Газинформсервис: SafeERP

SafeERP - программный комплекс, предназначен для защиты систем на платформе SAP NetWeaver.

2024

SafeERP 4.9.4

Компания «Газинформсервис» 27 ноября 2024 года представила обновленную версию своего модульного комплекса по защите бизнес-приложений — SafeERP 4.9.4. Релиз 3 квартала 2024 года улучшает защиту данных благодаря ряду изменений, ориентированных на повышение уровня безопасности и удобства использования системы.

𝓲

Газинформсервис

В данной версии SafeERP 4.9.4 существенно модернизированы ключевые компоненты системы. Так, модуль SafeERP Security Suite (SecSuite) предлагает улучшенную защиту SAP-систем за счёт внедрения передовых механизмов контроля доступа и аудита. Модуль SafeERP Code Security Extension Module (CS EM) получил функцию глубокого анализа кода на уязвимости с поддержкой различных языков программирования, включая 1С. А модуль SafeERP Platform Security Extension Module (PS EM) усиливает защиту платформы 1C и обеспечивает анализ веб-приложений методом динамического анализа кода. Эти и другие улучшения в данной версии SafeERP делают её незаменимым инструментом для тех, кто ценит надёжность и безопасность своих бизнес-данных, — отметила менеджер продукта SafeERP компании «Газинформсервис» Римма Кулешова.

Модуль SafeERP Security Suite (SecSuite) получил усовершенствования, направленные на укрепление безопасности SAP-систем. Так, в релиз добавлены сценарии на анализ кода ABAP и контроль платформы SAP, а также улучшен пользовательский интерфейс раздела «Профили».

SafeERP Code Security Extension Module (CS EM) теперь оснащён инструментом по управлению уязвимостями (инструмент освобождений), что позволяет проще работать с большим количеством найденных уязвимостей в коде различных языков программирования, включая 1С. Также в релизе добавлены 10 сценариев на анализ кода 1С, в том числе на его качество, что позволяет использовать комплекс также разработчикам 1С. Реализована интеграция с CI/CD в GIT: инструмент позволяет запускать проверку кода через пайплайны в автоматизированном режиме и минимизировать количество рутинных задач по созданию безопасного кода.

Модуль SafeERP Platform Security Extension Module (PS EM) получил функциональность — динамический анализатор безопасности (DAST), который проводит оценку безопасности веб-ресурсов и их компонентов. Это важное дополнение позволяет выявлять потенциальные угрозы и принимать соответствующие меры до того, как они станут реальной проблемой. Благодаря интеграции с CI/CD и управлению уязвимостями в модуле CS EM процессы разработки и тестирования стали проще и эффективнее. Компании смогут быстрее реагировать на возникающие проблемы и минимизировать риски. А обновленная парольная политика для пользователей ПК SafeERP PS EM сделала систему ещё более безопасной, снизив вероятность взлома аккаунтов.

SafeERP 4.9.3 (Q2 2024)

Компания «Газинформсервис» выпустила очередной квартальный релиз SafeERP 4.9.3 (Q2 2024) – модульного программного комплекса по защите бизнес-приложений. В обновлении – ряд новых возможностей и улучшений для повышения безопасности.

В модуле SafeERP Security Suite (SecSuite) реализована усиленная защита платформы с добавлением 34 новых стандартных проверок в «Сканере». По словам разработчиков, интерфейс стал удобнее, добавлена вкладка «Проверки», изменился вид «Профилей проверок», что позволяет легко создавать, редактировать и удалять собственные проверки. Расширена защита кода: добавлены фильтры для просмотра уязвимостей, появилась возможность просмотра адреса уязвимости (INCLUDE) и введена вкладка «Сравнение итераций» для отслеживания динамики изменений появления/уменьшения количества уязвимостей (изменение проекта).

В SafeERP Code Security Extension Module (CS EM) реализована улучшенная защита для 1С и других языков программирования, включая возможность создания собственных ролей, расширенные описания проверок. Модуль получил новые проверки для 1С, а также скорректированы проверки для Python/1С.

SafeERP Platform Security Extension Module (PS EM) пополнился также эксплойтами, что расширило защиту от актуальных угроз, в том числе от уязвимостей в Confluence Data Center, Confluence Server, Jenkins CLI и TeamCity.

