(In)sécurité dans l'environnement SAP

La réponse se trouve dans l'environnement SAP, ou plutôt dans les systèmes Q et Dev, les gestionnaires de solutions et les systèmes hérités, ainsi que dans les clients des utilisateurs, que les auditeurs n'avaient pas sous les yeux. Des configurations incomplètes ou erronées au sein de l'environnement SAP peuvent finalement conduire à la compromission de systèmes considérés comme sûrs.

Deux scénarios exemplaires illustrent des "attaques latérales" typiques sur des systèmes apparemment hautement sécurisés et productifs. Ils permettent à un attaquant d'obtenir un accès complet sans utiliser une faille ou une mauvaise configuration du système cible.

Attaques via le lieu de travail

Le premier scénario décrit le passage par le PC d'un utilisateur pour accéder au système SAP productif et hautement sécurisé : qu'il s'agisse de phishing, de ransomware, de campagnes APT ou de la prochaine vague de programmes malveillants comme WannaCry, il arrive malheureusement régulièrement dans les entreprises que les PC clients soient détournés et contrôlés à distance malgré toutes les mesures de protection prises, comme les programmes antivirus ou les pare-feu.

Une fois que les pirates ont pris le contrôle d'un client, ils étendent rapidement l'accès à d'autres clients (lateral movement). Ce n'est qu'une question de temps avant qu'un attaquant ne contrôle le client d'un administrateur de base ou d'un utilisateur SAP. En effet, il est beaucoup plus facile d'obtenir un accès via des attaques sur les systèmes Windows et sur l'utilisateur que d'attaquer directement le système SAP.

En outre, de nombreuses entreprises utilisent le Single Sign-on (SSO) pour l'authentification afin d'éliminer les mots de passe. Tant qu'une authentification à deux facteurs n'est pas utilisée, le SSO convient très bien aux attaquants comme porte d'entrée dans le système SAP - et ce, sans aucun mot de passe unique ! En effet, tant que l'attaquant se déplace dans le contexte de l'administrateur SAP sur son PC, le mécanisme SSO effectue l'authentification en arrière-plan et l'attaquant peut accéder directement et sans autre effort au système SAP dans le contexte de l'utilisateur admin. Quelques scripts Powershell et une connexion RFC au système SAP suffisent à l'attaquant pour y accéder.

Authentification à 2 facteurs

Pour se protéger efficacement contre de telles attaques, une authentification à deux facteurs est absolument nécessaire. Dans le deuxième scénario, les destinations RFC entre les systèmes SAP jouent un rôle décisif. Chaque fois que de nouvelles fonctionnalités ou versions doivent être testées, un système Sandbox n'est pas loin. On copie volontiers ici l'ensemble du système productif afin de permettre un test proche de la réalité. 

Les développeurs ou les testeurs bénéficient de droits accrus dans le système Sandbox, ce qui leur permet d'identifier et de résoudre rapidement les problèmes. Mais ce système de sandbox peut rapidement entraîner la chute du système productif, considéré comme hautement sécurisé. Cela peut se produire dès qu'il est possible de sélectionner un module de fonction distant pour la réinitialisation du mot de passe et une destination RFC vers un système de production. Un utilisateur cible sélectionné reçoit alors un nouveau mot de passe - et l'attaquant peut accéder librement au système de production. De telles attaques peuvent être empêchées en n'autorisant systématiquement aucune connexion privilégiée des systèmes "inférieurs" vers les systèmes "supérieurs". En outre, toutes les destinations RFC critiques doivent être retirées de la sandbox après la copie du système.

Même des systèmes très sûrs et nécessitant peu d'efforts peuvent être compromis. Pour évaluer la sécurité du système, il faut vérifier l'ensemble de l'environnement SAP. Contrôler uniquement les systèmes de production ou la ligne ERP conduit à une évaluation lacunaire. Il est important de disposer d'un logiciel de contrôle qui effectue ce travail global. Ce n'est qu'en ayant une vue d'ensemble de son environnement SAP que l'on peut identifier et empêcher efficacement les attaques latérales sur les systèmes critiques !

werth-it.de