安全性，是一個(gè)魔高一尺、道高一丈的領(lǐng)域。

安全性，是一個(gè)拼資金投入、拼工作能力的領(lǐng)域。

由于攻擊通常只在一個(gè)點(diǎn)，而防御力卻要在一個(gè)面。

各種網(wǎng)絡(luò)服務(wù)器的安全性、預(yù)防、安全事故、損害的新聞報(bào)道，大家常常會(huì)見到，許多情況下全是重大安全事故，危害范疇特別廣。

但SAP的安全隱患的新聞報(bào)道，好像大家從來沒有看見過。

是SAP或運(yùn)作SAP的網(wǎng)絡(luò)服務(wù)器牛X嗎？或是SAP的媒體公關(guān)PR做的太“贊”了？亦或是全部安全事故全是網(wǎng)絡(luò)服務(wù)器的事，和SAP不相干？

SAP 是世界較火爆的和解決方法服務(wù)提供商，為85%以上的全世界500和190個(gè)國家的282,000 家顧客給予解決方法。

這確實(shí)便的基本電腦操作系統(tǒng)。

在這種操作系統(tǒng)中，幾乎運(yùn)作著近30W的一切，會(huì)計(jì)、供應(yīng)鏈管理、生產(chǎn)制造、市場銷售、人力資源管理這些。

假如這種體系的安全性出問題，那不良影響無法預(yù)料，損害也可能是一個(gè)天文數(shù)字。

1.

Onapsis是第一家專注于科學(xué)研究SAP系統(tǒng)安全隱患的安全性生產(chǎn)商。

根據(jù)選用防止和改正方式維護(hù)SAP系統(tǒng)和程序的專用工具，維護(hù)這些解決重要數(shù)據(jù)信息及程序流程運(yùn)用的方法。

“SAP、Oracle系統(tǒng)軟件的安全性，是安全領(lǐng)域一直忽略的一個(gè)行業(yè)，”Crawford曾表述過這種的見解。

Onapsis CEO Mariano Nunez 說：

“較讓人詫異的是，由于 SAP 實(shí)際操作精英團(tuán)隊(duì)和 IT 安全性精英團(tuán)隊(duì)中間的義務(wù)差別，的 SAP 網(wǎng)絡(luò)信息安全都面對著危害。實(shí)際上，運(yùn)用的大部分補(bǔ)丁包都和安全性不相干、公布過遲或是引進(jìn)了進(jìn)一步的風(fēng)險(xiǎn)管控。”

該企業(yè)曾有過一次科學(xué)研究，并產(chǎn)生調(diào)查報(bào)告。

在其中，稱出95% SAP 存有明顯的安全隱患，這種問題將他們放置互聯(lián)網(wǎng)攻擊風(fēng)險(xiǎn)性當(dāng)中并有可能致使明顯的數(shù)據(jù)泄漏。

該科學(xué)研究還匯報(bào)說，在2014年 SAP 公布了391個(gè)安全新，而他們中的50%以上都評為列入高危漏洞。

2.

攻擊方法和危害范疇，主要是對于 SAP 應(yīng)用軟件的互聯(lián)網(wǎng)攻擊，分成下列幾種：

關(guān)鍵互聯(lián)網(wǎng)：實(shí)行遠(yuǎn)程控制作用的控制模塊。

數(shù)據(jù)庫管理：為了好地獲得或改動(dòng) SAP 數(shù)據(jù)庫查詢中的信息，利用 SAP RFC 中的漏洞實(shí)行管理權(quán)限命令。

門戶網(wǎng)攻擊：利用漏洞建立J2EE側(cè)門帳戶，以瀏覽 SAP 門戶網(wǎng)和其它內(nèi)部結(jié)構(gòu)系統(tǒng)軟件。

匯報(bào)中給予了對于SAP系統(tǒng)較多見的三種互聯(lián)網(wǎng)攻擊的關(guān)鍵點(diǎn)信息，這種攻擊空間向量促使黑客可以侵入SAP系統(tǒng)并可以瀏覽企業(yè)數(shù)據(jù)信息的應(yīng)用軟件。

通過權(quán)威專家科學(xué)研究確定，互聯(lián)網(wǎng)攻擊可能嚴(yán)重影響下列重要業(yè)務(wù)流程過程：

在 SAP 系統(tǒng)軟件中間應(yīng)用 Pivoting，導(dǎo)致顧客信息和銀行信用卡信息泄露。顧客和供應(yīng)商門戶攻擊。根據(jù)SAP私有化協(xié)議書對數(shù)據(jù)庫管理進(jìn)行攻擊。

依據(jù) Nunez 常說，SAP HANA 應(yīng)當(dāng)對安全新的增加量承擔(dān)：

“這一發(fā)展趨勢不僅是連續(xù)的，反而是伴隨著 SAP HANA 為惡變，由于 SAP HANA 造成新的安全新提升了450%。

由于 SAP HANA 坐落于 SAP 生態(tài)體系的核心，因此儲存在 SAP 服務(wù)平臺的信息如今務(wù)必與此同時(shí)云端和前面開展維護(hù)。”

3.