В релизе 4.9.3 также проведены изменения интерфейса: SecSuite переведен на веб-интерфейс, а SAP FIORI получил ряд обновлений, включая добавление новой транзакции, окна подтверждения и улучшения в «Журнале событий».

CS EM и PS EM успешно прошли проверку на совместимость с Jatoba и готовятся к интеграции в единый интерфейс EMs.

«SafeERP 4.9.3 – это очередной шаг в развитии комплексной системы защиты бизнес-приложений, направленный на обеспечение максимальной безопасности и удобства работы пользователей», – отметила Римма Кулешова, менеджер по продукту SafeERP компании «Газинформсервис».

Совместимость с "Ред ОС" 8

Пользователям Ред ОС 8 стало доступно решение SafeERP CS EM. Разработка компании «Газинформсервис» автоматически анализирует состояние безопасности кода 1С, Python, SQLScript, JavaScript и других языков программирования, обнаруживая и устраняя уязвимости. Об этом Ред Софт сообщил 31 июля 2024 года.

Модуль SafeERP CS EM поможет своевременно выявлять уязвимости в коде используемых программ, а операционная система РЕД ОС 8 станет удобной отечественной платформой для безопасной работы сотрудников.

Мы в компании «Газинформсервис» делаем все, чтобы в условиях внешней нестабильности бизнес-процессы наших заказчиков были под надёжной защитой. Совместимость SafeERP CS EM и РЕД ОС 8 — это результат совместных усилий специалистов компаний «Газинформсервис» и «РЕД СОФТ», который подтверждает нашу приверженность обеспечению безопасности и стабильности для наших клиентов, это один из главных приоритетов, - отметила Менеджер по продукту SafeERP Римма Кулешова.

С каждым годом количество решений, разрабатываемых отечественными ИТ-компаниями, становится больше, а с развитием импортозамещения темпы только ускоряются. Совместимость нашей операционной системы с SafeERP CS EM от «Газинформсервис» — это отличная новость для отечественного рынка технологий. Совместное внедрение РЕД ОС 8 и SafeERP CS EM поможет как закрыть задачи по импортозамещению, так и обеспечить безопасную работу с инфраструктурой организации, — отметил Рустам Рустамов, заместитель генерального директора РЕД СОФТ.

2014

SafeERP получил функционал анализа кастомизированного кода АВАР

Компания «Газинформсервис» представила в декабре 2014 года обновление для программного комплекса SafeERP, предназначенного для защиты систем, построенных на платформе SAP NetWeaver.

Помимо существующих в предыдущих версиях функций контроля целостности и регистрации событий безопасности, ПК SafeERP получил возможность анализировать кастомизированный код SAP-систем на наличие в нем уязвимостей. Применяемый механизм анализа обнаруживает уязвимости на основе статического анализа, в котором поиск уязвимостей строится на использовании библиотеки шаблонов.

Проверки данного модуля позволяют определить источники таких уязвимостей как:

• Критичные вызовы команд ОС.
• Критичные обращения к СУБД.
• Критичные вызовы функций ядра.
• Отсутствие проверок авторизации.
• Программные закладки.

Поиск осуществляется по исходному коду SAP-системы без дополнительной выгрузки кода во внешнее средство анализа, что увеличивает безопасность и повышает скорость проведения тестов. Также возможно встраивание процесса проверки кода в транспортную систему на уровне проверки запросов.

В модуле реализовано детальное описание каждой найденной уязвимости с примерами ее эксплуатации и описанием бизнес рисков.

Новый функционал ПК SafeERP имеет возможность сохранения результатов сканирования, а также их выгрузки в виде PDF-файлов для руководства и XLS-файлов для взаимодействия с разработчиками кода.

