{"id":166670,"date":"2026-10-01T10:00:00","date_gmt":"2026-10-01T08:00:00","guid":{"rendered":"https:\/\/e3mag.com\/?p=166670"},"modified":"2026-09-28T10:45:19","modified_gmt":"2026-09-28T08:45:19","slug":"se-acabo-el-pase-libre-al-sistema-operativo-detectar-y-contener-los-ataques-a-entornos-sap","status":"publish","type":"post","link":"https:\/\/e3mag.com\/es\/schluss-mit-dem-freifahrtschein-ins-betriebssystem-angriffe-auf-sap-umgebungen-erkennen-und-eindaemmen\/","title":{"rendered":"Se acab\u00f3 el acceso sin restricciones al sistema operativo: c\u00f3mo detectar y contener los ataques a entornos SAP"},"content":{"rendered":"

Las aplicaciones SAP no funcionan de forma aislada, sino que est\u00e1n estrechamente vinculadas al sistema operativo subyacente. Ya se trate de escribir archivos de registro, procesar datos introducidos, ejecutar tareas en segundo plano o realizar comprobaciones de estado, siempre se necesita acceso a los recursos del sistema operativo para invocar funciones del sistema o llevar a cabo operaciones en el sistema de archivos.<\/p>\n\n\n\n

Todos los procesos iniciados por SAP a nivel del sistema operativo se ejecutan all\u00ed mediante un usuario dedicado del sistema operativo, cuyo nombre, en los sistemas Linux, se basa en el identificador del sistema SAP y que, por ejemplo, se llama \u00abadm\u00bb. El sistema operativo desconoce tanto los procesos de negocio del nivel de SAP como los usuarios, roles, transacciones y autorizaciones de dicho nivel. A la inversa, SAP desconoce qu\u00e9 funciones se han ejecutado en el sistema operativo o qu\u00e9 accesos se han producido: las aplicaciones de SAP se limitan a realizar una solicitud y reciben un resultado. La visibilidad entre ambos niveles es, por tanto, relativamente limitada; el intercambio se basa en la confianza mutua.<\/p>\n\n\n\n

Entre el c\u00f3digo ABAP de las aplicaciones SAP y el sistema operativo se encuentra, a modo de intermediario, el n\u00facleo de SAP, que se encarga de la creaci\u00f3n de procesos, la gesti\u00f3n de la memoria, la comunicaci\u00f3n en red, el acceso al sistema de archivos y la ejecuci\u00f3n de comandos del sistema operativo. Este valida las solicitudes de las aplicaciones y utiliza el usuario del sistema operativo de SAP para ejecutar comandos o acceder a archivos. En la mayor\u00eda de los casos, est\u00e1 definido con precisi\u00f3n cu\u00e1les son esos comandos y esas posibilidades de acceso. Las aplicaciones ABAP las invocan mediante m\u00f3dulos de funci\u00f3n estandarizados; el n\u00facleo las resuelve, valida las autorizaciones, organiza los par\u00e1metros y, finalmente, las ejecuta.<\/p>\n\n\n\n

Sin embargo, debido a pr\u00e1cticas del pasado, sigue existiendo la posibilidad de que las aplicaciones ABAP transmitan directamente al n\u00facleo los comandos concretos del sistema operativo mediante instrucciones como CALL \u2018SYSTEM\u2018 o CALL \u2018CFUNC\u2018. Se desaconseja encarecidamente esta pr\u00e1ctica y, en entornos modernos, esta opci\u00f3n se restringe cada vez m\u00e1s; sin embargo, sigue siendo frecuente encontrarla en el c\u00f3digo heredado. Adem\u00e1s, por supuesto, los propios componentes del n\u00facleo tambi\u00e9n pueden iniciar llamadas a comandos para, por ejemplo, controlar instancias, realizar comprobaciones del estado del sistema o supervisar recursos. Sin embargo, esto no altera el principio b\u00e1sico de que el n\u00facleo ejecuta los comandos a trav\u00e9s del usuario del sistema operativo de SAP.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Accesos a archivos con alto riesgo potencial<\/h2>\n\n\n\n

