Pengujian Alat Yang Dipertingkatkan Kelemahan Keselamatan SAP

Sapyto, alat untuk menguji keselamatan sistem SAP, telah dinaik taraf dengan plugin baru yang membolehkan ujian yang lebih teliti, menurut pemaju alat.

Versi 0.99 dari Sapyto kini berjalan pada PC yang menjalankan Microsoft Windows di mana versi terdahulu berlari hanya di Linux, kata Mariano Nuñez Di Croce, penyelidik keselamatan kanan dengan Cybsec Security Systems, sebuah syarikat keselamatan yang berpusat di Buenos Aires, Argentina. Beliau memberi persembahan minggu lalu di persidangan keselamatan Black Hat di Amsterdam.

Versi terbaru Sapyto menambah plugin baru yang boleh digunakan untuk mendapatkan maklumat dari router SAP jauh serta secara automatik menemui dan kemudian menguji sistem SAP jauh. Pembangun juga boleh membuat plugin sendiri.

[Pembacaan lanjut: Bagaimana untuk menghapuskan malware dari PC Windows]

Pembangun perisian Jerman SAP membuat sistem perisian perniagaan yang menguruskan rangkaian bekalan, isu kewangan dan tugas pengurusan perhubungan pelanggan, di kalangan banyak perkara-perkara lain. Syarikat ini mempunyai lebih daripada 40,000 pelanggan di seluruh dunia, dan terdapat lebih daripada 120,000 pelaksanaan SAP, menurut penyajian Nuñez Di Croce.

Sistem SAP telah disasarkan oleh peretas dan orang dalam yang ingin merosakkan syarikat sejak perisian tersebut mengandung internal berharga maklumat. Insiden biasanya tidak menjadi umum kerana syarikat tidak mendedahkannya, kata Nuñez Di Croce.

Tapi itu berlaku. Nuñez Di Croce mengetahui satu kes dua tahun yang lalu di mana sebuah syarikat kehilangan US $ 250,000 disebabkan oleh manipulasi sistem kewangan SAP yang tidak wajar.

Beberapa CFO masih tidak menyedari betapa pentingnya keselamatan yang baik dalam sistem SAP, kata Nuñez Di Croce. Oleh kerana sistem SAP sangat mahal dan mengawal sejumlah besar proses perniagaan, para eksekutif akan meneruskan dengan meletakkan sistem dalam pengeluaran tanpa semakan keselamatan yang betul, katanya.

Nuñez Di Croce mengetahui satu lagi kes di mana seorang eksekutif memutuskan untuk mempunyai akses terbuka kepada sistem SAP selama tiga bulan. Itu berbahaya, dan tidak mungkin selepas tiga bulan sistem itu akan dikunci, katanya. Banyak sistem SAP hanya tertinggal dalam konfigurasi keselamatan lalai, yang juga tidak selamat, katanya.

"Keselamatan biasanya dilihat sebagai blok di jalan raya," Nuñez Di Croce. "Terdapat banyak sistem SAP di luar sana oleh syarikat-syarikat besar yang tidak selamat."

Sapyto adalah perisian sumber terbuka dan bebas. Ia boleh dimuat turun dari laman web Cybsec. Versi 0.98 ada di laman web sekarang, dan versi baru perlu disiarkan tidak lama lagi. Sapyto adalah rangkaian ujian penembusan pertama yang dibina untuk perisian SAP.