Газинформсервис: SafeERP

SafeERP - программный комплекс, предназначен для защиты систем на платформе SAP NetWeaver.

2024

*SafeERP 4.9.3 (Q2 2024)

Компания «Газинформсервис» выпустила очередной квартальный релиз SafeERP 4.9.3 (Q2 2024) – модульного программного комплекса по защите бизнес-приложений. В обновлении – ряд новых возможностей и улучшений для повышения безопасности.

В модуле SafeERP Security Suite (SecSuite) реализована усиленная защита платформы с добавлением 34 новых стандартных проверок в «Сканере». По словам разработчиков, интерфейс стал удобнее, добавлена вкладка «Проверки», изменился вид «Профилей проверок», что позволяет легко создавать, редактировать и удалять собственные проверки. Расширена защита кода: добавлены фильтры для просмотра уязвимостей, появилась возможность просмотра адреса уязвимости (INCLUDE) и введена вкладка «Сравнение итераций» для отслеживания динамики изменений появления/уменьшения количества уязвимостей (изменение проекта).

В SafeERP Code Security Extension Module (CS EM) реализована улучшенная защита для 1С и других языков программирования, включая возможность создания собственных ролей, расширенные описания проверок. Модуль получил новые проверки для 1С, а также скорректированы проверки для Python/1С.

SafeERP Platform Security Extension Module (PS EM) пополнился также эксплойтами, что расширило защиту от актуальных угроз, в том числе от уязвимостей в Confluence Data Center, Confluence Server, Jenkins CLI и TeamCity.

В релизе 4.9.3 также проведены изменения интерфейса: SecSuite переведен на веб-интерфейс, а SAP FIORI получил ряд обновлений, включая добавление новой транзакции, окна подтверждения и улучшения в «Журнале событий».

CS EM и PS EM успешно прошли проверку на совместимость с Jatoba и готовятся к интеграции в единый интерфейс EMs.

«SafeERP 4.9.3 – это очередной шаг в развитии комплексной системы защиты бизнес-приложений, направленный на обеспечение максимальной безопасности и удобства работы пользователей», – отметила Римма Кулешова, менеджер по продукту SafeERP компании «Газинформсервис».

Совместимость с "Ред ОС" 8

Пользователям Ред ОС 8 стало доступно решение SafeERP CS EM. Разработка компании «Газинформсервис» автоматически анализирует состояние безопасности кода 1С, Python, SQLScript, JavaScript и других языков программирования, обнаруживая и устраняя уязвимости. Об этом Ред Софт сообщил 31 июля 2024 года.

Модуль SafeERP CS EM поможет своевременно выявлять уязвимости в коде используемых программ, а операционная система РЕД ОС 8 станет удобной отечественной платформой для безопасной работы сотрудников.

Мы в компании «Газинформсервис» делаем все, чтобы в условиях внешней нестабильности бизнес-процессы наших заказчиков были под надёжной защитой. Совместимость SafeERP CS EM и РЕД ОС 8 — это результат совместных усилий специалистов компаний «Газинформсервис» и «РЕД СОФТ», который подтверждает нашу приверженность обеспечению безопасности и стабильности для наших клиентов, это один из главных приоритетов, - отметила Менеджер по продукту SafeERP Римма Кулешова.

С каждым годом количество решений, разрабатываемых отечественными ИТ-компаниями, становится больше, а с развитием импортозамещения темпы только ускоряются. Совместимость нашей операционной системы с SafeERP CS EM от «Газинформсервис» — это отличная новость для отечественного рынка технологий. Совместное внедрение РЕД ОС 8 и SafeERP CS EM поможет как закрыть задачи по импортозамещению, так и обеспечить безопасную работу с инфраструктурой организации, — отметил Рустам Рустамов, заместитель генерального директора РЕД СОФТ.

2014

SafeERP получил функционал анализа кастомизированного кода АВАР

Компания «Газинформсервис» представила в декабре 2014 года обновление для программного комплекса SafeERP, предназначенного для защиты систем, построенных на платформе SAP NetWeaver.

Помимо существующих в предыдущих версиях функций контроля целостности и регистрации событий безопасности, ПК SafeERP получил возможность анализировать кастомизированный код SAP-систем на наличие в нем уязвимостей. Применяемый механизм анализа обнаруживает уязвимости на основе статического анализа, в котором поиск уязвимостей строится на использовании библиотеки шаблонов.

Проверки данного модуля позволяют определить источники таких уязвимостей как:

• Критичные вызовы команд ОС.
• Критичные обращения к СУБД.
• Критичные вызовы функций ядра.
• Отсутствие проверок авторизации.
• Программные закладки.

Поиск осуществляется по исходному коду SAP-системы без дополнительной выгрузки кода во внешнее средство анализа, что увеличивает безопасность и повышает скорость проведения тестов. Также возможно встраивание процесса проверки кода в транспортную систему на уровне проверки запросов.

