Noticias

Esta semana nuestro CEO, Iago Fortes, ha tenido la oportunidad de asistir al CES de Las Vegas.

La ‘Consumer Electronics Show (CES)’ es la feria internacional electrónica más grande del mundo y, este año, junto a CEAGA y gracias a su programa de aceleración BFA (Business Factory Auto), hemos tenido el privilegio de informarnos in situ de las principales novedades en el mercado de la automoción, ciberseguridad y conectividad entre otros.

Este evento, de alcance mediático mundial y que se ha celebrado desde 1976, reúne a las mejores y mayores empresas de electrónica como Nvidia, Samsung, Harman e Intel en espacios llamados Marketplace.

En total se estima que unas 4.000 empresas de todo el mundo tienen presencia en el CES de las Vegas donde se ofrecen demostraciones desde novedades de vehículo conectado, autónomo, smartcities o ciberseguridad hasta videojuegos.

El CES también cuenta con un programa de conferencias impartidas por algunos de los máximos expertos de la materia a nivel mundial y sobre las que, sin duda, esperamos haceros un resumen al término del evento.

Este año, sobre el que se espera una asistencia récord, girará en torno a varias temáticas de actualidad. Entre los temas tratados, queremos resaltar la presentación de productos relacionados con el coche conectado y coche autónomo y la gran innovación que supone. Existe una gran necesidad de Ciberseguridad al respecto y en muchos de los casos, se requiere para poder cumplir la legislación tanto actual como la que está por venir. Desde Inprosec Auto, estamos tomando buena nota para dar el mejor asesoramiento a nuestros clientes.

¡Os animamos a manteneros informados sobre las principales novedades que iremos anunciando para que no os perdáis nada de este evento tan señalado!

El pasado 5 de diciembre, parte del equipo de Inprosec Auto acudió, junto con Liberiot (empresa participante del programa de aceleración), a las instalaciones del Cluster de Empresas de Automoción de Galicia (CEAGA) para reunirse con el Responsable de Telecomunicaciones del Groupe PSA, Stéphan Leyris.

En la sesión se ha presentado, en primer lugar, la iniciativa de BFA, que tiene como misión impulsar la innovación y el emprendimiento en el Sector de Automoción de Galicia, así como una breve exposición de todos los proyectos participantes, tanto de la fase de aceleración como de la fase de consolidación.

Tras esta breve introducción, Inprosec Auto ha presentado su portfolio de servicios, además de los nuevos productos de I+D+i, en los cuales está trabajando en esta nueva fase de consolidación del programa de BFA.

Inprosec Auto ha tenido el placer de ser una de las dos empresas seleccionadas para esta importante presentación y con la que se reafirma como única iniciativa de ciberseguridad en BFA.

El equipo de Inprosec ha acudido a las jornadas STIC CCN-CERT, organizadas por el Centro Criptológico Nacional (CCN), en su duodécima edición. Estas jornadas se han convertido en uno de los principales encuentros de ciberseguridad de España, no sólo por el gran éxito de convocatoria sino también por la calidad de los temas abordados y por la experiencia y conocimiento de los ponentes.

En esta ocasión el evento ha tenido lugar en Madrid los días 12 y 13 de diciembre. El lema escogido para estas XII Jornadas STIC CCN-CERT, ha sido “Ciberseguridad, hacia una respuesta y disuasión efectiva”, convencidos del necesario cambio de paradigma en la protección del ciberespacio.

Al igual que nosotros, varios de los miembros de la Red Gallega de Ciberseguridad (RGC) han asistido al evento para disfrutar de las diversas temáticas. Se ha hablado de la prevención, las amenazas, los ataques, los retos tecnológicos y la privacidad en dispositivos móviles.

Uno de los  puntos a destacar es el trabajo que se está llevando a cabo en la nueva versión ENS para adaptarla al RGPD y LOPD, llegando a plantear que lo ideal en un futuro sería poder certificarse en el ENS-RGPD.

