0 
0 O status da SAP como fornecedora líder de software de gerenciamento de processos de negócios é inegável. Hoje, a empresa atende mais de 230 milhões de usuários de nuvem e 99 das 100 maiores empresas do mundo com o maior portfólio de nuvem de qualquer provedor, compreendendo mais de 100 soluções que abrangem todas as funções de negócios. Tocando 77% de todas as transações e pensado para armazenar 70% de todos os dados corporativos, os sistemas SAP são uma engrenagem digital fundamental na economia global.
Mas os sistemas SAP também apresentam vários desafios de segurança.
Muitos de seus aplicativos são projetados para atender às necessidades departamentais específicas. O SAP SCM, por exemplo, foi desenvolvido para oferecer suporte a especialistas em gerenciamento da cadeia de suprimentos com soluções em planejamento, logística, fabricação e gerenciamento do ciclo de vida do produto.
Ao atender aos requisitos exclusivos de departamentos individuais, esses aplicativos podem acabar isolados em pequenos bolsões da organização, longe das estratégias de segurança central, dificultando o monitoramento, a correção e a manutenção deles, muito menos a detecção de atividades suspeitas ou maliciosas.
Os sistemas SAP são alvos altamente atraentes para os agentes de ameaças, armazenando informações altamente valiosas, como dados pessoais, dados financeiros e propriedade intelectual crítica para os negócios. E, infelizmente, os cibercriminosos estão cientes do fato de que os sistemas SAP geralmente residem fora das estratégias de segurança central.
Um relatório recente da SAP de propriedade parcial revelou que, para cada 1.500 ataques cibernéticos em sistemas SAP registrados entre meados de 2020 e março de 2021, 300 foram bem-sucedidos, com os agentes de ameaças aproveitando falhas em aplicativos não seguros para cometer fraudes financeiras, implantar ransomware e interromper as operações de negócios.
Nesse sentido, os maiores pontos fortes da SAP são, em muitos aspectos, seu calcanhar de Aquiles. Com tantas organizações dependentes dos aplicativos da empresa, qualquer agente nefasto capaz de explorá-los tem uma grande chance de explorar potenciais vítimas.
As ameaças enfrentadas pela SAP
O problema é agravado pela variedade de vetores de ataque que os cibercriminosos estão aproveitando para atingir sistemas SAP de missão crítica, com os aplicativos geralmente permanecendo vulneráveis por longos períodos devido a patches de segurança que não são aplicados em tempo hábil.
Em fevereiro, vimos a Agência de Segurança Cibernética e Infraestrutura (CISA) instar os administradores a corrigir o SAP NetWeaver contra uma vulnerabilidade crítica que poderia facilitar uma série de ataques e até levar ao desligamento operacional. No mesmo mês, das 22 notas de segurança ou atualizações emitidas pela SAP, oito foram consideradas “Hot News”. Quatro foram atualizações, mas do restante, três tiveram pontuação máxima de 10 no CVSS e o quarto 9,1.
A SAP é prolífica em seus patches. No entanto, os patches não podem ser aplicados diretamente em sistemas produtivos, exigindo tempo de inatividade que muitas vezes não é uma opção para sistemas de missão crítica. Mesmo quando uma empresa atualiza para SAP S/4HANA, a pressão para entrar em operação pode deixar a segurança de lado.
Consequentemente, os agentes de ameaças continuam esperando nos bastidores para capitalizar isso.
De fato, o relatório mencionado anteriormente revela que as explorações são tentadas dentro de 72 horas após o SAP anunciar publicamente os patches, enquanto novos ambientes SAP estão sendo identificados e atacados online em menos de três horas. Isso destaca a importância das organizações tanto na implementação imediata de patches quanto na garantia de que os aplicativos sejam configurados corretamente e protegidos adequadamente no lançamento.
Uma variedade de métodos de ataque foi testemunhada, como o uso de ataques de força bruta em contas privilegiadas. Aqui, sabe-se que os invasores tentam usar senhas padrão que podem ter permanecido inalteradas após a instalação.
Os ataques de portal de clientes e fornecedores são um segundo exemplo, com os agentes de ameaças criando usuários backdoor no SAP J2EE User Management Engine para obter acesso aos portais SAP e plataformas de integração de processos. Os ataques por meio de protocolos proprietários da SAP também são executados usando comandos do sistema operacional com os privilégios do administrador SAP.
As pontuações de 10 do CVSS em ameaças como essas não são coincidência. Qualquer vulnerabilidade no SAP é altamente preocupante devido ao seu potencial de impacto – caso os sistemas SAP sejam atacados, as consequências podem ser catastróficas, em cascata em várias áreas de risco.
A perda de propriedade intelectual é um exemplo. Segredos comerciais são as características definidoras de muitas empresas, diferenciando-as de seus concorrentes. Caso sejam roubados ou tornados públicos, isso pode levar a ciclos de inovação interrompidos e danos irreversíveis à reputação.
