5 formas de mejorar la seguridad de ERP

 

Teniendo en cuenta que ERP almacena gran parte de los datos financieros y de clientes más importantes de una empresa, inquieta la frecuencia con la que se descuida la seguridad de los sistemas ERP. Ocurre por muchas razones, incluyendo la desconexión organizacional entre los diferentes equipos responsables de la seguridad y las aplicaciones ERP. Los especialistas en seguridad tienden a centrarse en sistemas y controles específicos de seguridad, delegando la responsabilidad del entorno ERP al equipo de aplicaciones.

 

La suposición común, pero a menudo peligrosa, es que las aplicaciones, las bases de datos y el middleware son seguros siempre que estén completamente parcheados.

 

Depender de los proveedores de software para remediar las vulnerabilidades de manera oportuna puede ser peligroso para la salud de su organización. Los parches no resuelven el problema de los ataques de día cero en tiempo real para los que no hay defensa disponible y, en la mayoría de los casos, la vulnerabilidad dura mucho más allá del día cero porque pueden pasar meses o años para que se publique un parche y para que las empresas lo implementen. Mantenerse al día con los parches cuando se lanzan puede ser costoso, lento y perturbador; como cualquier actualización de software, un parche de seguridad tiene el potencial de romper personalizaciones e integraciones importantes.

 

Una encuesta reciente de 504 CIOs y CFOs muestra que el 81% admitió que se abstuvieron de implementar un parche de seguridad importante debido a la preocupación de que interrumpiría las operaciones comerciales.

 

El parcheo de vulnerabilidades debería ser parte de una estrategia mucho más amplia para solidificar sus defensas en términos de personas y procesos, así como de tecnología. La seguridad puede fallar en cualquier nivel y debe reforzarse en todos los niveles.

 

En mi experiencia, Java ha demostrado ser un eslabón débil en la seguridad de las aplicaciones y la mayoría de las aplicaciones de Oracle están escritas en Java. Pero los problemas no se limitan a Oracle o Java. Uno de mis puntos principales es que la aplicación de parches de seguridad de los proveedores es insuficiente como estrategia de seguridad cuando se consideran las vulnerabilidades desconocidas que se pueden explotar.

Solucionar rápida y completamente las vulnerabilidades es un desafío para los principales proveedores. Cuando los investigadores de seguridad informan de una vulnerabilidad (o se identifica como parte de ataques del mundo real), a menudo el proveedor tarda meses en confirmar el problema, diseñar una estrategia para abordarlo y desarrollar y distribuir código nuevo.

 

A veces, los parches tardan años en desarrollarse. Una actualización de parche crítico (CPU) de Oracle de abril de 2019 abordó una falla presente en muchos productos de Oracle que se había informado tres años atrás. Además, una vez lanzados, estos parches no siempre solucionan el problema. Una CPU de 2018 que se suponía que debía corregir una vulnerabilidad crítica en el middleware WebLogic basado en Java de Oracle (CVE-2018-2628) fue seguida rápidamente por informes de que era posible darle la vuelta a la solución.

 

Algunas categorías de vulnerabilidades pueden persistir durante años; por ejemplo, los dos ejemplos que acabamos de citar implican una vulnerabilidad en la forma en que Java serializa y deserializa objetos. Si bien los desarrolladores del núcleo de Java trabajan para solucionar una falla arquitectónica que se remonta a los primeros días del lenguaje, han seguido surgiendo maneras de explotar la deserialización.

No está indefenso ante estas amenazas, pero le recomendamos que las aborde con una estrategia de defensa en profundidad de varios niveles que bloquee los ataques en cada oportunidad, incluso si el código central no ha sido parcheado.

 

Recomendamos un enfoque de cinco aristas:

• Entiende tu entorno
• Fortalece y administra tu configuración
• Supervisa la actividad de la cuenta privilegiada
• Asegura el nivel web y otra infraestructura de aplicaciones
• Asegura la base de datos

 

Es muy importante comprender y fortalecer tu entorno. Si realizas un inventario minucioso, es probable que encuentres software innecesario expuesto donde los piratas informáticos pueden explotarlo. Por ejemplo, las instalaciones predeterminadas pueden incluir versiones antiguas de Java y scripts de demostración inseguros. Particularmente en cualquier servidor al que potencialmente se pueda acceder desde Internet, una buena práctica es inventariar y eliminar el código que no tiene un propósito comercial.

 

Además de asesorarte sobre la estrategia, el equipo de seguridad de Rimini Street puede recomendar defensas de software específicas contra ataques de día cero, incluidas Rimini Street Advanced Database Security y Rimini Street Advanced Application y Middleware Security. Ambos abordan el escenario en el que hay un parche conocido en la infraestructura de su aplicación que no está parcheado, ya sea porque el proveedor no ha emitido un parche o usted aún no lo ha implementado.

 

Uno de nuestros clientes, CareTech, estaba siendo atacado por mineros de criptomonedas que intentaban instalar software en sus servidores a través de una vulnerabilidad de WebLogic. A pesar de que Oracle había emitido un parche para abordar esta misma vulnerabilidad, los atacantes estaban encontrando formas de evitarla y desviando recursos de los sistemas operativos de la empresa de TI de atención médica. Durante un fin de semana, ayudamos a CareTech a implementar protección en tiempo de ejecución que bloqueó rápidamente esos ataques, incluso cuando los piratas informáticos continuaron evolucionando sus tácticas. Usamos la misma tecnología de corrección de vulnerabilidades en tiempo de ejecución que se encuentra en el corazón de nuestro producto Advanced Application and Middleware Security.

 

Del mismo modo, Rimini Street ofrece inteligencia de seguridad procesable para bases de datos. Rimini Street Advanced Database Security se ha mejorado con tecnología de McAfee y está diseñado para bloquear ataques a bases de datos, incluidos ataques contra vulnerabilidades para las que no hay ningún parche disponible. Clientes como Suburban Propane que utilizan la tecnología dicen que, además de mejorar su seguridad a un costo razonable, han mejorado la visibilidad porque ahora reciben alertas cuando sus bases de datos están bajo ataque.

 

Debes estar siempre preparado para afrontar un escenario en donde constantemente surgen nuevas amenazas a la seguridad y tus defensas deben mantener el ritmo. Rimini Street puede ayudarte a mejorar la seguridad de las aplicaciones empresariales.

 

Alejandro González, Country Manager México de Rimini Street