Systemänderbarkeit und Mandanteneinstellungen
CPUs im Energiesparmodus
Präsentationsschicht: Die Präsentationsschicht ist die oberste Schicht des R/3 SAP-Basis Systems und umfasst die Kommunikation mit dem Anwender. Hierbei werden die Daten mittels Softwarekomponenten aus den Anwendungsprogrammen der Applikationsschicht für den Nutzer am Endgerät graphisch aufbereitet. Die Präsentationssschicht stellt die die Schnittstelle zu den Anwendern (SAP GUI) dar.
Beispielsweise arbeiten viele kundeneigene ABAP-Programme mit dem Uploaden oder Downloaden von Daten. Hier sind potentiell große Sicherheitslücken vorhanden, die Zugriff auf Serverdaten ermöglichen. Darüber hinaus ist der weit verbreitete direkte Aufruf von Betriebssystemkommandos, die nicht durch eine selbst programmierte Berechtigungsprüfung abgedeckt sind, ein großes Problem. Auch wenn die klassische SQL-Injection, also die Eingabe erweiterter SQL-Befehle, eine mögliche Sicherheitslücke ist, kommt sie in SAP-Systemen eher selten vor. Weiter verbreitet ist die ungewollte Dynamisierung von SQL-Aufrufen, weil Eingangsparameter nicht ausreichend geprüft werden. Die Notwendigkeit, alle Eigenentwicklungen auch intern auf solche Sicherheitslücken zu überprüfen bevor sie in den SAP-eigenen Code zur Auslieferung kommen, hat zur Entwicklung des Werkzeugs SAP Code Vulnerability Analyzer geführt.
Installation von SAP-Applikationen
In diesem Artikel zum Thema SAP Security Automation möchte ich einen kleinen Blick in die Zukunft von automatisierten Prozessen im SAP Security Bereich wagen. Das Thema Security Automation bietet für viele Unternehmen noch eine Menge Potential in Bezug auf Zeitersparnis und Prozessoptimierung. Unser tägliches Arbeitsumfeld bietet zahlreiche Aufgaben, die schon heute exzellent automatisch bearbeitet werden könnten. Aus diesem Grund stelle ich in diesem Artikel zwei der Möglichkeiten vor, welche im weit gefassten Bereich Security Automation bereits bestehen. Security Automation mittels SAP Security Check Die erste Möglichkeit der Security Automation, die ich hier vorstellen möchte, ist die automatische Prüfung der vorhandenen Berechtigungen. Haben Sie sich schon einmal gefragt, wer von den Usern in Ihrem SAP-System kritische Berechtigungen besitzt? Und haben Sie dies schon einmal per Hand versucht nachzuvollziehen? Dies ist je nach Kenntnisstand und Erfahrung des Berechtigungsadministrators eine Arbeit, bei der einiges an Zeit ins Land geht. Wenn zusätzlich eine Wirtschaftsprüfung angekündigt wird und das SAP-System bezüglich kritischer Berechtigungen sowie Segregation of Duties überprüft werden soll, dann ist es sehr schwierig allen Anforderungen zu genügen und die Berechtigungslandschaft diesbezüglich abzusichern. Aus diesem Grund stellen verschiedene Anbieter Lösungen bereit, mittels Toolunterstützung die Überprüfung des Berechtigungswesens in Hinblick auf kritische Berechtigungen und Segregation of Duties zu automatisieren. So können Berechtigungsadministratoren ihre wertvolle Zeit dazu nutzen, die Fehler zu beheben, anstatt eben diese Fehler erst zu suchen. Wir nutzen beispielsweise ein Tool, welches die Überprüfung von über 250 Regeln durchläuft. Anschließend erhalten wir eine Auswertung darüber, gegen welche Regeln verstoßen wird und welche Punkte in Ordnung sind. Ein einfaches Beispiel für solche Regeln ist die Verwendung des Profils SAP_ALL. Ein weiteres wäre die Vergabe der Sprungberechtigung im Debugging (Berechtigungsobjekt S_DEVELOP mit dem Feld ACTVT = 02). Dies sind zwei relativ simple Beispiele des Regelwerks von Security Check-Tools. Weiterführend werden auch Abfragen getätigt, welche im Bereich Segregation of Duties angesiedelt sind. Die Verwendung dieses Tools ermöglichte es uns, von der manuellen Überprüfung von kritischen Berechtigungen zu einem automatischen Ablauf überzugehen.
Um die Stabilität der Systeme zu gewährleisten und das Risiko durch Eigenentwicklungen zu reduzieren, muss hierfür ein Release- und Patch-Management eingeführt werden. Hierbei können standardisierte Prozeduren zur Einführung von Eigenentwicklungen, wie bspw Teststrategien oder SLAs (Service-Level-Agreements), behilflich sein. Auch müssen die Produktivsetzung der Kundenanwendungen mit den Wartungsfenstern und RTO (Recovery-Time-Objective) abgestimmt sein.
Mit "Shortcut for SAP Systems" steht ein Tool zur Verfügung, das einige Aufgaben im Bereich der SAP Basis erheblich erleichtert.
Zur Berechnung dieser Werte werden verschiedene Algorithmen verwendet, von denen jedoch nur der Salted SHA1 als ausreichend sicher angesehen werden kann.
Dies erfordert eine enge Zusammenarbeit zwischen der Fachabteilung und der IT, da spätere Anpassungen oder zusätzliche Systeme die Einführung verlängern und das Budget übersteigen.