Cuando se trata de la seguridad inform\u00e1tica en la producci\u00f3n, muchos directivos piensan primero en la protecci\u00f3n de los sistemas de control y se adormecen pensando que sus sistemas SCADA no est\u00e1n conectados a Internet.<\/p>\n
Como muy tarde, cuando estos sistemas se conectan a una intranet, se acaba la supuesta seguridad. Pero la producci\u00f3n no consiste solo en controlar una cadena de montaje.<\/p>\n
Todo proceso de fabricaci\u00f3n se basa en la iniciaci\u00f3n de procesos empresariales por parte de personas autorizadas. Para ello, los datos de producci\u00f3n se toman cada vez m\u00e1s en los sistemas de control y se transmiten a los sistemas SAP.<\/p>\n
Idealmente, un cuadro de mandos con datos en tiempo real proporciona a todos los responsables de la toma de decisiones la informaci\u00f3n que necesitan para gestionar procesos empresariales como la adquisici\u00f3n de materiales y la planificaci\u00f3n de la producci\u00f3n en cualquier lugar.<\/p>\n
Por ejemplo, los responsables de los departamentos dirigen la log\u00edstica de producci\u00f3n encargando nuevo material, gestionando la subcontrataci\u00f3n de la producci\u00f3n a proveedores y la facturaci\u00f3n. El control de calidad tambi\u00e9n es parte integrante de un proceso de fabricaci\u00f3n controlado por SAP.<\/p>\n
Esta interrelaci\u00f3n directa de los procesos de producci\u00f3n y de negocio abre un amplio campo para que los atacantes ataquen los m\u00f3dulos y aplicaciones ERP o SCM.<\/p>\n
En primer lugar, los usuarios malintencionados pueden obtener informaci\u00f3n esencial sobre los conocimientos y procesos de producci\u00f3n de una empresa. Las soluciones basadas en SAP para la planificaci\u00f3n de la producci\u00f3n, as\u00ed como los m\u00f3dulos ERP y SCM, se convierten as\u00ed en un objetivo interesante para el espionaje industrial.<\/p>\n
En segundo lugar, los usuarios malintencionados y los propietarios no autorizados de una cuenta de usuario SAP tienen amplias posibilidades de realizar actividades fraudulentas.<\/p>\n
Una vez que se ha obtenido acceso a una instancia SAP a trav\u00e9s de la capa de transacciones, es decir, a nivel de SAP NetWeaver o Hana, se pueden eludir los conceptos cl\u00e1sicos de seguridad de SAP a nivel de aplicaci\u00f3n, como la segregaci\u00f3n de funciones, con procedimientos sencillos.<\/p>\n
En consecuencia, las aplicaciones tampoco est\u00e1n protegidas. Por ejemplo, una DdS establece normalmente que un usuario de un departamento de producci\u00f3n puede hacer un pedido de material, pero la facturaci\u00f3n s\u00f3lo puede hacerla el departamento de control.<\/p>\n
Un usuario que crea su propia cuenta con derechos de usuario ampliados, secuestra una cuenta privilegiada de SAP All para sus propios fines o crea una cuenta nueva se despoja de estas restricciones de SoD.<\/p>\n
Hace un pedido falso, emite una factura ficticia a un testaferro y se encarga de que el dinero se transfiera a su cuenta. Las peque\u00f1as sumas de dinero que fluyen con regularidad pueden pasar desapercibidas, sobre todo porque la propia producci\u00f3n de la empresa no se ve afectada.<\/p>\n
A menudo, muchos CISO ni siquiera pueden obtener una visi\u00f3n general de estos riesgos de seguridad cotidianos debido a la falta de recursos.<\/p>\n
En tercer lugar, el sabotaje de los entornos SAP pone en peligro la producci\u00f3n. Los proveedores malintencionados detendr\u00e1n los pedidos de material necesarios, tal vez manipulen los datos de producci\u00f3n para el c\u00e1lculo de costes de material, por ejemplo. A nivel de transacciones SAP, pueden paralizar todo el sistema SAP apag\u00e1ndolo.<\/p>\n
Sin planificaci\u00f3n de la producci\u00f3n, \u00e9sta ya no es posible. En la pr\u00e1ctica, esto puede ocurrir con menos frecuencia. Un sistema SAP en funcionamiento como plataforma para actividades fraudulentas suele ser m\u00e1s lucrativo.<\/p>\n