Функциональные особенности и преимущества программного комплекса SafeERP:

• Быстрая интеграция. Программный комплекс SafeERP – сертифицированный SAP Add-On, что гарантирует мгновенное развертывание и использование комплекса.
• Уменьшение временных и человеческих затрат на аудит кода.Встроенная база знаний позволяет анализировать код пользователям, не имеющим опыта работы с АВАР, сокращая время на подготовку специалистов для проведения аудита кода.
• Значительное количество проверок. Программный комплекс использует более 100 сценариев для нахождения уязвимостей всех известных типов. База постоянно актуализируется и пополняется новыми проверками.
• Категоризация уязвимостей. Позволяет выделить наиболее критичные уязвимости и определить порядок дальнейшего их устранения. Функционал детальной отчетности позволяет взаимодействовать с разработчиками на их языке.
• Анализ качества разработанного кода. Программный комплекс SafeERP предоставляет механизмы превентивной оценки надежности информационной системы предприятия, еще до принятия разработанного функционала в продуктивную стадию. Применение ПК SafeERP позволяет избежать сбоев в работе, оптимизировать ресурсы предприятия. Реализованная в нем система отчетности предоставляет руководству наглядную оценку безопасности разработанного бизнес-функционала.

Примеры интерфейса модуля анализа кода ABAP:

• ALL OCCURRENCES OF SY-SYSID. Тест проверяет все вхождения системной переменной SY-SYSID. Эта переменная содержит имя системы SAP, где запускается АВАР код. Любой код, выполнение которого зависит от SY-SYSID, может обойти контроль QA (Quality Assurance – система контроля качества (тестовая система)).
• Broken AUTHORITY-CHECKS. Тест определяет использование команды проверки полномочий без последующей проверки на sy(st)-subrc.
• Exposed Kernel Calls. Команда ABAP CALL CFUNK непосредственно вызывает функции ядра. Функции, написанные на С, могут существенно повысить производительность, но не рекомендуется их использование с точки зрения безопасности. Вызов функции ядра непосредственно из пользовательской директории делает уязвимым ядро SAP C для потенциальных атак.

Выход SafeERP

21 января 2014 года стало известно о выходе на рынок комплекса для защиты корпоративных систем SAP компании Газинформсервис.

В режиме реального времени SafeERP осуществляет контроль состояния защищённости SAP-систем, обеспечивая доступ к настройкам безопасности, журналам событий безопасности в системе.

Системы SAP крупных компаний хранят конфиденциальную информацию и обрабатывают критичные для бизнеса данные, что привлекает злоумышленников и конкурентов. Программный комплекс SafeERP автоматизирует процесс управления безопасностью в таких системах и показывает полную картину защищённости систем SAP по всему ИТ-окружению.

Компоненты комплекса

В основе всего комплекса - сервер управления SafeERP и агенты SafeERP, которые устанавливаются в SAP-системы компании. Единая консоль информационной безопасности отображает настройки безопасности всех контролируемых SAP-систем.

Настройка работы комплекса делается на сервере управления, с использованием консоли администратора, где определяются политики безопасности, задаются параметры отбора информации от агентов.

Комплекс используется на системах версии SAP NetWeaver 7.0 и более поздних. Для работы комплекса необходим графический интерфейс (SAP GUI) текущей версии.

Возможности SafeERP

• Позволяет зафиксировать и контролировать безопасное состояние программного кода в системе.
• Предоставляет доступ к информации о настройках безопасности системы SAP посредством унифицированного интерфейса.
• Обеспечивает быстрый просмотр критичных событий безопасности с возможностью их обработки.

Мониторинг безопасного функционирования осуществляется посредством сбора, обработки, защищенного хранения и корреляции событий информационной безопасности, происходящих в контролируемых комплексом SafeERP системах.

SafeERP, в отличие от большинства существующих систем управления инцидентами (Security Information and Event Management - SIEM), при соответствующей настройке помогает контролировать доступ к информации ограниченного использования, обрабатываемой и контролируемой SAP-системой. В дополнение к этому, у SafeERP есть программный интерфейс для интеграции (передачи событий) в другие SIEM-системы.

Функционал

• Контроль целостности программных объектов системы SAP и собственных компонентов за счёт вычисления контрольных сумм.
• Управление политиками безопасности.
• Централизованный сбор и просмотр событий информационной безопасности по категориям.
• Контроль параметров профилей инстанции SAP-системы.
• Централизованный сбор и отображение изменений учетных записей пользователей, ролей и полномочий.
• Регистрация событий управления.
• Создание отчетов о событиях в системе информационной безопасности.
• Быстрый анализ защищенности систем и контроль критичных разработок.