SAP-Sicherheit

Eine Schicht von Konfigurationsparametern, die der Sicherheitspolitik der Organisation entsprechen sollten. Diese Parameter sollten regelmäßig überprüft werden.

Beispiel:

anmeldung/passwort_ablauf_zeit (Standardwert 0, unsere Empfehlung 30)
Der Benutzer muss das Passwort nach einer bestimmten Anzahl von Tagen ändern (bei Parameter 0 ist das Forcing nicht aktiviert).

anmeldung/min_passwort_lng (Standardwert 3, unsere Empfehlung 8+)
Festlegung einer Mindestpasswortlänge.

anmeldung/fehler_zum_benutzer_schloss (Standardwert 12, unsere Empfehlung 5)
Anzahl der falsch eingegebenen Passwörter, um ein Benutzerkonto zu sperren.

SAP-Ebene

SAP Security Audit Log:

• Hauptsicherheitsprotokoll,
• Einige der Informationen sind unter dem Gesichtspunkt der Sicherheit nicht sehr klar,
• Laut Logbuch stellt die Anmeldung eines SAP*-Benutzers kein Risiko dar, während ein falsch eingegebenes Anmeldepasswort ein Risiko darstellt.

SAP-Änderungsbelege und Tabellenprotokollierung:

• Protokollierung von Dokument- und Tabellenänderungen,
• schlechte Qualität, wenn die Dokumente nicht langfristig archiviert werden.

SAP-Systemprotokoll:

• SAP-Stammprotokoll,
• Die Protokolle werden nach 14 Tagen überschrieben.

Ebenen über SAP hinaus

Protokoll des Betriebssystems Windows/UNIX - das Problem besteht beispielsweise darin, dass der Administrator über Root-Rechte verfügen muss, um die Protokolle allein lesen zu können

Datenbank-Protokoll - keine Möglichkeit, die Datenbankeinstellungen auf SAP-Ebene zu analysieren (z. B. Informationen über Konten und deren Berechtigungen)

SAP Router/HTTP-Netzwerkprotokolle - das Problem ist das Fehlen von Standardlösungen für die Umleitung von Protokollen an das Syslog

Jedes System ist anfällig für Hackerangriffe, auch SAP. Deshalb ist es wichtig, regelmäßig Systempatches zu installieren.
Diese liefern Informationen über Eindringlinge, die bekannte Schwachstellen nutzen.

Beispiel 1 - einen Bericht des US-Sicherheitsministeriums, aus dem hervorgeht, dass weltweit mindestens 36 SAP-Systeme über eine seit 2010 bekannte (und gepatchte) Sicherheitslücke gehackt wurden. Mehr lesen unter https://bit.ly/28Kpk5r

Beispiel 2 - Das jährliche Treffen der Sicherheits-Community, die PWNIE Awards, verlieh 2015 den ersten Preis in der Kategorie "Best Server-Side Bug" für die Entdeckung einer Sicherheitslücke in SAP, die einen unberechtigten Zugriff auf das System ermöglicht https://bit.ly/29Se5hB

Während der SAP-Einführung Standard-Benutzerkonten werden erstellt. Sie werden für die Erstinstallation des Systems verwendet und sind in der Regel sowohl unter dem Namen als auch unter dem Passwort bekannt.
Es ist äußerst wichtig, diese Konten angemessen zu schützen.
Das kritischste Konto ist SAP* (erlaubt praktisch unbegrenzten Zugang und Änderungen am System).

Die Passwörter der Standardkonten sollten geändert und hochprivilegierte Profile (z. B. SAP_ALL) gelöscht werden.
Wichtig ist, dass das Standardkonto, wenn Sie es löschen, automatisch neu erstellt wird (mit dem Standardpasswort).
Daher sollte das Passwort des SAP*-Kontos geändert und der Parameter login/no_automatic_user_sapstar auf 1 gesetzt werden (keine automatische Wiederherstellung des SAP*-Kontos).

Wie bei den Standardkonten hat SAP (bei der Installation) Sätze von Berechtigungsprofilen, die einen breiten Zugang zum System ermöglichen. Die Verwendung dieser Profile sollte sehr streng gehandhabt werden und nur in Notfällen erfolgen.

Das wichtigste breite Zugriffsprofil ist SAP_ALL - es erlaubt die Ausführung jeder Transaktion, den Zugriff auf jedes Objekt, jede Funktion und jede Aktion (nicht umsonst wird dieses Profil im Jargon der SAP-Administratoren auch als "Gott im System" bezeichnet). Es ist wichtig, dass dieses Profil nirgendwo zugewiesen wird. Das gleiche gilt für das Profil SAP_NEW

Wenn den Nutzern keine angemessenen Zugriffsrechte auf verschiedene Teile des Systems eingeräumt werden, besteht ein erhöhtes Risiko der Veruntreuung.

Beispiel: Wenn eine Person sowohl die Möglichkeit hat, eine Kontonummer zu ändern als auch eine Überweisung zu tätigen, ist es möglich, die Richtlinien der Organisation zu umgehen, um Geld zu transferieren.

Zusammenfassend lässt sich sagen, dass es wichtig ist, die Machtkonfliktmatrix richtig zu verwalten. Eine solche Matrix ermöglicht vor allem die Identifizierung bestehender Konflikte, und die Überprüfung der einzelnen Benutzerzugriffe erlaubt eine Bewertung der Risiken. Die Umsetzung einer wirksamen Datenzugriffspolitik in SAP ist eines der wichtigsten Elemente zur Abdichtung der SAP-Umgebung gegen Risiken, deren wichtigster Faktor das Handeln der Benutzer ist.