Sécurisation des appareils Windows partagés grâce à l'authentification basée sur l'identité et au suivi SAP

Les usines de fabrication fonctionnent souvent avec des ordinateurs de bureau Windows partagés, utilisés par plusieurs utilisateurs tout au long de la journée. Ces appareils exécutent généralement des applications critiques telles que SAP, où des codes de transaction (Tcodes) sensibles sont utilisés pour réaliser des tâches opérationnelles. Cependant, lorsque tous les utilisateurs se connectent avec un seul compte Windows partagé, les entreprises perdent en visibilité sur :

• Quel utilisateur a accédé à quel appareil et à quelle heure ?
• Quelles transactions SAP sont effectuées ?
• Combien de temps restent-ils connectés ?
• L'activité sensible a-t-elle été réalisée par un utilisateur autorisé ?
• Comment garantir une authentification, un contrôle de session et une responsabilisation adéquats ?

Pour relever ces défis, miniOrange Data Loss Prevention (DLP) propose une solution de connexion utilisateur partagée combinée à la surveillance de l'activité SAP , offrant une visibilité, une traçabilité et une sécurité complètes pour les environnements partagés.

Énoncé du problème

Un client ayant déployé plusieurs ordinateurs de bureau Windows dans son usine a rencontré les problèmes suivants :

Manque de responsabilisation des utilisateurs

Tous les ordinateurs ont été utilisés avec le même compte utilisateur Windows local. Par conséquent :

• Il était impossible d'identifier quel utilisateur s'était réellement connecté à un système spécifique.
• Toutes les activités apparaissaient sous le même nom d'utilisateur.
• Aucun usage abusif, aucune violation des politiques ni aucune faille de sécurité n'ont pu être constatés.

Aucune identification utilisateur SAP

SAP était installé sur ces machines partagées, mais :

• Des utilisateurs se sont connectés à SAP sans aucun système de surveillance ni de cartographie des identités.
• Il n'était pas possible de suivre quel utilisateur réel avait lancé SAP.
• Des codes de transaction sensibles pourraient être exécutés sans surveillance.

Aucun contrôle sur l'accès et les sessions des utilisateurs

Étant donné que tous les appareils partageaient une même connexion :

• L'authentification individuelle des utilisateurs n'était pas possible.
• L'application du FMA n'a pas été possible.
• Les utilisateurs inactifs ne pouvaient pas être déconnectés automatiquement.
• Il était impossible de déconnecter à distance les utilisateurs à risque.
• Ces lacunes ont posé d'importants défis en matière de sécurité, de conformité et d'audit.

Détails d'implémentation

Flux de connexion basé sur l'identité

• miniOrange IdP stocke toutes les identités des utilisateurs.
• L'authentification de l'utilisateur est ensuite acheminée via le module de connexion partagé.
• Le module valide l'utilisateur auprès du fournisseur d'identité miniOrange et lui accorde l'accès au compte Windows local.
• L'identifiant de connexion Windows local est standardisé sur tous les systèmes. L'authentification multifacteurs peut donc être mise en œuvre conformément aux politiques définies.

Intégration de la surveillance SAP

• Le script SAP GUI est utilisé pour lire les codes de transaction saisis par les utilisateurs.
• Un agent de surveillance léger capture toutes les actions des utilisateurs.
• Les journaux sont transmis de manière sécurisée au système dorsal DLP de miniOrange.

Console de visibilité centralisée : les administrateurs peuvent voir :

• Activité de connexion de chaque utilisateur sur tous ses appareils.
• Rapports d'utilisation SAP.
• Alertes de violation de code de transaction.
• Événements de délai d'inactivité et de déconnexion forcée.

Principaux résultats et avantages

Pour relever ces défis, miniOrange a mis en œuvre deux composantes coordonnées :

Responsabilité et traçabilité rétablies

Même si les appareils continuent d'utiliser un compte Windows partagé, miniOrange garantit :

• Tu le sauras toujours quel véritable utilisateur ont accédé au système.
• Des rapports détaillés au niveau de l'utilisateur sont disponibles.

Visibilité des activités SAP

Suivez tout ce qui se passe dans l'interface graphique SAP :

• Les événements de connexion/déconnexion sont suivis.
• Les événements de lancement/sortie SAP sont suivis.
• Les codes de transaction sensibles utilisés sont suivis.
• Le flux de session utilisateur est suivi.

Application stricte des mesures de sécurité

Avec les capacités de miniOrange :

• L'authentification multifacteur est obligatoire pour tous les utilisateurs.
• La déconnexion à distance est possible.
• Le délai d'inactivité de session est obligatoire.
• Un contrôle d'accès basé sur des politiques est appliqué.

Efficacité Opérationnelle

• Il n'est pas nécessaire de créer des comptes Windows individuels pour chaque utilisateur.
• Les utilisateurs s'authentifient à l'aide d'identifiants de fournisseurs d'identité existants.
• Fonctionne parfaitement sur tous les appareils partagés.

Conclusion

En déployant miniOrange Shared User Login et SAP Activity Monitoring, les entreprises peuvent transformer leurs postes de travail partagés non sécurisés en points d'accès entièrement auditables et basés sur l'identité. La solution offre :

• Identité de l'utilisateur vérifiée pour chaque accès
• Contrôles d'authentification robustes.
• Visibilité complète de l'utilisation de SAP.
• Protection contre les activités non autorisées.
• Système centralisé de rapports pour les audits et la conformité

Cela garantit à la fois une efficacité opérationnelle et une sécurité renforcée pour les environnements d'appareils partagés.