans des domaines clés tels que la gouvernance de la sécurité, l'architecture du réseau, la confiance dans les domaines, l'administration des systèmes et la surveillance de la sécurité permettent de découvrir des vulnérabilités potentielles et de formuler des recommandations appropriées.
Il en résulte des recommandations sur mesure pour renforcer la sécurité, y compris les meilleures pratiques pour configurer Active Directory de manière sécurisée. La mise en œuvre de ces mesures relève de la responsabilité de l'organisation.
Un processus d'évaluation de la sécurité fluide et efficace
Une fois la décision prise de s'attaquer au projet, les équipes concernées ont été constituées et un processus structuré a été mis en place.
Sous la direction de l'équipe de gestion du projet, des experts de Semperis du monde entier ont apporté leur expertise à l'évaluation. Des outils ont été utilisés pour capturer efficacement et automatiquement la configuration d'Active Directory et les informations supplémentaires nécessaires à l'analyse.
Cette approche coordonnée a permis de réduire au minimum la charge de travail imposée au personnel informatique de l'université. L'évaluation complète — comprenant la définition de l'objectif, la clarification des domaines à évaluer, l'inventaire de la structure d'identité, l'analyse de l'ensemble de l'environnement et l'évaluation des risques — a été menée à bien en six à huit semaines environ. Le temps net consacré par le personnel des services administratifs centraux de l'université n'a été que de quelques jours.
L'analyse qui en a résulté a permis à l'université d'avoir une vue d'ensemble de l'infrastructure et des processus existants.
« En réalité, seuls quelques problèmes majeurs ont été identifiés », note M. Holz. « Surtout si on compare avec d'autres établissements de notre taille et soumis à des exigences de sécurité comparables, le résultat s'est avéré plutôt positif. »
Cela ne signifie toutefois pas que l'on puisse se contenter de poursuivre les pratiques actuelles sans se poser de questions. « Certains éléments [de l'évaluation] nous incitent à examiner certains points qui, compte tenu des risques potentiels, devraient désormais être traités étape par étape. »
Transfert de savoir-faire inclus
Même si les résultats de cette évaluation ont largement mis en évidence le travail fructueux de l'équipe de l'université, sa mise en œuvre a également eu plusieurs autres retombées positives.
Tout d'abord, cela renforce la confiance dans les mécanismes de sécurité en place et dans les personnes impliquées. Cela contribue également à améliorer la réputation de l'université au sein de l'écosystème international, favorisant ainsi une coopération de confiance avec d'autres institutions scientifiques et des partenaires du secteur privé.
De plus, les résultats de cette analyse aideront l’université à mobiliser plus efficacement les ressources humaines dont elle dispose. Cet effet positif ne doit pas être sous-estimé, explique M. Holz. « Sans le soutien d’un partenaire compétent, cette évaluation nous aurait demandé un effort considérable pour obtenir un résultat d’une qualité similaire. Et cela aurait nécessité une formation approfondie de nos collaborateurs. »
« En effet », dit-il, « l'expertise de notre propre équipe s'est considérablement enrichie grâce à la collaboration avec les experts de Semperis concernant le fonctionnement et les vulnérabilités d'Active Directory — un transfert de savoir-faire réussi. »
Dans une perspective à long terme, l'équipe AD de l'université estime disposer de tous les outils nécessaires grâce à ces processus désormais optimisés, même si elle reconnaît également qu'il est impossible de garantir une sécurité absolue dans un environnement extrêmement dynamique.
« Compte tenu des efforts déployés par les parties prenantes pour obtenir des résultats de recherche précieux, notamment en tirant parti des technologies d'intelligence artificielle, nous devons sans cesse faire face à de nouveaux vecteurs d'attaque. »
En effet, la gestion des identités comporte toujours des risques, mais ceux-ci peuvent être minimisés grâce à des méthodes telles que le suivi des modifications et la correction automatique. En fin de compte, même dans le pire des cas, il est important de pouvoir restaurer l'Active Directory en quelques minutes. Des outils tels que Active Directory Forest Recovery sont disponibles à cette fin et peuvent être mis en œuvre avec un minimum d'efforts.
