ERP güvenliği - ERP security

ERP Güvenliği korumayı amaçlayan geniş bir önlem yelpazesidir Kurumsal kaynak planlaması Sistem verilerinin erişilebilirliğini ve bütünlüğünü sağlayan yasadışı erişimden (ERP) sistemleri. ERP sistemi, Üretim dahil organizasyonu yönetmeye yönelik bilgilerin birleştirilmesine hizmet eden bir bilgisayar yazılımıdır, Tedarik zinciri yönetimi, Finansal Yönetim, İnsan kaynakları yönetimi, Müşteri ilişkileri yönetimi, Kurumsal Performans Yönetimi. Yaygın ERP sistemleri SAP, Oracle E-Business Suite, Microsoft Dynamics.[1]

gözden geçirmek

ERP sistemi satın alma, ödeme, nakliye, insan kaynakları yönetimi, ürün yönetimi ve finansal planlamayı sağlayan iş süreçlerini entegre eder.[2]ERP sistemi gizli bilgileri depoladığından, Bilgi Sistemleri Denetim ve Kontrol Derneği (ISACA ) düzenli olarak kapsamlı bir ERP sistemi güvenliği değerlendirmesi yapılmasını, ERP sunucularının yazılım açıkları, yapılandırma hataları, görev ayrımı çatışmaları, ilgili standartlara ve tavsiyelere uyumluluk ve satıcı tavsiyeleri için kontrol edilmesini önerir.[3][4]

ERP sistemlerindeki güvenlik açıklarının nedenleri

Karmaşıklık

ERP sistemleri, kullanıcıların farklı erişim ayrıcalıklarına sahip olmasını sağlamak için işlemleri işler ve prosedürler uygular. SAP'de, kullanıcıların sistemde eylemler gerçekleştirmesine izin veren yüzlerce yetkilendirme nesnesi vardır. Şirketin 200 kullanıcısı olması durumunda, ERP sistemlerinin güvenlik ayarlarını özelleştirmenin yaklaşık 800.000 (100 * 2 * 20 * 200) yolu vardır.[5] Karmaşıklığın artmasıyla, hata ve görev ayrılığı çatışmaları olasılığı artar.[3]

Özgüllük

Bilgisayar korsanları güvenlik sorunlarını bulmak ve kullanmak için iş uygulamalarını izlediğinden, satıcılar güvenlik açıklarını düzenli olarak düzeltir. SAP yamaları aylık olarak yayınlar Salı Günü Yama Oracle, her üç ayda bir güvenlik düzeltmeleri yapıyor Oracle Kritik Yama Güncellemesi. İş uygulamaları internete daha fazla maruz kalıyor veya buluta taşınıyor.[6]

Yetkili uzman eksikliği

ERP Siber Güvenlik anketi[7] ERP sistemleri çalıştıran kuruluşların "hem farkındalıktan hem de ERP güvenliğine yönelik alınan önlemlerden yoksun olduğunu" ortaya çıkardı.[8]ISACA, "ERP güvenliği konusunda eğitilmiş personel eksikliği olduğunu" belirtiyor[5] ve güvenlik hizmetleri, ERP sistemleriyle ilişkili riskler ve tehditler hakkında yüzeysel bir anlayışa sahiptir. Sonuç olarak, güvenlik açıkları tespit etme ve sonradan tespit etme gibi girişimleri karmaşık hale getirir.[6][9]

Güvenlik denetimi araçlarının eksikliği

ERP paketleri içeren çeşitli araçlar sistem güvenliği denetimi için araçlar sağlamadığından, ERP güvenlik denetimi manuel olarak yapılır. Manuel denetim, hata yapma olasılığını artıran karmaşık ve zaman alan bir süreçtir.[3]

Çok sayıda özelleştirilmiş ayar

Sistem, işlemler ve tablolar için görev ayrımı dahil olmak üzere binlerce parametre ve ince ayar içerir ve her sistem için güvenlik parametreleri ayarlanır. ERP sistem ayarları, müşterilerin gereksinimlerine göre özelleştirilir.

