Ponemon Institute – SAP Cybersecurity Studie

Das Ponemon Institut hat mehr als 600 IT- und Sicherheitsspezialisten zum Stand der SAP Sicherheit befragt. Die wesentlichen Erkenntnisse der Studie lassen sich wie folgt zusammen fassen:

Statistiken zu Angriffen auf SAP-System:

  • 65% der SAP-Systeme wurde in den letzten 24 Monaten erfolgreich angegriffen.
  • 75% der Befragten glauben Ihr SAP-System hat wahrscheinlich eine oder mehrere Malware Infektionen.
  • Im Schnitt kostet einem Unternehmen die Abschaltung eines SAP-System 4,5 Millionen Dollar.
  • 60% sehen die Folgen eines Angriffs (Datendiebstahl, Manipulation oder Ausfall) als ernst bis katastrophal an.
  • 56% halten einen Sicherheitsvorfall aufgrund unsicherer SAP-Systeme für wahrscheinlich.

Statistiken zur Abwehr von Angriffen auf SAP-Systeme

  • 75% sehen Ihr Unternehmen nicht in der Lage einen Angriff auf ein SAP-System sofort zu erkennen.
  • 59% können Angriffe auf Ihr SAP-System auch nach einem Monat nicht erkennen.
  • 81% halten eine kontinuierliche Überwachung der SAP-Systeme für wichtig
  • 78% halten die Messung der Sicherheit des SAP-Systems durch Audits für wichtig.

Statistiken zur Awareness von SAP-Cybersecurity

  • 47% erwarten einen Anstieg von Angriffen auf SAP-Systeme in den nächsten 24 Monaten.
  • 59% glauben die Angriffsfläche von SAP-Systemen steigt durch Trends wie Cloud, Mobile, Big Data und IoT.
  • 76% geben an Ihr Management versteht die geschäftskritische Bedeutung der SAP-Systeme
  • 63% jedoch sehen beim Management eine Unterschätzung der mit unsicheren SAP-Anwendungen einhergehenden Risiken.

Zusammenfassend kann man folgendes aus der Studie ableiten:

  • Die Risiken unsicherer SAP-Systeme werden noch nicht vollständig von der Führungsebene wahrgenommen, obwohl diese für Folgeschäden haften.
  • SAP-Systeme sind im Fokus von Cyberkriminellen und werden erfolgreich angegriffen.
  • Ein solcher Angriff ist ernst bis katastrophal und kann sehr hohe Kosten verursachen.
  • Mehr als die Hälfte der Unternehmen sind nicht auf solche Angriffe vorbereit oder können diese erkennen.
  • Es wird eine Steigerung der Angriffsfläche und -rate erwartet.
  • Zur Abwehr wünschen sich die Verantwortlichen die Möglichkeit der kontinuierlichen Messung und Härtung der Sicherheit Ihrer SAP-Systeme.

Der Werth Auditor ermöglicht die Prüfung und kontinuierliche Überwachung von SAP-Systemen. Eine kostenlose Prüfung der Systemsicherheit ist mit dem Quick-Check jederzeit möglich.

US-Cert warnt vor Cyberangriff auf SAP-Systeme

Kürzlich hat die US Homeland-Behörde die erste US-Warnmeldung für SAP-Systeme herausgegeben.

Gewarnt wird vor einer Schwachstelle in SAP Java Systemen, für die seit 2010 mit den SAP-Notes 1445998 und 1467771 Patches  verfügbar sind.

Laut der Meldung vom US-Cert haben Sicherheitsforscher Hinweise auf aktive Angriffe gegen 36 Unternehmen ermittelt.

Laut einem Artikel  von Reuters stützen die Sicherheitsforscher Ihre Erkenntnisse auf Einträge mit detaillierten Beschreibungen der Angriffswege in einen chinesischen Forum.

Eine kurze Suche bei Google führt zu diesem Forum. Dort lassen sich 41 Einträge finden, was zu der gemeldeten Anzahl von 36 Unternehmen passen kann, da ein Unternehmen oftmals mehr als ein SAP-System besitzt. Mit hoher Wahrscheinlichkeit handelt es sich hier, um das von den Sicherheitsforschern genannte Forum.

