Контакты
  • Главная
  • Компания
  • История
  • Акционерам и инвесторам
  • Регалии
  • Лицензии
  • Партнеры
  • Руководство
  • Проектный опыт
  • Отзывы заказчиков
  • Пресс-центр
  • Карьера
  • Продукты
  • БДМ
  • ЗАСТАВА
  • Продукты других производителей
  • Услуги и решения
  • Соответствие требованиям
  • Аудит ИБ
  • Облака и виртуализация
  • Управление ИБ
  • Управление доступом
  • Сетевая безопасность
  • Защита приложений
  • Поддержка и аутсорсинг
  • Защита АСУТП
  • Защита ГИС
  • Защита от вредоносного кода, спама и контроль трафика
  • Центр компетенции
  • FAQ
  • Экспертный совет
  • Комментарии экспертов
  • Материалы мероприятий
  • Информаториум
  • Видео и скринкасты
  • Новости
  • Мероприятия
  • Календарь мероприятий
  • Партнерам
  • Архив мероприятий
  • Безопасность ERP-систем на базе SAP

    ERP-система является ядром каждой крупной компании – в ней находят отражение все критичные для бизнеса процессы, начиная от закупки, оплаты и доставки и заканчивая управлением человеческими ресурсами, продуктами и финансовым планированием. Вся информация, хранящаяся в ERP-системах, имеет огромное значение, и любой неправомерный доступ к ней может понести за собой потери вплоть до остановки бизнеса.

    В общем случае внедрение SAP-системы в компании это довольно сложный, дорогостоящий и трудоёмкий процесс. При этом многие часто забывают или предпочитают сэкономить на проверке безопасности системы перед её запуском в промышленную эксплуатацию. Впоследствии данная система работает по принципу «As is» – «работает, не трогай». При таком подходе система внедряется с большим количеством настроек по умолчанию, с избыточными правами пользователей, с постоянно включенными «временными» учётными записями, открытием ненужных и небезопасных сервисов и т.д.

    Дополнительной угрозой для такого рода систем является отсутствие или слабость парольной политики и отсутствие контроля действий пользователей. Стоит также отметить отсутствие практики регистрации событий системы, что не позволяет эффективно проводить расследования инцидентов безопасности. При этом современные SIEM-системы не обеспечивают полноценный сбор и анализ событий из SAP-систем встроенными средствами, особенно учитывая высокую степень адаптации SAP-систем в каждом конкретном внедрении.

    Для обеспечения безопасности SAP-системы используются средства автоматизации. Они позволяют:

    • Контролировать безопасность исходного кода SAP-систем на языках ABAP, Java, C#.
    • Выявлять уязвимости и ошибки конфигураций во множестве системных и базовых компонентов SAP-систем.
    • Анализировать конфликты полномочий и критичных привилегий пользователей.
    • Регистрировать события ИБ.

    iT-CUBE AgileSI

    Решение для оперативного мониторинга событий, регистрируемых в SAP-системах, имеющее статус SAP Certified. Может использоваться отдельно в варианте Standalone, либо в качестве дополнения к имеющейся SIEM-системе (HP ArcSight ESM, QRadar, Splunk, LogPoint, LogRhythm).

    • Получает события из SAP-систем, которые недоступны для сбора даже при использовании решений лидеров в области SIEM. Собранные события передаются для обработки в SIEM-систему.
    • Выявляет соответствие SAP-систем мировым и отраслевым стандартам на основе событий, регистрируемых в SAP-системах.
    • Контролирует изменения, производимые в SAP-системах на основе отслеживания транзакций.
    • Решает задачи мониторинга и выявления бизнес-ориентированных рисков, основанных на запрограммированной бизнес-логике ERP-системы.

    Сбор событий в SAP-системах осуществляется с помощью сертифицированных компанией SAP агентов, не оказывающих влияния на производительность основной системы.

    HP Fortify SCA

    Решение для анализа исходного кода SAP-приложений на наличие уязвимостей, позволяющее подразделению ИБ принимать участие в процессе разработки безопасного исходного кода SAP-системы.

    • Поиск, приоритизация и предоставление рекомендаций по устранению уязвимостей исходного кода SAP-систем, разработанных на языках ABAP, Java, C#.
    • Управление жизненным циклом обеспечения безопасности и качества разрабатываемого ПО.
    • Сокращение затрат на выявление и устранение уязвимостей в разрабатываемом ПО для SAP-систем.
    • Позволяет защитить бизнес от финансовых потерь, связанных с несовершенством используемого кастомизированного ПО.

    ERPScan

    Решение для комплексной оценки защищённости и соответствия стандартам для платформы SAP, имеющее статус SAP Certified, включая возможность анализа ABAP-кода, анализа конфликтов полномочий и критичных привилегий пользователей.

    Модуль «Аудит»: позволяет проводить комплексный аудит безопасности, сканируя серверы SAP на наличие уязвимостей и ошибок конфигурации, а также отслеживать соответствие актуальным стандартам и лучшим практикам, в том числе лучшим практикам SAP и руководствам ISACA.

    Модуль «Оценка безопасности кода ABAP»: инструмент SAST, разработанный специально для языка ABAP, способный обнаруживать критичные проблемы и программные закладки в исходном коде собственной разработки.

    Модуль «SoD»: анализ конфликтов полномочий и критичных привилегий. С помощью этого модуля легко найти пользователей, имеющих права на выполнение критичных действий, которые могут привести к мошенничеству.

    MaxPatrol

    Система контроля защищённости и соответствия стандартам, объединяющая в одном решении комплекс механизмов оценки безопасности ERP-платформы.

    • Инвентаризация всех компонентов SAP-системы.
    • Контроль прав доступа пользователей SAP-системы.
    • Контроль изменений в SAP-системе.
    • Контроль обновлений SAP-системы.
    • Контроль действий пользователей и администраторов.
    • Оптимизация настроек системы в части обеспечения информационной безопасности.
    • Анализ ОС и СУБД, используемых компонентами SAP-системы.
    • Анализ клиентского ПО, на предмет наличия уязвимостей и небезопасных настроек.