image

Onderzoek: 17.000 ERP-applicaties toegankelijk via internet

woensdag 25 juli 2018, 15:33 door Redactie, 2 reacties

Meer dan 17.000 SAP- en ERP-applicaties zijn direct toegankelijk via internet en lopen zo risico om te worden aangevallen, zo stellen Digital Shadows en Onapsis in een rapport waar het Computer Emergency Readiness Team van de Amerikaanse overheid (US-CERT) op wijst.

Enterprise Resource Planning (ERP) applicaties helpen organisaties bij het beheren van kritieke processen, zoals productlevenscyclusbeheer, klantenrelaties en ketenbeheer. In 2016 waarschuwde het US-CERT voor aanvallen op SAP-applicaties via een zes jaar oude kwetsbaarheid. Sindsdien is de situatie niet veel veranderd, aangezien de meeste aanvallers gebruikmaken van bekende kwetsbaarheden en onveilige configuraties.

Volgens het rapport zijn veel van de meer dan 17.000 blootgestelde ERP-applicaties van grote bedrijven en overheidsinstellingen. Met name de Verenigde Staten, Groot-Brittannië en Duitsland zouden risico lopen. De onderzoeker stellen verder dat veel van de ERP-applicaties die via het internet toegankelijk zijn kwetsbare versies en onbeschermde ERP-onderdelen draaien. Een ander probleem is dat medewerkers van deze organisaties ERP-inloggegevens via publieke fora delen. Ook werden honderden SAP-configuratiebestanden op publieke repositories, zoals ftp- en smb-servers aangetroffen.

Organisaties krijgen het advies om kwetsbaarheden te dichten en patches van SAP en Oracle tijdig te installeren. Tevens moeten ERP-configuraties regelmatig worden gecontroleerd op zaken als standaard en zwakke wachtwoorden en onveilige instellingen. Verder moeten ERP-applicaties op verdacht gedrag worden gemonitord en wordt het monitoren op gelekte ERP-data en -inloggegevens aangeraden.

Reacties (2)
25-07-2018, 19:32 door karma4
Goedkoop is duurkoop al heb je zeer veel voor die erp betaald.
26-07-2018, 07:53 door Anoniem
En dit is precies de reden waarom wij ook in de komende decennia een baan hebben: 20 jaar geleden was het al een drama met de kennis van beheerders, budgetten en security awareness bij gebruikers, en dat zal de komende 20 jaar alleen maar erger worden door toegenomen complexiteit, de hang naar goedkope krachten zonder jarenlange ervaring etc.

Organisaties krijgen het advies om kwetsbaarheden te dichten en patches van SAP en Oracle tijdig te installeren.

Dat advies bestond 25 jaar geleden ook al, maar ook toen werd dit advies niet opgevolgd. Als in 25 jaar geen fluit is veranderd, dan moeten we het toch over een andere boeg gooien ben ik bang. Of wachten we nog 25 jaar in de hoop dat het dan allemaal wel goed gaat met lifecycle management en software patching?
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.