Otro de los temas de gran interés, ha sido la charla de Car Hacking sobre CAN Bus, el primer protocolo de comunicaciones para la automoción.

Y finalmente queremos felicitar a Juan González, investigador del Centro Tecnológico de Gradiant, por ser el ganador gallego del desafío Hacker Battle, celebrado en estas Jornadas de Ciberseguridad.

Un trimestre más, desde Inprosec, analizamos las notas publicadas por SAP, esta vez las referidas al tercer trimestre del 2018.

Tenemos 1 nota crítica (Hot News) en este trimestre, aunque se trata de una actualización (fue publicada en abril y actualizada en Junio, Julio y Septiembre) y 8 destacadas de nivel alto, a la que añadiremos una nota del nivel medio, la más crítica de Junio para la revisión en detalle de 10 notas.

• La nota más crítica (CVSS 9.8), actualización de nota anterior, está relacionada con el componente “SAP Business Client” y se trata de una nota recurrente con la 4º actualización en lo que va de año a mes de septiembre.
• Además, destacamos una de las notas altas de mayor CVSS (8.8) en relación con el “SAP ECC Sales Support”.

Tenemos un total de 83 notas para todo el trimestre, 28 más que el pasado trimestre, (44 de los patch Tuesday, 12 más que el pasado trimestre):

• En Julio se han publicado un total de 34 notas (16 en el Security Notes Tuesday – 11 nuevas y 5 actualizaciones de notas anteriores).
  • La única “hot new” (crítica) es una actualización de una nota de Abril de este año que ya había sido actualizada en Junio relacionada con el “SAP Business Client” y con un CVSS de 9.8, que además volverá a ser actualizada en Septiembre y que detallaremos a pesar de no ser una nota nueva por su relevancia.
  • Por otro lado, tenemos 4 notas de criticidad alta (High Priority) pero todas son actualizaciones de notas anteriores siendo la criticidad máxima con un CVSS de 7.3.
  • Este mes el tipo más predominante es “Missing Authorization Check” (5/35 y 1/16 en patch day).

• En agosto se han publicado un total de 27 notas (14 en el Security Notes Tuesday – 12 nuevas y 2 actualizaciones de notas anteriores).
  • Aunque este mes no existen ni “hot news” (críticas), tenemos 9 notas de criticidad alta (high priority), de las cuales destacamos 4 siendo las nuevas y con CVSS entre 7.2 y 8.6.
  • Destacamos la nota con mayor criticidad (CVSS 8.6) sobre la falta de un chequeo de autorizaciones en el sistema SAP SRM (Supplier Relationship Management).
  • Este mes los tipos más predominantes son “Missing Authorization Check” (6/27 y 1/14 en patch day) e “Information Disclosure” (5/27 y 2/14 en patch day).

• En septiembre se han publicado un total de 22 notas (14 en el Security Notes Tuesday – 13 nuevas y 1 actualizaciones de notas anteriores).
  • La única “hot new” (crítica) es de nuevo la actualización de una nota de abril relacionada con el “SAP Business Client” con su tercera actualización en lo que va de año y con un CVSS de 9.8. Importante instalarla de nuevo.
  • Existen también un total de 4 de criticidad alta (high priority), siendo 3 de ellas de una criticidad muy significativa con un CVSS de 8.8 y la restante con un CVSS de 7.5.
  • Este mes el tipo más predominante es “Missing Authorization Check” (6/22 y 3/14 en patch day).

