 |
Шпионаж, Саботаж и Фрод: на конференции BlackHat рассказали о атаках на ERP-системы
На прошедшей недавно конференции BlackHat DC 2011 исследователи из лаборатории DSecRG российской компании Digital Security рассказали об атаках на корпоративные бизнес - приложения, которые могут быть использованы злоумышленниками для реализации шпионажа, саботажа и мошеннических действий в отношении конкурентов. На конференции были представлены неизвестные ранее методы атак на популярные ERP-системы, такие как SAP, JD Edwards, а также на СУБД Open Edge, которая является универсальной платформой для разработки кастомизированных бизнес-приложений.
Несмотря на то, что производители, такие как SAP и Oracle, регулярно выпускают обновления безопасности в своих продуктах, компании всё-равно подвержены атакам, направленным на архитектурные уязвимости и ошибки конфигурации. В докладе Александра Полякова, технического директора Digital Security и руководителя исследовательского центра DSecRG, было уделено внимание архитектурным уязвимостям перечисленных систем, и были продемонстрированы различные методы эксплуатации этих уязвимостей. Данные уязвимости в большинстве своём просто невозможно закрыть, что влечёт за собой возможность их эксплуатации в дальнейшем.
“Очень немногие администраторы SAP-систем регулярно устанавливают обновления и крайне мало специалистов, которые глубоко разбираются в технических деталях безопасной настройки ERP-систем, в лучшем случае ограничиваясь проблемами SOD. Вот почему мы видим небезопасно настроенные системы в результате наших работ по анализу защищенности”, - отметил Александр Поляков.
В его докладе приводился пример того, как в ходе аудита была обнаружена установленная ERP-система JD Edwards версии 10-и летней давности, которая имела архитектурную уязвимость, позволяющую любому пользователю получить доступ ко всем данным. Другой пример архитектурной уязвимости был обнаружен в СУБД « Open Edge database» (Progress company), которая используется во многих компаниях из Fortune TOP 100 companies. В данном приложении была обнаружена тривиальная ошибка в процессе аутентификации. Проверка хэша пароля была реализована на клиентской части, в результате чего возможна аутентификация в систему под любым пользователем, не зная пароля и даже имени пользователя. Проблема заключается в том, что данная уязвимость так и не будет исправлена производителем по причине необходимости переписывания всей архитектуры приложения.
Ещё один пример - это система SAP SRM, используемая среди всего прочего для организации системы тендеров. В результате одной архитектурной уязвимости любой поставщик может получить доступ к тендерам других поставщиков, а также загрузить троянскую программу в сеть конкурента, например, с целью промышленного шпионажа.
“Большинство из рассмотренных в докладе примеров говорит о том, что безопасность ERP-приложений находится на уровне 10-летней давности, и с текущей тенденцией вывода бизнес-приложений в Интернет для обмена данными между филиалами компаний или взаимоотношений с поставщиками все эти системы стали доступны широкому кругу лиц, стремящихся использовать бреши приложений в корыстных целях. До сих пор компании тратили миллионы долларов, устраняя SOD конфликты, и учитывая, что это неотъемлемая часть безопасности ERP, количество уязвимостей уровня приложения все же растёт в геометрической прогрессии, как и интерес к этим системам у злоумышленников”, – отметил Александр Поляков.
Контактное лицо: Каверина Дарья
Компания: Digital Security
Добавлен: 11:24, 08.02.2011
Количество просмотров: 592
| В CRM-платформе «Модус» ускорилась коммуникация с клиентами благодаря ИИ, ИТ-холдинг Т1, 19:48, 26.06.2025, Россия326 |
| Вендор НОТА (ИТ-холдинг Т1) обновил CRM-платформу «Модус»: основными нововведениями стали интуитивно понятный UI-редактор и система контроля взаимосвязей между компонентами, которые значительно упрощают разработку и внедрение продуктов. Также команда добавила ИИ-функционал, который повышает оперативность коммуникации с клиентами. |
| ИТ-решение ЕДИНОГО ЦУПИС признано инновацией года по версии CNews, ЕДИНЫЙ ЦУПИС (НКО "Мобильная карта"), 11:22, 26.06.2025, Россия113 |
| ЕДИНЫЙ ЦУПИС получил награду CNews «Инновация года 2025» за создание собственного высокопроизводительного модульного платежного процессинга CUPIS Unified Processing. Премия отмечает ключевые достижения предприятий различных отраслей экономики в области модернизации, использования новейших и наиболее перспективных технологий. |
| Группа «Борлас» и АО «Моделирование и цифровые двойники» объявили о заключении партнерства, Группа "Борлас", 11:13, 26.06.2025, Россия127 |
| Группа «Борлас» (ГК Softline), мастер-дистрибьютор CAE Fidesys, и АО «Моделирование и цифровые двойники» (АО «МЦД»), ведущий поставщик инженерных цифровых продуктов и решений для проектных, научно-исследовательских и производственных предприятий, объявили о заключении партнерского соглашения. Компании планируют совместно развивать направление инженерного анализа на базе программных продуктов CAE Fidesys. |
| STEP LOGIC стал сервисным партнером «Аквариус», STEP LOGIC, 10:48, 26.06.2025, Россия164 |
| Статус сервисного партнера подтверждает опыт и компетенции STEP LOGIC в поддержке и настройке сетевых решений «Аквариус», а также позволяет формировать оптимальный для заказчиков пакет услуг. |
|
|
