Sécurité SAP : pourquoi la détection ne suffit plus

Tribune de Jean-François Scardigli (Head of France and iberia SecurityBridge)

SAP est un logiciel de gestion d'entreprise (un ERP, pour Enterprise Resource Planning) utilisé par la majorité des grandes organisations, où il pilote souvent la finance, la logistique, les RH et la production. En sécurité réseau, l'approche fondée sur la seule alerte a montré ses limites face à des attaquants capables d'agir en quelques secondes. C'est ce chemin que la sécurité SAP doit emprunter.

Une leçon déjà apprise en sécurité réseau 

Les premiers outils de sécurité réseau étaient des IDS (Intrusion Detection System, système de détection d'intrusion). Ils comparaient le trafic à des signatures connues et déclenchaient une alerte, mais le paquet malveillant avait souvent déjà atteint sa cible le temps qu'un analyste la lise. Le secteur a répondu avec les IPS (Intrusion Prevention System), capables de bloquer un paquet avant qu'il n'arrive.

La même évolution s'est produite pour les applications web. Un WAF (Web Application Firewall pare-feu applicatif) filtre le trafic à l'entrée d'un site, tandis que son successeur, le RASP (Runtime Application Self-Protection, protection applicative en exécution), s'exécute dans l'application et peut interrompre une opération dangereuse en cours. Dans les deux cas, le changement a été le même, on est passé de l'observation à l'action.

Une sécurité SAP encore cantonnée à l'alerte

Pout leur part, la plupart des outils dédiés à SAP fonctionnent encore comme des IDS. Ils détectent un appel RFC suspect (Remote Function Call, le mécanisme utilisé par les modules SAP pour communiquer entre eux), puis transmettent l'information à un analyste SOC ou à un administrateur Basis. C'est un progrès, mais l'écart reste le même : le temps dont un attaquant a besoin n’est pas abaissé.

Cet écart pèse plus lourd sur SAP, car un système unique concentre souvent plusieurs métiers à la fois. Un export non autorisé d'une table financière fait des dégâts en quelques secondes, bien avant qu'un ticket ne soit ouvert. Le patchingn'aide pas non plus, avec des cycles de tests sur SAP qui s'étalent sur plusieurs semaines.

L'exemple de CVE-2025-31324 l'illustre bien. Cette faille critique de SAP NetWeaver Visual Composer a été exploitée activement en 2025, avant même la diffusion large du correctif. L'agence américaine CISA l'a inscrite à son catalogue des vulnérabilités connues comme exploitées, quelques jours seulement après sa publication. 

Un modèle à quatre couches pour la défense SAP

Une posture de sécurité SAP plus complète peut s'organiser en quatre couches, reliées par une gouvernance commune. La première concerne les personnes, avec des équipes formées et des responsabilités claires. La deuxième assure un blocage déterministe et assisté par IA, au moment précis où une action dangereuse est tentée, l'équivalent d'un RASP pour SAP et la couche qui manque le plus souvent aujourd'hui. La troisième couvre le durcissement, via la configuration et le patching.La quatrième assure une surveillance continue, qui nourrit le SOC.

C'est la deuxième couche qui change la donne. Sans elle, les trois autres décrivent une opération de détection compétente mais réactive. Avec elle, la sécurité SAP peut arrêter une action nuisible au moment où elle se produit, pas après.

L'objectif n'est pas d'abandonner la détection

Tout, dans ce qui vient d'être indiqué, plaide en faveur de la surveillance ou la gestion des vulnérabilités, comme en témoignent les avis de sécurité publiés par le CERT-FR, le centre gouvernemental français qui alerte sur les vulnérabilités et les moyens de s'en prémunir. La détection indique ce qui s'est produit, seul le blocage empêche que cela se produise. La sécurité réseau n'a jamais retiré l'IDS quand l'IPS est arrivé, ni le WAF quand le RASP s'est imposé, elle a ajouté une couche capable d'agir. À la sécurité SAP de faire de même.

Un système SAP compromis touche rarement un seul service. La finance, la logistique et les RH encaissent souvent le choc ensemble, en quelques secondes, et attendre qu'un analyste réagisse n'est plus une option face à ce rythme.