ERP sistemlerinde güvenlik sorunları

ERP sistemlerinde farklı seviyelerde güvenlik sorunları ortaya çıkar.

Ağ katmanı

Trafik durdurma ve değiştirme

  • Veri şifreleme yokluğu

2011 yılında Sensepost uzmanları, istemciden SAP sunucusuna veri aktarımı için SAP ERP sisteminde kullanılan DIAG protokolünü analiz etti. Kritik bilgiler içeren istemci-sunucu isteklerini engellemeye, şifresini çözmeye ve değiştirmeye izin veren iki yardımcı program yayınlandı. Bu, aşağıdakileri içeren saldırıları mümkün kıldı: Ortadaki adam saldırısı. İkinci yardımcı program bir Proxy gibi çalışır ve yeni güvenlik açıklarını belirlemek için oluşturulmuştur. İstemci ve sunucuya gelen isteklerin değiştirilmesine izin verdi.[10]

  • Açık metin olarak şifre gönderme (SAP J2EE Telnet / Oracle dinleyici eski sürümleri)

SAP ERP sisteminde, yönetim işlevlerini şu yolla gerçekleştirmek mümkündür: Telnet parolaları şifreleyen protokol.

Şifreleme veya kimlik doğrulama protokollerindeki güvenlik açıkları

  • Hash ile kimlik doğrulama
  • XOR şifre şifreleme (SAP DIAG)
  • Eski kimlik doğrulama protokollerinin kullanımını dayatmak
  • Yanlış kimlik doğrulama protokolleri

Protokollerdeki güvenlik açıkları (ör. SAP ERP'de RFC ve Oracle E-Business Suite'te Oracle Net). SAP ERP'de iki sistemi TCP / IP ile bağlamak için RFC protokolü kullanılır (Remote Function Call). RFC çağrısı, bir sistemde bulunan işlevsel bir modülü çağırmayı ve çalıştırmayı sağlayan bir işlevdir. ABAP SAP için iş uygulamaları yazmak için kullanılan dil, RFC çağrıları yapmak için işlevlere sahiptir. SAP RFC Kitaplığı 6.x ve 7.x sürümlerinde birkaç kritik güvenlik açığı bulundu:[11]

  • RFC işlevi "RFC_SET_REG_SERVER_PROPERTY", RFC sunucusunun özel kullanımının belirlenmesine izin verir. Güvenlik açığı istismarları, meşru kullanıcılar için erişimin reddedilmesine yol açar. hizmet reddi mümkün hale gelir.
  • RFC işlevi "SYSTEM_CREATE_INSTANCE" hatası. Güvenlik açığından yararlanılması, rastgele kod çalıştırılmasına izin verir.
  • "RFC_START_GUI" RFC işlevinde hata. Güvenlik açığından yararlanmak, isteğe bağlı kod çalıştırılmasına da izin verir.
  • "RFC_START_PROGRAM" RFC işlevinde hata. Güvenlik açığından yararlanmak, rastgele kod çalıştırmaya veya RFC sunucusu yapılandırması hakkında bilgi edinmeye izin verir.
  • "TRUSTED_SYSTEM_SECURITY" RFC işlevinde hata. Güvenlik açığından yararlanmak, RFC sunucusundaki mevcut kullanıcılar ve gruplar hakkında bilgi edinilmesine olanak tanır.

