Untuk mengilustrasikan serangan tipikal, dan masalah arsitektur, kami akan memberikan contoh solusi SAP ERP, karena ini adalah solusi yang paling luas dipasang di 85% perusahaan Fortune 2000.
Risiko konfigurasi sistem ERP yang tidak aman dan aplikasi bisnis lainnya adalah sebagai berikut.
1. Serangan melalui layanan yang rentan
Sebagian besar sistem ERP memiliki puluhan dan bahkan ratusan layanan diinstal secara default. Mereka termasuk layanan berbasis web yang khas. Beberapa dari mereka bertanggung jawab atas fungsi administrasi yang berbeda. Misalnya, Konsol Manajemen SAP, atau SAPControl, memungkinkan kendali jarak jauh atas sistem SAP. Fungsi utamanya adalah start dan stop jarak jauh, untuk melakukan yang diperlukan untuk mengetahui nama pengguna dan kata sandi.
Meskipun demikian, ada beberapa fungsi, yang dapat digunakan dari jarak jauh tanpa otentikasi. Kebanyakan dari mereka memungkinkan membaca log dan jejak yang berbeda dan kadang-kadang parameter sistem.
2. Peningkatan hak istimewa oleh orang dalam
Ketika pengguna terhubung ke server melalui aplikasi klien seperti SAP GUI, mereka dapat menjalankan fungsi yang berbeda. Jika mereka ingin menjalankan beberapa fungsi, misalnya, membuat pesanan pembayaran atau pengguna baru atau mengisi formulir apa pun, mereka harus memasukkan nama transaksi tertentu dalam menu SAP. Sistem akan membuka jendela dialog di mana pengguna dapat menentukan parameter yang berbeda. Misalnya, jika pengguna melakukan transaksi SU01 untuk membuat pengguna baru dalam sistem, mereka akan melihat layar di mana mereka harus mengisi semua detail tentang pengguna yang baru dibuat dan kemudian klik tombol "Buat". Jika data benar, pengguna baru akan dibuat di sistem.
Namun, menghubungkan melalui SAP GUI dan menjalankan transaksi bukan satu-satunya cara untuk melakukan fungsionalitas SAP. Sistem SAP sangat kompleks dan satu tindakan dapat dilakukan dengan berbagai cara. Misalnya, cara lain untuk menjalankan fungsionalitas dalam sistem SAP meliputi:
- menjalankan pekerjaan latar belakang menggunakan RFC (seperti RPC di Windows);
- memanggil fungsi yang sama melalui antarmuka SOAP - antarmuka berbasis web untuk menjalankan program RFC dari jarak jauh;
- menjalankan aplikasi web dynpro. Web Dynpro adalah antarmuka berbasis web untuk Sistem SAP yang dapat digunakan jika pekerja tidak memiliki aplikasi klien dan hanya memiliki browser web.
Seperti yang Anda lihat, semua metode ini memerlukan pendekatan perlindungan yang berbeda.
3. Pengembang jahat
Program yang ditulis dalam bahasa ABAP (bahasa berpemilik SAP yang dimaksudkan untuk memperluas fungsionalitas Sistem SAP) mungkin memiliki kerentanan dan, yang lebih penting, bahasa ini juga dapat digunakan untuk menulis di luar rumah yang dapat memberikan fungsionalitas berbahaya seperti mengirim detail setiap transaksi ke suatu Pihak ke-3 melalui email atau bahkan menerbitkannya di Twitter.
Sayangnya, pengembangan di dalam perusahaan hampir tidak terkendali. Anda dapat memantau terjadinya program baru dalam sistem dan berpotensi menemukan pengembang tetapi tidak dapat mendeteksi apa yang sebenarnya dilakukan setiap program baru kecuali Anda membaca setiap string tunggal dari kode sumber. Jadi, tanpa menggunakan solusi tambahan, tidak ada yang tahu persis apa yang dilakukan pengembang dalam sistem. Tidak ada langkah-langkah kontrol sama sekali, mereka dapat mengembangkan kode tidak aman, kehilangan menambahkan cek kontrol akses dalam program, mengirim uang ke rekening bank mereka, dan tidak ada yang akan bisa menemukannya kecuali ada yang melihat kode sumber mereka. Dengan demikian, kurangnya kontrol terhadap pengembang membuat mereka menjadi semacam dewa SAP, dan tindakan mereka harus dianalisis.
4. Koneksi tidak aman
Anda harus menghubungkan berbagai aplikasi untuk mengotomatiskan proses bisnis. Misalnya, jika Anda ingin membuat faktur dalam Sistem SAP secara otomatis dan mengirim uang ke akun perbankan tertentu melalui sistem perbankan, Anda perlu menghubungkan ERP dan sistem Perbankan. Sistem Aplikasi Bisnis terhubung satu sama lain seperti jaring laba-laba. Pada kenyataannya, ada lusinan koneksi serupa dan semuanya bisa menjadi kritis dalam hal keamanan. Misalnya, koneksi ini dapat menyimpan nama pengguna dan kata sandi. Selain itu, sistem-sistem tersebut saling terkait tidak hanya di dalam jaringan perusahaan tetapi juga dengan jaringan mitra melalui Internet atau dengan penyedia lain seperti bank atau perusahaan asuransi. Beberapa sistem terhubung langsung ke jaringan ICS / SCADA melalui Sistem SAP tertentu seperti SAP xMII (Integrasi dan Intelijen Manufaktur) atau SAP PCo (SAP Plant Connectivity).
Secara teknis, proses ini dikelola oleh RFC (Remote Function Call) dan koneksi lain antara Sistem SAP, yang biasanya menyimpan kredensial untuk mengakses sistem satelit. Koneksi RFC dikembangkan oleh SAP untuk mentransfer data antara dua sistem SAP. Penelitian ERPScan telah mengungkapkan bahwa jumlah rata-rata koneksi dalam sistem SAP tipikal adalah sekitar 50, dan 30% dari mereka biasanya menyimpan kredensial. Setelah penyerang masuk ke modul SAP terlemah, mereka dapat dengan mudah mendapatkan akses ke sistem yang terhubung, dari mereka ke yang lain. Oleh karena itu, meninjau semua jenis koneksi antara sistem SAP sangat penting. Sebagai contoh adalah mungkin untuk mendapatkan akses ke infrastruktur PL dari perusahaan Minyak dan Gas Bumi dan mencuri minyak menggunakan rantai kerentanan dan koneksi antara sistem yang mengeksploitasi kerentanan SAP sebagai titik awal.
Pada artikel selanjutnya kita akan fokus pada perlindungan sistem ERP.