В системах SAP найдено 3000 уязвимостей

Эксперты компании Digital Security, предоставляющей консалтинговые услуги в области ИБ, сообщили о результатах семилетней работы по анализу уязвимостей платформы SAP. По информации, опубликованной на официальном портале SAP, всего было обнаружено 3000 уязвимостей. Значительная их часть была закрыта при помощи команды Digital Security.

Александр Поляков, технический директор компании Digital Security, дает следующие комментарии к проведенному исследованию: «В соответствии с данными портала cvedetails.com, собирающего информацию по всем публичным уязвимостям, а также наиболее уязвимым вендорам, по количеству CVE продукты SAP находятся на 37 месте в списке производителей. Однако стоит понимать, что не все проблемы SAP имеют CVE. Сами представители SAP их не публикуют, в то время как сторонние исследователи тоже делают это лишь изредка, сообщает cnews.ru.

Поэтому, если мы будем судить по количествам публичных уведомлений об уязвимостях (advisories), количество которых насчитывает чуть более 500, то SAP находится на 15 месте. В тоже время, если мы будем считать по числу уязвимостей, закрытых производителем в общем, включая внешние и внутренние, то их наберется 3013. В таком случае, SAP окажется на втором месте после Microsoft. Отметим, что такое сравнение является не совсем правомерным, поскольку Microsoft закрывает множество проблем внутренне. Впрочем, и SAP также может закрывать часть уязвимостей без выпуска SAP Security Note (патчей для проблем безопасности)».

«Если в прошлые годы лишь 10% от найденных уязвимостей, публикуемых ежемесячно, было найдено сторонними наблюдателями, то в последних обновлениях их количество возросло до 60-70%. В тоже время, общее число выпускаемых патчей по безопасности SAP уменьшается с каждым годом», - говорит Александр Поляков.

По его словам, в каждом отдельном продукте SAP за год находится разное количество уязвимостей. Для некоторых новых платформ, таких, например, как HANA, процент проблем стремительно растет с каждым годом, в то время как для платформ JAVA остается почти неизменным. «В случае же со старыми платформами, включая ABAB, можно наблюдать даже некоторое снижение. Также существенно сокращается количество уязвимостей внутри клиентских приложений, особенно в сравнении с 2010 г., когда мы впервые стали их изучать», - отмечает Поляков.

«Для безопасности SAP существует ряд исключительных моментов. Например, такие уязвимости, как повреждение памяти (Memory Corruption), в том числе, переполнение буфера, в мире являются самыми распространенными (порядка 14% от всех проблем), а для SAP они составляют лишь 2 %, причем менее половины из них могут быть использованы для выполнения произвольного кода, и в основном встречаются в клиентских приложениях. В то же время количество проблем, связанных с конфигурацией, составляет 11 % всех проблем SAP-безопасности, а для остального мира этот показатель достигает всего 2 %», - добавляет Александр Поляков. 

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

На Форуме DLP+ поговорят об этике и безопасности

26 мая в Цифровом деловом пространстве (Москва, улица Покровка, дом 47) впервые пройдет «Форум DLP+» – самое масштабное мероприятие в России по внутренним угрозам корпоративной безопасности. Организаторами мероприятия выступят национальный провайдер сервисов и технологий кибербезопасности «Ростелеком-Солар» и Медиа Группа «Авангард». Форум станет первой площадкой страны для обсуждения, обмена идеями и практическим опытом по этой теме.

По задумке организаторов DLP+ будет наполнен нестандартными дискуссиями и выступлениями ярких спикеров – как популярных экспертов рынка информационной безопасности, так и новых, порой неожиданных персон. Экспрессивный тон мероприятию задаст вводная дискуссия «Этика, право и безопасность», управление которой возьмет на себя медиа-звезда рынка информационной безопасности Олег Седов. Приглашенные эксперты, среди которых будут не только специалисты мира ИБ, но и писатели, и представители сферы бизнес-образования, поговорят о понятии этики в современной цифровой действительности.

Что такое этика? Человек, оценивая свои возможные решения, чувствует, какие из них этичны, а какие – не очень, основываясь на морали. Двадцать первый век породил многообразие технических средств контроля и мониторинга людей, в частности системы защиты от утечек и анализа поведения пользователей. Какие вопросы DLP-этики требуют ревизии и пересмотра?

  • Как быть с неприкосновенностью частной жизни сотрудников? Тайной переписки?
  • Становится ли администратор ИБ всемогущим, и кто контролирует его?
  • Как совместить права сотрудников и компании как работодателя?

Деловая программа «Форума DLP+" сфокусируется как на актуальных технологиях, так и на практических методах защиты компании от внутренних угроз, поможет найти конкретные решения под потребности бизнеса. В фойе «Форума DLP+» будут представлены новейшие разработки ведущих вендоров систем защиты от внутренних корпоративных угроз – с возможностью опробовать любую разработку в действии на интерактивных демонстрационных стендах.

Партнерскую поддержку форуму оказывают ведущие компании российской отрасли информационной безопасности InfoWatch, Гарда Технологии, DeviceLock DLP, StaffCop, InfoSecurity, One Identity и другие.

Подробнее о форуме читайте на сайте мероприятия: https://dlp-forum.ru

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru