Хакеры с легкостью могут получить данные из систем под управлением ERP SAP

На конференции Black Hat 2010 эксперты по информационной безопасности из аргентинской компании Onapsis, представили концептуальные программные разработки, с помощью которых можно получить закрытые корпоративные данные из систем под управлением ERP SAP. По словам специалистов, опасность в том, что по всему миру, тысячи компаний доверяют критически важные данные именно программному обеспечению SAP.

"Риск компрометации данных есть даже в том случае, если вы следуете всем принципам безопасности, рекомендуемым производителем", — говорит ИТ-специалист Onapsis Мариано Нуньез Ди Кроссе. По его словам, в Onapsis были разработаны несколько программ-бэкдоров, использующих уникальную технику для доступа к корпоративным данным таким образом, чтобы в системах управления предприятием не оставалось никаких следов присутствия хакеров, а сами данные остались в целости и сохранности.

Напомним, что ранее компания Onapsis уже представляла на нескольких предыдущих ИТ-конференциях различные версии открытого программного набора Bizsploit, для проникновения в корпоративные ERP-системы. Сама компания-разработчик утверждает, что Bizsploit создан для того, что пользователи ERP-систем могли оценить степень защищенности своих данных.

Ди Кроссе говорит, что в целом уязвимость корпоративных систем автоматизации бизнеса растет и если в 2007 году все крупнейшие мировые поставщики ERP-систем сообщили о примерно 50 уязвимостях в своих продуктах в год, то в 2009 году каждый из них сообщил о примерно таком же количестве уязвимостей. "Особенность современных ERP-систем заключается в том, что взломав защиту одного слоя, вы автоматически можете скомпрометировать всю платформу", — говорит он.

Говоря конкретно о системах SAP аргентинские специалисты заметили, что в данном случае обнаружить такой вид хакерских разработок, как бэкдоры, особенно сложно, учитывая архитектуру ERP. "Если вы строго следуете всем инструкциям SAP для защиты от уязвимостей, являетесь ли вы уязвимы для них? Я должен сказать, что да", — резюмирует Ди Кроссе.