İşletim sistemi düzeyi

İşletim sistemi yazılım güvenlik açıkları

  • İşletim sistemindeki herhangi bir uzak güvenlik açığı, uygulamalara erişim sağlamak için kullanılır

Zayıf işletim sistemi şifreleri

  • Uzaktan şifre kaba zorlama
  • Radmin gibi uzaktan yönetim araçları için boş parolalar ve VNC

Güvenli olmayan işletim sistemi ayarları

  • NFS ve SMB. SAP verilerine, NFS ve SMB aracılığıyla uzak kullanıcılar tarafından erişilebilir hale gelir
  • Dosya erişim hakları. Kritik SAP ve DBMS Oracle veri dosyaları, 755 ve 777 gibi güvenli olmayan erişim haklarına sahiptir
  • Güvenli olmayan ana bilgisayar ayarları. Güvenilir ana bilgisayarlarda sunucular listelenebilir ve bir saldırgan bunlara kolayca erişebilir

Uygulama güvenlik açıkları

ERP sistemleri, birçok güvenlik açığı ile web uygulamaları düzeyinde daha fazla işlevsellik aktarır:

  • Web uygulaması güvenlik açıkları (XSS, XSRF, SQL Enjeksiyonu, Yanıt Bölme, Kod Yürütme)
  • Web sunucularında ve uygulama sunucularında (SAP IGS, SAP Netweaver, Oracle BEA Weblogic) arabellek taşması ve biçim dizesi
  • Erişim için güvensiz ayrıcalıklar (SAP Netweaver, SAP CRM, Oracle E-Business Suite)

Rol tabanlı erişim kontrolü

ERP sistemlerinde RBAC (Rol Tabanlı Erişim Kontrolü ) modeli, kullanıcıların işlem yapmaları ve iş nesnelerine erişim sağlamaları için uygulanmaktadır.[12]Modelde, bir kullanıcıya erişim izni verme kararı, kullanıcıların işlevlerine veya rollerine göre verilir. Roller, kullanıcının veya bir grup kullanıcının şirkette gerçekleştirdiği çok sayıda işlemdir. İşlem, bu işlemin gerçekleştirilmesine yardımcı olan sistem verilerini dönüştürme prosedürüdür. Herhangi bir rol için, bir veya daha fazla role sahip birkaç karşılık gelen kullanıcı vardır. Roller hiyerarşik olabilir. Sistemde roller uygulandıktan sonra her role karşılık gelen işlemler nadiren değişir. Yöneticinin rollere kullanıcı eklemesi veya silmesi gerekir. Yönetici, yeni bir kullanıcıya bir veya daha fazla rolde üyelik sağlar. Çalışanlar organizasyondan ayrıldığında, yönetici onları tüm rollerden çıkarır.[13]

Görevlerin ayrılığı

Ayrışma veya Görevlerinin ayrılması SoD olarak da bilinen, bir kullanıcının diğer kullanıcılar olmadan işlem yapamayacağı kavramdır (örneğin, bir kullanıcı yeni bir tedarikçi ekleyemez, bir çek yazamaz veya bir tedarikçiye ödeme yapamaz)[14] ve dolandırıcılık riski çok daha düşüktür.[15] SoD, RBAC mekanizmaları tarafından uygulanabilir ve karşılıklı olarak birbirini dışlayan roller kavramı ortaya çıkar. Örneğin, bir tedarikçiye ödeme yapmak için, bir kullanıcı ödeme prosedürünü başlatır ve diğeri kabul eder.[16] Bu durumda, ödemeyi başlatma ve kabul etme, birbirini dışlayan rollerdir. Görev ayrımı, statik veya dinamik olabilir. Statik SoD (SSoD) ile bir kullanıcı, birbirini dışlayan iki role ait olamaz. Dinamik SoD (DSoD) ile, bir kullanıcı bunu yapar ancak bir işlem içinde gerçekleştiremez. Her ikisinin de kendi avantajları var. SSoD basittir, DSoD esnektir.[17] Görevlerin Ayrılması SoD matrisinde açıklanmıştır. X ve Y matrisleri, sistem rollerini tanımlar. İki rol birbirini dışlarsa, karşılık gelen satır ve sütunların kesişmesinde bir bayrak vardır.