La creciente conexi\u00f3n a Internet de los procesos empresariales relevantes para la producci\u00f3n a trav\u00e9s de soluciones basadas en SAP y la integraci\u00f3n de socios externos agravan la situaci\u00f3n de riesgo.<\/p>\n
La transmisi\u00f3n m\u00f3vil de datos o tambi\u00e9n la conexi\u00f3n de proveedores a trav\u00e9s de la nube y los sistemas de control, por ejemplo, aumentan la superficie de ataque. Las aplicaciones m\u00f3viles como parte de la plataforma m\u00f3vil de SAP pueden convertirse en puertas de acceso a instancias de SAP ERP a trav\u00e9s de accesos no autorizados.<\/p>\n
Los piratas inform\u00e1ticos buscan espec\u00edficamente formas cada vez m\u00e1s novedosas de obtener acceso. El cl\u00e1sico spear phishing a los responsables de producci\u00f3n para registrar la introducci\u00f3n de contrase\u00f1as mediante keyloggers amenaza tambi\u00e9n, como es natural, al usuario de SAP y no es m\u00e1s que el principio.<\/p>\n
Los atacantes externos malintencionados buscan las instancias SAP que buscan a trav\u00e9s de motores de b\u00fasqueda como Shodan. Los empleados internos, por supuesto, lo tienen a\u00fan m\u00e1s f\u00e1cil para acceder a los sistemas SAP.<\/p>\n
Aprovechando una vulnerabilidad de manipulaci\u00f3n del verbo HTTP, los hackers pueden crear usuarios de puerta trasera en el m\u00f3dulo de gesti\u00f3n de usuarios SAP J2EE. Esto les da acceso a los portales SAP y a las plataformas de integraci\u00f3n de procesos, as\u00ed como a los sistemas internos conectados a ellos.<\/p>\n
Los ataques a las bases de datos se producen a trav\u00e9s de vulnerabilidades en los protocolos propietarios de SAP: con derechos de usuario secuestrados o usurpados, las vulnerabilidades en la pasarela RFC de SAP se explotan a nivel de transacci\u00f3n SAP.<\/p>\n
El pirata inform\u00e1tico obtiene acceso a cualquier informaci\u00f3n almacenada en la base de datos SAP y puede leerla. Los atacantes externos suelen desviarse a trav\u00e9s de entornos no productivos y, por tanto, a menudo insuficientemente protegidos:<\/p>\n
Por ejemplo, despu\u00e9s de configurar el sistema productivo correspondiente, a menudo se olvidan los entornos de prueba, y con ellos las cuentas t\u00e9cnicas que les corresponden, que a menudo s\u00f3lo est\u00e1n equipadas con contrase\u00f1as por defecto.<\/p>\n
Un hacker puede utilizar esto simplemente como trampol\u00edn para atacar sistemas productivos. Con estos m\u00e9todos de ataque, observados con frecuencia, se puede modificar y manipular numerosa informaci\u00f3n relevante para la producci\u00f3n.<\/p>\n
Por ejemplo, las tablas SAP LFA1 (Datos maestros de proveedor), KNA1 (Datos maestros de cliente), EKKO y EKPO o tambi\u00e9n AUFK para pedidos y KALC para calcular la cantidad de materiales de producci\u00f3n.<\/p>\n
La protecci\u00f3n de los procesos de producci\u00f3n soportados por SAP comienza con los fundamentos de cualquier entorno SAP: en la capa de transacciones. La segregaci\u00f3n de funciones, las medidas GRC y las aplicaciones especiales de seguridad a nivel de aplicaci\u00f3n, as\u00ed como la amplia asistencia que proporciona el fabricante de software SAP, son herramientas importantes para crear m\u00e1s seguridad.<\/p>\n
Pero no pueden funcionar por s\u00ed solas. No eliminan los peligros a nivel de Hana o NetWeaver debidos a la aparici\u00f3n de brechas de seguridad, parches de software que no se han aplicado, comunicaci\u00f3n incontrolada a trav\u00e9s de interfaces para la transferencia de datos incorrectos o acceso desprotegido a los servicios de administraci\u00f3n.<\/p>\n
La protecci\u00f3n integral de la capa de transacciones puede eliminar eficazmente muchos de estos riesgos y constituye la base de la seguridad de los m\u00f3dulos y aplicaciones ERP o SCM.<\/p>\n