En la gráfica (post septiembre 2018 de SAP) podemos ver la evolución y clasificación de las notas de los 3 meses del tercer trimestre del año (2018), además de los 3 meses del pasado trimestre (solo las notas del Sec. Tuesday / Patch Day – by SAP):

Y en la siguiente gráfica (post septiembre 2018 de ERP Scan) podemos ver la misma evolución, pero incluyendo todas las notas del mes, incluso aquellas publicadas además de las del Sec. Tuesday / Patch Day:

All the details of the most relevant notes below:

1. SAP Business Client has a security vulnerability (2622660): This note bundles multiple vulnerabilities. The bugs concern vulnerabilities in web browser controls that are used to display pages in SAP Business Client 6.5 PL5. Web browser controls are programmable building blocks that software developers use to embed web pages in their applications. Depending on the vulnerability, attackers can exploit a Memory corruption vulnerability for injecting specially crafted code into a working memory which will be executed by the vulnerable application. This can lead to taking complete control of an application, denial of service, command execution and other attacks. This fact has a negative influence on business processes and business reputation as a result. Install this SAP Security Note to prevent the risks. Updated in July & September 2018 (“If this note has been already implemented, then there is no action required.” Manual steps only have usability impact and no security implications). CVSS v3 Base Score: 9.8 / 10
2. SAP ABAP has an Missing Authorization check vulnerability (2652578): An attacker can use a Missing authorization check vulnerability to access a service without any authorization procedures and to use service functionality that has restricted access. This can lead to an information disclosure, privilege escalation, and other attacks. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 6.4 / 10
3. SAP SRM MDM Catalog has a Missing Authorization check vulnerability (2655250): An attacker can use the vulnerability to access a service without any authorization procedures and to use service functionality that has restricted access. This can lead to an information disclosure, privilege escalation, and other attacks. Install this SAP Security Note to prevent the risks. CVSS Base Score: 8.6 / 10
4. SAP BI Launchpad Web Intelligence has an SQL Injection (SQLi) vulnerability (2644154): An attacker can use this vulnerability with a help of specially crafted SQL queries. He or she can read and modify sensitive information in a database, execute administration operations, destroy data or make it unavailable. In some cases, the hacker can access system data or execute OS commands. Install this SAP Security Note to prevent the risks. CVSS Base Score: 7.7 / 10
5. SAP BusinessObjects Business Intelligence platform has a Memory Corruption vulnerability (2614229): An attacker can use Buffer overflow vulnerability for injecting specially crafted code into a working memory which will be executed by vulnerable application. Executed commands will run with the same privileges of a service that executed a command. This can lead to complete control of an application, denial of service, command execution, and other attacks. In case of command execution, attackers can obtain critical technical and business-related information stored in a vulnerable SAP system or use it for privilege escalation. Speaking about denial of service, it is possible to terminate a process of a vulnerable component so that nobody can use this service. Install this SAP Security Note to prevent the risks. CVSS Base Score: 7.5 / 10
6. SAP MaxDB/liveCache has a SQL Injection Vulnerability (2660005): This is a security issue with the SAP live cache technology in MaxDB versions 7.8 and 7.9. It allows an attacker to get the DBM operator privileges and abuse them to, at the end, read, modify or delete sensitive information from the database. The required update of the software solves the problem by removing those abusable privileges from the DBM operator. CVSS Base Score: 7.2 / 10
7. SAP ECC Sales Support has a Missing Authorization check vulnerability (2449974): An attacker can use this vulnerability to access a service without any authorization procedure and employ service functionality that has restricted access. This can lead to information disclosure, privilege escalation, and other attacks. Install this SAP Security Note to prevent the risks. CVSS Base Score: 8.8 / 10
8. SAP Business One and SAP HANA Installer has an Information Disclosure vulnerability (2670284): An attacker can use the Information disclosure vulnerability to reveal additional information (system data, debugging information, etc.) which would help to learn about a system and plan other attacks. Install this SAP Security Note to prevent the risks. CVSS Base Score: 8.8 / 10
9. SAP BEx Web Java Runtime Export Web Service has a Missing XML Validation (XXE) vulnerability (2644279): An attacker can use XML external entity vulnerability to send specially crafted unauthorized XML requests, which would be processed by XML parser. The attacker would gain unauthorised access to OS filesystem. Install this SAP Security Note to prevent the risks. CVSS Base Score: 8.8 / 10
10. SAP HANA, Extended Application Services classic model has a Missing XML Validation vulnerability in (2681207): SAP HANA, Extended Application Services classic model OData parser does not sufficiently validate XML. By exploiting, an unauthorized hacker can cause the database server to crash. CVSS Base Score: 7.5 / 10

