वास्तुकार सुरक्षित ईआरपी कार्यान्वयन

ईआरपी और अन्य उद्यम व्यवसाय अनुप्रयोग कंपनी की वास्तुकला और व्यावसायिक प्रक्रियाओं में महत्वपूर्ण भूमिका निभाते हैं। दुर्भाग्य से, ये सिस्टम आसानी से साइबर हमले का शिकार हो सकते हैं।

ईआरपी क्या है?

ईआरपी एंटरप्राइज रिसोर्स प्लानिंग सिस्टम है। जैसा कि आप इस संक्षेप से समझ सकते हैं, यह प्रणाली सभी कंपनी संसाधनों के प्रबंधन के लिए जिम्मेदार है। कई साल पहले, लोग कर्मचारियों, सामग्रियों, उत्पादों, ग्राहकों, आदि के बारे में सभी जानकारी संग्रहीत करते थे। कागज पर, फिर, एक्सेल स्प्रेडशीट का उपयोग किया गया था, लेकिन बाद में जब व्यावसायिक प्रक्रियाओं में शामिल कर्मचारियों की संख्या में वृद्धि हुई और स्वचालन की आवश्यकता में काफी वृद्धि हुई, तो हम ईआरपी सिस्टम से मिले। वे प्रणालियां अब किसी कंपनी के सभी "क्राउन ज्वेल्स" को स्टोर और प्रोसेस करती हैं, हालांकि, अगर वे ठीक से सुरक्षित नहीं हैं, तो वे एक बड़ा जोखिम भी उठाते हैं।

एक विशिष्ट साइबर किल श्रृंखला में कई चरण होते हैं जैसे प्रारंभिक टोही, प्रारंभिक समझौता, पैर जमाना, विशेषाधिकार बढ़ाना, मिशन-क्रिटिकल सिस्टम तक पहुंच प्राप्त करना, आंतरिक पुनर्गठन, और अंत में, डेटा चोरी करना या अपने महत्वपूर्ण कॉन्फ़िगरेशन मापदंडों को बदलना।

सुरक्षा इंतजाम (फायरवॉल, डब्ल्यूएएफ, एंडपॉइंट प्रोटेक्शन सिस्टम इत्यादि) बहुत हैं, जिसका उद्देश्य शुरुआती घुसपैठ का पता लगाना या यहां तक ​​कि उन्हें रोकना है। वे ज्यादातर एक हमले के पहले चरणों पर केंद्रित होते हैं, लेकिन उनमें से कुछ तब भी मदद कर सकते हैं जब एक हमलावर पहले से ही सिस्टम के अंदर हो।

हर साल हम अधिक से अधिक डेटा उल्लंघनों को देखते हैं जबकि अधिकांश पीड़ित कंपनियों के पास सामान्य सुरक्षा तंत्र हैं। ऐसा लगता है कि कॉर्पोरेट नेटवर्क तक पहुँच प्राप्त करना कुशल हमलावरों के लिए कोई मुश्किल काम नहीं है। मेरी राय में, यह स्थिति निकट भविष्य में नहीं बदलेगी, जैसे कि कुछ मूल्यवान है, कोई इसे चुराने की कोशिश करेगा।

इसलिए, सबसे महत्वपूर्ण रणनीति सबसे महत्वपूर्ण संपत्ति की रक्षा करना है, और यह सीमाओं की सुरक्षा की तुलना में पूरी तरह से अलग कार्य है।

कल्पना कीजिए कि हमारा नेटवर्क एक महल है। सुरक्षा उपायों को लागू किया जाता है: यहां मगरमच्छ, महल की प्राचीर, और गार्ड के साथ टावरों के साथ एक खाई है। यह सुरक्षित लगता है। हालांकि, अगर कोई महल की दीवारों के नीचे एक सुरंग खोदता है और अंदर जाता है, तो घुसपैठिया खजाने तक पहुंच जाएगा क्योंकि महल के अंदर लगभग कोई सुरक्षा उपकरण नहीं हैं।

निष्कर्ष के रूप में, यह स्पष्ट है कि हमें कम से कम साइबर सुरक्षा के निम्नलिखित क्षेत्रों पर ध्यान केंद्रित करना चाहिए:

• नेटवर्क सुरक्षा
• वेब अनुप्रयोग सुरक्षा
• समापन बिंदु सुरक्षा
• पहचान और अभिगम शासन
• घटना का पता लगाने और प्रतिक्रिया
• व्यापार अनुप्रयोग सुरक्षा

अंतिम विषय अधिक ध्यान देने योग्य है, क्योंकि यह व्यवसाय महत्वपूर्ण प्रक्रियाओं के लिए जिम्मेदार है। सच बताने के लिए, हमारे सभी नेटवर्क, वेब एप्लिकेशन, एंडपॉइंट और पहचान सिस्टम यहां ज्यादातर उन व्यावसायिक अनुप्रयोगों जैसे ईआरए सिस्टम तक पहुंच प्रदान करने के लिए हैं। उनके बिना, सभी आईटी अवसंरचना सुविधाएँ लगभग बेकार हो जाती हैं।

बाजार पर विभिन्न ईआरपी सिस्टम उपलब्ध हैं। सबसे आम सिस्टम SAP ECC, Oracle EBS, Oracle JDE, Microsoft Dynamics, Infor, आदि हैं। इस तथ्य के बावजूद कि वे विवरणों में भिन्न हैं, वे सामान्य रूप से काफी समान हैं और एक 3-स्तरीय वास्तुकला का प्रतिनिधित्व करते हैं जिसमें वसा क्लाइंट या वेब ब्राउज़र, एप्लिकेशन सर्वर या एक लोड बैलेंसर के साथ कई एप्लिकेशन सर्वर और बैकएंड के रूप में एक डेटाबेस शामिल है।

हमें क्यों परवाह करनी चाहिए?

