Exploración de vulnerabilidades en la seguridad de SAP

La oferta de servicios abarca desde exploraciones de vulnerabilidades hasta auditorías y pruebas de penetración. Sin embargo, qué enfoque es el adecuado para cada cosa depende de los requisitos de cada resultado.

Al realizar exploraciones de vulnerabilidad, también conocidas como evaluaciones de vulnerabilidad, los sistemas SAP se exploran de forma automática o semiautomática en busca de vulnerabilidades conocidas y los resultados se enumeran en un informe tabular. En el caso más sencillo, puede tratarse de una lista de los parámetros relevantes para la seguridad de un servidor de aplicaciones SAP sin someterlos a una evaluación. Por lo tanto, aquí no se comprueba si las vulnerabilidades pueden ser explotadas, como sería el caso de una prueba de penetración, por ejemplo.

Además, algunas de las vulnerabilidades identificadas pueden ser los llamados "falsos positivos", que aparecen en la lista pero no suponen una amenaza en el contexto actual del sistema o están relacionados con el sistema. Aunque no se comprueben las amenazas activas, los análisis periódicos de vulnerabilidades siguen siendo necesarios para garantizar la seguridad de la información en general y deben repetirse a intervalos regulares. Además de la parametrización incorrecta de los servidores de aplicaciones SAP, un escaneado de vulnerabilidades también detecta problemas como parches que faltan y protocolos, certificados y servicios obsoletos.

Auditoría de seguridad y conformidad

Una auditoría de seguridad y cumplimiento es una revisión exhaustiva y formal de la seguridad de los sistemas de una empresa y de los procesos relevantes para la seguridad. Una auditoría SAP es, por tanto, un examen completo y exhaustivo no sólo de atributos físicos como la seguridad de la plataforma operativa, el servidor de aplicaciones y la arquitectura de red, sino también una inspección y comprobación de los conceptos de seguridad existentes, por ejemplo en temas como las autorizaciones SAP o el tratamiento de usuarios de emergencia.

En cuanto a la metodología, la auditoría implica la realización de un escaneo de vulnerabilidades. Además, los resultados se evalúan en el contexto del entorno del sistema correspondiente y se eliminan los "falsos positivos". El valor informativo de una auditoría de seguridad y conformidad con respecto a la seguridad de los sistemas SAP va mucho más allá, ya que los resultados también se someten a una evaluación, se consideran en el contexto del entorno del sistema de la empresa correspondiente y se resumen en un informe detallado. Se recomienda encarecidamente que las auditorías se lleven a cabo como preparación inicial y tras la finalización de las medidas de endurecimiento y como parte de una migración de sistema o plataforma.

Prueba de penetración

A diferencia de los escaneos de vulnerabilidades y las auditorías, una prueba de penetración, o pentest para abreviar, intenta explotar activamente las vulnerabilidades. El escaneo automatizado de vulnerabilidades se contrapone a un procedimiento que requiere conocimientos profundos y herramientas de distintos ámbitos. Una prueba de penetración requiere una planificación exhaustiva en cuanto al resultado que se desea obtener, el método que se aplicará y las herramientas que se utilizarán. El objetivo central de un pentest es identificar procesos de negocio inseguros, configuraciones de seguridad incorrectas u otras vulnerabilidades que un atacante podría explotar. Por ejemplo, se puede descubrir la transmisión de contraseñas sin cifrar, la reutilización de contraseñas por defecto y el olvido de bases de datos en las que se almacenan credenciales de usuario válidas. Los pentests no necesitan realizarse con tanta frecuencia como las exploraciones de vulnerabilidades, pero es aconsejable repetirlos a intervalos regulares.

Las pruebas de penetración también deben ser realizadas por un proveedor externo y no por empleados internos. Esto garantiza una perspectiva objetiva y evita conflictos de intereses. Las partes externas deben tener una amplia y profunda experiencia en el campo de la tecnología de la información, preferiblemente en el área de negocio de la empresa. La capacidad de aplicar el pensamiento abstracto y anticipar el comportamiento de los actores de la amenaza es importante para la prestación de este servicio, además de centrarse en la exhaustividad y la comprensión de cómo y por qué el entorno de una empresa podría verse comprometido.

Identificar los puntos débiles

En términos de protección holística, los tres métodos dan como resultado la mejor protección posible contra las vulnerabilidades a intervalos diferentes. Cada enfoque de las pruebas, desde los análisis de vulnerabilidades hasta las pruebas de penetración específicas, es crucial para una estrategia de seguridad integral. Sin embargo, la complejidad de las aplicaciones SAP dificulta el cumplimiento sistemático de los procedimientos de seguridad probados, ya que el volumen de registros generados es demasiado grande para analizarlo manualmente. Por lo tanto, tiene sentido confiar en el apoyo de especialistas externos como Pathlock. Además de la consultoría de seguridad, en la que expertos en cumplimiento con la experiencia necesaria identifican vulnerabilidades incluso para pentests, ofrecen una gama de soluciones automatizadas de escaneado y detección de amenazas.