Proteja sus dispositivos Windows compartidos con inicio de sesión basado en identidad y seguimiento SAP.

Las plantas de fabricación suelen operar con ordenadores de escritorio Windows compartidos a los que acceden varios usuarios a lo largo del día. Estos dispositivos normalmente ejecutan aplicaciones críticas como SAP, donde se utilizan códigos de transacción (Tcodes) confidenciales para realizar tareas operativas. Sin embargo, cuando todos los usuarios inician sesión con una única cuenta compartida de Windows, las organizaciones pierden visibilidad sobre:

• ¿Qué usuario accedió a qué dispositivo y a qué hora?
• ¿Qué transacciones SAP se están realizando?
• ¿Cuánto tiempo permanecen conectados?
• ¿La actividad sensible fue realizada por un usuario autorizado?
• ¿Cómo garantizar una autenticación adecuada, un control de sesión eficaz y una rendición de cuentas sólida?

Para hacer frente a estos desafíos, miniOrange Data Loss Prevention (DLP) proporciona una solución de inicio de sesión de usuario compartido combinada con SAP Activity Monitoring , que ofrece visibilidad, trazabilidad y seguridad completas para entornos compartidos.

Planteamiento del problema

Un cliente con varios ordenadores de sobremesa con Windows distribuidos por toda su planta de producción se enfrentó a los siguientes problemas:

Falta de responsabilidad a nivel de usuario

Se accedió a todas las máquinas utilizando la misma cuenta de usuario local de Windows. Como resultado:

• No había forma de identificar qué usuario real había iniciado sesión en un sistema específico.
• Todas las actividades aparecían bajo el mismo nombre de usuario.
• No se pudieron rastrear los casos de mal uso, violaciones de políticas o fallos de seguridad.

Sin identificación de usuario de SAP

SAP estaba instalado en estas máquinas compartidas, pero:

• Los usuarios iniciaron sesión en SAP sin ningún tipo de monitorización ni mapeo de identidades.
• No se pudo realizar un seguimiento de qué usuario real inició SAP.
• Podrían ejecutarse transacciones confidenciales sin supervisión.

Sin control sobre el acceso y las sesiones de los usuarios.

Dado que todos los dispositivos compartían un inicio de sesión común:

• No fue posible autenticar a los usuarios individualmente.
• El Acuerdo Multilateral no pudo aplicarse.
• Los usuarios inactivos no podían cerrar sesión automáticamente.
• No se podía cerrar la sesión de los usuarios de riesgo de forma remota.
• Estas deficiencias planteaban importantes desafíos en materia de seguridad, cumplimiento normativo y auditoría.

Detalles de implementacion

Flujo de inicio de sesión basado en la identidad

• miniOrange IdP almacena todas las identidades de los usuarios.
• A continuación, la autenticación del usuario se realiza a través del módulo de inicio de sesión compartido.
• El módulo valida al usuario con el proveedor de identidad miniOrange y le otorga acceso a la cuenta local de Windows.
• El inicio de sesión local de Windows está estandarizado en todos los sistemas. Por lo tanto, se puede aplicar la autenticación multifactor en función de las políticas establecidas.

Integración de la monitorización de SAP

• La programación de SAP GUI se utiliza para leer los códigos de transacción introducidos por los usuarios.
• Un agente de monitorización ligero registra todas las acciones del usuario.
• Los registros se transmiten de forma segura al sistema backend de miniOrange DLP.

Consola de visibilidad centralizada: Los administradores pueden ver:

• Actividad de inicio de sesión de cada usuario en todos sus dispositivos.
• Informes de uso de SAP.
• Alertas de violación de código de transacción.
• Eventos de tiempo de inactividad y cierre de sesión forzado.

Resultados y beneficios clave

Para resolver estos desafíos, miniOrange implementó dos componentes coordinados:

Se restablecen la rendición de cuentas y la trazabilidad.

Aunque los dispositivos sigan utilizando una cuenta compartida de Windows, miniOrange garantiza lo siguiente:

• Siempre lo sabrás ¿Qué usuario real? accedió al sistema.
• Se encuentran disponibles informes detallados a nivel de usuario.

Visibilidad de la actividad de SAP

Realiza un seguimiento de todo lo que sucede dentro de la interfaz gráfica de usuario de SAP:

• Se realiza un seguimiento de los eventos de inicio y cierre de sesión.
• Se realiza un seguimiento de los eventos de inicio y finalización de SAP.
• Se realiza un seguimiento de los códigos de transacción confidenciales a los que se accede.
• Se realiza un seguimiento del flujo de la sesión del usuario.

Fuerte aplicación de las medidas de seguridad

Con las capacidades de miniOrange:

• La autenticación multifactor (MFA) es obligatoria para todos los usuarios.
• Es posible cerrar la sesión del usuario de forma remota.
• Se aplica un tiempo de espera de sesión inactiva.
• Se aplica un control de acceso basado en políticas.

Eficiencia operacional

• No es necesario crear cuentas de Windows individuales para cada usuario.
• Los usuarios se autentican utilizando las credenciales de su proveedor de identidad existente.
• Funciona a la perfección en todos los dispositivos compartidos.

Conclusión

Al implementar miniOrange Shared User Login y SAP Activity Monitoring, las organizaciones pueden transformar escritorios compartidos inseguros en puntos de acceso totalmente auditables y basados ​​en la identidad. La solución proporciona:

• Identidad de usuario verificada para cada acceso.
• Controles de autenticación robustos.
• Visibilidad completa del uso de SAP.
• Protección contra actividades no autorizadas.
• Informes centralizados para auditorías y cumplimiento normativo.

Esto garantiza tanto la eficiencia operativa como una sólida seguridad en entornos de dispositivos compartidos.