Schaut man sich die Einträge im Detail an, stellt man jedoch schnell fest, dass es sich hier um verantwortliche Schwachstellenmeldungen handelt, die allesamt vor der Veröffentlichung behoben wurden.

Ein Beweis für tatsächliche Cyberangriffe sollte belastbarer sein, als in die der Branche üblichen Vuln-Advisories und damit die hier existierenden Forumbeiträge.

Dennoch zeigt dieses Beispiel wie real die Gefahr von Angriffen auf SAP-Systemen ist. Immerhin haben chinesische Sicherheitsforscher angreifbare SAP-Systeme identifiziert und nachweisbar ausnutzen können. Dies zeigt auch, dass die Bedrohung durch bekannte Schwachstellen (diese hier ist 6 Jahre alt) signifikat größer ist als durch die viel zitierten 0-Day Angriffe.

Schützen Sie Ihre SAP-Systeme, um gegen Cyberangriffe gewappnet zu sein.

Unsere Lösung Werth Auditor erkennt zuverlässig Sicherheitslücken in SAP-Systemen und bietet Lösungen zur Eliminierung der ermittelten Schwachstellen.

SAP-ERP-System als Einfallstor für Cyberangriff auf US-Regierung – ca. 25.000 Datensätze von Regierungsangestellten gestohlen

Hacker sind Ende 2013 in die Netzwerke der U.S. Investigations Services, welche für die Überprüfung von Regierungsangestellten verantwortlich ist, eingedrungen und bis Ende Juni 2014 unentdeckt geblieben.
Die Untersuchungen des Vorfalls haben ergeben, dass das SAP-ERP-System von den Hackern als Einfallstor genutzt wurde.
Welche Schwachstelle genau ausgenutzt wurde, wird in dem Bericht nicht offen gelegt.

Es wird aber vermutet, dass die Angreifer mit staatlicher Unterstützung agiert haben.

 

Weitere Details zu dem Vorfall ist in folgenden Quellen zu finden:
http://www.nextgov.com/cybersecurity/2015/05/third-party-software-was-entry-point-background-check-system-hack/112354/
http://securityaffairs.co/wordpress/27499/cyber-crime/network-usis-compromised-cyber-attack.html
http://thehill.com/policy/cybersecurity/241588-report-hackers-infiltrated-security-contractor-using-third-party#.VVDynaRdLTc.twitter

SAP ERP System der Airports Authority of India (AAI) von Unbekannten lahmgelegt

Die Airports Authority of India (AAI) ist eine indische Regierungseinrichtung und verantwortlich für die Verwaltung der zivilen Luftfahrt in Indien. Einem Bericht auf Techworm ist nun zu entnehmen, dass Hacker am 19ten Juli 2014 einen schweren Cyberangriff auf die Behörde geführt haben.

Dies ist besonders kritisch, da die AAI 125 Flughäfen – darunter 11 internationale- sowie 25 Militärische Flughäfen mit zivilen Zugang betreut und die Angreifer Zugang zu kritischen Daten wie Flugrouten und Zugangsdaten zu dem Air Traffic Management System erhalten haben können.

Doch damit nicht genug. Fest steht, dass zunächst die Webseite der AAI gehackt wurde. Anschließend konnten die Hacker sogar bis zu dem ERP System vordringen. Erst im Juni 2013 verkündete die AAI die erfolgreiche Einführung Ihres neuen SAP ERP Systems. Knapp ein Jahr nach dem Go-Live haben Hacker nun dieses System sabotiert und erfolgreich Außer Betrieb gesetzt.

Dieser Vorfall zeigt sehr deutlich, dass SAP Systeme zwingend in dem Unternehmesweiten Sicherheitskonzept zu berücksichtigen sind. Aufgrund der zunehmenden Vernetzung gibt es keine isolierten und somit vermeintlich sicheren Bereiche mehr. Daher sind die hochkritischen ERP Systeme regelmäßig auf Schwachstellen zu testen. Nur so können Angriffen erfolgreich abgewehrt werden.

Erhöhen Sie jetzt die Sicherheit Ihrer SAP Systeme und Nuzten unsere Sicherheitslösung, weil Ihr Unternehmen schützenWERTH ist!

SAP Trojaner entdeckt

Eine neu entdeckte Schadsoftware auf Basis eines bekannten Banking Trojaners ist um eine bemerkenswerte Funktion erweitert worden. Der Trojaner sucht aktiv auf befallenen Systemen nach installierter SAP Software.

