Dr. Markus Schumacher     CEO de Virtual Forge GmbH.

Los sistemas SAP forman parte de la infraestructura crítica de sus clientes, ya que procesan y guardan datos confidenciales y controlan así los procesos de creación de valor. Aunque los ataques de hackers, espías económicos y empleados propios pueden causar daños enormes, muchos de los responsables de SAP y de seguridad de TI carecen todavía de la necesaria sensibilización. Perspectivas diferentes En las empresas la seguridad suele localizarse en el departamento de TI y en el centro de competencia de SAP. Al preguntar por la seguridad en el departamento de TI, surgen conceptos como firewall, sistema operativo, red privada virtual y también SIEM; es decir, una perspectiva muy técnica. En cambio, si la conversación es con los expertos en SAP, aparecen conceptos como roles y autorizaciones, control de acceso y gestión de riesgos; se trata, pues, de un punto de vista encaminado a proteger el nivel de aplicación.

Los típicos productos SIEM se quedan cortos

Los productos SIEM (Security Information and Event Management, gestión de eventos e información de seguridad) son muy útiles para la seguridad de TI en general, pero no están en condiciones de proteger los sistemas SAP frente a accesos no autorizados. El motivo es que estas soluciones SIEM no «entienden» la información proporcionada por SAP suficientemente para asociarla con predefinidos patrones de ataque, lo cual funciona bien con el análisis de los logs de redes, servidores, bases de datos etc.

Por lo tanto, para protegerse con eficacia de los atacantes externos e internos, los clientes de SAP deben hacer un mayor esfuerzo por mejorar la seguridad de sus sistemas y aplicaciones. «¿Hay actividades imprevistas en mi entorno SAP?», «¿Quién es el atacante?» y «¿Qué tipo de ataque ha tenido lugar?»; esas son las preguntas esenciales, que deben contestarse con rapidez y vincularse a contramedidas.

Cual es la mejor opción: ¿Ampliación o introducción de soluciones nuevas?

Una estrategia es la «ampliación» de los sistemas de control SIEM existentes, mediante funciones de evaluación y correlación de los logs de SAP. Requiere experiencia y bastante inversión de tiempo pero permite el control de SAP dentro de los sistemas SIEM existentes. 

Otra posibilidad es la de complementar los productos SIEM con una nueva solución de seguridad de SAP: con SAP Enterprise Threat Detection (ETD) se cierra la brecha del control de infraestructuras de TI críticas. Puesto que esta solución «entiende de forma intrínseca» todos los registros y ficheros de log de SAP, por primera vez es posible detectar los ataques a sistemas SAP en tiempo real. En principio, ETD funciona de manera parecida a los sistemas SIEM: en primer lugar, se transfieren los ficheros de log de SAP y se analizan en tiempo real. Si ha tenido lugar un ataque, ETD detecta su rastro y dispara una alarma; esta, a su vez, desencadena una serie de actividades predefinidas. ETD también permite realizar análisis forenses.

Aparte de los análisis técnicos, con ETD también pueden realizarse evaluaciones semánticas y específicas de cada aplicación de los registros de SAP. Ello permite detectar a tiempo si en un sistema SAP se están llevando a cabo contabilizaciones no autorizadas o se están introduciendo correos electrónicos con datos adjuntos y macros encaminados a realizar ataques masivos a la base de datos del back-end.

Decisión caso por caso

Si una empresa va a optar por «ampliar» los sistemas SIEM existentes o por complementarlos con SAP ETD, dependerá de distintos factores. Quien decida «enseñar» SAP a sus productos SIEM no tendrá que asumir coste alguno relacionado con la licencia, el mantenimiento y el proyecto de introducción de ETD. A cambio tendrá que afrontar el coste de programación y actualización de los desarrollos propios.

Los usuarios de ETD por su parte tendrán la ventaja de poder usar funciones estándar, es decir, dispondrán de una solución técnicamente madura que SAP irá desarrollando posteriormente con cada paquete de servicio y complementando con reglas actuales de detección de nuevos patrones de ataque.

Parto de la base de que se establecerá una coexistencia de los sistemas SIEM tradicionales y ETD a medio plazo.  SAP prevé para ello la posibilidad de que la transmisión de alertas procedentes de ETD se integre en un sistema SIEM existente.

Hay que actuar ya

Según los requisitos de cada empresa, debería sopesarse la «ampliación» de los sistemas de control SIEM frente a la introducción de una solución ETD nueva. En muchos casos, la combinación de ambas posibilidades parece ideal. Pero, en cualquier caso, se requiere una respuesta urgente para que las empresas sean capaces de detectar y evaluar los crecientes riesgos de ataques externos e internos al sistema con mayor rapidez que hasta ahora y, si fuera necesario, tomar medidas correctoras de inmediato. Y es que los avisos diarios indican que los sistemas SAP están cada vez más en el punto de mira de los atacantes. Además, debido a las nuevas tecnologías, como el internet de las cosas (IoT por sus siglas en inglés), la informática móvil y la informática de nube, la superficie de ataque es más amplia cada día.