L'Università di Stoccarda è il fulcro di un ampio ecosistema di ricerca in una regione economicamente forte. Circa 23.000 studenti in diverse discipline sono supportati da quasi 5.700 dipendenti, tutti impegnati a creare condizioni eccellenti per ricercatori e studenti. Ciò include un'infrastruttura digitale che garantisce un accesso agevole a risorse complete, a condizione che siano presenti le necessarie autorizzazioni.
La gestione dell'hardware e dei servizi completi è di competenza del dipartimento Servizi tecnici di informazione e comunicazione, che fa parte del Centro di informazione e comunicazione dell'università. Il team Servizi di amministrazione centrale del dipartimento garantisce il supporto centralizzato per l'ambiente di lavoro, occupandosi dei server di file e di stampa, nonché della gestione dei dispositivi e delle patch. Inoltre, questo team fornisce supporto per applicazioni specializzate, tra cui la gestione dei documenti e l'amministrazione del personale.
Il team dei Servizi amministrativi centrali è anche responsabile della manutenzione di Active Directory, che consente a dipendenti e studenti di accedere alle risorse di cui hanno bisogno.
"Siamo responsabili della sicurezza e del funzionamento di Active Directory nell'ambito della gestione delle identità", spiega Mike Holz, responsabile dei Servizi di Amministrazione Centrale.
Protezione di Active Directory nel cuore
A causa dell'importanza, della sensibilità e del potenziale valore globale dei risultati della ricerca dell'università, la sicurezza degli accessi è soggetta alla massima attenzione. Si deve tenere conto dell'ambiente particolare in cui un gran numero di studenti con dispositivi privati deve accedere alla rete universitaria tramite una VPN. Le continue fluttuazioni degli utenti rappresentano una sfida anche per la riprogrammazione dei diritti. Di conseguenza, i sistemi informatici e di gestione del personale devono essere strettamente integrati.
"Naturalmente, monitoriamo costantemente l'attuale situazione della sicurezza, prestando particolare attenzione alle infrastrutture pubbliche e alle università", spiega Holz. "Negli ultimi anni abbiamo notato che gli attacchi contro queste entità sono in continuo aumento. Ci siamo resi sempre più conto che dovevamo agire in modo proattivo".
Garantire l’accesso alle aree sensibili era solo una delle preoccupazioni di Holz. Inoltre, se il servizio di directory centrale fosse stato compromesso, la capacità operativa dell’intero ateneo avrebbe potuto subire limitazioni per giorni o, peggio ancora, arrestarsi completamente. Di conseguenza, Holz e il suo team hanno preso in considerazione la possibilità di affidare a terzi la verifica della sicurezza e della funzionalità dell’infrastruttura di gestione delle identità dell’università.
"Sebbene fossimo certi di aver fatto tutto il necessario, c'era comunque la possibilità che ci fossero sfuggiti alcuni punti deboli. Inoltre, ogni giorno emergono nuovi vettori di attacco che non avremmo potuto prevedere, come ad esempio nuove tecniche basate sull'intelligenza artificiale."
"Senza il supporto di un partner competente, questa valutazione ci avrebbe richiesto un grande impegno per ottenere un risultato di qualità altrettanto elevata. Inoltre, avrebbe comportato una formazione approfondita dei nostri dipendenti."
Mike Holz, Head of Central Administration Services
Valutazione della sicurezza AD con un partner competente
Per una valutazione di base della sicurezza di Active Directory (ADSA), il team di Holz cercava un fornitore leader di soluzioni di sicurezza per Active Directory con esperienza e conoscenze adeguate sugli sviluppi attuali. La scelta è ricaduta su Semperis, un esperto riconosciuto che aiuta le organizzazioni a proteggere le proprie identità e a ottimizzare i processi di sicurezza.
Semperis offre una gamma di soluzioni che affrontano i punti deboli e i rischi dell'utilizzo di Active Directory, monitorano le modifiche al servizio di directory, rilevano eventuali minacce anche da parte di utenti privilegiati e consentono una risposta rapida agli attacchi.
Basandosi su un'ampia esperienza maturata in diversi progetti a livello mondiale, Semperis ADSA offre una visione completa del sistema di identità.
- Una valutazione dettagliata della posizione di sicurezza dell'ambiente Active Directory fornisce alle organizzazioni una solida comprensione dei rischi identificati e fornisce raccomandazioni mirate per rafforzare la sicurezza di Active Directory.