В модуле реализовано детальное описание каждой найденной уязвимости с примерами ее эксплуатации и описанием бизнес рисков.

Новый функционал ПК SafeERP имеет возможность сохранения результатов сканирования, а также их выгрузки в виде PDF-файлов для руководства и XLS-файлов для взаимодействия с разработчиками кода.

Функциональные особенности и преимущества программного комплекса SafeERP:

• Быстрая интеграция. Программный комплекс SafeERP – сертифицированный SAP Add-On, что гарантирует мгновенное развертывание и использование комплекса.
• Уменьшение временных и человеческих затрат на аудит кода.Встроенная база знаний позволяет анализировать код пользователям, не имеющим опыта работы с АВАР, сокращая время на подготовку специалистов для проведения аудита кода.
• Значительное количество проверок. Программный комплекс использует более 100 сценариев для нахождения уязвимостей всех известных типов. База постоянно актуализируется и пополняется новыми проверками.
• Категоризация уязвимостей. Позволяет выделить наиболее критичные уязвимости и определить порядок дальнейшего их устранения. Функционал детальной отчетности позволяет взаимодействовать с разработчиками на их языке.
• Анализ качества разработанного кода. Программный комплекс SafeERP предоставляет механизмы превентивной оценки надежности информационной системы предприятия, еще до принятия разработанного функционала в продуктивную стадию. Применение ПК SafeERP позволяет избежать сбоев в работе, оптимизировать ресурсы предприятия. Реализованная в нем система отчетности предоставляет руководству наглядную оценку безопасности разработанного бизнес-функционала.

Примеры интерфейса модуля анализа кода ABAP:

• ALL OCCURRENCES OF SY-SYSID. Тест проверяет все вхождения системной переменной SY-SYSID. Эта переменная содержит имя системы SAP, где запускается АВАР код. Любой код, выполнение которого зависит от SY-SYSID, может обойти контроль QA (Quality Assurance – система контроля качества (тестовая система)).
• Broken AUTHORITY-CHECKS. Тест определяет использование команды проверки полномочий без последующей проверки на sy(st)-subrc.
• Exposed Kernel Calls. Команда ABAP CALL CFUNK непосредственно вызывает функции ядра. Функции, написанные на С, могут существенно повысить производительность, но не рекомендуется их использование с точки зрения безопасности. Вызов функции ядра непосредственно из пользовательской директории делает уязвимым ядро SAP C для потенциальных атак.

Выход SafeERP

21 января 2014 года стало известно о выходе на рынок комплекса для защиты корпоративных систем SAP компании Газинформсервис.

В режиме реального времени SafeERP осуществляет контроль состояния защищённости SAP-систем, обеспечивая доступ к настройкам безопасности, журналам событий безопасности в системе.

Системы SAP крупных компаний хранят конфиденциальную информацию и обрабатывают критичные для бизнеса данные, что привлекает злоумышленников и конкурентов. Программный комплекс SafeERP автоматизирует процесс управления безопасностью в таких системах и показывает полную картину защищённости систем SAP по всему ИТ-окружению.

Компоненты комплекса

В основе всего комплекса - сервер управления SafeERP и агенты SafeERP, которые устанавливаются в SAP-системы компании. Единая консоль информационной безопасности отображает настройки безопасности всех контролируемых SAP-систем.

Настройка работы комплекса делается на сервере управления, с использованием консоли администратора, где определяются политики безопасности, задаются параметры отбора информации от агентов.

Комплекс используется на системах версии SAP NetWeaver 7.0 и более поздних. Для работы комплекса необходим графический интерфейс (SAP GUI) текущей версии.

Возможности SafeERP

• Позволяет зафиксировать и контролировать безопасное состояние программного кода в системе.
• Предоставляет доступ к информации о настройках безопасности системы SAP посредством унифицированного интерфейса.
• Обеспечивает быстрый просмотр критичных событий безопасности с возможностью их обработки.

Мониторинг безопасного функционирования осуществляется посредством сбора, обработки, защищенного хранения и корреляции событий информационной безопасности, происходящих в контролируемых комплексом SafeERP системах.

SafeERP, в отличие от большинства существующих систем управления инцидентами (Security Information and Event Management - SIEM), при соответствующей настройке помогает контролировать доступ к информации ограниченного использования, обрабатываемой и контролируемой SAP-системой. В дополнение к этому, у SafeERP есть программный интерфейс для интеграции (передачи событий) в другие SIEM-системы.

Функционал

• Контроль целостности программных объектов системы SAP и собственных компонентов за счёт вычисления контрольных сумм.
• Управление политиками безопасности.
• Централизованный сбор и просмотр событий информационной безопасности по категориям.
• Контроль параметров профилей инстанции SAP-системы.
• Централизованный сбор и отображение изменений учетных записей пользователей, ролей и полномочий.
• Регистрация событий управления.
• Создание отчетов о событиях в системе информационной безопасности.
• Быстрый анализ защищенности систем и контроль критичных разработок.