Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Il 90% delle aziende non protegge l’accesso a SAP

Mag 02, 2018 Marco Schiaffino Gestione dati, Hacking, In evidenza, Intrusione, News, RSS, Vulnerabilità 1

Il problema è noto da 13 anni, ma sembra che nessuno se ne preoccupi. Gli esperti: “Chi non cambia impostazioni rischia il furto di dati”.

Era il 2005 quando dalle parti di SAP hanno pubblicato un avviso riguardante l’importanza di attivare la funzione ACL (Access Control List) una volta terminata l’implementazione dei sistemi. Stando a quanto riporta la società di sicurezza Onapsis, però, solo il 10% delle aziende lo ha fatto.

Ma di cosa stiamo parlando e perché ACL è così importante? Per capirlo server ricostruire l’architettura SAP e il modo in cui vengono gestite le applicazioni che girano nell’ambiente SAP NetWeaver, alla base di ERP e altri popolari software.

Nell’ecosistema SAP esiste un componente chiamato SAP Messenger Server, che ha il compito di agire da intermediario tra le applicazioni e il SAP Central Instance, dove vengono conservati tutti i dati dell’azienda. Il ruolo di Messenger Server è fondamentalmente quello di gestire i carichi di lavoro.

Ogni volta che viene aggiunta una nuova applicazione (o meglio un Application Server) questa deve registrarsi sul Messenger Server attraverso una procedura che viene eseguita attraverso la porta 3900. Il problema è che l’accesso non è controllato in alcun modo se non con l’Access Control List.

Il Messenger Server gestisce i carichi di lavoro, ma è anche un punto di accesso ai dati conservati nell’azienda.

Quest’ultimo, in pratica, è un elenco di indirizzi a cui è consentito il collegamento al Messenger Server e che non viene attivato come impostazione predefinita perché renderebbe troppo complicata la prima configurazione.

Nella documentazione fornita da SAP, però, viene specificata l’importanza di ACL e viene (caldamente) consigliato di attivarlo il prima possibile. I ricercatori di Onapsis, però, hanno scoperto che il 90% delle aziende che usano SAP non lo configura. E questo nonostante il produttore abbia pubblicato rapporti per sollecitare gli utenti anche nel 2009 e nel 2010.

Ma quali sono i rischi che corrono le aziende? Semplice: di lasciare tutti i dati a disposizione del primo hacker che riesce a introdursi nella rete locale. Secondo i ricercatori, infatti, l’assenza della Access Control List consentirebbe a un pirata informatico di muoversi con estrema facilità in tutto il sistema, accedere ai dati ed eventualmente sabotare il sistema modificandoli.

C’è da sperare che dopo (l’ennesimo) allarme gli amministratori di sistema si decidano a mettere mano alla configurazione. Dopo 13 anni di amnesia collettiva, sarebbe un bel risultato.

Condividi l'articolo