Si los atacantes logran aprovechar vulnerabilidades o configuraciones err\u00f3neas en el nivel de SAP, o hacer un uso indebido de datos de acceso sustra\u00eddos, pueden interactuar con el nivel del sistema operativo a trav\u00e9s del usuario de dicho sistema. Las consecuencias concretas dependen del entorno SAP en cuesti\u00f3n, de la configuraci\u00f3n del sistema operativo y de la infraestructura circundante. Sin embargo, el mero hecho de tener acceso al sistema de archivos ya les ofrece un amplio margen de maniobra: entre otras cosas, pueden leer archivos de configuraci\u00f3n, par\u00e1metros de conexi\u00f3n, definiciones de interfaces y certificados, as\u00ed como modificar o incluso sustituir scripts.<\/p>\n\n\n\n

De este modo, los atacantes pueden espiar el sistema, manipularlo y asegurarse un acceso permanente, por si se cambian las contrase\u00f1as o se corrigen las vulnerabilidades. Para ello, basta con modificar o sustituir scripts de inicio, tareas programadas (cronjobs) y otros elementos que se ejecutan autom\u00e1ticamente en momentos determinados o ante determinados eventos. A menudo, los atacantes tambi\u00e9n instalan puertas traseras, canales de comunicaci\u00f3n protegidos y herramientas de pirater\u00eda para sus futuras actividades. Para que estas no llamen la atenci\u00f3n, modifican los archivos de registro, borran las huellas forenses o interfieren en la supervisi\u00f3n.<\/p>\n\n\n\n

Independientemente de ello, el sistema SAP comprometido tambi\u00e9n puede servir de puerta de entrada a otros sistemas dentro del entorno SAP, como servidores de bases de datos y de archivos, sistemas de copias de seguridad o plataformas de supervisi\u00f3n.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Posibles escenarios de ataque en la pr\u00e1ctica<\/h2>\n\n\n\n

Los distintos escenarios de ataque que los expertos de Fortinet, No Monkey, PwC y Red Hat pudieron demostrar en el marco de un proyecto denominado Ironroot se basan en el uso indebido de diversas transacciones de SAP. AL11, por ejemplo, permite a los administradores acceder a directorios predefinidos a trav\u00e9s de la interfaz de SAP. Si se a\u00f1aden nuevas entradas a la lista de directorios, los archivos que se encuentran en ellos pueden abrirse directamente desde SAP, sin necesidad de acceso a la shell del servidor. Dependiendo de los permisos del usuario de SAP en el sistema host, esto permite acceder a informaci\u00f3n sensible, como configuraciones, registros, credenciales y datos de aplicaciones, que ayudan a los atacantes a planificar y llevar a cabo otras actividades.<\/p>\n\n\n\n

Adem\u00e1s, mediante las funciones nativas de ABAP para la gesti\u00f3n de archivos y la transacci\u00f3n SE38, es posible editar y crear archivos en el sistema. En una demostraci\u00f3n se gener\u00f3 de esta forma un informe que cre\u00f3 un archivo inofensivo en el sistema de archivos. En un escenario de este tipo, los atacantes podr\u00edan, por ejemplo, modificar o crear nuevas configuraciones y scripts. Si se trata de elementos que el propio sistema operativo inicia en determinados momentos o circunstancias, ni siquiera necesitan permisos para ejecutar archivos y c\u00f3digo a fin de causar da\u00f1os graves.<\/p>\n\n\n\n

Sin embargo, los atacantes pueden obtener estos derechos de forma fraudulenta. Una posibilidad es aprovechar la transacci\u00f3n SM69 para definir comandos propios que, posteriormente, se pueden ejecutar desde la interfaz de SAP mediante la transacci\u00f3n SM49. SAP abre un shell que ejecuta el comando \u2014por ejemplo, el inicio de un script\u2014 a nivel del sistema operativo. En la demostraci\u00f3n realizada por los expertos, se trataba \u00fanicamente de un mensaje inofensivo del tipo \u201eHello from the OS\u201c, que se devolv\u00eda directamente al nivel de SAP. En caso de ataque, podr\u00edan ser binarios, scripts o herramientas del sistema peligrosos.<\/p>\n\n\n\n