Was bedeutet dies für SAP Anwender?

Das Verhalten der Schadsoftware deutet darauf hin, dass Cyberkriminelle SAP Systeme in das Visier nehmen. Mittels der befallenen Client-Rechner kategorisieren sie SAP Systeme in der IT-Infrastruktur. Entweder planen Sie den Verkauf von Zugängen zu den befallenen Systemen, um Dritten indirekt Zugriff auf die SAP Systeme zu verschaffen. Es kann jedoch auch sein, dass die Kriminellen selbst zu einem späteren Zeitpunkt den Zugang zu den SAP Systemen ausnutzen wollen.

Wie kann man sich schützen?

Ein Grundschutz besteht in der regelmäßigen Aktualisierung der Antiviren-Software sowie dem Einspielen der SAP Security Notes.
Da man jedoch Antiviren-Software austricksen kann und SAP Security Notes keinen Schutz gegen Angriffe mit legitimen Zugangsdaten bieten, muss die Angriffsfläche der SAP Systeme selbst reduziert werden. Dies kann man durch regelmäßige Prüfungen der SAP Systeme mit einem SAP Security Scanner erreichen. Damit nimmt man Angreifen die Möglichkeit über Exploits Zugriff auf das System zu erhalten und reduziert durch Kontrolle von kritischen Berechtigungen das Risiko im Falle des Verlustes von Zugangsdaten zum System.

Werth IT mit Sonderpreis IT-Sicherheit des BMWi auf der Cebit ausgezeichnet

Das Bundesministerium für Wirtschaft und Technologie (BMWi) hat unter der Führung von Vize­Kanzler Sigmar Gabriel schon länger die Bedeutung der Informations- und Kommunikationstechnologien (IKT) als wichtige Treiber von Innovation und Wachstum in
Deutschland erkannt.
In Zeiten täglich neuer Aufdeckungen im Bereich Computerspionage und aktiver
Wirtschaftsspionage durch ausländische Geheimdienste hat das BMWi ein Förderprogramm zur IT-Sicherheit beschlossen, um dem Risiko von Datenmissbrauch, Computersabotage oder
dem unentdeckten Abfluss von Unternehmens­Know­How für deutsche Unternehmen zu
begegnen. In dem Gründerwettbewerb ITK Innovativ wurden daher Lösungen gesucht, die sich
am konkreten Bedarf und den finanziellen Möglichkeiten betroffener Unternehmen orientieren.
Auf der diesjährigen CEBIT wurde der Sonderpreis an die Werth IT für deren Produkt
Werth Auditor vergeben. Der Werth Auditor ist eine Softwarelösung zur Beurteilung der
Sicherheit von SAP­ Systemen. Ein SAP System ist oftmals das digitale Herzstück eines
Unternehmens und wird zur Planung und Durchführung kritischer Geschäftsprozesse genutzt. In
solchen ERP-­Systemen sind alle Daten und Know-­How des Unternehmens wiederzufinden.
Das nicht ein mal 1 Jahr “junge” Kamener Unternehmen trifft mit ihrem Werth Auditor den Nerv
der Zeit, bereits im vergangenen Jahr wurde dieser in die TOP Ten beim
TeleTrusT­-Innovationspreis 2013 gewählt. Inzwischen zeigen nationale und internationale
Wirtschaftsgrößen intensives Interesse an dem Produkt. Der Werth Auditor zählt bereits kurz
nach seiner Markteinführung zu den weltweit technologisch führenden SAP­Security­-Lösungen.
Über Werth IT
Die Werth IT GmbH verfügt über führendes Know How in den Bereichen Softwareentwicklung,
IT­Sicherheit und Mediendesign.
Mit diesem Know How und langjähriger Erfahrung in diesen Bereichen ist mit dem Werth Auditor
eine einzigartige Sicherheitslösung für SAP Systeme entwickelt worden, die bereits 2013 für den
TeleTrusT­Innovationspreis 2013 nominiert wurde.
Die Software Werth Auditor überprüft die IT­Sicherheit von SAP­Systemen. Untersucht werden
die vergebenen Nutzerberechtigungen, die Einhaltung von IT­Sicherheitsvorgaben, die
Systemkonfiguration, die Datenintegrität und die Anfälligkeit gegenüber Hackerangriffen. Eine
Plug­in­Schnittstelle erlaubt außerdem die schnelle und einfache Erweiterung der Tests.
Ergebnis der Auswertung ist ein Bericht, der zu jedem ermittelten Risiko konkrete Maßnahmen
zur Lösung des Problems nennt. Als Zielkunden fasst Werth Auditor Unternehmen mit
SAP­Systemen ins Auge sowie Systemhäuser, IT­Dienstleister und Wirtschaftsprüfer, die mitdem Tool ihren Unternehmenskunden helfen, sichere SAP­Systeme zu betreiben.