- Oltre a identificare le configurazioni errate pericolose e i rischi associati, la valutazione rileva i percorsi di attacco all'interno dell'ambiente AD che potrebbero consentire a un utente malintenzionato di compromettere le risorse critiche di livello 0.
- Un esame dell'architettura di sicurezza e dei processi operativi completa la valutazione identificando le deviazioni dalle best practice. Le interviste con persone ed esperti in aree chiave come la governance della sicurezza, l'architettura di rete, i domini fiduciari, l'amministrazione di sistema e il monitoraggio della sicurezza rivelano le potenziali vulnerabilità e informano le raccomandazioni appropriate.
Il risultato è costituito da raccomandazioni personalizzate per rafforzare la sicurezza, comprese le best practice per la configurazione sicura di Active Directory. L'implementazione di queste misure è responsabilità dell'organizzazione.
Un processo di valutazione della sicurezza fluido ed efficiente
Una volta presa la decisione di affrontare il progetto, sono stati riuniti i team competenti ed è stato intrapreso un processo strutturato.
Guidati dal team di gestione del progetto, gli esperti Semperis di tutto il mondo hanno contribuito alla valutazione con la loro esperienza. Sono stati utilizzati strumenti per acquisire in modo efficiente e automatico la configurazione di Active Directory e le informazioni supplementari necessarie per l'analisi.
Questo approccio coordinato ha ridotto al minimo l’impegno in termini di tempo richiesto al personale IT dell’università. La valutazione completa — che comprendeva la definizione dell’obiettivo, il chiarimento degli ambiti da valutare, l’inventario della struttura delle identità, l’analisi dell’intero ambiente e la valutazione dei rischi — è stata portata a termine in circa sei-otto settimane. Il tempo effettivo richiesto al personale dei servizi amministrativi centrali dell’università è stato di soli pochi giorni.
L'analisi risultante ha fornito all'università una visione completa dell'infrastruttura e dei processi esistenti.
"In realtà, sono stati individuati solo pochi problemi critici", osserva Holz. "Soprattutto se confrontato con altre istituzioni delle nostre dimensioni e con requisiti di sicurezza simili, il risultato è stato piuttosto positivo."
Tuttavia, ciò non significa che si possa continuare a seguire le pratiche attuali con compiacimento. «Alcuni aspetti [della valutazione] ci danno motivo di esaminare determinati punti che, visti i potenziali rischi, dovrebbero ora essere affrontati passo dopo passo».
Trasferimento di know-how incluso
Sebbene l'esito della valutazione abbia ampiamente confermato il successo del lavoro svolto dal team dell'università, la sua attuazione comporta una serie di ulteriori effetti positivi.
In primo luogo, rafforza la fiducia nei meccanismi di sicurezza già in atto e nelle persone coinvolte. Inoltre, migliora la reputazione dell'università nel contesto internazionale, favorendo una cooperazione basata sulla fiducia con altre istituzioni scientifiche e con i partner del settore industriale.
Inoltre, i risultati dell’analisi aiuteranno l’università a impiegare in modo più efficace le risorse umane disponibili. Questo effetto positivo non va sottovalutato, spiega Holz. «Senza il supporto di un partner competente, questa valutazione avrebbe richiesto un grande impegno da parte nostra per ottenere un risultato di qualità altrettanto elevata. E avrebbe richiesto una formazione approfondita dei nostri dipendenti».
"In effetti", afferma, "le competenze del nostro team si sono notevolmente ampliate grazie alla collaborazione con gli esperti di Semperis in merito al funzionamento e alle vulnerabilità di Active Directory: un trasferimento di know-how di grande successo."
In una prospettiva a lungo termine, il team AD dell'università ritiene di disporre di strumenti adeguati grazie ai processi ormai ottimizzati, pur riconoscendo che in un ambiente altamente dinamico non è possibile garantire una sicurezza assoluta.
"Considerato l'impegno profuso dalle parti interessate per ottenere risultati di ricerca di valore, anche avvalendosi delle tecnologie di intelligenza artificiale, dobbiamo affrontare continuamente nuovi vettori di attacco."
In effetti, la gestione delle identità comporta sempre dei rischi, ma questi possono essere ridotti al minimo ricorrendo a metodi quali il monitoraggio delle modifiche e la correzione automatica. In definitiva, anche nello scenario peggiore, è importante poter ripristinare l’AD in pochi minuti. A tal fine sono disponibili strumenti come Active Directory Forest Recovery , che possono essere implementati con il minimo sforzo.
