根據Onapsis的調查報告，全世界超過25萬企業因SAP系統中存在的一系列安全漏洞而受到影響，可能導致嚴重的企業數據泄露。SAP是世界上最受歡迎的企業應用軟件企業和解決方案提供商，為85%以上的全球500強企業和190個國家的282,000+家客戶提供解決方案。

漏洞原因

最近在對SAP解決方案提供商進行的一項研究顯示，超過95%的企業SAP存在嚴重的安全問題，這些問題將它們置于網絡攻擊風險之中并可能導致嚴重的數據泄露。影響包括98%的100個最有價值的品牌在內，全世界超過250000個SAP業務客戶都因SAP系統中的一系列漏洞而暴露在網絡攻擊之下。

Onapsis首席執行官Mariano Nunez說：

“最令人驚訝的是，因為SAP操作團隊和IT安全團隊之間的責任差距，大多數公司的SAP網絡安全都面臨著威脅。事實上，應用的大多數補丁都與安全無關、發布過遲或者引入了進一步的操作風險。”

該研究還報告說，在2014年SAP發布了391個安全補丁，而它們中的50%以上都被評定為高風險漏洞。

攻擊方式及影響范圍

針對SAP應用程序的主要網絡攻擊(也就是系統弱點)分為以下幾類：

1. 核心網絡：執行遠程功能的模塊。

2. 數據倉庫：為了獲取或修改SAP數據庫中的信息，利用SAP RFC網關中的漏洞執行管理員權限指令。

3. 門戶網站攻擊：利用漏洞創建J2EE后門賬戶，以訪問SAP門戶和其他內部系統。

報告中提供了針對SAP系統最常見的三種網絡攻擊的細節信息，這些攻擊向量使得黑客可以入侵SAP系統并能夠訪問公司數據的應用程序。經過專家研究確認，網絡攻擊將會嚴重影響以下關鍵業務進程：

1. 在SAP系統之間使用Pivoting，造成客戶信息和信用卡信息泄漏。

2. 客戶和供應商門戶攻擊。

3. 通過SAP私有協議對數據倉庫發起攻擊。

根據Nunez所說，SAP HANA應該對新增加的450%的安全補丁負責：

“這一趨勢不僅僅是持續的，而是隨著SAP HANA更加惡化，因為SAP HANA導致新的安全補丁增加了450%。因為SAP HANA位于SAP生態系統的中心，所以存儲在SAP平臺的數據現在必須同時在云端和前端進行保護。”

安全措施

該報告還提供了以下行動計劃，用以提高SAP系統的安全級別：

1. 獲取基于SAP資產的可視化功能，以確定“風險價值”。

2. 通過持續監控以防止安全性和遵從性問題。

3. 檢測并應對新威脅、攻擊或用戶異常表現作為攻擊的指示器。

為了保護SAP軟件，遵循任何SAP安全記錄和監控內部體系結構非常重要，這能夠有效預防一些安全問題。

原文轉自：http://www.freebuf.com/news/66893.html