脆弱性「組み合わせ」でSAP攻撃【後編】

SAP製品が狙われ始めた？　大惨事を招くその“深刻なリスク”とは

セキュリティベンダーOnapsisは、SAP製品の脆弱性を悪用する攻撃方法を見つけた。企業が対策を講じるに当たり、“あること”がネックになると同社は指摘する。何に注意が必要なのか。

公開 2023年10月13日 05時00分

著者

Arielle Waldman

[TechTarget]

印刷する連載新着通知を受け取る

　SAP製品の複数の脆弱（ぜいじゃく）性を組み合わせれば、ユーザー企業のシステムに入り込める――。セキュリティベンダーOnapsisはSAP製品への攻撃法を見つけたという。ユーザー企業はどうすれば、システムの防御ができるのか。

SAP製品が狙われ始めた？　その“死角”とは

併せて読みたいお薦め記事

連載：脆弱性「組み合わせ」でSAP攻撃

前編：SAP製品を狙った“深刻な手口”が判明　複数ツールの脆弱性を悪用か

SAPの利用に当たっての注意点とは

　OnapsisはSAP製品のユーザー企業に対し、全ての脆弱性のパッチ（修正プログラム）を適用することを推奨している。中には深刻には見えない脆弱性もあるが、組み合わせによって危険性が高まる可能性があると同社は説明する。Onapsis最高技術責任者（CTO）のJ・P・ペレスエシェゴエン氏は今回の攻撃について、「難易度はそれほど高くないが、SAP製品についての知識は不可欠だ」と述べる。

　今回の攻撃手法を見つけたことを機に、Onapsisセキュリティ研究員のパブロ・アルトゥーソ氏は「SAPのユーザー企業は改めてSAP製品のセキュリティを強く意識する必要がある」と語る。SAP製品はシステムを“後方”で支えるため、日頃、セキュリティリスクが盲点になるがちだと同氏は言う。

　Onapsisによると、攻撃者の間でもSAP製品に対する関心が高まっている。近年は特に、ランサムウェア（身代金要求型マルウェア）攻撃が盛んだ。「ユーザー企業のセキュリティ意識にある“隙”が狙われ、SAP製品もランサムウェア攻撃の標的になりかねない」（ペレスエシェゴエン氏）。同氏によると、SAP製品は攻撃の対象として積極的に狙われ始めている。

　SAP製品は他社ソフトウェアと比べ、脆弱性が目立つわけではないとOnapsisは説明する。脆弱性が発見されれば、SAPは迅速にパッチを提供しているという。ペレスエシェゴエン氏によると、より大きなリスクになるのは、ユーザー企業がセキュリティを軽視することだ。「SAP製品のパッチ適用・管理に改善の余地がある企業はある。まずはパッチ適用・管理のプロセスを確立させるべきだ」と同氏は指摘する。