क्या हो सकता है (विशिष्ट आक्रमण वैक्टर)

विशिष्ट हमले, और वास्तुकला के मुद्दों को समझने के लिए, हम एसएपी ईआरपी समाधान के उदाहरण प्रदान करेंगे, क्योंकि यह फॉर्च्यून 2000 कंपनियों के 85% में स्थापित सबसे व्यापक है।

ईआरपी सिस्टम और अन्य व्यावसायिक अनुप्रयोगों के असुरक्षित कॉन्फ़िगरेशन के जोखिम निम्नानुसार हैं।

1. कमजोर सेवाओं के माध्यम से हमलों

ईआरपी सिस्टम के अधिकांश में डिफ़ॉल्ट रूप से स्थापित दर्जनों और यहां तक ​​कि सैकड़ों सेवाएं हैं। इनमें ठेठ के साथ-साथ वेब-आधारित सेवाएं शामिल हैं। उनमें से कुछ विभिन्न प्रशासनिक कार्यों के लिए जिम्मेदार हैं। उदाहरण के लिए, SAP मैनेजमेंट कंसोल या SAPControl, SAP सिस्टम पर रिमोट कंट्रोल की अनुमति देता है। इसके मुख्य कार्य रिमोट स्टार्ट और स्टॉप हैं, जिसे करने के लिए उपयोगकर्ता नाम और पासवर्ड जानना आवश्यक है।

फिर भी, कुछ कार्य हैं, जिन्हें बिना प्रमाणीकरण के दूरस्थ रूप से उपयोग किया जा सकता है। उनमें से अधिकांश विभिन्न लॉग और निशान और कभी-कभी सिस्टम पैरामीटर पढ़ने की अनुमति देते हैं।

2. अंदरूनी सूत्रों द्वारा विशेषाधिकार वृद्धि

जब उपयोगकर्ता SAP GUI जैसे क्लाइंट एप्लिकेशन के माध्यम से सर्वर से जुड़ते हैं, तो वे विभिन्न कार्यों को निष्पादित कर सकते हैं। यदि वे कुछ कार्यक्षमता निष्पादित करना चाहते हैं, तो कहते हैं, भुगतान आदेश या एक नया उपयोगकर्ता बनाएं या किसी भी फॉर्म को भरें, उन्हें एसएपी मेनू में विशेष लेनदेन नाम दर्ज करना होगा। सिस्टम एक डायलॉग विंडो खोलेगा जहां उपयोगकर्ता विभिन्न मापदंडों को निर्दिष्ट कर सकता है। उदाहरण के लिए, यदि उपयोगकर्ता सिस्टम में नए उपयोगकर्ता बनाने के लिए लेनदेन SU01 को निष्पादित करते हैं, तो उन्हें एक स्क्रीन दिखाई देगी जहां उन्हें नए बने उपयोगकर्ता के बारे में सभी विवरण भरने होंगे और फिर "क्रिएट" बटन पर क्लिक करना होगा। यदि डेटा सही है, तो सिस्टम में नया उपयोगकर्ता बनाया जाएगा।

हालांकि, एसएपी जीयूआई के माध्यम से कनेक्ट करना और लेनदेन को चलाना एसएपी कार्यक्षमता का एकमात्र तरीका नहीं है। एसएपी सिस्टम जटिल हैं और एक कार्रवाई कई तरीकों से की जा सकती है। उदाहरण के लिए, SAP सिस्टम में कार्यक्षमता को निष्पादित करने के अन्य तरीकों में शामिल हैं:

• RFC (जैसे RPC विंडोज में) का उपयोग करके बैकग्राउंड जॉब चलाना;
• SOAP इंटरफ़ेस के माध्यम से एक ही फ़ंक्शन को कॉल करना - RFC प्रोग्राम को दूरस्थ रूप से चलाने के लिए वेब-आधारित इंटरफ़ेस;
• वेब dynpro आवेदन निष्पादित। वेब डायनप्रो एसएपी सिस्टम के लिए एक वेब-आधारित फ्रंटएंड है जिसका उपयोग तब किया जा सकता है जब श्रमिकों के पास क्लाइंट एप्लिकेशन नहीं है और केवल एक वेब ब्राउज़र है।

जैसा कि आप देख सकते हैं, इन सभी तरीकों को सुरक्षा के लिए एक अलग दृष्टिकोण की आवश्यकता होती है।

3. दुर्भावनापूर्ण डेवलपर्स

एबीएपी भाषा में लिखे गए कार्यक्रम (एसएपी सिस्टम की कार्यक्षमता को बढ़ाने के उद्देश्य से एसएपी मालिकाना भाषा) में कमजोरियां हो सकती हैं और, जो अधिक महत्वपूर्ण है, इस भाषा का उपयोग बैकसाइड लिखने के लिए भी किया जा सकता है जो दुर्भावनापूर्ण कार्यक्षमता प्रदान कर सकता है जैसे कि प्रत्येक लेनदेन का विवरण भेजना। ईमेल के माध्यम से 3 पार्टी या उन्हें ट्विटर पर प्रकाशित करना।