Se informações confidenciais, como dados de clientes ou financeiros, forem roubadas, as organizações também podem estar sujeitas a sanções regulatórias e penalidades pesadas. Por exemplo, no caso do GDPR, as entidades podem ser multadas em até 4% de seu faturamento anual se não estiverem em conformidade e, se dados de terceiros forem comprometidos, a Lei de Direitos Autorais fornece expressamente causa para reivindicações potencialmente maciças por danos impostos .
Além disso, existem vários riscos operacionais associados à proteção inadequada dos sistemas SAP. Dada a sua função central no cenário de dados, os aplicativos SAP são submetidos a auditorias anuais para determinar a eficácia dos controles que sustentam a integridade e a segurança dos dados. Se as organizações falharem em uma auditoria, os aplicativos podem ser colocados offline, resultando em grandes interrupções e despesas de correção dispendiosas.
Entendendo a complexidade dos sistemas SAP
Apesar desse potencial de impacto, as práticas e protocolos de segurança associados aos sistemas SAP muitas vezes deixam muito a desejar.
Em uma recente pesquisa no Twitter direcionada a profissionais de segurança cibernética e de TI nos EUA e no Reino Unido, descobriu-se que 40% das organizações não incluem sistemas críticos para os negócios, como SAP, em seu monitoramento de segurança cibernética, enquanto outros 27% não tinham certeza se foi incluído em seu monitoramento de segurança cibernética. Além disso, 30% admitiram que atualmente não revisam os logs do SAP para eventos de segurança cibernética ou atividades de ameaças cibernéticas, enquanto 30% disseram não ter certeza se esse monitoramento estava ocorrendo.
Tais estatísticas são preocupantes. Deixar de monitorar os logs do SAP para ameaças de segurança cria pontos cegos, prejudicando a capacidade de detectar e responder a ataques e deixando as organizações vulneráveis. No entanto, a realidade simples é que as organizações podem lutar para preencher a lacuna entre os sistemas SAP e a segurança.
Muito disso decorre da complexidade dos sistemas SAP. Seja o Componente Central do ERP, o Business Warehouse, o Human Capital Management ou outro do extenso conjunto de produtos da SAP, cada aplicativo tem sua própria nomenclatura e conjuntos de regras distintos.
Os logs criados por cada aplicativo SAP na captura de eventos relevantes para a segurança são apresentados em diferentes formatos com uma clara falta de padronização, tornando incrivelmente difícil para as equipes de segurança e sistemas SIEM entenderem os dados de log do SAP.
Como as empresas podem proteger melhor seus aplicativos essenciais aos negócios?
Para ter sucesso, as empresas precisam trabalhar para construir uma plataforma integrada de operações de segurança que monitore toda a infraestrutura de TI e forneça visibilidade completa dos sistemas SAP para reduzir massivamente os riscos de segurança atuais e fornecer logs para auxiliar qualquer processo de auditoria.
Aqui, eles devem trabalhar para incorporar tecnologias SIEM para se beneficiar da detecção e resposta coordenada de ameaças, bem como monitoramento, alertas e remediação automatizados. Felizmente, o mercado está começando a se inclinar mais fortemente dessa maneira com tecnologias e soluções complementares surgindo à medida que as empresas continuam a construir sua presença na nuvem.
Ao convergir soluções de SIEM com Security Orchestration, Automation and Response (SOAR) e User and entity behavior analytics (UEBA), as organizações podem se beneficiar de recursos automatizados de detecção, investigação e resposta de ameaças, bem como análises precisas e baseadas em riscos, orientando as equipes de segurança para combater ameaças avançadas.
Felizmente, existem soluções completas no mercado capazes de fornecer esse conjunto abrangente de soluções, muitas delas projetadas especificamente para resolver o desafio da separação SIEM-SAP.
Essas soluções podem padronizar os dados complexos no(s) sistema(s) SAP para garantir a legibilidade no SIEM, permitindo a análise em tempo real da atividade SAP interna e, ao mesmo tempo, permitindo que as empresas correlacionem os dados SAP com outros eventos na rede de TI.
Obviamente, nem todas as soluções SaaS são iguais. Com a SAP lançando seu novo produto principal S/4HANA como uma melhoria em seu software ERP Central Component existente, as organizações devem procurar uma solução que seja compatível com ambas as versões para oferecer suporte a estratégias de migração perfeitas.
Além disso, soluções de segurança avançadas como essas exigirão profissionais de segurança com competências em SAP – habilidades que as entidades precisarão se concentrar no desenvolvimento, atração e retenção para serem bem-sucedidas.
No entanto, entre as ameaças atuais enfrentadas pelos sistemas SAP e a criticidade de tais aplicativos para as organizações, deve-se priorizar a divisão dos silos entre os departamentos operacionais e as configurações de segurança. Não apenas a segurança será amplamente aprimorada, mas os benefícios operacionais serão igualmente transformadores.
FONTE: HELPNET SECURITY