कैसे मैंने दक्षिण अफ्रीकी लोगों को SAP की सुरक्षा करना सिखाया

हम Infosectravel सेक्शन खोल रहे हैं, हम कुवैत, अफ्रीका, ऑस्ट्रेलिया, आदि जैसे सम्मेलनों और सूचना सुरक्षा प्रदर्शनियों की यात्राओं के बारे में नोट्स लिखेंगे। यद्यपि यूरोपीय और अमेरिकी घटनाओं जैसे ब्लैकहैट और कॉन्फिडेंस, और अन्य, को भी अनदेखा नहीं किया जाएगा।

स्वागत योग्य सुझाव और टिप्पणियाँ। प्रारूप पूरी तरह से नया है, हालांकि पहले ही कुछ प्रयास ( कुवैत , ब्लैकहैट , कॉन्फिडेंस ) हो चुके हैं और हम खुद नहीं जानते हैं कि अंत में क्या होगा।

ऐसा हुआ कि मई की छुट्टियों में मैं तुर्की में आराम करने के लिए किसी भी तरह से नहीं गया, लेकिन अफ्रीका में काम करने के लिए :)
संक्षेप में, दक्षिण अफ्रीका की राजधानी जोहान्सबर्ग में 7 से 9 मई तक - सुरक्षा ITWEB पर अंतर्राष्ट्रीय प्रदर्शनी और सम्मेलन आयोजित किया गया था। इस साल, हमने इसमें एक सक्रिय भाग लेने का फैसला किया, एक रिपोर्ट बनाई और उन ग्राहकों के साथ बात की, जिन्हें आप अक्सर पहले नहीं देखते हैं। यात्रा सभी अधिक आकर्षक लग रही थी क्योंकि मेरे सहयोगियों ने इस क्षेत्र में बढ़ती आपराधिक स्थिति के कारण जाने से इनकार कर दिया था।

पहला इंप्रेशन

जब मैंने होटल में जाँच की तो पहली चीज़ मैंने देखी थी। तस्वीर की गुणवत्ता के लिए क्षमा करें - मैंने शूटिंग के लिए हाथ में जो कुछ भी इस्तेमाल किया था।


महान, नया दलाल। और मैंने सुना है कि अफ्रीका में बच्चे भूख से मर रहे हैं ... तब मासेराटी और बेंटले थे, लेकिन यह अब तक महाकाव्य नहीं था।

दक्षिण अफ्रीका की पहली धारणा यह है कि यह अमेरिका, एक ही शॉपिंग मॉल, समान इमारतों और सड़कों, अफ्रीकी-अफ्रीकियों की समान संख्या के बारे में अलग नहीं दिखता है। लेकिन मेरे पास अभी भी दो दिन नहीं थे कि सड़कों पर इधर-उधर न घूमें, लेकिन हमारे उत्पाद के फायदों के बारे में बात करने के लिए ज़ोंबी म्यूटेंट के आक्रमण से प्रदर्शनी पर स्टैंड का बचाव करें ।

ITWEB एक काफी बड़ी घटना है। बेशक, यह RSA या BlackHat नहीं है, और Infosecurity भी नहीं है, लेकिन इसके 50 से अधिक प्रदर्शक होंगे। इस सूचक के अनुसार, प्रदर्शनी औसत यूरोपीय समकक्षों की तुलना में काफी बड़ा है। हालाँकि, यह देखते हुए कि यह सम्मेलन व्यवसाय के लिए अधिक डिज़ाइन किया गया है, यह स्पष्ट है कि इतने सारे स्टैंड कहाँ से आए हैं। लगभग आधे प्रदर्शक प्रसिद्ध अंतरराष्ट्रीय ब्रांड (RSA, Splunk, IBM, Kaspersky) और अन्य स्थानीय कंपनियां सलाहकार और पुनर्विक्रेता हैं। वैसे, मुझे सुखद आश्चर्य हुआ कि अपनी तकनीकी ड्राइंग के लिए जाना जाने वाला सेंसपोस्ट, दक्षिण अफ्रीका में एक मुख्यालय है और सफलतापूर्वक इंग्लैंड में एक दूसरा कार्यालय विकसित कर रहा है।
दुर्भाग्य से, मैं कार्यक्रम के तहत कुछ भी समझदारी से नहीं कह सकता, क्योंकि मैं अपने भाषण के अलावा किसी भी भाषण में मौजूद नहीं था, और अलौकिक की उम्मीद नहीं थी, सिवाय शायद ग्रुगक, जो संयोगवश, दक्षिण अफ्रीका से है।

दिन दो
प्रदर्शनी के दूसरे दिन, मुझे इस खबर से सुखद आश्चर्य हुआ कि हमारी कंपनी और मुझे, विशेष रूप से, हॉट कंपनीज और सर्वश्रेष्ठ उत्पाद पुरस्कार से सम्मानित किया गया, जो उस समय लास वेगास में प्रस्तुत किए गए थे।



मुझे आर एंड डी श्रेणी के प्रोफेशनल ऑफ द ईयर में एक स्वर्ण पुरस्कार मिला, और हमारे उत्पाद को "सूचना सुरक्षा और जोखिम प्रबंधन" और "सुरक्षा सॉफ्टवेयर" की श्रेणियों में कांस्य प्राप्त हुआ - बुरा नहीं, विशेष रूप से यह देखते हुए कि प्रतिस्पर्धी नेट ऑप्टिक्स, केजेनिक, रेडसेल, नॉर्मन, एप्लीकेशन सिक्योरिटी थे अफारिया मंच के साथ और यहां तक ​​कि एसएपी।
इस घटना का जश्न मनाने के लिए, मैंने आगंतुकों को प्रदर्शनी बेलुगा का इलाज किया। पहले लोग थोड़ा हैरान थे, लेकिन फिर उत्सुकता से छुट्टी में शामिल हुए।

कुल मिलाकर, प्रदर्शनी विशेष रूप से प्रभावशाली नहीं थी: कहीं और के रूप में, कोलम्बिया और विभिन्न जादू "साइबर हमलों और एपीटी से बचाव" प्रस्तुत समाधानों के बीच प्रबल हुए। यह अच्छा था, इसलिए, एक आगंतुक से हमारे बारे में इस तरह की समीक्षा सुनने के लिए: "ठीक है, कम से कम कुछ दिलचस्प है, अन्यथा साइबर-कुछ-हर जगह समान है।"

रिपोर्ट

रिपोर्ट के बारे में बात करने का समय आ गया है। इस बार वह बहुत तकनीकी नहीं था, क्योंकि दर्शक उपयुक्त थे। और जिस क्षेत्र की हम हाल ही में जांच कर रहे हैं - एसएपी में घटना की जांच और हमले का विश्लेषण - बिल्कुल कमजोरियों के बारे में नहीं है, लेकिन काफी विपरीत है: विभिन्न लॉग फ़ाइलों, निशान का उपयोग करके इन कमजोरियों के निशान का पता कैसे लगाएं और अन्य विशिष्ट बातें। मैं आपको सामान्य रूप से रिपोर्ट के बारे में बताऊंगा।
चूंकि इस क्षेत्र के लिए एसएपी सुरक्षा का विषय अभी भी नया है, इसलिए मुझे अपने भाषण का आधा हिस्सा सामान्य चीजों के लिए समर्पित करना पड़ा, हालांकि, दक्षिण अफ्रीकी बारीकियों को ध्यान में रखते हुए। उदाहरण के लिए, इस वर्ष खुले एसएपी पोर्ट के लिए इंटरनेट को स्कैन करने के परिणामों के आधार पर व्यक्तिगत आंकड़े प्रस्तुत किए गए थे। दक्षिण अफ्रीका में, जैसा कि यह निकला, राउटर के साथ आईएस के बहुत सारे खतरे जुड़े हुए हैं: इनमें से लगभग 20% डिवाइस जानकारी प्रकटीकरण के लिए कमजोर हैं, और 5% प्रमाणीकरण बायपास के लिए। अन्य सेवाओं के लिए, औसतन वैश्विक आंकड़ों की तुलना में स्थिति लगभग 2-3 गुना खराब है (हम इंटरनेट के माध्यम से असुरक्षित सेवाओं के बारे में बात कर रहे हैं)।

