Название базовой системы (платформы): | SAP NetWeaver |
Разработчики: | Газинформсервис (ГИС) |
Дата премьеры системы: | 2014/01/20 |
Дата последнего релиза: | 2024/08/14 |
Технологии: | ИБ - Аутентификация, ИБ - Предотвращения утечек информации, Серверные платформы |
Содержание |
SafeERP - программный комплекс, предназначен для защиты систем на платформе SAP NetWeaver.
2024
*SafeERP 4.9.3 (Q2 2024)
Компания «Газинформсервис» выпустила очередной квартальный релиз SafeERP 4.9.3 (Q2 2024) – модульного программного комплекса по защите бизнес-приложений. В обновлении – ряд новых возможностей и улучшений для повышения безопасности.
В модуле SafeERP Security Suite (SecSuite) реализована усиленная защита платформы с добавлением 34 новых стандартных проверок в «Сканере». По словам разработчиков, интерфейс стал удобнее, добавлена вкладка «Проверки», изменился вид «Профилей проверок», что позволяет легко создавать, редактировать и удалять собственные проверки. Расширена защита кода: добавлены фильтры для просмотра уязвимостей, появилась возможность просмотра адреса уязвимости (INCLUDE) и введена вкладка «Сравнение итераций» для отслеживания динамики изменений появления/уменьшения количества уязвимостей (изменение проекта).
В SafeERP Code Security Extension Module (CS EM) реализована улучшенная защита для 1С и других языков программирования, включая возможность создания собственных ролей, расширенные описания проверок. Модуль получил новые проверки для 1С, а также скорректированы проверки для Python/1С.
SafeERP Platform Security Extension Module (PS EM) пополнился также эксплойтами, что расширило защиту от актуальных угроз, в том числе от уязвимостей в Confluence Data Center, Confluence Server, Jenkins CLI и TeamCity.Миграция с SAP SuccessFactors и SAP HCM на российские HR-решения: как выстроить стратегию перехода
В релизе 4.9.3 также проведены изменения интерфейса: SecSuite переведен на веб-интерфейс, а SAP FIORI получил ряд обновлений, включая добавление новой транзакции, окна подтверждения и улучшения в «Журнале событий».
CS EM и PS EM успешно прошли проверку на совместимость с Jatoba и готовятся к интеграции в единый интерфейс EMs.
«SafeERP 4.9.3 – это очередной шаг в развитии комплексной системы защиты бизнес-приложений, направленный на обеспечение максимальной безопасности и удобства работы пользователей», – отметила Римма Кулешова, менеджер по продукту SafeERP компании «Газинформсервис». |
Совместимость с "Ред ОС" 8
Пользователям Ред ОС 8 стало доступно решение SafeERP CS EM. Разработка компании «Газинформсервис» автоматически анализирует состояние безопасности кода 1С, Python, SQLScript, JavaScript и других языков программирования, обнаруживая и устраняя уязвимости. Об этом Ред Софт сообщил 31 июля 2024 года.
Модуль SafeERP CS EM поможет своевременно выявлять уязвимости в коде используемых программ, а операционная система РЕД ОС 8 станет удобной отечественной платформой для безопасной работы сотрудников.
Мы в компании «Газинформсервис» делаем все, чтобы в условиях внешней нестабильности бизнес-процессы наших заказчиков были под надёжной защитой. Совместимость SafeERP CS EM и РЕД ОС 8 — это результат совместных усилий специалистов компаний «Газинформсервис» и «РЕД СОФТ», который подтверждает нашу приверженность обеспечению безопасности и стабильности для наших клиентов, это один из главных приоритетов, - отметила Менеджер по продукту SafeERP Римма Кулешова. |
С каждым годом количество решений, разрабатываемых отечественными ИТ-компаниями, становится больше, а с развитием импортозамещения темпы только ускоряются. Совместимость нашей операционной системы с SafeERP CS EM от «Газинформсервис» — это отличная новость для отечественного рынка технологий. Совместное внедрение РЕД ОС 8 и SafeERP CS EM поможет как закрыть задачи по импортозамещению, так и обеспечить безопасную работу с инфраструктурой организации, — отметил Рустам Рустамов, заместитель генерального директора РЕД СОФТ. |
2014
SafeERP получил функционал анализа кастомизированного кода АВАР
Компания «Газинформсервис» представила в декабре 2014 года обновление для программного комплекса SafeERP, предназначенного для защиты систем, построенных на платформе SAP NetWeaver.