Enlaces de referencia del CERT del INCIBE en relación a la publicación de las notas para los 3 meses de este trimestre:

https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-julio-2018

https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-agosto-2018

https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-septiembre-2018

Otras referencias, en inglés de SAP, Onapsis y ERPScan (en orden: Julio->Septiembre):

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=497256000

https://www.onapsis.com/blog/SAP-Security-Notes-July-18-rise-of-security-notes

https://erpscan.io/press-center/blog/sap-cyber-threat-intelligence-report-july-2018/

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=499352742

https://www.onapsis.com/blog/sap-patch-notes-august-2018

https://erpscan.io/press-center/blog/sap-cyber-threat-intelligence-report-august-2018/

https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=499356993

https://www.onapsis.com/blog/sap-patch-notes-september-2018

https://erpscan.io/press-center/blog/sap-cyber-threat-intelligence-report-september-2018/

El servicio de información ARDÁN, de la Zona Franca de Vigo (ZFV) en su afán por generar conocimiento y contribuir al desarrollo de la economía y del tejido empresarial de Galicia, viene desarrollando desde el año 1995, una línea de investigación con la que se pretende identificar y reconocer la excelencia en la empresa gallega. El servicio trata de identificar, a través del análisis y difusión de las Buenas Prácticas Empresariales, aquellas empresas que presentan un alto grado de desempeño en determinados parámetros de su actividad, mediante la creación de los indicadores de mejores prácticas empresariales.

Inprosec ha obtenido el Indicador Ardán Empresa Global 2018. Este indicador indica que Inprosec presenta valores elevados en magnitudes directamente relacionadas con el proceso de internacionalización, como pueden ser clientes extranjeros, países a los que exportamos, establecimientos en el exterior y personal dedicado al proceso de internacionalización.

El próximo 21 de Noviembre, de la mano del AMTEGA, participaremos como ponentes en la Jornada de CiberSeguridad #PemeSegura.

Esta jornada se celebrará el Edificio CINC de la  Ciudad de la Cultura, en Santiago de Compostela y tratará sobre la gestión de la ciberseguridad en las pequeñas empresas, tocando varios aspectos  como el nuevo reglamento de protección de datos (Adenda) , nuevos servicios de seguridad (Tarlogic)  y la seguridad en entornos industriales (Balidea), así como los incidentes de Seguridad (Inprosec) y la recuperación frente a desastres (Ultreia).

Este evento está orientado a Gerentes y responsables de seguridad, así como a cualquier profesional que tenga interés en abordar el impacto de la ciberseguridad  en la competitividad de las organizaciones.

Puedes encontrar más detalles sobre el programa e inscribirte aquí

Ha finalizado la  segunda jornada del Evento GRC 2018 celebrado en Praga. Nuestros compañeros de Inprosec han asistido a numerosas ponencias y podido conversar con los grandes expertos del sector, en las que se han tratado temas de actualidad y tendencias de futuro.

Los principales protagonistas de las dos primeras jornadas han sido la nueva versión GRC 12 (que está disponible desde el 21 de septiembre), así como la apuesta de SAP por los entornos Cloud, tal y como  puede ser SAP Cloud Identity Access Governance (que es el equivalente al módulo Access Control en la nube y que SAP está desarrollando en paralelo a GRC)

Otros puntos que han destacado son la evolución de Single Sign-On,que ahora es mucho más sencillo de implementar y se integra con prácticamente todos los tipos de sistemas, y la disponibilidad de Two-Factor Authentication para acceder a las aplicaciones SAP.

SAP GRC ( Governance, Risk, and Compliance) es un módulo especializado de SAP que se ocupa de todo tipo de riesgos en instancias SAP. Utilizado por las compañías líderes a nivel mundial, ayuda tanto a la gente de TI proporcionándole herramientas de gestión, como a la gente de Negocio al darles visibilidad directa sobre el estado de los conflictos en los sistemas y los riesgos existentes.