ERP Güvenlik tarayıcıları

ERP Güvenlik tarayıcısı, ERP sistemlerindeki güvenlik açıklarını aramak için tasarlanmış bir yazılımdır. Tarayıcı, ERP sisteminin yapılandırmalarını analiz eder, yanlış yapılandırmaları, erişim kontrolü ve şifreleme çakışmalarını, güvenli olmayan bileşenleri arar ve güncellemeleri kontrol eder. Tarayıcı, üreticinin önerilerine ve denetim prosedürlerine uygunluk açısından sistem parametrelerini kontrol eder. ISACA. ERP Güvenlik tarayıcıları, kritikliklerine göre listelenen güvenlik açıkları ile raporlar üretir. Tarayıcı örnekleri:

Referanslar

  1. ^ "ERP (kurumsal kaynak planlaması)". ARP TechTarget. Mayıs 2017. Alındı 6 Nisan 2018.
  2. ^ "ERP Nedir?". Alındı 6 Nisan 2018.
  3. ^ a b c ERP'de güvenlik sorunları http://www.isaca.org/Knowledge-Center/Research/ResearchDeliverables/Pages/sap-erp.aspx
  4. ^ "Bir ERP ekosistemi için güvenlik neden öncelikli olmalıdır?". Bilgi çağı. 31 Ağustos 2017. Alındı 6 Nisan 2018.
  5. ^ a b ERP Güvenliği ve Görev Ayrımı Denetimi: Otomatik Bir Çözüm Oluşturmak İçin Bir Çerçeve https://csbweb01.uncw.edu/people/ivancevichd/classes/MSA%20516/Extra%20Readings%20on%20Topics/Database/ERP%20Security.pdf
  6. ^ a b "ERP Güvenliği Artık Her Zamankinden Daha Fazla İlgimizi Hak Ediyor". Forbes. 7 Temmuz 2017. Alındı 6 Nisan 2018.
  7. ^ ERP Siber Güvenlik anketi 2017 https://erpscan.com/research/white-papers/erp-cybersecurity-survey-2017/
  8. ^ "Anket, SAP sistemine yapılan dolandırıcılık saldırılarının zararının 10 milyon dolar olarak tahmin edildiğini ortaya koyuyor". IDG'den CSO. 27 Haziran 2017. Alındı 6 Nisan 2018.
  9. ^ "Altı klasik ERP sistemi güvenlik sorunu - ve bunlardan nasıl kaçınılacağı". CloudTech. 10 Mayıs 2017. Alındı 6 Nisan 2018.
  10. ^ ERPScan, SAP'deki DIAG protokolünün yeni güvenlik açıkları konusunda uyarıyor
  11. ^ SAP RFC Kitaplığı Çoklu Güvenlik Açıkları http://www.cnet.com/forums/post/7986898c-0a03-43d4-af70-b8427164c8e2
  12. ^ Kurumsal Kaynak Planlama Sistemleri için Güvenlik http://www.utdallas.edu/~bxt043000/Publications/Journal-Papers/DAS/J46_Security_for_Enterprise_Resource_Planning_Systems.pdf
  13. ^ Rol Tabanlı Erişim Kontrolleri http://csrc.nist.gov/rbac/ferraiolo-kuhn-92.pdf
  14. ^ ISACA Sözlük Terimleri http://www.isaca.org/Knowledge-Center/Lists/ISACA%20Glossary%20Terms/DispForm.aspx?ID=1700
  15. ^ Görev ayrımı için risk temelli bir yaklaşım http://www.ey.com/Publication/vwLUAssets/EY_Segregation_of_duties/$FILE/EY_Segregation_of_dutie/s.pdf
  16. ^ R.A. Botha ve J.H.P. Eloff İş Akışı Ortamlarında Erişim Kontrolünün Uygulanması İçin Görevlerin Ayrılması
  17. ^ Basit Arama http://www.bth.se/fou/cuppsats.nsf/all/52d12689b4758c84c12572a600386f1d/$file/mcs-2006-16.pdf Arşivlendi 2015-02-26 da Wayback Makinesi

ERP Güvenliği