केआईआई वस्तुओं की ईआरपी-प्रणालियों की कमजोरियां

दुनिया भर के उद्यमों को डिजिटल बनाने की प्रवृत्ति के साथ, उद्यम संसाधन प्रबंधन प्रणाली - ईआरपी सिस्टम - लोकप्रियता प्राप्त कर रहे हैं। वैश्विक और रूसी बाजारों में इस सेगमेंट में सबसे बड़ा खिलाड़ी लंबे समय से जर्मन कंपनी एसएपी है।



यह ध्यान देने योग्य है कि गार्टनर इस प्रकार की प्रणाली को "व्यावसायिक महत्वपूर्ण" के रूप में परिभाषित करता है, जो कि प्रदान की जाने वाली व्यापक कार्यक्षमता को देखते हुए आश्चर्य की बात नहीं है: वित्त, विनिर्माण, आपूर्ति श्रृंखला प्रबंधन, सीआरएम, उत्पाद जीवन चक्र, बीआई, आदि। उदाहरण के लिए, इन परियोजनाओं को लागू करने वाले उद्योगों की हिस्सेदारी सबसे बड़ी संख्या में कार्यान्वयन परियोजनाओं के लिए है जो TAdviser पोर्टल लीड करती है वह इस प्रकार है:



हालांकि, इन व्यावसायिक-महत्वपूर्ण निर्णयों की प्रासंगिकता के बावजूद, उद्योग अभी भी औद्योगिक जासूसी में साइबर अपराधियों द्वारा उपयोग किए जाने वाले ऐसे सिस्टम के लिए हमलावर वैक्टर के बारे में जानकारी की कमी, लाभ के लिए हैकर के हमलों या राजनीति से प्रेरित उद्देश्यों के लिए पीड़ित हैं।

सूचना प्रौद्योगिकी के प्रसार से पता चला सॉफ्टवेयर भेद्यता (सॉफ्टवेयर) की संख्या में वृद्धि होती है, जिसके संबंध में सिस्टम के कमजोर घटकों की कुल संख्या बढ़ जाती है। चूंकि व्यावसायिक प्रक्रियाओं के कार्यान्वयन में अक्सर इंटरनेट के माध्यम से एक दूसरे से दूरस्थ प्रणालियों की बातचीत शामिल होती है, इसलिए यह सबसे बड़ा खतरा है, क्योंकि इस स्थिति में, एंटरप्राइज़ ईआरपी सिस्टम की पहुंच एक खुले नेटवर्क तक है।



विशेष इंटरनेट खोज संसाधनों जैसे कि Shodan और Censys, साथ ही कुछ Google प्रश्नों (जिन्हें Google Dorks कहा जाता है) का उपयोग करने के लिए धन्यवाद, जो दैनिक रूप से प्रकाशित होते हैं, उदाहरण के लिए, एक्सप्लॉइट-DB ऑनलाइन सेवा पर, 17,000 से अधिक एप्लिकेशन इंटरनेट के माध्यम से सुलभ हो सकते हैं। ईआरपी सिस्टम और कम से कम 500 एसएपी कॉन्फ़िगरेशन फाइलें जो असुरक्षित फ़ाइल स्टोरेज में स्वतंत्र रूप से उपलब्ध रहती हैं।

उदाहरण के लिए, 2016 में, यूएस डिपार्टमेंट ऑफ होमलैंड सिक्योरिटी के CERT ने एक निर्देश जारी करते हुए कहा था कि SAP सिस्टम में कमज़ोरी का फायदा उठाकर कम से कम 36 वैश्विक संगठनों को हैक किया गया था, जो पांच साल से अधिक समय से ज्ञात थे। इससे भी अधिक "गर्म" उदाहरण: अप्रैल 2019 में, 10KBLAZE कारनामे को दुबई में एक सम्मेलन में प्रस्तुत किया गया था, जिसने हजारों कंपनियों को खतरे में डाल दिया था, हालांकि सुरक्षा निर्देशों का कहना है कि सिस्टम में यह अंतर 2013 से पहले प्रकाशित हुआ था।

किसी विशेष भेद्यता के दोहन के लिए सार्वजनिक रूप से उपलब्ध कारनामों या विस्तृत निर्देशों की संख्या लगातार बढ़ रही है (एक्सप्लॉइट-डीबी ऑनलाइन सेवा से डेटा)। उनमें से कई प्रकाशित सुरक्षा दिशानिर्देशों का उपयोग करते हैं, और कुछ पूरी तरह से मेटास्प्लोइट जैसी उपयोगिताओं में उपयोग के लिए स्वचालित हैं, जो स्वचालित प्रवेश परीक्षण की अनुमति देता है।