दुर्भाग्य से, कंपनी के अंदर विकास लगभग अनियंत्रित है। आप सिस्टम में नए कार्यक्रमों की घटना की निगरानी कर सकते हैं और संभावित रूप से एक डेवलपर ढूंढ सकते हैं लेकिन यह पता नहीं लगा सकते हैं कि हर नया प्रोग्राम क्या कर रहा है जब तक कि आप स्रोत कोड के हर एक स्ट्रिंग को नहीं पढ़ते हैं। इस प्रकार, अतिरिक्त समाधानों का उपयोग किए बिना, कोई भी नहीं जानता कि सिस्टम में डेवलपर्स वास्तव में क्या करते हैं। कोई भी नियंत्रण उपाय नहीं हैं, वे असुरक्षित कोड विकसित कर सकते हैं, कार्यक्रम में एक्सेस कंट्रोल चेक जोड़ने से चूक सकते हैं, अपने बैंक खातों में पैसे भेज सकते हैं, और कोई भी इसका पता नहीं लगा पाएगा जब तक कि कोई उनके स्रोत कोड को नहीं देखता। इस प्रकार, डेवलपर्स पर नियंत्रण की कमी उन्हें एसएपी के देवता का एक प्रकार बनाती है, और उनके कार्यों का विश्लेषण किया जाना चाहिए।

4. असुरक्षित कनेक्शन

आपको व्यावसायिक प्रक्रियाओं को स्वचालित करने के लिए विभिन्न अनुप्रयोगों को कनेक्ट करना होगा। उदाहरण के लिए, यदि आप SAP सिस्टम में स्वचालित रूप से एक चालान बनाना चाहते हैं और बैंकिंग प्रणाली के माध्यम से किसी विशेष बैंकिंग खाते में पैसा भेजना चाहते हैं, तो आपको ERP और बैंकिंग प्रणाली को जोड़ने की आवश्यकता है। बिजनेस एप्लीकेशन सिस्टम मकड़ी के जाल की तरह एक दूसरे से जुड़े होते हैं। वास्तव में, दर्जनों समान कनेक्शन हैं और ये सभी सुरक्षा की दृष्टि से महत्वपूर्ण हो सकते हैं। उदाहरण के लिए, ये कनेक्शन उपयोगकर्ता नाम और पासवर्ड संग्रहीत कर सकते हैं। इसके अलावा, सिस्टम न केवल कॉरपोरेट नेटवर्क के अंदर बल्कि इंटरनेट के माध्यम से पार्टनर नेटवर्क या अन्य प्रदाताओं जैसे कि बैंक या बीमा कंपनियों के साथ भी जुड़े हुए हैं। कुछ सिस्टम विशेष SAP सिस्टम्स जैसे SAP xMII (मैन्युफैक्चरिंग इंटीग्रेशन एंड इंटेलिजेंस) या SAP PCo (SAP प्लांट कनेक्टिविटी) के माध्यम से सीधे ICS / SCADA नेटवर्क से जुड़े होते हैं।

तकनीकी रूप से, इस प्रक्रिया को RFC (रिमोट फंक्शन कॉल) और SAP सिस्टम के बीच अन्य कनेक्शनों द्वारा प्रबंधित किया जाता है, जो आमतौर पर सैटेलाइट सिस्टम तक पहुंचने के लिए क्रेडेंशियल्स को स्टोर करते हैं। RFC कनेक्शन SAP द्वारा दो SAP प्रणालियों के बीच डेटा स्थानांतरित करने के लिए विकसित किए जाते हैं। ईआरपीएसकेन के शोध से पता चला है कि एक विशिष्ट एसएपी प्रणाली में कनेक्शन की औसत संख्या लगभग 50 है, और उनमें से 30% आमतौर पर क्रेडेंशियल स्टोर करते हैं। एक बार हमलावर सबसे कमजोर एसएपी मॉड्यूल में टूट जाते हैं, वे आसानी से कनेक्टेड सिस्टम तक पहुंच प्राप्त कर सकते हैं, उनसे दूसरों तक। इसलिए, एसएपी सिस्टम के बीच सभी प्रकार के कनेक्शनों की समीक्षा करना बहुत महत्वपूर्ण है। उदाहरण के लिए, एक ऑयल एंड गैस कंपनी के ओटी इन्फ्रास्ट्रक्चर तक पहुंच प्राप्त करना और एक प्रारंभिक बिंदु के रूप में एसएपी भेद्यता का शोषण करने वाली प्रणालियों के बीच कमजोरियों और कनेक्शनों की श्रृंखला का उपयोग करके तेल चोरी करना संभव है।

अगले लेख में हम ईआरपी सिस्टम के संरक्षण पर ध्यान केंद्रित करेंगे।