यदि कोई व्यक्ति ईआरपी के साथ-साथ एससीएम (आपूर्ति श्रृंखला प्रबंधन), पीएलएम (उत्पाद जीवनचक्र प्रबंधन) जैसी सबसे महत्वपूर्ण संपत्तियों को तोड़ता है तो क्या हो सकता है?

• जासूसी (गोपनीयता भंग) में वित्तीय जानकारी की चोरी, कॉर्पोरेट व्यापार रहस्य, बौद्धिक संपदा और ग्राहक डेटा शामिल हैं।

  
  

• सबोटेज (उपलब्धता का उल्लंघन) जानबूझकर उत्पाद की गुणवत्ता बिगड़ने, उत्पादन खराब होने, उपकरण भ्रष्टाचार, आपूर्ति श्रृंखला के साथ छेड़छाड़, अनुपालन उल्लंघन और वित्तीय रिपोर्टों के साथ छेड़छाड़ के रूप में हो सकता है।

  
  

• धोखाधड़ी (अखंडता का उल्लंघन)। धोखाधड़ी के विभिन्न प्रकार हैं, जो पंक्ति सामग्री, तैयार माल, वित्तीय, आदि से संबंधित हो सकते हैं। अंत में, आतंकवाद (जैसे विस्फोट) अब साइबर सुरक्षा जोखिमों के बीच भी है। यह सब ईआरपी सिस्टम में एकल भेद्यता के कारण हो सकता है।

  
  

बाजार पर विभिन्न ईआरपी सिस्टम उपलब्ध हैं। सबसे आम सिस्टम SAP ECC, Oracle EBS, Oracle JDE, Microsoft Dynamics, Infor, आदि हैं। इस तथ्य के बावजूद कि वे विवरणों में भिन्न हैं, वे सामान्य रूप से काफी समान हैं और एक 3-स्तरीय वास्तुकला का प्रतिनिधित्व करते हैं जिसमें वसा क्लाइंट या वेब ब्राउज़र, एप्लिकेशन सर्वर या एक लोड बैलेंसर के साथ कई एप्लिकेशन सर्वर और बैकएंड के रूप में एक डेटाबेस शामिल है।

क्या अधिक महत्वपूर्ण है, वे निम्नलिखित विकल्पों में पारंपरिक अनुप्रयोगों से भिन्न होते हैं:

• जटिलता। एक नियम के रूप में, जटिलता सुरक्षा को मारती है। ज़रा सोचिए, SAP से ERP सिस्टम (2007 के लिए कोड की 238 मिलियन लाइनें) में विंडोज 7 + मैक ओएस टाइगर + डेबियन 5 की तुलना में अधिक स्रोत कोड स्ट्रिंग्स हैं (कोड के 85 + 65 + 40 मिलियन लाइन)। इसलिए, नेटवर्क से लेकर एप्लिकेशन तक सभी स्तरों पर कई अलग-अलग जोखिम हो सकते हैं। ( http://www.informationisbeautiful.net/visualifications/million-lines-of-code/ )

  
  

• अनुकूलन। ईआरपी जैसे प्रत्येक व्यावसायिक अनुप्रयोग एक रूपरेखा की तरह अधिक है, जिसके शीर्ष पर ग्राहक एक विशिष्ट भाषा पर अपने स्वयं के अनुप्रयोगों का विकास करते हैं। उदाहरण के लिए, प्रोग्रामर SAP सिस्टम की कार्यक्षमता को बढ़ाने के लिए ABAP भाषा का उपयोग करते हैं, जबकि Oracle PeopleSoft जैसे अनुप्रयोगों के लिए वे PeopleCode भाषा का उपयोग करते हैं, और इसे अनुकूलित करने के लिए Microsoft Dynamics में X + भाषा का उपयोग किया जाता है।

  
  

• निर्णायक मोड़। यह सॉफ़्टवेयर शायद ही कभी अपडेट किया जाता है, क्योंकि प्रशासक डरते हैं कि पिछड़े संगतता और विरासत प्रणालियों के साथ कनेक्शन के कारण अपडेट के दौरान सिस्टम को तोड़ा जा सकता है। कभी-कभी SAP सिस्टम के कई वर्षों तक अपडेट नहीं होने के उदाहरण भी मिलते हैं। ( http://news.softpedia.com/news/five-year-old-sap-vulnerability-affects-over-over-500-companies-not-36-504043.shtml )

  
  

• बंद प्रकृति। ईआरपी सिस्टम ज्यादातर कंपनी के अंदर उपलब्ध हैं यही कारण है कि व्यावसायिक अनुप्रयोगों को एक बंद दुनिया माना जाता है। बहुत कम सुरक्षा विशेषज्ञ उनके पास पहुँचते हैं और इन प्रणालियों का अध्ययन करने के लिए अपना समय व्यतीत करते हैं।

  
  

अगले लेख में हम एसएपी सिस्टम पर विशिष्ट हमलों वाले वैक्टर के बारे में बताएंगे।