Des failles de sécurité dans 95% des systèmes SAP

Onapsis, spécialiste de la sécurité SAP, a identifié les trois modes opératoires les plus courants dans les cyberattaques visant les applications SAP. Ces vecteurs d'attaque exposent à un risque élevé la propriété intellectuelle, les données financières, de cartes de crédit, de clients et de fournisseurs, ainsi que les informations stockées dans les bases de données des plus grandes entreprises mondiales.

Pour leur étude, les Onapsis Research Labs ont examiné des centaines d'installations SAP. 95 % de ces systèmes SAP présentaient des vulnérabilités permettant aux pirates d'obtenir un accès complet aux données et processus commerciaux des entreprises concernées.

18 mois jusqu'à ce qu'un patch soit implémenté

En outre, les chercheurs ont constaté que, pour la plupart des entreprises, il faut 18 mois ou plus pour mettre en œuvre des correctifs pour les vulnérabilités découvertes.

Rien qu'en 2014, SAP a publié 391 correctifs de sécurité, soit plus de 30 par mois en moyenne ! Près de 50 % de ces correctifs ont été classés par SAP comme hautement prioritaires.

Qui est responsable ?

"La cybersécurité SAP n'est pas un sujet suffisamment pris au sérieux par de nombreuses entreprises, car il n'est pas précisé qui en est responsable : l'équipe d'exploitation SAP ou l'équipe de sécurité informatique. Cela nous a vraiment surpris".

déclare Mariano Nunez, PDG et fondateur d'Onapsis.

La plupart des correctifs appliqués ne concernent pas la sécurité, arrivent avec du retard ou ouvrent de nouvelles failles pour le fonctionnement du système SAP. Chaque jour, de nouvelles fuites de données se produisent sans que les Chief Information Security Officers (CISO) en soient informés - parce qu'ils n'ont pas la visibilité de leurs applications SAP.

Les trois attaques SAP les plus fréquentes

1. Menaces sur les informations relatives aux clients et aux cartes de crédit, qui exploitent les échanges entre les systèmes SAP : Les attaques partent d'un système dont les paramètres de sécurité sont faibles et remontent jusqu'à un système important pour l'entreprise en exécutant des modules fonctionnels contrôlables à distance dans le système cible.
2. Attaques sur les portails des clients et des fournisseurs : pour ce faire, des utilisateurs de portes dérobées sont créés dans le module de gestion des utilisateurs SAP J2EE. En exploitant une faille, les pirates peuvent accéder aux portails SAP et aux plateformes d'intégration des processus, ainsi qu'aux systèmes internes qui y sont liés.
3. Attaques sur les bases de données via des protocoles SAP propriétaires : pour cette attaque, des commandes du système d'exploitation sont exécutées avec les droits de certains utilisateurs et des failles dans la passerelle RFC SAP sont exploitées. Le pirate a accès à toute information stockée dans la base de données SAP et peut la modifier.

Conclusion

"La base de données en temps réel Hana aggrave même la situation. Le nombre de nouveaux patchs de sécurité qui concernent spécifiquement cette nouvelle plateforme a augmenté de 450 %.

A cela s'ajoute le fait que Hana, en tant que composant central, est placé au cœur de l'écosystème SAP. Les données stockées dans les plates-formes SAP doivent désormais être protégées à la fois dans le cloud et dans l'entreprise", poursuit Nunez.

Plan d'action pour les responsables de la sécurité de l'information (CISO)

Les entreprises qui gèrent des processus commerciaux importants via des solutions de la Business Suite doivent absolument suivre les derniers conseils de sécurité SAP. Elles devraient également s'assurer que leurs systèmes sont correctement configurés afin de répondre aux exigences de conformité en vigueur et d'améliorer le niveau de sécurité. Ces activités devraient suivre un plan d'action qui établit la cybersécurité SAP comme partie intégrante de la stratégie et de la feuille de route de l'entreprise :

• Réaliser la visibilité dans les composants basés sur SAP afin d'identifier les valeurs menacées.
• Prévenir les problèmes de sécurité et de conformité par une surveillance continue.
• Identifier les nouvelles menaces, les attaques et les comportements anormaux des utilisateurs en tant qu'indicateurs de risque (Indi- cators of Compromise, IOC) et y répondre par des mesures appropriées.