A Universidade de Estugarda é o centro de um vasto ecossistema de investigação numa região economicamente forte. Cerca de 23.000 estudantes de várias disciplinas são apoiados por quase 5.700 funcionários, todos dedicados a criar excelentes condições para investigadores e estudantes. Isto inclui uma infraestrutura digital que garante um acesso fácil a recursos abrangentes - desde que as autorizações necessárias estejam em vigor.
A gestão do hardware e dos serviços abrangentes é da responsabilidade do departamento de Serviços Técnicos de Informação e Comunicação, que integra o Centro de Informação e Comunicação da universidade. A equipa de Serviços de Administração Central deste departamento assegura o apoio centralizado aos locais de trabalho no que diz respeito aos servidores de ficheiros e de impressão, bem como à gestão de dispositivos e de atualizações de software. Além disso, esta equipa presta apoio a aplicações especializadas, incluindo a gestão de documentos e a administração de pessoal.
A equipa dos Serviços de Administração Central também é responsável pela manutenção do Active Diretory, que dá aos funcionários e estudantes acesso aos recursos de que necessitam.
«Somos responsáveis pela segurança e pelo funcionamento do Active Directory no âmbito da gestão de identidades», explica Mike Holz, responsável pelos Serviços de Administração Central.
Proteger o Active Diretory no núcleo
Devido à importância, sensibilidade e potencial valor global dos resultados da investigação da universidade, a segurança do acesso está sujeita ao maior escrutínio. O ambiente especial em que um grande número de estudantes com dispositivos privados deve ter acesso à rede da universidade através de uma VPN deve ser tido em conta. As flutuações contínuas dos utilizadores constituem também um desafio para a reprovisionamento dos direitos. Por conseguinte, os sistemas de TI e de gestão de pessoal devem ser estreitamente integrados.
«É claro que acompanhamos continuamente a situação atual em matéria de segurança, com especial atenção às infraestruturas públicas e às universidades», explica Holz. «Nos últimos anos, temos constatado que os ataques a estas entidades estão a aumentar continuamente. Ficámos cada vez mais conscientes de que tínhamos de ser proativos.»
Garantir o acesso a áreas sensíveis era apenas uma das preocupações de Holz. Além disso, se o serviço de diretório central fosse comprometido, a capacidade de funcionamento de toda a instituição poderia ficar limitada durante dias — ou, pior ainda, ficar completamente paralisada. Consequentemente, Holz e a sua equipa ponderaram a realização de uma auditoria independente à segurança e à funcionalidade da infraestrutura de gestão de identidades da universidade.
«Embora estivéssemos certos de que tínhamos feito o que era necessário, continuava a existir a possibilidade de nos terem escapado alguns pontos fracos. E todos os dias surgem novos vetores de ataque que não poderíamos ter previsto — por exemplo, novas técnicas baseadas em IA.»
«Sem o apoio de um parceiro competente, esta avaliação teria exigido um grande esforço da nossa parte para alcançarmos um resultado de qualidade semelhante. E teria exigido uma formação abrangente dos nossos colaboradores.»
Mike Holz, Head of Central Administration Services
Avaliação da segurança AD com um parceiro competente
Para uma Avaliação Básica de Segurança do Active Directory (ADSA), a equipa de Holz procurava um fornecedor líder de soluções de segurança para o Active Directory, com experiência e conhecimentos suficientes sobre as últimas novidades. A decisão recaiu sobre a Semperis, uma entidade reconhecida como especialista que ajuda as organizações a proteger as suas identidades e a otimizar os processos de segurança.
A Semperis oferece uma gama de soluções que abordam os pontos fracos e os riscos da utilização do Active Diretory, monitorizam as alterações ao serviço de diretório, detectam possíveis ameaças, mesmo de utilizadores privilegiados, e permitem uma resposta rápida a ataques.
Com base na vasta experiência adquirida em vários projectos mundiais, o Semperis ADSA oferece uma visão abrangente do sistema de identidade.
- Uma avaliação detalhada da postura de segurança do ambiente do Active Diretory dá às organizações uma compreensão sólida dos riscos identificados e fornece recomendações direcionadas para reforçar a segurança do Active Diretory.
