Безопасность ERP-систем на базе SAP

ERP-система является ядром каждой крупной компании – в ней находят отражение все критичные для бизнеса процессы, начиная от закупки, оплаты и доставки и заканчивая управлением человеческими ресурсами, продуктами и финансовым планированием. Вся информация, хранящаяся в ERP-системах, имеет огромное значение, и любой неправомерный доступ к ней может понести за собой потери вплоть до остановки бизнеса.

В общем случае внедрение SAP-системы в компании это довольно сложный, дорогостоящий и трудоёмкий процесс. При этом многие часто забывают или предпочитают сэкономить на проверке безопасности системы перед её запуском в промышленную эксплуатацию. Впоследствии данная система работает по принципу «As is» – «работает, не трогай». При таком подходе система внедряется с большим количеством настроек по умолчанию, с избыточными правами пользователей, с постоянно включенными «временными» учётными записями, открытием ненужных и небезопасных сервисов и т.д.

Дополнительной угрозой для такого рода систем является отсутствие или слабость парольной политики и отсутствие контроля действий пользователей. Стоит также отметить отсутствие практики регистрации событий системы, что не позволяет эффективно проводить расследования инцидентов безопасности. При этом современные SIEM-системы не обеспечивают полноценный сбор и анализ событий из SAP-систем встроенными средствами, особенно учитывая высокую степень адаптации SAP-систем в каждом конкретном внедрении.

Для обеспечения безопасности SAP-системы используются средства автоматизации. Они позволяют:

• Контролировать безопасность исходного кода SAP-систем на языках ABAP, Java, C#.
• Выявлять уязвимости и ошибки конфигураций во множестве системных и базовых компонентов SAP-систем.
• Анализировать конфликты полномочий и критичных привилегий пользователей.
• Регистрировать события ИБ.

iT-CUBE AgileSI

Решение для оперативного мониторинга событий, регистрируемых в SAP-системах, имеющее статус SAP Certified. Может использоваться отдельно в варианте Standalone, либо в качестве дополнения к имеющейся SIEM-системе (HP ArcSight ESM, QRadar, Splunk, LogPoint, LogRhythm).

• Получает события из SAP-систем, которые недоступны для сбора даже при использовании решений лидеров в области SIEM. Собранные события передаются для обработки в SIEM-систему.
• Выявляет соответствие SAP-систем мировым и отраслевым стандартам на основе событий, регистрируемых в SAP-системах.
• Контролирует изменения, производимые в SAP-системах на основе отслеживания транзакций.
• Решает задачи мониторинга и выявления бизнес-ориентированных рисков, основанных на запрограммированной бизнес-логике ERP-системы.

Сбор событий в SAP-системах осуществляется с помощью сертифицированных компанией SAP агентов, не оказывающих влияния на производительность основной системы.

HP Fortify SCA

Решение для анализа исходного кода SAP-приложений на наличие уязвимостей, позволяющее подразделению ИБ принимать участие в процессе разработки безопасного исходного кода SAP-системы.

• Поиск, приоритизация и предоставление рекомендаций по устранению уязвимостей исходного кода SAP-систем, разработанных на языках ABAP, Java, C#.
• Управление жизненным циклом обеспечения безопасности и качества разрабатываемого ПО.
• Сокращение затрат на выявление и устранение уязвимостей в разрабатываемом ПО для SAP-систем.
• Позволяет защитить бизнес от финансовых потерь, связанных с несовершенством используемого кастомизированного ПО.

ERPScan

Решение для комплексной оценки защищённости и соответствия стандартам для платформы SAP, имеющее статус SAP Certified, включая возможность анализа ABAP-кода, анализа конфликтов полномочий и критичных привилегий пользователей.

Модуль «Аудит»: позволяет проводить комплексный аудит безопасности, сканируя серверы SAP на наличие уязвимостей и ошибок конфигурации, а также отслеживать соответствие актуальным стандартам и лучшим практикам, в том числе лучшим практикам SAP и руководствам ISACA.

Модуль «Оценка безопасности кода ABAP»: инструмент SAST, разработанный специально для языка ABAP, способный обнаруживать критичные проблемы и программные закладки в исходном коде собственной разработки.

Модуль «SoD»: анализ конфликтов полномочий и критичных привилегий. С помощью этого модуля легко найти пользователей, имеющих права на выполнение критичных действий, которые могут привести к мошенничеству.

MaxPatrol

Система контроля защищённости и соответствия стандартам, объединяющая в одном решении комплекс механизмов оценки безопасности ERP-платформы.

• Инвентаризация всех компонентов SAP-системы.
• Контроль прав доступа пользователей SAP-системы.
• Контроль изменений в SAP-системе.
• Контроль обновлений SAP-системы.
• Контроль действий пользователей и администраторов.
• Оптимизация настроек системы в части обеспечения информационной безопасности.
• Анализ ОС и СУБД, используемых компонентами SAP-системы.
• Анализ клиентского ПО, на предмет наличия уязвимостей и небезопасных настроек.