Sichern Sie gemeinsam genutzte Windows-Geräte mit identitätsbasierter Anmeldung und SAP-Tracking

In Produktionsbetrieben werden häufig gemeinsam genutzte Windows-Desktop-Rechner eingesetzt, auf die mehrere Benutzer im Laufe des Tages zugreifen. Auf diesen Geräten laufen typischerweise kritische Anwendungen wie SAP, in denen sensible Transaktionscodes (T-Codes) für operative Aufgaben verwendet werden. Wenn sich jedoch alle Benutzer mit einem einzigen gemeinsam genutzten Windows-Konto anmelden, verlieren Unternehmen die Transparenz über:

• Welcher Benutzer hat wann auf welches Gerät zugegriffen?
• Welche SAP-Transaktionen werden durchgeführt?
• Wie lange sind sie eingeloggt?
• Wurde eine sensible Aktivität von einem autorisierten Benutzer durchgeführt?
• Wie lassen sich ordnungsgemäße Authentifizierung, Sitzungskontrolle und Verantwortlichkeit sicherstellen?

Um diesen Herausforderungen zu begegnen, bietet miniOrange Data Loss Prevention (DLP) eine Lösung für die gemeinsame Benutzeranmeldung in Kombination mit SAP Activity Monitoring , die vollständige Transparenz, Rückverfolgbarkeit und Sicherheit für gemeinsam genutzte Umgebungen bietet.

Problem Statement

Ein Kunde, der mehrere Windows-Desktop-PCs in seiner Produktionshalle im Einsatz hatte, sah sich mit folgenden Problemen konfrontiert:

Mangelnde Verantwortlichkeit auf Benutzerebene

Auf alle Rechner wurde mit demselben lokalen Windows-Benutzerkonto zugegriffen. Daraus ergab sich Folgendes:

• Es gab keine Möglichkeit festzustellen, welcher Benutzer sich tatsächlich in ein bestimmtes System eingeloggt hatte.
• Alle Aktivitäten wurden unter demselben Benutzernamen angezeigt.
• Missbrauch, Verstöße gegen Richtlinien oder Sicherheitslücken konnten nicht festgestellt werden.

Keine SAP-Benutzeridentifizierung

SAP war auf diesen gemeinsam genutzten Rechnern installiert, aber:

• Benutzer meldeten sich ohne jegliche Überwachung oder Identitätszuordnung bei SAP an.
• Es wurde nicht erfasst, welcher tatsächliche Benutzer SAP gestartet hat.
• Sensible Transaktionscodes könnten ohne Aufsicht ausgeführt werden.

Keine Kontrolle über Benutzerzugriffe und Sitzungen

Da alle Geräte einen gemeinsamen Login verwendeten:

• Die Benutzer konnten nicht einzeln authentifiziert werden.
• Die Multi-Faktor-Authentifizierung konnte nicht durchgesetzt werden.
• Inaktive Benutzer konnten nicht automatisch abgemeldet werden.
• Risikobehaftete Benutzer konnten nicht aus der Ferne abgemeldet werden.
• Diese Lücken stellten erhebliche Herausforderungen in den Bereichen Sicherheit, Compliance und Auditierung dar.

Implementierungsdetails

Identitätsbasierter Anmeldevorgang

• miniOrange IdP speichert alle Benutzeridentitäten.
• Anschließend wird die Benutzerauthentifizierung über das Shared Login Module geleitet.
• Das Modul validiert den Benutzer anhand des miniOrange IdP und gewährt Zugriff auf das lokale Windows-Konto.
• Die lokale Windows-Anmeldung ist systemübergreifend standardisiert. Daher kann die Multifaktor-Authentifizierung auf Basis von Richtlinien erzwungen werden.

SAP-Monitoring-Integration

• Mithilfe von SAP GUI-Skripten werden die von Benutzern eingegebenen Transaktionscodes gelesen.
• Ein schlanker Überwachungsagent erfasst alle Benutzeraktionen.
• Die Protokolle werden sicher an das miniOrange DLP-Backend übertragen.

Zentrale Übersichtskonsole: Administratoren können Folgendes sehen:

• Die Anmeldeaktivitäten jedes Benutzers über alle Geräte hinweg.
• SAP-Nutzungsberichte.
• Tcode-Verletzungswarnungen.
• Leerlauf-Timeout- und erzwungene Abmeldeereignisse.

Wichtigste Ergebnisse und Vorteile

Um diese Herausforderungen zu bewältigen, implementierte miniOrange zwei aufeinander abgestimmte Komponenten:

Verantwortlichkeit und Rückverfolgbarkeit wiederhergestellt

Auch wenn die Geräte weiterhin ein gemeinsames Windows-Konto verwenden, stellt miniOrange Folgendes sicher:

• Du wirst es immer wissen welcher echte Benutzer auf das System zugegriffen.
• Detaillierte Berichte auf Benutzerebene sind verfügbar.

SAP-Aktivitätssichtbarkeit

Verfolgen Sie alles, was in der SAP GUI passiert:

• An- und Abmeldevorgänge werden protokolliert.
• SAP-Start-/Beendigungsereignisse werden protokolliert.
• Zugriffe auf sensible Transaktionscodes werden protokolliert.
• Der Ablauf einer Benutzersitzung wird protokolliert.

Strenge Sicherheitsdurchsetzung

Mit miniOrange-Funktionen:

• Die Multi-Faktor-Authentifizierung (MFA) wird für alle Benutzer erzwungen.
• Fernabmeldung ist möglich.
• Ein Timeout für inaktive Sitzungen wird erzwungen.
• Die Zugriffskontrolle basiert auf Richtlinien.

Effiziente Betriebsabläufe

• Es ist nicht erforderlich, für jeden Benutzer ein individuelles Windows-Konto zu erstellen.
• Die Benutzer authentifizieren sich mithilfe der Anmeldeinformationen ihres bestehenden Identitätsanbieters.
• Funktioniert nahtlos auf allen gemeinsam genutzten Geräten.

Fazit

Durch den Einsatz von miniOrange Shared User Login und SAP Activity Monitoring können Unternehmen unsichere gemeinsam genutzte Desktops in vollständig auditierbare, identitätsbasierte Zugriffspunkte umwandeln. Die Lösung bietet:

• Die Identität des Benutzers wurde für jeden Zugriff verifiziert.
• Strenge Authentifizierungskontrollen.
• Vollständige Transparenz der SAP-Nutzung.
• Schutz vor unbefugten Aktivitäten.
• Zentralisierte Berichterstattung für Audits und Compliance

Dies gewährleistet sowohl operative Effizienz als auch hohe Sicherheit in gemeinsam genutzten Geräteumgebungen.