ВС:Бухгалтерия 6.3 Печенье с предсказаниями fortune-cookies ru п... (от Печенье с предсказаниями)
Пользователи продуктов SAP не выполняют требований безопасности - данные исследования
От 5% до 25% предприятий (в зависимости от типа сервиса), использующих SAP, открывают удаленный доступ к критичным для бизнеса сервисам, говорится в отчете российской компании Digital Security. В рамках исследования специалистами были просканированы и их подсети.
Одной из целей исследования было разоблачение популярного мифа о том, что системы SAP защищены от хакеров, так как доступны только из внутренней сети. В то время как все рекомендации SAP и консалтинговых компаний гласят, что даже внутри сети доступ к административным сервисам необходимо строго ограничивать, обнаружилось, что многие компании некорректно настраивают ландшафт SAP, так что критичные сервисы доступны удаленно через Интернет. Иногда причина в банальной некомпетентности, но иногда компании осознанно принимают решение о том, что им нужен легкий удаленный контроль, а это грубейшее нарушение правил информационной безопасности.
Так, в России обнаружилось 58 систем SAP Router, предназначенных для управления доступом к внутренним системам SAP. SAP Router как таковой может быть небезопасно настроен и позволять проникнуть внутрь компании, но настоящая проблема в том, что 10% этих компаний оставляют открытыми другие сервисы для прямого доступа через Интернет в обход SAP Router, например, сервис SAP Dispatcher. Этот сервис легко эксплуатируется, если войти в систему под стандартной учетной записью или воспользоваться некоторыми другими уязвимостями, которые были закрыты компанией SAP только в мае 2012 года.
Кроме того, 9% мировой выборки (она состояла из 1000 компаний, использующих SAP, по всему миру) не закрыли доступ к сервису SAP Management console, который уязвим к неавторизованному просмотру параметров системы удаленно через Интернет.
Одним из неприятных открытий Digital Security было также то, что компании используют старые версии SAP, выпущенные в 2005 году. Информация о публичных веб-серверах на основе SAP NetWeaver была собрана с помощью поисковых систем Google и Shodan. Анализ их версий показал, что самая популярная (45%) конфигурация – это SAP-система на основе NetWeaver 7.0 без дополнений и обновлений безопасности.
Исследователи обеспокоены и тем, что новые безопасные настройки, такие как отключение по умолчанию большей части критичных веб-сервисов (раньше они были по умолчанию включены и несли разнообразные риски), и результаты всей той работы, которую компания SAP провела для улучшения безопасности своих продуктов совместно со сторонними исследователями, появились только в обновлении EHP 2 (Release 7.02). Результаты исследования демонстрируют, что, несмотря на работу компании SAP по улучшению безопасности ее продукта, появление новых настроек безопасности в ПО не означает, что компании действительно будут ими пользоваться и улучшать собственную безопасность.
Часть данных была обнаружена не только с применением собственных разработок компании Digital Security, но и с помощью публичных поисковых сервисов, таких как Google и Shodan. Например, 67% систем NetWeaver J2EE и 55% систем NetWeaver ABAP подвержены уязвимости раскрытия информации, так как отдают детальную информацию о версиях серверов приложений и баз данных. Эта информация может помочь хакеру спланировать дальнейшие атаки, и она крайне проста для получения, так как доступна через общедоступные поисковики и не требует ресурсов на дополнительные сканирования.
Саккар Паулюс (Sachar Paulus, вице-президент по защите продукта и безопасности в SAP), сказал в интервью журналу CIO в конце 2008 года, что «одна из самых важных угроз ERP – это люди, которые подключают свои SAP-системы к Интернету». Итак, спустя 4 года проблема все еще существует и стремительно растет.
Среди 2026 уязвимостей, закрытых компанией SAP на 26 апреля 2012 года (кстати, на 18 июня количество уязвимостей уже более 2300), наиболее популярны уязвимости, связанные с web-приложениями. Например, самая популярная уязвимость – обход каталога (около 14%), а второе место занял межсайтовый скриптинг.
Говоря о критичных сервисах, доступных через web-интерфейс, стоит отметить то, что в 40% систем ABAP NetWeaver в Интернете включен сервис WebRFC, который позволяет вызывать критические административные и бизнес-функции. Он защищен логинами и паролями, но существует множество стандартных учетных записей, которые обычно не отключаются и пароли на которых не меняются. На 61% систем J2EE в Интернете включен сервис CTC. Он подвержен уязвимости, которая называется Verb Tampering, позволяет обходить механизмы аутентификации и удаленно создавать в системе пользователя с любыми правами, и, к сожалению, все еще не исправлена в большинстве компаний.
Дата публикации: 26.06.2012 (просмотров: 1872) Обсудить Пользователи продуктов SAP не выполняют требований безопасности - данные исследования на форуме.
Оставьте Ваш комментарий или мнение о новости: Пользователи продуктов SAP не выполняют требований безопасности - данные исследования Просим Вас оставлять сообщения по теме и уважать своих собеседников и авторов новостного сообщения.
.gif){kind=small}
.gif){kind=small}