Adem\u00e1s de SM49 y SM69, SAP tambi\u00e9n incluye funciones que permiten una interacci\u00f3n directa con el shell del sistema operativo, entre ellas el informe ABAP RSBDCOS0, que ejecuta comandos del sistema operativo y muestra los resultados dentro de la interfaz de SAP. En sus demostraciones, los expertos utilizaron el informe y, en un primer momento, comandos sencillos como \u00abwhoami\u00bb para determinar si los comandos se ejecutaban como usuario del sistema operativo de SAP. A continuaci\u00f3n, se inici\u00f3 un shell inverso con Netcat y se estableci\u00f3 una conexi\u00f3n saliente con un sistema externo. A trav\u00e9s de ella, los atacantes podr\u00edan asegurarse un acceso continuo al sistema operativo, buscar y crear archivos, ejecutar cualquier comando e instalarse de forma permanente. En esencia, disponen de las mismas posibilidades que un usuario que haya iniciado sesi\u00f3n localmente, lo que modifica significativamente la naturaleza del compromiso en comparaci\u00f3n con los escenarios de ataque descritos anteriormente a trav\u00e9s de transacciones SAP. La aplicaci\u00f3n SAP solo sirve aqu\u00ed como vector de ataque inicial.<\/p>\n\n\n\n

<\/div>\n\n\n\n

La seguridad en varias etapas pasa a ser obligatoria<\/h2>\n\n\n\n

Para evitar ataques y la vulneraci\u00f3n de los sistemas, las empresas suelen adoptar toda una serie de medidas: refuerzan la seguridad de los sistemas operativos, instalan soluciones de seguridad, corrigen vulnerabilidades, segmentan las redes, adoptan pr\u00e1cticas seguras en el desarrollo de software e implementan una supervisi\u00f3n continua. Sin embargo, en entornos empresariales complejos y en constante evoluci\u00f3n, que los atacantes atacan cada vez m\u00e1s con el apoyo de la inteligencia artificial, estas medidas preventivas ya no son suficientes. Las vulnerabilidades, las configuraciones err\u00f3neas y otros puntos de ataque pueden detectarse y explotarse m\u00e1s r\u00e1pido que nunca gracias a la IA, por lo que se necesitan conceptos de seguridad de varias capas para reducir la superficie de ataque y limitar el margen de maniobra de los intrusos.<\/p>\n\n\n\n

\"\"
El control de acceso discrecional (DAC), SELinux y fapolicyd se complementan entre s\u00ed e impiden que las cuentas comprometidas o las vulnerabilidades a nivel de SAP puedan utilizarse indebidamente para llevar a cabo acciones de gran alcance a nivel del sistema operativo. (Fuente: Red Hat)<\/em><\/figcaption><\/figure>\n\n\n\n

Este enfoque, tambi\u00e9n conocido como \u00abDefensa en profundidad\u00bb, se basa en que varios mecanismos de seguridad se complementan entre s\u00ed, de modo que, si uno de ellos es superado, los dem\u00e1s est\u00e1n preparados para detener a los atacantes o, al menos, frenar su avance. Esto resulta especialmente importante en entornos SAP debido a la relaci\u00f3n de confianza que existe entre el nivel de SAP y el del sistema operativo, ya que, si un atacante consigue ejecutar comandos del sistema operativo o realizar operaciones en el sistema de archivos a trav\u00e9s de la pila de SAP, los mecanismos de protecci\u00f3n preventivos ya han sido superados. En ese momento, el ataque ya est\u00e1 en marcha y ya no se puede impedir, sino solo contener.<\/p>\n\n\n\n

Por ello, en el proyecto Ironroot, los expertos de Fortinet, No Monkey, PwC y Red Hat han desarrollado medidas destinadas a limitar las posibilidades de los atacantes a nivel del sistema operativo y a dificultar el espionaje y la infiltraci\u00f3n en otros sistemas. Los objetivos concretos son:<\/p>\n\n\n\n