英國國土安全局 (DHS) 公布安全警報(bào)稱，國家黑客、犯罪嫌疑人和黑客資源整體規(guī)劃 (ERP) 系統(tǒng)軟件的攻擊主題活動(dòng)在增加。

https:// .us-cert.gov/ncas/current-activity/2018/07/25/Malicious-Cyber-Activity-Targeting-ERP-Applications

該警示是在威脅情報(bào)企業(yè) Digital Shadows 和 Onapsis 協(xié)同公布匯報(bào)后產(chǎn)生的。

該匯報(bào)詳細(xì)描述了國家黑客、違法犯罪機(jī)構(gòu)和黑客分子結(jié)構(gòu)攻擊 ERP 系統(tǒng)軟件層面的興趣愛好是怎樣提高的。

ERP近年來有慢慢使用云服務(wù)器的發(fā)展趨勢，可容許企業(yè)經(jīng)營管理多種多樣業(yè)務(wù)流程，如客戶關(guān)系管理、股權(quán)融資、人力資源管理、銷售市場營銷運(yùn)營、市場銷售、供應(yīng)鏈管理這些。因?yàn)樵撔畔⒌母叨群涂倢挘珽RP 變成攻擊者極具誘惑力的目的之一。

匯報(bào)警示稱，黑客對于兩徑山 ERP 手機(jī)軟件服務(wù)提供商（SAP 和甲骨文字）的一般漏洞和 0day 漏洞的興趣愛好不斷強(qiáng)化。

匯報(bào)強(qiáng)調(diào)，“大家觀察到一個(gè)大中型俄國違法犯罪社區(qū)論壇上，在溝通交流詳盡的 SAP 黑客信息，暗在網(wǎng)上對回收 SAP HANA 攻擊編碼的探討也在增加。以往三年來，對SAP和甲骨文字 ERP 運(yùn)用的公布攻擊編碼的總數(shù)提升了100%；而2016年，對于 ERP 漏洞的行動(dòng)和興趣愛好提高了160%。”

4.

安全性權(quán)威專家強(qiáng)調(diào)，她們跟蹤或紀(jì)錄的大部分攻擊，并沒有應(yīng)用0day 漏洞，反而是已經(jīng)知道漏洞。攻擊者通常找尋的是自代管的，未按時(shí)升級補(bǔ)丁包的 ERP 運(yùn)用，或是未被設(shè)定強(qiáng)安全設(shè)置的云 ERP 運(yùn)用。

科學(xué)研究工作員表明，攻擊者通常利用其他企業(yè)被泄漏的賬戶密碼信息黑入職工 ERP 帳戶。這類類別的攻擊很普遍，科學(xué)研究工作人員找到出1.7萬款連接網(wǎng)絡(luò) ERP 運(yùn)用，而根據(jù)暴力行為攻擊或詞典攻擊，就能侵入不安全的帳戶。

可是，假如攻擊者不肯鑒別一家企業(yè)員工并執(zhí)行暴力行為攻擊，那麼也可使用簡潔的解決方法。例如，Digital Shadows 和 Onapsis 企業(yè)的研究者表明，她們鑒別出500好幾個(gè)不安全的文件傳送庫文件，被曝露在網(wǎng)絡(luò)上的 ERP 環(huán)境變量。攻擊者可對這種環(huán)境變量開展大數(shù)據(jù)挖掘，以客戶在未來啟動(dòng)攻擊。

此外，科學(xué)研究工作員表明，匯報(bào)強(qiáng)調(diào)，曾被國土安全局在2016年5月關(guān)鍵提到的一個(gè)已存有7年時(shí)間的 SAP 漏洞仍在遭利用，表明危害工作人員已經(jīng)利用這類年久缺點(diǎn)。

5.

匯報(bào)還強(qiáng)調(diào)，危害工作人員并沒有忽略這種年久缺點(diǎn)。

科學(xué)研究工作員表明，早已發(fā)覺國家黑客啟動(dòng)互聯(lián)網(wǎng)攻擊的印痕，她們攻占 ERP 運(yùn)用以瀏覽相對高度靈敏的信息或毀壞重要的工作流程。

火眼金睛企業(yè)和 ProtectWise 公司曾公布匯報(bào)，確認(rèn)稱國家監(jiān)管機(jī)構(gòu)對云計(jì)算平臺如 ERP 系統(tǒng)軟件的攻擊興趣愛好。此外，日常網(wǎng)絡(luò)詐騙機(jī)構(gòu)也逐漸攻擊 ERP。

匯報(bào)強(qiáng)調(diào)，臭名遠(yuǎn)揚(yáng)的 Dridex 金融機(jī)構(gòu)木馬病毒在2017年升級后搜索并盜取 ERP 系統(tǒng)軟件和 SAP 手機(jī)軟件的各種各樣憑據(jù)信息。

黑客分子結(jié)構(gòu)機(jī)構(gòu)盡管已比不上十年前那麼活躍性，但她們?nèi)匀淮嬗小?/p>

而ERP系統(tǒng)的安全防護(hù)廣泛或是一個(gè)非常弱的情況，這仍然有十分大的安全風(fēng)險(xiǎn)安全隱患。

終究這玩意兒的假如碰到毀壞，乃至的業(yè)務(wù)流程經(jīng)營。

除此之外，立即高效的備份數(shù)據(jù)對策也特別關(guān)鍵，一旦發(fā)生風(fēng)險(xiǎn)性，迅速的恢復(fù)力也的IT運(yùn)營能力。

6.

安全性和平穩(wěn)，一直是SAP在市場上主推的二張皇牌

而且SAP官方網(wǎng)站有專業(yè)的頻道，稱為「信賴核心」，用于詳細(xì)介紹SAP在安全領(lǐng)域所做的一切，以讓用戶安心。

但理論上講，只需連接互聯(lián)網(wǎng)技術(shù)，則沒有肯定的安全性。

針對安全性，必須做好長時(shí)間的資金投入，并對全部預(yù)料的問題即時(shí)回應(yīng)，并按時(shí)開展檢測。才可以確保相對性的安全性。

http://www.hzsxw.com