- Para além de identificar configurações incorrectas perigosas e os riscos associados, a avaliação detecta caminhos de ataque no ambiente AD que podem permitir que um atacante comprometa recursos críticos do Nível 0.
- Uma análise da arquitetura de segurança e dos processos operacionais completa a avaliação, identificando desvios em relação às melhores práticas. Entrevistas com pessoas e especialistas em áreas-chave como a governação da segurança, a arquitetura de rede, as fidedignidades de domínio, a administração de sistemas e a monitorização da segurança revelam potenciais vulnerabilidades e informam as recomendações adequadas.
O resultado são recomendações personalizadas para reforçar a segurança, incluindo as melhores práticas para configurar o Active Diretory de forma segura. A implementação dessas medidas é de responsabilidade da organização.
Um processo de avaliação da segurança simples e eficiente
Depois de tomada a decisão de abordar o projeto, foram reunidas as equipas relevantes e foi iniciado um processo estruturado.
Liderados pela equipa de gestão do projeto, os especialistas da Semperis de todo o mundo contribuíram com os seus conhecimentos para a avaliação. Foram utilizadas ferramentas para capturar de forma eficiente e automática a configuração do Active Diretory e as informações suplementares necessárias para a análise.
Esta abordagem coordenada minimizou a carga de trabalho imposta ao próprio pessoal de TI da universidade. A avaliação completa — incluindo a definição do objetivo, o esclarecimento dos domínios a avaliar, o inventário da estrutura de identidade, a análise de todo o ambiente e a avaliação de riscos — foi concluída em cerca de seis a oito semanas. O tempo líquido exigido ao pessoal dos serviços administrativos centrais da universidade foi de apenas alguns dias.
A análise resultante forneceu à universidade uma visão abrangente da infraestrutura e dos processos existentes.
«Na verdade, foram identificados apenas alguns problemas críticos», observa Holz. «Especialmente quando comparado com outras instituições da nossa dimensão e com requisitos de segurança semelhantes, o resultado foi bastante positivo.»
No entanto, isto não significa que as práticas atuais possam ser mantidas com complacência. «Alguns aspetos [da avaliação] levam-nos a analisar certos pontos que, tendo em conta os riscos potenciais, devem agora ser abordados passo a passo.»
Transferência de know-how incluída
Embora o resultado da avaliação tenha, em grande medida, comprovado o sucesso do trabalho da equipa da universidade, a sua implementação tem uma série de outras repercussões positivas.
Em primeiro lugar, reforça a confiança nos mecanismos de segurança estabelecidos e nas pessoas envolvidas. Além disso, melhora a reputação da universidade no ecossistema internacional, promovendo uma cooperação de confiança com outras instituições científicas e parceiros do setor industrial.
Além disso, os resultados da análise ajudarão a universidade a mobilizar os recursos humanos disponíveis de forma mais eficaz. Este efeito positivo não pode ser subestimado, explica Holz. «Sem o apoio de um parceiro competente, esta avaliação teria exigido um grande esforço da nossa parte para alcançarmos um resultado de qualidade semelhante. E teria exigido uma formação abrangente dos nossos colaboradores.»
«Na verdade», afirma ele, «a especialização da nossa própria equipa cresceu consideravelmente graças à colaboração com os especialistas da Semperis no que diz respeito ao funcionamento e às vulnerabilidades do Active Directory — uma transferência bem-sucedida de conhecimentos.»
Numa perspetiva de longo prazo, a equipa de AD da universidade considera-se bem preparada graças aos processos agora otimizados, embora reconheça também que não é possível garantir segurança absoluta num ambiente altamente dinâmico.
«Tendo em conta o esforço que as partes interessadas estão a envidar para obter resultados de investigação valiosos, nomeadamente através do recurso a tecnologias de inteligência artificial, temos de lidar continuamente com novos vetores de ataque.»
Na verdade, a gestão de identidades acarreta sempre riscos, mas estes podem ser minimizados através do recurso a métodos como o acompanhamento de alterações e a correção automática. Em última análise, mesmo no pior dos cenários, é importante poder restaurar o AD em poucos minutos. Para o efeito, existem ferramentas como o Active Directory Forest Recovery , que podem ser implementadas com um esforço mínimo.
