SapCop 2003 I Conferencia de Seguridad en SAP Buenos Aires 5 de Noviembre de 2003

Tamaño: px

Comenzar la demostración a partir de la página:

Download "SapCop 2003 I Conferencia de Seguridad en SAP Buenos Aires 5 de Noviembre de 2003"

Aarón Camacho Murillo
hace 8 años
Vistas:

1 SapCop 2003 I Conferencia de Seguridad en SAP Buenos Aires 5 de Noviembre de 2003 Luis Falcon lfalcon@thymbra.com

2 Por qué usar criptografía?

6 https Encripción128-bit

7 HTTPS Encapsulado en TLS/SSL?

8 Criptografía Simétrica vs Asimétrica María m c = E(K,m) Juan c María m c = E(Pjuan,m) m = D(K,c) m Juan c m = D(Sjuan,c) m

9 Ventajas de Criptografía Pública - Confidencialidad : Mensaje no puede ser decifrado en un tiempo razonable Integridad : No puede ser modificado Autenticación : es su pasaporte No repudio : es su firma

10 SSH : Criptografía aplicada a la administración

11 telnet rlogin rsh ftp tftp rcp saprouter SSH

12 Sólo un puerto : Múltiples Destinos SSHD cliente SAP túnel ssh cups

13 SAP CRYPTO : SNC Secure Network Communication SECUDE

15 Características Principales PKI standard ( X509 PKCS#12 ) Se pueden generar certificados via OpenSSL Single Sign On Firmas Digitales en SAP ( SSF ) Integración transparente con etoken / Smartcards

16 SECUDE + etoken Credenciales almacenados externamente Generador de números aleatorios reales Unico contra Sniffers de teclado Almacenamiento de múltiples certs. Portable Pequeño Resistente

17 Inseguridad Informática Fuente: CERT

18 SATAN

19 La seguridad de un sistema es tan fuerte como su recurso más débil Bruce Schneier

20 Criptografía y Firewalls no son todo... El usuario final debe conocer bien conceptos básicos de criptografía pública Virus / Trojan Horses suelen estar embebidos en s que saltan las reglas del firewall Firewalls deben ser configurados por personal cualificado Pueden crear un falso sentido de seguridad

pública Virus / Trojan Horses suelen estar embebidos en emails que saltan

21 Lucifer Principle Los usuarios internos conocen mejor la infraestructura de la empresa, aumentando el nivel de eficacia en el ataque. Alta rotación de los empleados en los puestos de trabajo 80% de los incidentes son generados por usuarios internos.

22 Seguridad en SAP Después del Profile Generator

23 Análisis de Riesgo Identificación de componentes/recursos Determinación de vulnerabilidades Grado de explotación de vulnerabilidades Cálculo de pérdidas anuales Estudio de posibles medidas de control adicionales Ahorro anual que suponen los controles de seguridad. Nos ayuda determinar qué tenemos, cómo estamos y a dónde queremos llegar

24 Identificar los componentes Hardware : routers, servidores,... Software : Linux, Solaris, Oracle, SAP... Datos : nóminas, historial médico, acreedores,... Personal Documentación Suplementos

25 Vulnerabilidades Interceptación : Robo, sniffers... Interrupción : Denial of Service (DoS), corte de red,... Modificación : Cambio de valores de cuentas,... Fabricación : Añadir registros, creedores,usuarios...

26 Objetivo : Información Los datos son el componente más crítico. La fabricación y modificación de información puede pasar inadvertida por meses Fuga de información confidencial a la competencia Pérdida de confianza por parte del cliente final Pérdidas incalculables de dinero / Pérdida del negocio

27 Costo Beneficio Costo / Beneficio de implementación de medidas de seguridad en la red Precio Riesgo : Interceptación de claves de usuarios con sniffers de red 5% de probabilidad de explotación Interrupción de acceso a R/3 por ataques DoS 10% de probabilidad de explotación Pérdidas anuales Efectividad de medidas de seguridad : 99% Controles de seguridad (amortizable a 5 años) : Costo ( ) Ahorro anual ( )

28 Gestión Vertical del Sistema R3 Base de Datos Sistema Operativo Comunicaciones

29 Topología común de intranet en SAP SAP HTTP SMTP DNS LAN xx.xx

30 Segmentación de servicios y redes SAP LAN segura xxx LAN xxx.xxx Puertos permitidos

31 Standby Database Replica de logs transaccionales con desfase de n minutos / horas WAN SAP Standby server Fallos físicos Desastres naturales Errores humanos Actos de sabotaje

32 Control de Acceso vs DoS Poco Práctico / DoS login/fails_to_user_lock login/failed_user_auto_unlock login/password_expiration_time Recomendables login/fails_to_session_end rdisp/gui_auto_logout login/min_password_lng login/no_automatic_user_sapstar

33 TABLA USR40 Evita el uso de claves típicas Mínimo riesgo de ataque por fuerza bruta (diccionarios) Admite reglas básicas de expresiones regulares ( '* ' y '?' ) Puede llenarse desde un diccionario externo ( ej, crack )

34 Modo Debug ABAP/4 es interpretado Permite el cambio de código de retorno (sy subrc) de funciones en tiempo de ejecución Se salta todo tipo de control de seguridad No debe estar habilitado para ningún usuario en ambientes productivos /H

35 IDS y Auditing Intrusion Detection Systems (IDS) son fundamentales para detectar cambios en ficheros a nivel sistema operativo ( ej, trojans ) Ejemplos OS: Tripwire, SNORT, SapCop Saber quién,cuándo y desde dónde se ha conectado DB: Listener Audit Trail Qué acciones ha realizado R3: AIS, wp/rd trace level Nivelar el nivel de logging y alertas con la performance y facilidad de análisis de los reportes

36 SapCop IDS root en el servidor

37 Guardar externamente los logs

38 Experiencia real: Penetration Testing Las sesiones de penetration testing llevan a la práctica las medidas de seguridad tomadas hackean el sistema de forma controlada Se comprueba la seguridad de todos los componentes y recursos ( comunicaciones, sistema operativo, clientes ODBC, base de datos y aplicación SAP ) Siempre existen brechas sin detectar...

39 Linux & SAP

40 Linux : El UNIX del 2000 En constante evolución Certificado por SAP desde 1999 Robusto, escalable y económico Plataformas 64 bit (Intel AMD ) disponibles Robusto esquema de seguridad a nivel Kernel

41 Read Only Linux ( devil linux, etc..) Servidor en CDROM Crypto Filesystems Uso de ACLs No hay disco duro Apache,SSH, LDAP...

Documentos relacionados

Experiencias de Seguridad en SAP. Julio C. Ardita CYBSEC

Experiencias de Seguridad en SAP. Julio C. Ardita CYBSEC Julio C. Ardita CYBSEC Agenda - Evolución de la seguridad en SAP - Las capas donde aplicar seguridad en SAP - Experiencias y soluciones de seguridad en SAP Nuestra experiencia de seguridad en SAP Trabajamos