Помимо существующих в предыдущих версиях функций контроля целостности и регистрации событий безопасности, ПК SafeERP получил возможность анализировать кастомизированный код SAP-систем на наличие в нем уязвимостей. Применяемый механизм анализа обнаруживает уязвимости на основе статического анализа, в котором поиск уязвимостей строится на использовании библиотеки шаблонов.
Проверки данного модуля позволяют определить источники таких уязвимостей как:
- Критичные вызовы команд ОС.
- Критичные обращения к СУБД.
- Критичные вызовы функций ядра.
- Отсутствие проверок авторизации.
- Программные закладки.
Поиск осуществляется по исходному коду SAP-системы без дополнительной выгрузки кода во внешнее средство анализа, что увеличивает безопасность и повышает скорость проведения тестов. Также возможно встраивание процесса проверки кода в транспортную систему на уровне проверки запросов.
В модуле реализовано детальное описание каждой найденной уязвимости с примерами ее эксплуатации и описанием бизнес рисков.
Новый функционал ПК SafeERP имеет возможность сохранения результатов сканирования, а также их выгрузки в виде PDF-файлов для руководства и XLS-файлов для взаимодействия с разработчиками кода.
Функциональные особенности и преимущества программного комплекса SafeERP:
- Быстрая интеграция. Программный комплекс SafeERP – сертифицированный SAP Add-On, что гарантирует мгновенное развертывание и использование комплекса.
- Уменьшение временных и человеческих затрат на аудит кода.Встроенная база знаний позволяет анализировать код пользователям, не имеющим опыта работы с АВАР, сокращая время на подготовку специалистов для проведения аудита кода.
- Значительное количество проверок. Программный комплекс использует более 100 сценариев для нахождения уязвимостей всех известных типов. База постоянно актуализируется и пополняется новыми проверками.
- Категоризация уязвимостей. Позволяет выделить наиболее критичные уязвимости и определить порядок дальнейшего их устранения. Функционал детальной отчетности позволяет взаимодействовать с разработчиками на их языке.
- Анализ качества разработанного кода. Программный комплекс SafeERP предоставляет механизмы превентивной оценки надежности информационной системы предприятия, еще до принятия разработанного функционала в продуктивную стадию. Применение ПК SafeERP позволяет избежать сбоев в работе, оптимизировать ресурсы предприятия. Реализованная в нем система отчетности предоставляет руководству наглядную оценку безопасности разработанного бизнес-функционала.
Примеры интерфейса модуля анализа кода ABAP:
- ALL OCCURRENCES OF SY-SYSID. Тест проверяет все вхождения системной переменной SY-SYSID. Эта переменная содержит имя системы SAP, где запускается АВАР код. Любой код, выполнение которого зависит от SY-SYSID, может обойти контроль QA (Quality Assurance – система контроля качества (тестовая система)).
- Broken AUTHORITY-CHECKS. Тест определяет использование команды проверки полномочий без последующей проверки на sy(st)-subrc.
- Exposed Kernel Calls. Команда ABAP CALL CFUNK непосредственно вызывает функции ядра. Функции, написанные на С, могут существенно повысить производительность, но не рекомендуется их использование с точки зрения безопасности. Вызов функции ядра непосредственно из пользовательской директории делает уязвимым ядро SAP C для потенциальных атак.
Выход SafeERP
21 января 2014 года стало известно о выходе на рынок комплекса для защиты корпоративных систем SAP компании Газинформсервис.
В режиме реального времени SafeERP осуществляет контроль состояния защищённости SAP-систем, обеспечивая доступ к настройкам безопасности, журналам событий безопасности в системе.
Системы SAP крупных компаний хранят конфиденциальную информацию и обрабатывают критичные для бизнеса данные, что привлекает злоумышленников и конкурентов. Программный комплекс SafeERP автоматизирует процесс управления безопасностью в таких системах и показывает полную картину защищённости систем SAP по всему ИТ-окружению.