Una evaluaci\u00f3n automatizada de todas las instancias de SAP, incluidos los entornos de prueba y desarrollo, realiza un inventario de las vulnerabilidades de seguridad existentes e identifica los riesgos potenciales.<\/p>\n
Estas notificaciones tambi\u00e9n tienen en cuenta el contexto de la informaci\u00f3n sobre la infraestructura proporcionada por la evaluaci\u00f3n automatizada. Tambi\u00e9n registran los cambios del sistema que pueden hacer vulnerable a una organizaci\u00f3n. Esto permite determinar la probabilidad de \u00e9xito de un ataque.<\/p>\n
Los an\u00e1lisis correspondientes describen detalladamente la probabilidad y el impacto de las amenazas. Los administradores pueden utilizar instrucciones detalladas para cerrar las brechas seg\u00fan su prioridad.<\/p>\n
Las soluciones avanzadas tambi\u00e9n supervisan continuamente la situaci\u00f3n de las amenazas y buscan patrones de ataque para explotar nuevas vulnerabilidades.<\/p>\n
Informan de los nuevos ataques reales a las vulnerabilidades existentes y analizan los m\u00e9todos de ataque correspondientes en tiempo real. Los mecanismos de defensa se activan autom\u00e1ticamente y pueden ser llevados a cabo por los responsables.<\/p>\n
De este modo, los departamentos inform\u00e1ticos evitan la explotaci\u00f3n de vulnerabilidades de seguridad, incluso si a\u00fan no se ha publicado e implantado un parche adecuado. Esta ganancia de velocidad es crucial.<\/p>\n
Porque en los entornos SAP, debido a la complejidad de los sistemas, transcurren hasta 18 meses de media desde el d\u00eda en que se produce un ataque hasta la aplicaci\u00f3n efectiva de un parche pertinente.<\/p>\n
Tambi\u00e9n es importante para la defensa contra el uso indebido, el fraude y el espionaje reconocer el comportamiento inusual de los usuarios, que puede ser un indicio de actividades maliciosas por parte de los empleados.<\/p>\n
Los responsables de la seguridad tienen la posibilidad de reaccionar lo antes posible ante las amenazas y pueden cobrar inmediatamente los derechos de uso utilizados para modificar los derechos de los usuarios o acceder a los datos de producci\u00f3n.<\/p>\n
Una estrategia de seguridad SAP eficaz tiene varios niveles y se basa en varias herramientas, como cortafuegos y soluciones SIEM.<\/p>\n
Tambi\u00e9n es importante que estas soluciones no act\u00faen como aplicaciones aisladas, sino que puedan intercambiar datos relevantes a trav\u00e9s de interfaces de programaci\u00f3n definidas (API).<\/p>\n
S\u00f3lo quienes protegen la capa de transacciones pueden proteger eficazmente sus aplicaciones de producci\u00f3n y m\u00f3dulos ERP en SAP. Porque una vez que un hacker consigue acceder a cualquier punto de partida en el entorno del sistema SAP, todos los componentes de SAP relevantes para la producci\u00f3n est\u00e1n abiertos para \u00e9l. La seguridad de ERP y SCM tambi\u00e9n necesita una base s\u00f3lida.<\/p>","protected":false},"excerpt":{"rendered":"
La seguridad de SAP tambi\u00e9n es esencial en el control de la producci\u00f3n. Cualquiera que pueda intervenir aqu\u00ed sin autorizaci\u00f3n tiene amplias posibilidades de fraude, espionaje y sabotaje. La protecci\u00f3n de la planificaci\u00f3n de la producci\u00f3n asistida por SAP comienza en el nivel de las transacciones.