Entre los días 16 y 18 de Octubre, los asistentes tendrán a su disposición más de 90 Ponencias y sesiones formativas, así como 13 casos de éxito  (62 ponentes), además de contar con la presencia de numerosas empresas presentando las novedades sobre productos relacionados con SAP,

Esperamos que la experiencia de la última sea tan positiva como lo han sido estas dos.

Tras haber asistido años anteriores tanto al evento de las Vegas como en Europa, estaremos de nuevo en el evento SAP GRC Europe. Este año, Praga será la ciudad elegida para alojar este evento.

SAP GRC ( Governance, Risk, and Compliance) es un módulo especializado de SAP que se ocupa de todo tipo de riesgos en instancias SAP. Utilizado por las compañías líderes a nivel mundial, ayuda tanto a la gente de TI proporcionándole herramientas de gestión, como a la gente de Negocio al darles visibilidad directa sobre el estado de los conflictos en los sistemas y los riesgos existentes.

Entre los días 16 y 18 de Octubre, los asistentes tendrán a su disposición más de 90 Ponencias y sesiones formativas, así como 13 casos de éxito  (62 ponentes), además de contar con la presencia de numerosas empresas presentando las novedades sobre productos relacionados con SAP, destacando las nuevas actualizaciones y RoadMap de SAP Access Control, SAP  Process Control y SAP Risk Management, así como el impacto del Reglamento Europeo de Protección de Datos y tendencias en Ciberseguridad

Sin duda, como todos los años, esperamos sacar una experiencia muy positiva. Os mantendremos informados de todas las novedades relacionadas con este evento.

El pasado lunes 1 de octubre, el Comité Ejecutivo de Business Factory Auto (BFA) ha seleccionado los 20 proyectos empresariales para participar en la tercera edición de BFA, entre los cuales se encuentran nuestra división de Ciberseguridad Industrial,  Inprosec Auto.

El Comité, integrado por representantes de la Xunta de Galicia, el Consorcio de la Zona Franca de Vigo, Groupe PSA y CEAGA, ha seleccionado a Inprosec Auto como invitado a participar en la fase de consolidación con otros 6 proyectos con los que ha coincidido en la pasada edición en fase de aceleración, además de 3 nuevas iniciativas que se incorporarán en esta fase.

• CIN ADVANCED SYSTEMS GALICIA – Spin-out de CIN Advanced Systems.
• EFIMOB EV CHARGE – Spin-out de Efimob Efficient Solutions.
• EZHIRE – ON-DEMAND CAR DELIVERED – Spin-out de Ezhire Technologies.
• IIÔR: INDUSTRIAL INTERNET OF ROBOTS – Spin-out de Ledisson A&IT.
• INPROSEC-AUTO – Spin-out de Inprosec.
• KALEIDO AUTOMATION SERVICES – Spin-out del Grupo Kaleido.
• MUUTECH MONITORING SOLUTIONS – Startup.
• NORLEAN MANUFACTURING & PRODUCTIVIDAD S.L. – Several Companies spin-out de Soltec Ingenieros y OPF.
• SIMAXSU – Startup.
• WEARHEALTH – Spin-out de Wearhealth UG.

Esta tercera edición será, sin duda, la más internacional ya que, de los 20 proyectos seleccionados entre fase de aceleración y consolidación, hay un proyecto de Dubái y otro de Alemania. Además, fuera de la comunidad gallega, participará un proyecto del País Vasco.

En esta convocatoria se ha producido un récord de participación, ya que se presentaron 62 proyectos de 9 países distintos (España, Portugal, Francia, Alemania, Hungría, Rumanía, Lituania, Taiwán y Dubái), todos ellos relacionados con la transformación digital. Desde Inprosec, queremos dar las gracias al Comité Ejecutivo de BFA por confiar de nuevo en este equipo y esperamos que esta nueva fase sea tan positiva como lo ha sido la anterior.