现代SAP足迹的复杂性和常见安全故障使许多组织面临可避免的风险。错误配置和其他错误（其中许多是多年来为人所知的）继续危及企业SAP环境的安全性。SAP足迹复杂性的快速增长是造成这种情况的一个重要原因。多年来，SAP应用程序不断变化和发展，现在已连接到无数其他系统和应用程序。典型的SAP环境由许多自定义代码和自定义组件组成，它们通过各种API和接口相互通信以及与外部系统通信。ERP领域安全供应商Onapsis的首席技术官JuanPerez-Etchegoyen表示，新代码和协议与遗留环境交互并继承了它们的安全漏洞和缺陷。他指出，为了适应新的业务流程，不断对配置文件、参数和配置进行更改，但对潜在的安全影响知之甚少。这些环境的复杂性使它们充斥着安全漏洞。今年早些时候，随着针对两个主要SAP组件中已知错误配置的一组漏洞的公开发布，该问题成为人们关注的焦点。这些漏洞统称为10KBlaze，为攻击者提供了一种获得对SAP环境的完全远程管理控制的方法，并促使US-CERT发出警告。以下是企业SAP环境中一些最常见的配置错误和安全故障。1、配置ACL访问控制列表（ACL），控制不同SAP系统之间、SAP与非SAP环境之间的连接和通信。它们还确定用户对SAP系统的访问权限。Perez-Etchegoyen说，控制SAP系统和外部系统之间或SAP系统之间连接的ACL通常配置不当且漏洞百出，允许一个系统上的某人轻松访问另一个系统。在渗透测试中，错误配置的ACL几乎总是显示为攻击者提供了一种在SAP环境中横向移动的方法，他说。例如，Onapsis在5月份披露的10KBlaze漏洞旨在利用SAP网关和SAP消息服务器中配置不当的ACL。这些漏洞允许攻击者完全控制SAP环境，以便查看、删除或修改数据、关闭系统和执行其他恶意操作。Onapsis的CTO表示，SAP环境中经常配置不安全ACL的其他组件包括SAPInternetCommunicationManager(ICM)、SAPDispatcher、用于远程监控和管理的SAP管理控制台，以及用于操作系统监控的SAPHostAgentACL。SAP本身早就警告组织注意错误配置的ACL的危险。Perez-Etchegoyen说，在这方面，较新版本的应用程序比旧版本安全得多，默认情况下ACL也更加严格。尽管如此，不安全的ACL仍然是SAP世界中最大的可避免漏洞之一。2.弱用户访问控制大多数SAP软件都有一个或多个默认用户帐户，具有高权限和管理员级别的访问权限。访问此类帐户的恶意用户可能会造成严重损害。此类帐户的示例包括SAP*和DDIC，以及SAPHANA中的系统用户帐户，专注于SAP系统的咨询公司EnowaLLC的高级主管JonathanHaun说。“黑客知道这些账户的存在，他们首先攻击它们，”豪恩说。“企业要么在必要时禁用这些账户，要么使用非常复杂、随机生成的无法猜测的密码，”他说。“在某些情况下，甚至有一些软件产品可以让管理员安全地临时使用这些帐户。”Perez-Etchegoyen说，SAP环境，尤其是那些随着时间的推移而发展壮大并拥有许多帐户的环境，很容易被滥用，让恶意用户获得完全的管理员权限特权甚至超级管理员访问所有内容的环境。“这是SAP安全卫生的一个领域，很多组织肯定需要改进。”3.不安全的自定义代码据安全通信副总裁GertSchroeter说在SAPGlobalsecurity，组织正在围绕他们的SAP环境构建自定义代码和功能。通常存在错误并包含安全漏洞。“当涉及到软件开发生命周期时，我们确实看到了很多问题，”Schroeter说。软件开发速度较快，开发组织通常很少关注代码漏洞分析、代码扫描和错误查找等安全基础知识g在构建和部署软件时。