Status SAP Cybersicherheit 2016

Im Sommer 2016 gab es viele Schlagzeilen der Art „Weltweit 36.000 unsichere SAP-Systeme über das Internet angreifbar“ oder „36000 SAP systems exposed online, most open to attacks“ .

Dies kann man sicher als Zeichen sehen, dass SAP Sicherheit auch 2016 noch nicht den Stellenwert besitzt, den die mit diesen Systemen verarbeiteten Daten und Geschäftsprozesse erfordern. Den Verantwortlichen muss klar sein, dass auch Unwissenheit nicht vor Cyber-Angriffen schützt oder von der Haftung entbindet.

Die Angriffsfläche vergrößert sich durch neue Produkte (HANA, SAP Mobile) stetig. Inzwischen fasst SAP zur besseren Beherrschbarkeit der Sicherheitslücken die Patches in Pakete zusammen und so adressiert  ein Patch nun mehrere Sicherheitslücken statt wie zuvor nur exakt eine Lücke. Eine Auswertung der Patches zeigt, dass nahezu jedes SAP Modul von Sicherheitsrisiken betroffen ist.

Doch nicht nur Schwachstellen in der Software werden zum Risiko, auch die Implementierung der SAP-Systeme weist oft Schwachstellen in der Konfiguration auf.

Werden Patches nicht zeitnah eingespielt oder ist die Konfiguration nicht gegen Cyber-Angriffe gehärtet, sind diese Systeme besonders gefährdet. Besonders wenn Sie über das Internet erreichbar sind.

Doch was ist mit den Systemen die „sicher“ hinter einer Firewall im „internen“ Netzwerk stehen?

Auf den ersten Blick erscheint es hier doch viel schwieriger für Angreifer an die SAP-Systeme zu gelangen. Doch die vermeintliche Sicherheit ist trügerisch. So belegt eine Studie der IBM X-Force, dass Angriffe aus den eigenen Reihen einer hohe Bedrohung darstellen.

Weiter zu beachten ist, dass moderne Cyber-Angriffe nicht an der Unternehmes-Firewall enden. Sie überwinden diese problemlos und bleiben oft lange unentdeckt, während die Angreifer vollen Zugriff auf das Intranet besitzen.

Wobei aktuelle Meldungen auch eindeutig belegen, dass Firewalls für professionelle Angreifer kein Hindernis darstellen. Dies zeigen eindringlich aktuelle Berichte über die Sicherheitslücken in bekannten Produkten wie von Fortinet oder Cisco.

Fazit:

Ein aktueller Stand der Technik zum Schutz von SAP-Systeme sieht den Einsatz von Firewalls oder Antivirus-Lösungen nicht als Ausreichend an. Die Systeme sind (unabhängig von Ihrem Standort) aus dem Internet (indirekt) erreichbar. Daher erfordert ein kontinuierliches und dem Stand der Technik entsprechendes Sicherheitskonzept die Härtung der Systeme, die zeitnahe Einspielung von Sicherheitspatches, die regelmäßige Prüfungen von kritischen Berechtigungen und -kombinationen, die Prüfung der Netzwerkschnittstellen und des Custom-Code auf Schwachstellen sowie eine Protokollierung sicherheitsrelevanter Ereignisse und Prüfung der Logs.

Hierbei vertrauen SAP-Anwender auf unsere Lösung WerthAUDITOR zur permanenten Überwachung Ihrer SAP-Systeme und den dort verarbeiteten kritischen Geschäftsdaten und -prozesse.