वास्तव में, रिपोर्ट की मुख्य थीसिस यह थी: "आपने खुद को हर चीज से सुरक्षित नहीं रखा है, लेकिन आपको हमलों का शीघ्रता से पता लगाने के लिए और यदि संभव हो तो उन्हें जल्दी से जवाब देने के लिए सिस्टम ईवेंट का विश्लेषण करना होगा।"
SAP सिस्टम के लिए यह क्यों महत्वपूर्ण है? सबसे पहले, थीसिस किसी भी सिस्टम पर लागू होती है। दूसरे, लगभग छह महीने पहले, एनोनिमस ने SAP में 0-दिन की भेद्यता के माध्यम से ग्रीक वित्त मंत्रालय को कैसे हैक किया और इंटरनेट पर गुप्त जानकारी प्रकाशित की, इसने शोर मचा दिया। इस तथ्य के बावजूद कि हैकिंग के तथ्य की कोई आधिकारिक पुष्टि संगठन या एसएपी से प्राप्त नहीं हुई है, मैं सुरक्षित रूप से कह सकता हूं कि ऐसा परिदृश्य संभावना से अधिक है। और अंत में, तीसरे, कितनी कंपनियां वास्तव में दावा कर सकती हैं कि उन पर SAP सिस्टम से हमला नहीं किया गया है?
एक तरफ, भले ही कोई घटना हुई हो, लेकिन इसे सार्वजनिक किए जाने की संभावना नहीं है। दूसरी ओर, हमारे ऑडिट के परिणाम बताते हैं कि बहुत कम प्रतिशत कंपनियां किसी हमले के तथ्य का पता लगाने में सक्षम हैं। यहां तक ​​कि लॉगिंग के रूप में इस तरह की एक सरल चीज, कम लोग शामिल हैं। हमने थोड़ा शोध किया, और यहां परिणाम हैं: लगभग 70% कंपनियों में एसएपी के लिए कॉन्फ़िगर किया गया HTTP लॉग है, और केवल इसलिए कि यह डिफ़ॉल्ट रूप से कॉन्फ़िगर किया गया है। अन्य पत्रिकाओं के लिए, वहाँ सब कुछ बहुत दुखी है। क्रमशः विभिन्न लॉग का प्रतिशत: ABAP में सुरक्षा ऑडिट लॉग - 10%, टेबल एक्सेस लॉगिंग - 4%, संदेश सर्वर लॉग - 2%, एसएपी गेटवे एक्सेस लॉग - 2%।
इन नंबरों को देखते हुए, आप समझते हैं कि यह संभव नहीं है कि हर किसी को हैकिंग के संभावित प्रयासों की स्पष्ट तस्वीर मिल सकती है। अधिक महत्वपूर्ण बात, यहां तक ​​कि एक कॉन्फ़िगर किए गए लॉगिंग के साथ, केवल एक छोटा प्रतिशत प्रतिशत संशोधन के लिए दुर्गम स्थान में जानकारी एकत्र करता है, यह घटनाओं को भी संसाधित करता है और सहसंबंधित करने की क्षमता रखता है।

SAP पोर्टल और J2EE अनुप्रयोगों पर हमले

अब विशेष मामलों के बारे में। इस रिपोर्ट में, हमने एसएपी पोर्टल पर केवल हमलों के बारे में विस्तार से जांच की, क्योंकि यह एप्लिकेशन इंटरनेट से इसकी पहुंच के कारण महत्वपूर्ण है और इसके अन्य सिस्टम से कनेक्शन हैं। वास्तव में, यह आंतरिक एसएपी संसाधनों पर संभावित हमले की श्रृंखला की पहली कड़ी है।
सामान्य तौर पर, हमलों का पता लगाने के दो प्रकार के तरीकों में कमी आती है। पहला सरल हमला है जिसे मानक HTTP अनुरोध लॉग में ट्रैक किया जा सकता है, जहां हेडर संग्रहीत होते हैं। दूसरा - अधिक उन्नत हमले जो POST अनुरोधों में निहित हैं और मानक लॉग में नहीं आते हैं।

दूसरे प्रकार के हमलों का विश्लेषण करने के लिए, सबसे आसान विकल्प सभी अनुरोधों के उन्नत लॉगिंग को कॉन्फ़िगर करना है। हालांकि, इस मामले में, कुकी और Jsessionid फ़ील्ड और फ़ॉर्म में प्रेषित पासवर्ड सहित अनावश्यक जानकारी की एक बड़ी मात्रा लिखी जाएगी। इसके अलावा, यह असुरक्षित है। स्वाभाविक रूप से, ऐसी सेटिंग्स हैं जो आपको फ़ील्ड डेटा को सहेजने की अनुमति नहीं देती हैं, जिसे आप रिपोर्ट में अधिक विस्तार से देख सकते हैं, लेकिन फिर भी यह समाधान सबसे अच्छा विकल्प नहीं है यदि POST अनुरोधों की इस पूरी स्ट्रीम का विश्लेषण करने के लिए कोई अतिरिक्त उपकरण नहीं हैं।