<\/p>","protected":false},"author":1852,"featured_media":61274,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"pmpro_default_level":"","footnotes":""},"categories":[4,1577],"tags":[39,8922,722],"coauthors":[34566],"class_list":["post-61490","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-management","category-1577","tag-cloud","tag-mobile-apps","tag-netweaver","pmpro-has-access"],"acf":[],"featured_image_urls_v2":{"full":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",1000,387,false],"thumbnail":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015-150x150.jpg",150,150,true],"medium":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",400,155,false],"medium_large":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015-768x297.jpg",768,297,true],"large":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",1000,387,false],"image-100":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015-100x39.jpg",100,39,true],"image-480":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015-480x186.jpg",480,186,true],"image-640":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015-640x248.jpg",640,248,true],"image-720":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015-720x279.jpg",720,279,true],"image-960":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015-960x372.jpg",960,372,true],"image-1168":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",1000,387,false],"image-1440":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",1000,387,false],"image-1920":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",1000,387,false],"1536x1536":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",1000,387,false],"2048x2048":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",1000,387,false],"trp-custom-language-flag":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",18,7,false],"bricks_large_16x9":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",1000,387,false],"bricks_large":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",1000,387,false],"bricks_large_square":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",1000,387,false],"bricks_medium":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",600,232,false],"bricks_medium_square":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015.jpg",600,232,false],"profile_24":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015-24x24.jpg",24,24,true],"profile_48":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015-48x48.jpg",48,48,true],"profile_96":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015-96x96.jpg",96,96,true],"profile_150":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015-150x150.jpg",150,150,true],"profile_300":["https:\/\/e3mag.com\/wp-content\/uploads\/2019\/07\/2015-300x300.jpg",300,300,true]},"post_excerpt_stackable_v2":"
SAP-Sicherheit ist auch in der Produktionssteuerung unerl\u00e4sslich. Wer sich hier unberechtigt ein\u00adschalten kann, dem stehen umfangreiche M\u00f6glichkeiten f\u00fcr Betrug, Spionage und Sabotage offen. Der Schutz einer SAP-gest\u00fctzten Produktionsplanung beginnt schon auf dem Transaktions-Layer.<\/p>\n","category_list_v2":"Business-Management<\/a>, MAG 15-10<\/a>","author_info_v2":{"name":"Gerhard Unger, Onapsis","url":"https:\/\/e3mag.com\/es\/author\/gerhard-unger\/"},"comments_num_v2":"0 comentarios","_links":{"self":[{"href":"https:\/\/e3mag.com\/es\/wp-json\/wp\/v2\/posts\/61490","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/e3mag.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/e3mag.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/e3mag.com\/es\/wp-json\/wp\/v2\/users\/1852"}],"replies":[{"embeddable":true,"href":"https:\/\/e3mag.com\/es\/wp-json\/wp\/v2\/comments?post=61490"}],"version-history":[{"count":0,"href":"https:\/\/e3mag.com\/es\/wp-json\/wp\/v2\/posts\/61490\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/e3mag.com\/es\/wp-json\/wp\/v2\/media\/61274"}],"wp:attachment":[{"href":"https:\/\/e3mag.com\/es\/wp-json\/wp\/v2\/media?parent=61490"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/e3mag.com\/es\/wp-json\/wp\/v2\/categories?post=61490"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/e3mag.com\/es\/wp-json\/wp\/v2\/tags?post=61490"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/e3mag.com\/es\/wp-json\/wp\/v2\/coauthors?post=61490"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}