Компоненты комплекса
В основе всего комплекса - сервер управления SafeERP и агенты SafeERP, которые устанавливаются в SAP-системы компании. Единая консоль информационной безопасности отображает настройки безопасности всех контролируемых SAP-систем.
Настройка работы комплекса делается на сервере управления, с использованием консоли администратора, где определяются политики безопасности, задаются параметры отбора информации от агентов.
Комплекс используется на системах версии SAP NetWeaver 7.0 и более поздних. Для работы комплекса необходим графический интерфейс (SAP GUI) текущей версии.
Возможности SafeERP
- Позволяет зафиксировать и контролировать безопасное состояние программного кода в системе.
- Предоставляет доступ к информации о настройках безопасности системы SAP посредством унифицированного интерфейса.
- Обеспечивает быстрый просмотр критичных событий безопасности с возможностью их обработки.
Мониторинг безопасного функционирования осуществляется посредством сбора, обработки, защищенного хранения и корреляции событий информационной безопасности, происходящих в контролируемых комплексом SafeERP системах.
SafeERP, в отличие от большинства существующих систем управления инцидентами (Security Information and Event Management - SIEM), при соответствующей настройке помогает контролировать доступ к информации ограниченного использования, обрабатываемой и контролируемой SAP-системой. В дополнение к этому, у SafeERP есть программный интерфейс для интеграции (передачи событий) в другие SIEM-системы.
Функционал
- Контроль целостности программных объектов системы SAP и собственных компонентов за счёт вычисления контрольных сумм.
- Управление политиками безопасности.
- Централизованный сбор и просмотр событий информационной безопасности по категориям.
- Контроль параметров профилей инстанции SAP-системы.
- Централизованный сбор и отображение изменений учетных записей пользователей, ролей и полномочий.
- Регистрация событий управления.
- Создание отчетов о событиях в системе информационной безопасности.
- Быстрый анализ защищенности систем и контроль критичных разработок.
Подрядчики-лидеры по количеству проектов
Инфосистемы Джет (66)
Softline (Софтлайн) (56)
SearchInform (СёрчИнформ) (51)
ДиалогНаука (44)
Информзащита (39)
Другие (916)
Инфосистемы Джет (5)
R-Vision (Р-Вижн) (4)
Card Security (Кард Сек) (4)
Softline (Софтлайн) (4)
Национальный аттестационный центр (НАЦ) (4)
Другие (62)
Солар (ранее Ростелеком-Солар) (8)
SearchInform (СёрчИнформ) (4)
А-Реал Консалтинг (3)
Информзащита (3)
Национальный аттестационный центр (НАЦ) (2)
Другие (44)
Распределение вендоров по количеству проектов внедрений (систем, проектов) с учётом партнёров
SearchInform (СёрчИнформ) (19, 55)
InfoWatch (ИнфоВотч) (14, 49)
Солар (ранее Ростелеком-Солар) (4, 48)
FalconGaze (Фалконгейз) (1, 38)
Positive Technologies (Позитив Текнолоджиз) (8, 37)
Другие (405, 309)
R-Vision (Р-Вижн) (1, 4)
Солар (ранее Ростелеком-Солар) (2, 2)
Инфосекьюрити (Infosecurity) (2, 2)
SearchInform (СёрчИнформ) (1, 2)
Tele Link Soft (TLS) PTE. Ltd (1, 2)
Другие (10, 13)
Солар (ранее Ростелеком-Солар) (2, 7)
SearchInform (СёрчИнформ) (2, 4)
А-Реал Консалтинг (1, 3)
Makves (Маквес) (1, 2)
Softscore UG (1, 2)
Другие (5, 6)
SearchInform (СёрчИнформ) (2, 2)