लेकिन अगर आप POST रिक्वेस्ट का विश्लेषण नहीं करते हैं, तो फिर क्या है? कई वैकल्पिक तरीकों को दिखाया गया है जिन्हें आदर्श कहना भी मुश्किल है। उदाहरण के लिए, आप अप्रत्यक्ष घटनाओं के विश्लेषण का उपयोग कर सकते हैं।
SAP पोर्टल और WebDynpro अनुप्रयोगों में, सभी डेटा POST अनुरोधों के एक विशाल "शीट" में प्रेषित होते हैं, सैकड़ों मापदंडों तक पहुंचते हैं, और लॉग में कोई भी कार्रवाई अपने URL के लिंक के साथ एक ही सेवा तक पहुंचने की तरह दिखती है। यही है, सामान्य मामले में, यह समझना संभव नहीं है कि POST अनुरोधों का विश्लेषण किए बिना क्या हो रहा था।
उदाहरण के लिए, विभिन्न चालें आती हैं। पोर्टल इंटरफ़ेस में विभिन्न आइकन हैं जो अक्सर महत्वपूर्ण कार्यों के बगल में पाए जाते हैं, जिसमें इवेंट लॉगिंग के स्तर को बदलने या लॉग को अक्षम करने या सर्वर पर फ़ाइलों को अपलोड करने सहित शामिल हैं। इन दोनों का उपयोग किसी हमलावर द्वारा एक COOKIE अपहरण स्क्रिप्ट के साथ एक HTML फ़ाइल लोड करने या लॉगिंग को अक्षम करने की कोशिश के रूप में ऐसे हमलों के लिए किया जा सकता है। इस तरह की क्रियाएं वेब सर्वर से संबंधित आइकन को लोड करने के लिए अनुरोध करती हैं, जो लॉग फ़ाइलों में स्पष्ट रूप से प्रदर्शित होती है और किसी हमले के तथ्य का अप्रत्यक्ष रूप से पता लगाना संभव बनाती है।
यह विशिष्ट है कि आम उपयोगकर्ता ऐसे कार्यों को करते समय छवियों को लोड नहीं करते हैं, क्योंकि वे पहले से ही ब्राउज़र कैश में लोड हो रहे हैं (पहली बार के अपवाद के साथ), जिसके कारण हम केवल नाजायज कॉल देखेंगे, जिससे हम संभावित हमले के बारे में बात कर सकते हैं।

स्वाभाविक रूप से, बहुत सारी बारीकियां और झूठी सकारात्मकताएं हैं, साथ ही इस तरह के तंत्र को दरकिनार करने के तरीके भी हैं, लेकिन, सबसे पहले, यह जानने के बिना कि आप क्या हैं, आप शायद ही इसे दरकिनार करने का अनुमान लगाएंगे, और दूसरी बात, अगर आप इसे अन्य विवरणों के साथ जोड़ते हैं, तो आप एक बहुत अच्छी प्रणाली सेट कर सकते हैं, पूर्ण लॉगिंग के विकल्प या पूर्ण लॉगिंग रिकॉर्डिंग को संयोजित कर सकते हैं अगर ऐसी कोई घटना हो, तो सभी डेटा को स्टोर करने के लिए नहीं।
सामान्य तौर पर, चूंकि विषय काफी नया है, एसएपी के लिए कई विकल्प हैं, और मैंने केवल बुनियादी चीजों को रेखांकित किया है, लेकिन मेरे सहकर्मी शायद कॉन्फिडेंस में प्रस्तुति के दौरान दूसरों के बारे में बताएंगे।

पुनश्च
सम्मेलन के बाद, मैंने सुंदर जे-बे समुद्र तट पर जाकर थोड़ा आराम करने का फैसला किया - दुनिया के सबसे अच्छे सर्फिंग स्पॉट में से एक, पूरी तरह से लंबी तरंगों के साथ जहां आप डॉल्फिन के साथ सर्फ कर सकते हैं जब तक कि उन्हें अल्बाट्रॉस द्वारा खाया नहीं जाता। मुझे गोली मारने वाला कोई नहीं था, इसलिए केवल छोटी लहरों वाला एक खाली समुद्र तट, क्योंकि सामान्य समय में यह फिल्मांकन का समय नहीं था।



तट पर, वातावरण बहुत अनुकूल और आराम से है, और भोजन बहुत स्वादिष्ट और सस्ता है, इसलिए मुझे समझ में नहीं आता है कि मिस्र और ऐसी जगहों पर क्यों जाना है जब दुनिया में इतनी सुंदरता है।
स्वाभाविक रूप से, दक्षिण अफ्रीका में अपराध है। उदाहरण के लिए, जोहान्सबर्ग का केंद्र सिद्धांत रूप में, यात्रा के लिए अनुशंसित नहीं है, क्योंकि वहां कोई पुलिस नहीं है, लोग बिना किसी सवाल के बस मारे जाते हैं। सर्वोत्तम स्थिति में, आपको चाकू के घाव वाले कपड़े के बिना छोड़ दिया जाएगा और आप अपने पूरे जीवन को बताएंगे कि आप किस अच्छे डाकू से मिले हैं।
आप सभी का धन्यवाद, सम्मेलन की रिपोर्टें यहां से डाउनलोड की जा सकती हैं , ऑस्ट्रेलिया की अगली पोस्ट की प्रतीक्षा करें।