Lagebericht SAP-Sicherheit 2014

Das Jahr 2014 hat gezeigt, dass SAP-Systeme verstärkt in das Visier von Cyberangriffen geraten sind. Dies belegen unter anderem die Angriffe auf die AAI und NVIDIA . Eine Zunahme solcher Angriffe ist auch nicht verwunderlich, da in den SAP-Systemen die digitalen Kronjuwelen eines Unternehmens lagern. Vielmehr war es nur eine Frage der Zeit wann SAP-Systeme gezielt angegriffen werden. 2014 ist daher eindeutig als Stunde 0 der SAP-Sicherheit zu kennzeichnen. Ab sofort ist die Sicherheit von SAP-Systemen ein Muss zum Schutz der dort gelagerten Daten.

Im wesentlichen forcieren zwei Faktoren die Notwendigkeit von SAP-Sicherheit:

  1. Die Vernetzung der SAP-Systeme nimmt drastisch zu.
    Die Systeme sind aus dem kompletten Intranet erreichbar, zusätzlich auch verstärkt aus dem Internet (Portalserver) und natürlich mittels mobilen Endgeräten. Der Trend „Cloud“ wird die globale Erreichbarkeit noch deutlich verstärken.
  2. Die SAP-Systeme „nur“ im Intranet zu betreiben bietet keinen ausreichenden Schutz vor externen Angriffen.
    Moderne Spionage- und Schadprogramme ermöglichen externen Angreifern direkten Zugriff auf das Intranet. Zum Einen belegen dies die Veröffentlichungen rund um die Tools der NSA, zum Anderen gibt es konkrete Beispiele für entsprechende Angriffe auf ERP-Systeme. Exemplarisch sei hier auf den Windows-Trojaner zur Ausspähung von SAP-Systemen und Zugangsdaten sowie dem Angriff via manipulierte Handscanner auf ERP-Systeme verwiesen.

Glücklicherweise verbessern sich die Bordmittel zur Härtung von SAP-Systemen zusehends. Leider steigt damit auch die Komplexität zur Bedienung der angebotenen Hilfsmittel. Daher ist es absolut notwendig die errichteten digitalen Schutzwälle und Sicherheitsmaßnahmen des SAP-Systems auf korrekte und „wie vorgesehene“ Funktion und Wirkung zu prüfen.

Zur Verdeutlichung soll ein reales Beispiel aus der Praxis dienen:

Ein Audit bei einem Großunternehmen sollte durchgeführt werden. Das Thema SAP-Sicherheit hatte in dem Unternehmen bereits seinen Stellenwert. So werden die SAP-Systeme regelmäßig durch eine Prüfgesellschaft aus dem Kreis der Big-Four kontrolliert und zertifiziert. Zusätzliche Tools zur Steigerung der Sicherheit sind ebenfalls im Einsatz. Das Ziel des Audits war somit die Wirksamkeit der ergriffenen Maßnahmen zu belegen.
Die Ergebnisse waren jedoch alarmierend: Schwerwiegende Sicherheitslücken konnten identifiziert werden.

Wie konnte dies geschehen obwohl doch aktiv die Sicherheit der Systeme forciert wurde?

Die Antwort ist erschreckend simpel: Nur eine vollständige Prüfung der Sicherheit des Systems kann zur korrekten Bewertung ohne „blinde Flecken“ führen. Ein Unternehmen muss demnach wissen wie ein umfassendes Risikomanagement aussieht und entsprechend selbst die Systeme prüfen oder einen Dienstleister auswählen, der in der Lage ist eine solch umfassende Prüfung korrekt durchzuführen. Zusätzlich ist es empfehlenswert die Log-Dateien der Systeme regelmäßig nach forensichen Gesichtspunkten auf Angriffsspuren zu untersuchen.

Fazit:

Die Bedrohung der Daten und SAP-Systeme selbst hat deutlich zugenommen. Zum Schutz der digitalen Kronjuwelen wird die Härtung der SAP-Systeme und die Prüfung deren Wirksamkeit dringend empfohlen. Ein Berechtigungskonzept oder der „reine Betrieb im Intranet“ sind allein keine ausreichenden Schutzmaßnahmen mehr. Eine automatisierte Lösung, die zuverlässig alle sicherheitsrelevanten Bereiche überprüft und in kurzer Zeit den Systemstatus ermittelt, bietet sich für diese Aufgabe an.