यह ध्यान देने योग्य है कि अक्सर, विभिन्न प्रकार के क्षेत्रों में बड़े, रीढ़ की हड्डी वाले उद्यम हमलों का लक्ष्य बन जाते हैं। भाग में, इस समस्या को हल करने के लिए, संघीय कानून संख्या 187 "रूसी संघ की महत्वपूर्ण सूचना अवसंरचना की सुरक्षा पर" (KII) को अपनाया गया था, और इसके अस्तित्व में आने में डेढ़ साल बीत चुका है। सबसे पहले, इस कानून को अपनाने का उद्देश्य केआईआई सुविधाओं की सुरक्षा आवश्यकताओं के अनुपालन पर नियंत्रण और उनके खिलाफ कंप्यूटर हमलों के दौरान दोष सहिष्णुता को बढ़ाना है। इसके अलावा, केआईआई के विषय से कंप्यूटर की घटनाओं के बारे में सूचित करने के लिए कंप्यूटर हमलों (SOSOPKA) के परिणामों का पता लगाने, रोकथाम और उन्मूलन के लिए राज्य प्रणाली के साथ एकीकरण की आवश्यकता होगी।

इसके अलावा, बाद में, इस संघीय कानून के अलावा, मानक कानूनी अधिनियमों को अपनाया गया था जो महत्वपूर्ण के लिए संगठनात्मक और तकनीकी आवश्यकताओं को प्रस्तुत करते थे (महत्व की मानदंडों और संकेतकों के अनुसार वर्गीकरण के लिए स्थापित प्रक्रिया को सौंपी गई महत्व की पहली, दूसरी या तीसरी श्रेणी में गिरना)। ) महत्वपूर्ण सूचना अवसंरचना की वस्तुएँ।

उदाहरण के लिए, मॉडलिंग सूचना सुरक्षा खतरों की प्रक्रिया में, एक महत्वपूर्ण वस्तु और इसके सॉफ्टवेयर और फर्मवेयर की संभावित कमजोरियों का विश्लेषण करना आवश्यक है, साथ ही साथ इन खतरों को लागू करने के संभावित तरीके निर्धारित करते हैं।

इस तथ्य को ध्यान में रखते हुए कि एसएपी न केवल रूस में एक नेता है, बल्कि वैश्विक बाजार में भी, हम यह निष्कर्ष निकाल सकते हैं कि अंजीर 1 में सूचीबद्ध क्षेत्रों की कुछ कंपनियों के लिए, कानून की आवश्यकताओं के कार्यान्वयन "महत्वपूर्ण सूचना अवसंरचना की सुरक्षा पर" सीधे संबंधित होंगे। उनके ईआरपी (एसएपी सहित) समाधानों की सुरक्षा स्थिति सुनिश्चित करना।


अंजीर। 1: ऐसे क्षेत्रों को जो केआईआई की वस्तुओं को मिलाते हैं (संघीय कानून संख्या 187 के अनुसार)

एसएपी ईआरपी सिस्टम के बड़े परिदृश्य की जटिलता, जिनके प्रबंधन सर्वर शारीरिक रूप से एक दूसरे से पर्याप्त दूरी पर स्थित हो सकते हैं, हजारों कर्मचारियों के साथ उद्यमों का प्रबंधन - यह सब एसएपी सिस्टम की सुरक्षा की निगरानी और विश्लेषण की प्रक्रिया को जटिल बनाता है।

हालांकि, इंटरनेट पर एक सूचना प्रणाली के "खुलेपन" को हमेशा एक नकारात्मक कारक के रूप में नहीं माना जाता है। उदाहरण के लिए, कई केआईआई वस्तुओं में एक बंद, पृथक नेटवर्क होता है, जो केवल सुरक्षा विश्लेषण प्रक्रिया को जटिल करता है, क्योंकि इस मामले में सिस्टम की इंटरनेट तक सीधी पहुंच नहीं होती है, जिसका अर्थ है कि अद्यतनों की जांच के लिए अंतर्निहित साधन हमेशा अपने कार्य को पूरा नहीं कर सकते हैं, जिसके परिणामस्वरूप सुरक्षा उल्लंघन होते हैं। कुछ प्रकार के हमलों के लिए खुले रहें।

पूर्वगामी के आधार पर, कार्य के कई क्षेत्र संघीय कानून "केआईआई की सुरक्षा पर" की आवश्यकताओं के कार्यान्वयन में देखे जाते हैं:

• समय पर सॉफ्टवेयर अपडेट के लिए उपायों में सुधार और विकास;
• लगाए गए अतिरिक्त सुरक्षात्मक उपकरणों का उपयोग;
• कार्यक्रमों के स्रोत कोड का विश्लेषण और सुरक्षित सॉफ्टवेयर विकास प्रक्रियाओं के कार्यान्वयन।

इस संदर्भ में घरेलू एसएपी सुरक्षा उपकरणों के डिजाइन, कार्यान्वयन और आवेदन की आवश्यकता विशेष रूप से तीव्र है। सर्वव्यापी आयात प्रतिस्थापन के लिए न केवल विक्रेताओं द्वारा घरेलू उत्पादों के आगे विकास की आवश्यकता होती है, बल्कि उद्यमों द्वारा ईआरपी-सिस्टम के कार्यान्वयन के लिए एक अधिक एकीकृत दृष्टिकोण, सबसे प्रासंगिक सूचना सुरक्षा आवश्यकताओं को ध्यान में रखते हुए।

बोरिस पसिनकोव, डिज़ाइन इंजीनियर, गाज़िनफोर्म्स सर्विस