“我们谈论的是设计安全和默认安全，”Schroeter说。在许多有SAP足迹的组织中，“情况并非如此。”4.草率的补丁管理由于大多数SAP环境的关键任务性质，管理员通常犹豫或不愿意做任何可能破坏可用性的事情。一个结果是安全补丁和更新——即使是最关键的漏洞——通常很少被快速应用，有时甚至根本没有应用。Perez-Etchegoyen说，在SAP环境中应用补丁意味着通过开发、QA、预生产和所有其他多层了解其影响。管理员确保补丁不会破坏现有流程或界面所花费的时间通常会导致所需的补丁甚至在首次可用后数年仍未实施。Schroeter补充说，由于缺乏信息，许多组织很难在现场SAP系统上识别和实施所需的补丁。他指出，管理员需要定期监控漏洞披露站点和数据库，并订阅资源以便定期更新补丁信息。5.未受保护的数据如今，SAP环境几乎可以连接到任何东西，并且几乎可以从任何地方直接或间接访问。许多SAP工作负载也开始迁移到云端。然而，实际数据本身（尽管是关键任务）通常不受保护。很少有公司对传输中或静止的数据进行加密，从而使其在此过程中遭到不当访问和滥用。“对于云计算和托管环境，他们错误地认为供应商正在实施网络加密和其他安全标准，”Haun说。当你的SAP数据库由第三方（尤其是第三方）托管时，其余的数据应该被加密，以防止不受信任的用户访问数据。“许多组织使用托管和IaaS云平台，因此强烈建议对数据、交易日志和备份文件进行加密，”他说。6.密码管理不善ERP系统和与之相连的应用程序包含关键信息，但往往容易受到密码保护和密码管理实践的影响。访问受默认密码或跨帐户使用相同密码保护的高特权帐户并不少见。弱密码肯定是跨应用程序的问题，但在关键的SAP环境中尤其成问题。一些组织不支持密码的基本标准，Haun说，这可能导致帐户被盗用，黑客使用有效的用户帐户和密码造成无法检测的损害。“应该配置SAP系统，使用户帐户密码很复杂，并且每年更改几次，”他建议道。不应将超级用户和管理员密码提供给普通用户并将其锁在数字保险箱中。Schroeter建议，组织不应依赖宏和基于文本的身份验证，而应实施更强大的控制，包括SSO、双因素和基于上下文的身份验证。7.未能制定应急响应计划许多组织面临的一个大问题是缺乏适当的危机管理计划。施罗特说，很少有人制定了应对正在发生的攻击的程序，也很少有人拥有应对危机的指挥链。他说，SAP进行的一项调查显示，企业担心ERP环境中的数据丢失、灾难恢复能力和业务连续性，但很少有企业制定危机计划。8.日志记录和审计不足日志记录和审计对于实现跨SAP环境监控系统活动所需的可见性至关重要。它帮助管理员关注特权用户并监控对应用程序、数据和数据库的访问以及对他们的任何身份更改。然而，Haun说，大多数组织没有提供足够的审计策略来跟踪SAP系统中的关键操作。这包括应用程序服务器层和数据库层。“审计数据可用于主动检测攻击并在攻击后提供取证数据，”他说。Schroeter说，SAP本身已经为其产品添加了许多安全功能，并且多年来一直以安全的默认配置提供它们。该公司提供有关关键主题的指导，例如配置漂移，以及如何处理安全补丁和向其软件添加安全功能。“客户需要开始处理这个问题，并开始以整体方式解决网络安全问题，”他说。与SAP应用程序一样，解决安全问题很复杂。Schroeter指出，组织需要实施安全计划、确定风险的优先级并找出一种正式的方法来减轻对SAP环境的威胁。他说，去年SAP与一家安全供应商进行的一项研究表明，犯罪分子对SAP应用程序的兴趣有所增加。继续低估或忽视这种威胁的公司正在犯错误。“10KBLAZE是我能找到的最好的例子，说明为什么组织需要开始处理这个问题，”Schroeter说。
