Dank Security Audit und RFC-Schnittstellenprüfung Schwachstellen in SAP-Systemen erkennen und schließen

SAST SUITE System Security ValidationDass SAP-Systeme einer erhöhten Aufmerksamkeit bedürfen, wenn es um die Absicherung geht, hat sich inzwischen herumgesprochen. Schließlich lagern dort in den allermeisten Fällen die wichtigsten und sensibelsten Daten jeder Firma. Aber wie geht man am besten vor, um eine optimale Absicherung zu erreichen? Durch ein Security Audit zum Beispiel.

Weiterlesen

10KBLAZE und SAP-Sicherheit II: Hype & Panikmache

10KBlaze & SAP Security: Serpenteq(Partnerbeitrag der SERPENTEQ GmbH)
Am 19. April 2019 hielten die Sicherheitsforscher Dmitry Chastuhin und Mathieu Geli auf der OPCDE Cyber Security Konferenz in Dubai einen Vortrag mit dem Titel „SAP gateway to Heaven„. Sie haben zwei seit vielen Jahren bekannte Konfigurationsprobleme (im Zusammenhang mit SAP Gateway und SAP Message Server) aufgegriffen, für die es – ebenfalls seit Jahren – detaillierte Anleitungen zur sicheren Konfiguration gibt. Nun aber haben die beiden Forscher diese Konfigurationsprobleme bewundernswert kreativ kombiniert.

Weiterlesen

Wie migriert man SAP Custom Code schnell nach S/4HANA?

Expert Talk: S/4HANA (powered by it-onlinemagazin)Laut des kürzlich erschienenen DSAG-Investitionsreports planen in den nächsten Jahren bis zu 80 Prozent der Unternehmen, ihre SAP-Systeme auf S/4HANA umzustellen. Ein sportliches Unterfangen, das ist sicher. Um den internen Aufwand zu minimieren, empfiehlt sich daher, bereits vor der Migration Altlasten loszuwerden, die beispielsweise in Form von ABAP-Eigenentwicklungen daherkommen.

Weiterlesen

Schritt für Schritt: So sichern und härten Sie Ihr SAP Gateway

SAST Interface Management (SAST SUITE)Das Gateway ist als zentrale Kommunikationskomponente eines SAP-Systems ein attraktives Ziel für Hackerangriffe – und somit besonders schützenswert. Ist das Gateway nicht ausreichend gesichert, hat ein Angreifer leichtes Spiel. Jedoch werden System-Schnittstellen bei der Absicherung von IT-Systemen oftmals nicht berücksichtigt. Im Fall einer Cyberattacke ermöglicht man den Angreifern so den direkten Zugriff auf die sensiblen SAP-Systeme.

Weiterlesen

SAP Security 2018: Zwischen Plattformsicherheit, Berechtigungsmanagement und S/4 HANA-Migration

SAP Security für HANA und S/4HANAFür ein Fazit zur SAP-Sicherheit im Jahre 2018 ist es sicherlich noch zu früh. Andererseits ist der Herbst auch immer die Saison für Veranstaltungen, wie den DSAG Jahreskongress in Leipzig. Eben auf solchen Konferenzen und Messen lässt sich sehr genau abschätzen, welche Themen die SAP-Kunden beschäftigen. Insofern kann durchaus schon jetzt ein Gradmesser erstellt werden, welche Security-Themen im SAP-Umfeld wichtig sind. Weiterlesen

Hängen Sie an Ihren ABAP-Sicherheitslücken oder können die weg?

SAST SUITE Code Security AdvisorQuasi jedes Unternehmen individualisiert seine SAP-Systeme mit Eigenentwicklungen und schafft damit nicht selten versehentlich auch enorme Sicherheitslücken. Insbesondere vergessenes Coding, obsolet geworden durch Weiterentwicklungen der SAP oder nach nur kurzzeitigem Bedarf nicht gelöscht, liefert zusätzliche Angriffsflächen.

Analysen von AKQUINET zeigen, dass bis zu 90 % des ABAP-Codes nicht mehr genutzt werden. Denn diese wurden oft nur für einmalige Situationen geschrieben, seit dem nie angepasst und bieten so perfekte Hintertüren für Hacker oder Manipulationen.

Weiterlesen

Code Injection durch logische Datenbanken

SAST SUITE: Code Security AdvisorLogische Datenbanken haben sich einmal großer Beliebtheit erfreut. Schließlich konnte man relativ leicht eine komplexe Selektion darstellen und musste dafür nicht aufwendige Reports schreiben. Auch die Art der dynamischen Selektion war bei Anwendern beliebt, sodass Entwickler immer wieder darauf zurückgriffen. Mit der Version 7.50 erklärte die SAP logische Datenbanken nun für obsolet – mit der Folge, dass keine neuen logischen Datenbanken mehr angelegt werden sollen, aber die alten wie gehabt weiterfunktionieren. Das zieht aber auch ein Sicherheitsproblem nach sich, welches alle Reporte betreffen kann.

Weiterlesen