Virtual Patching SAP, cosa è? Conviene farlo?

Posted by Massimo Manara on Jul 19, 2023 12:00:00 AM

Il processo di applicazione delle patch è quasi sempre associato ad aggiornamenti di sistema dove deve essere necessariamente testato tutto.

Virtual Patch

Tuttavia, in alcune situazioni o momenti, può non essere sempre possibile ritestare tutto. In alcuni casi il fornitore di software di turno non rilascia gli aggiornamenti security immediatamente. Che cosa si può fare quindi con il virtual patching framework?

Virtual Patching cosa è?

Si tratta di una terminologia e tecnica già presente da diversi anni. Non è quindi una novità (Virtual Patching OSWAP) all'interno dell'area della cyber security.

 

L'idea alla base è sostanzialmente quella di trovare una alternativa (da identificare caso per caso) che eviti lo sfruttamento di una determinata vulnerabilità da parte di malintenzionati. 

 

Non quindi risolvere una determinata vulnerabilità ma evitare che sia sfruttata. Ad esempio?

 

Una determinata vulnerabilità sfrutta uno specifico componente. A seguito di una analisi (se possibile) questo componente, se non usato, potrebbe essere disattivato.

 

 

Quando può essere usato?

Il momento ideale di applicazione di questa tecnica è nei casi in cui non sia stata ancora individuata una "cura" ufficiale per un determinato problema di sicurezza (leggi, ad esempio, qui: 10KBLAZE SAP Exploit Vulnerability cosa significa?). Ovvero quelle vulnerabilità chiamate zero-days (0-day vulnerabilities).

 

In altre parole, da quando una vulnerabilità viene resa pubblica a quando il vendor di turno fornisce una patch per la sua risoluzione.

 

In molti casi, prima della soluzione effettiva della vulnerabilità (che può riguardare anche correzioni del codice di programmazione) vengono anche fornite delle soluzioni alternative - workaround - che permettono in tutto o parte di arginare il problema (prima di applicare la patch che risolve la vulnerabilità).

 

Virtual patching in SAP?

Anche in SAP è possibile utilizzare questa tecnica. Non si tratta chiaramente di scegliere se applicare o meno le patch ufficiali. Non è una "scorciatoia" da applicare in tutti i casi. 

 

Ma in alcune situazioni all'interno di un processo di gestione delle patch può essere applicata questa tecnica, soprattutto con particolare riferimento alle vulnerabilità zero days. Pur non essendo sempre possibile farlo.

 

Serve uno strumento oppure è possibile farlo "a mano"?

Chiaramente è possibile svolgere manualmente la ricerca delle varie vulnerabilità e l'applicazione di questa tecnica.

 

Tuttavia, esistono sul mercato software che permettono di individuare le vulnerabilità e permettere una valutazione di applicabilità o meno della virtual patching, ad esempio:


 

 

 

Topics: patch, sap vulnerability, sap cyber security, sap patch

Iscriviti qui!

Blog Aglea, cosa puoi trovare?

Ogni mercoledì pubblichiamo articoli, interviste e documenti relativi alla security SAP.

Cosa puoi trovare:

  • Suggerimenti su come mettere in sicurezza i sistemi SAP
  • Come fare a … (How To)
  • Checklist
  • Gli errori comuni che spesso vengono fatti in ambito Security SAP
  • Interviste con esperti del settore
  • Chi è AGLEA quale è la nostra vision security SAP

Post recenti

Post By Topic

Visualizza tutti