Lukardi Sa · NEWCONNECT:LUK

Lukardi Sa — Technical Presentation (June 2020)

17 slides from Lukardi Sa's technical presentation, Jun 24, 2020

  1. Slide 1: Bezpieczeństwo SAP

    Bezpieczeństwo SAP Wyzwania przez kontekst techniczny i biznesowy 2020-06-24 Tomasz Jurgielewicz Head of Security Development

  2. Slide 2: SAP „out of the box” – czy jest bezpiecznie?

    SAP „out of the box” – czy jest bezpiecznie? Konfiguracja Autoryzacje Monitoring  Parametryzacja - Klient Podczas wdrożeń koncepcja Standardowe narzędzia SIEM autoryzacji jest często pomijana nie posiadają wzorców Rozwój systemu niezależny od kontrolnych SAP, przez co SAP producenta Standardowa

  3. Slide 3: Wyzwania bezpieczeństwa SAP

    Wyzwania bezpieczeństwa SAP Autoryzacje i użytkownicy - dostępy krytyczne - konflikty uprawnień (SoD) - krytyczne transakcje - zarządzanie rolami - pobieranie danych Security Intelligence - real-time monitoring - SIEM - zdarzenia ryzykowne - procesy GRC - kompensacja, kontrola Bezpieczeństwo technic

  4. Slide 4: Kompleksowe bezpieczeństwo SAP

    Kompleksowe bezpieczeństwo SAP Bezpieczeństwo – autoryzacje SAP Cybesecurity – wszystkie poziomy Wniosek o autoryzacje Akceptacja Realizacja matryca Reguły Weryfikacja SoD Real-time SoD OK / nie OK Dostępy uprzywilejowane -4-

  5. Slide 5: Konflikty uprawnień (1)

    Konflikty uprawnień (1) Funkcja Ryzyko Transakcje Zarządzanie danymi Utworzenie nieistniejącego dostawcy FK01 / XK01 podstawowymi dostawców + Fakturowanie towarów FB60 / FB65 / Wysłanie fikcyjnej faktury przychodzących FB01 / F-53 = Zarządzanie danymi Ryzyko wysłania faktury dla (FK01 / XK01) + pods

  6. Slide 6: Konflikty uprawnień (2)

    Konflikty uprawnień (2) Przykładowe transakcje Obszar Opis konfliktu konfliktowe VA01/VA02/WCS0 Możliwość wprowadzenia dokumentów sprzedaży i obniżenia cen celem osiągnięcia korzyści finansowych dla SD + użytkownika, który może edytować fikcyjnych dostawców i inicjować zakupy na danego dostawcę Np.:

  7. Slide 7: Weryfikacja obszarów technicznych

    Weryfikacja obszarów technicznych

  8. Slide 8: Krytyczne dostępy

    Krytyczne dostępy „Krytyczny dostęp” to uprawnienia pozwalające na np. prace developerskie ale również fraud lub destabilizacje. Docelowo – brak krytycznych dostępów na systemie produkcyjnym, dostępy ściśle kontrolowane - -

  9. Slide 9: Bezpieczeństwo SAP – źródła ataków

    Bezpieczeństwo SAP – źródła ataków Środowisko SAP Możliwe ryzyka Użytkownik biznesowy ▪ Konflikty uprawnień ▪ Oszustwo (defraudacja) ▪ Zbyt duże autoryzacje ▪ Błędy ▪ Niebezpieczna konfiguracja ▪ Podatności ▪ Poprawki (patche) ▪ Utrata kontroli Administrator ▪ Procesy GRC w SAP ▪ Monitorowanie kryty

  10. Slide 10: Wyzwania i problemy w analizie logów

    Wyzwania i problemy w analizie logów  SAP Security Audit Log ABAP Nieczytelne dane: zmiana autoryzacji użytkownika –> jakie role/profile zostały zmienione i przez kogo? Błędna klasyfikacja zdarzeń: Logon ok dla SAP* (zielone), niepoprawne logowanie zwykłego użytkownika (czerwone)  Zmiany dokumentó

  11. Slide 11: Scenariusz ataku – eskalacja uprawnień (user morphing) (1)

    Scenariusz ataku – eskalacja uprawnień (user morphing) (1) Zmiana typu użytkownika na SERVICE Logowanie do Uruchomienie SU01 do stworzenia SAP użytkownika BACKDOOR Utworzenie użytkownika BACKDOOR Ponowna zmiana użytkownika „Sprzątanie” - -

  12. Slide 12: Scenariusz ataku – eskalacja uprawnień (user morphing) (2)

    Scenariusz ataku – eskalacja uprawnień (user morphing) (2) SAP Security Audit Log Narzędzie do weryfikacji zdarzeń nie pokazuje PRAWDZIWYCH krytycznych zdarzeń. SAP SIEM Podejrzane: RFC zalogowany w trybie dialog Nowy użytkownik z krytycznymi dostępami Brak informacji na przykład o SAP_ALL Brak info

  13. Slide 13: SAP Security w liczbach

    SAP Security w liczbach 2000 WORLDWIDE 1.5 PROTECTED over SAP SYSTEMS 200 MILLION S A P U S E R S S AT I S F I E D More languages comming CUSTOMERS 8 LANGUAGES 4000 DE/EN/SP/FR/ CZ/RU/POR/CH 3 &times SAP-certified testified by Big 4 audit firm automated SYSTEM CHECKS & SECURITY NOTES - 13 -

  14. Slide 14: Najlepsze praktyki bezpieczeństwa SAP – w momencie instalacji

    Najlepsze praktyki bezpieczeństwa SAP – w momencie instalacji  Krytyczne autoryzacje ✓  Wyrafinowane matryce SOD  User Master Record ponad 600 ryzyk SAP user  Standardowe Profile (SAP_ALL) oraz nieaktywni użytkownicy  Krytyczne ustawienia systemu   Parametry systemu Konfigurowalne środki kont

  15. Slide 15: SAST GRC SUITE - fakty

    SAST GRC SUITE - fakty  SAP Security oraz GRC dla Twojego systemu kompleksowość  OS/net/DB  Aplikacje i transakcje  100% ABAP integracja  Instalacja jako add-on (import transportów)  Integracja z funkcjami SAP  Centralna instalacja jeśli jest taka potrzeba  Używane w największych instalacjac

  16. Slide 16: Zarządzanie ryzykiem SAP

    Procesy bezpieczeństwa SAP Zarządzanie ryzykiem SAP Konflikty uprawnień – zarządzanie dostępami, mitygacja, kontrola, kompensacja Workflow zarządzania autoryzacjami Dostępy uprzywilejowane Podatności i weryfikacja ryzyk technicznych Pobieranie danych Monitorowanie SAP w SIEM - 16 -

  17. Slide 17: PYTANIA? CHĘTNIE ODPOWIEM

    PYTANIA? CHĘTNIE ODPOWIEM Tomasz Jurgielewicz Head of SAP Security Tel: +48 508 400 203 Email: [email protected] Web: https://lukardi.com/sap-data-security/

Lukardi — Technical Presentation (June 2020) on 6ix