Cloud4Y (ООО Флекс) (1, 1)
CyberPeak (СайберПик) (1, 1)
R-Vision (Р-Вижн) (1, 1)
Softscore UG (1, 1)
Другие (8, 8)
SearchInform (СёрчИнформ) (2, 13)
Перспективный мониторинг (1, 3)
Positive Technologies (Позитив Текнолоджиз) (1, 2)
Makves (Маквес) (1, 1)
Crosstech Solutions Group (Кросстех Солюшнс Групп) (1, 1)
Другие (3, 3)
Распределение систем по количеству проектов, не включая партнерские решения
Контур информационной безопасности SearchInform (КИБ Сёрчинформ) - 49
InfoWatch Traffic Monitor Enterprise (IWTM) - 46
FalconGaze SecureTower - 38
MaxPatrol SIEM - 33
DeviceLock Endpoint DLP Suite - 31
Другие 345
R-Vision SGRC Центр контроля информационной безопасности (ЦКИБ) - 4
MaxPatrol SIEM - 2
SETERE: ПК ИСУ Терминал (Интегрированная система управления терминалами защищенного доступа) - 2
Kickidler Система учета рабочего времени - 2
Контур информационной безопасности SearchInform (КИБ Сёрчинформ) - 2
Другие 12
Solar Dozor DLP-система - 4
Контур информационной безопасности SearchInform (КИБ Сёрчинформ) - 4
Solar JSOC - 3
А-Реал Консалтинг: Интернет-шлюз ИКС - 3
MaxPatrol SIEM - 2
Другие 10
Контур информационной безопасности SearchInform (КИБ Сёрчинформ) - 2
Перспективный мониторинг: Ampire Киберполигон - 1
Киберполигон Мультифункциональный программно-аппаратный комплекс для проведения киберучений - 1
Softscore UG: Anwork Бизнес-коммуникатор - 1
Langame Software Программный комплекс для управления компьютерным клубом - 1
Другие 9
Подрядчики-лидеры по количеству проектов
Softline (Софтлайн) (89)
X-Com (Икс ком) (57)
Крок (35)
Инфосистемы Джет (34)
Астерос (34)
Другие (1090)
X-Com (Икс ком) (10)
Softline (Софтлайн) (6)
Крикунов и Партнеры Бизнес Системы (КПБС, KPBS, Krikunov & Partners Business Systems) (5)
Крок (4)
Инфоматика (3)
Другие (53)
Мобильные ТелеСистемы (МТС) (3)
Крикунов и Партнеры Бизнес Системы (КПБС, KPBS, Krikunov & Partners Business Systems) (3)
Почта России (2)
Селектел (Selectel) (2)
Sigbox (Сигбокс) (1)
Другие (24)
Распределение вендоров по количеству проектов внедрений (систем, проектов) с учётом партнёров
Lenovo Data Center Group (1, 6)
Lenovo (1, 6)
КНС Групп (Yadro) (1, 3)
SOTI (1, 3)
Bull (Atos IT Solutions And Services) (2, 2)
Другие (18, 20)
Селектел (Selectel) (1, 2)
Aerodisk (Аеро Диск) (1, 1)
Delta Solutions (Дельта Солюшнс) (1, 1)
Lenovo (1, 1)
Softline (Софтлайн) (1, 1)
Другие (7, 7)
Аладдин Р.Д. (Aladdin R.D.) (1, 2)
Dell EMC (1, 1)
Delta Solutions (Дельта Солюшнс) (1, 1)
Inferit (Инферит) (1, 1)
Lenovo Data Center Group (1, 1)
Другие (8, 8)
TrueConf (Труконф) (1, 2)
Content AI (Контент ИИ) (1, 2)
КНС Групп (Yadro) (1, 2)
AirBit (АирБит) (1, 1)
Сбербанк-Технологии (СберТех) (1, 1)
Другие (1, 1)
Распределение систем по количеству проектов, не включая партнерские решения
Microsoft Active Directory - 32
Oracle Exadata Database Machine - 21
Oracle WebLogic Server - 20
Microsoft System Center Operations Manager (SCOM) - 18
Lenovo ThinkSystem - 17
Другие 365
Lenovo ThinkSystem - 6
Soti Mobicontrol - 3
Yadro Сервер - 3
Ngenix Облачная платформа - 2
Dell EMC PowerEdge - 2
Другие 15
Selectel Выделенные серверы - 2
Альт Сервер - 1
HPE Apollo 4000 Серверы - 1
Delta Solutions: Tioga Pass Серверы с архитектурой Open Compute Project (OCP) - 1
Серверы Ситроникс - 1
Другие 5