Androide

Pruebas de herramientas mejoradas Deficiencias de seguridad SAP

172nd Knowledge Seekers Workshop , May 18, 2017 - Keshe Foundation

172nd Knowledge Seekers Workshop , May 18, 2017 - Keshe Foundation
Anonim

Sapyto, una herramienta para probar la seguridad de los sistemas SAP, se ha actualizado con nuevos complementos que permiten pruebas más exhaustivas, según el desarrollador de la herramienta.

La versión 0.99 de Sapyto ahora se ejecuta en PC con Microsoft Windows, donde la versión anterior solo se ejecutaba en Linux, dijo Mariano Nuñez Di Croce, investigador principal de seguridad de Cybsec Security Systems, una compañía de seguridad con sede en Buenos Aires, Argentina. Dio una presentación la semana pasada en la conferencia de seguridad Black Hat en Amsterdam.

La última versión de Sapyto agrega nuevos complementos que se pueden usar para obtener información de enrutadores SAP remotos y también para descubrir y probar sistemas remotos de SAP de forma automática. Los desarrolladores también pueden crear sus propios complementos.

[Lectura adicional: cómo eliminar el malware de su PC con Windows]

El desarrollador alemán de software SAP crea sistemas de software empresarial que gestionan cadenas de suministro, asuntos financieros y tareas de gestión de relaciones con clientes, entre muchos otras cosas. La compañía tiene más de 40,000 clientes en todo el mundo, y hay más de 120,000 implementaciones de SAP, según la presentación de Nuñez Di Croce.

Los sistemas SAP han sido atacados por hackers y conocedores que buscan dañar a una compañía ya que el software contiene información. Los incidentes normalmente nunca se hacen públicos porque las compañías no los revelan, dijo Nuñez Di Croce.

Pero sucede. Nuñez Di Croce conoce un caso hace dos años en que una empresa perdió US $ 250,000 debido a la manipulación indebida de un sistema financiero SAP.

Algunos directores financieros todavía no son conscientes de la importancia de la buena seguridad en los sistemas SAP, dijo Núñez Di Croce. Como los sistemas SAP son muy caros y controlan una gran cantidad de procesos comerciales, los ejecutivos seguirán adelante con la puesta en producción de los sistemas sin una adecuada revisión de seguridad, dijo.

Nuñez Di Croce sabía de otro caso en el que un ejecutivo decidió simplemente tener acceso abierto a un sistema SAP por tres meses. Eso es peligroso, y es poco probable que después de tres meses el sistema se bloquee, dijo. Muchos sistemas SAP simplemente quedan en las configuraciones de seguridad predeterminadas, lo que también es inseguro, dijo.

"La seguridad generalmente se ve como un bloque en la carretera", Nuñez Di Croce. "Hay muchos sistemas SAP corriendo por las principales compañías que no son seguras".

Sapyto es un software de código abierto y es gratuito. Se puede descargar desde el sitio web de Cybsec. La versión 0.98 está en el sitio web ahora, y la nueva versión debería publicarse pronto. Sapyto fue la primera red de pruebas de penetración creada para el software SAP.