Schlagwort: SAP

Veröffentlicht am

Erfahrungsbericht SAP-Security-Audit und Kundenbewertung

Oftmals fragen sich Unternehmen welche Erfahrungen andere Unternehmen mit dem Thema SAP-Security-Audit gemacht haben. Dabei stehen meist die nachfolgenden Fragen im Vordergrund:

  • Gab es Komplikationen?
  • Welcher Nutzen ist entstanden?
  • Wie Aufwändig ist ein solches Projekt?
  • Wie geht es danach weiter?

Es gibt sehr wenige öffentliche Erfahrungsberichte von Unternehmen, die anderen Unternehmen Einblick in SAP-Security-Audits geben können. Daher möchte ich mit freundlicher Genehmigung der Queisser Pharma GmbH an dieser Stelle einen Erfahrungsbericht publizieren:

Erfahrungsbericht von Queisser Pharma GmbH & Co. KG mit dem von der OSC AG durchgeführten SAP Security-Audit

Da das Thema Sicherheit für Unternehmen essentiell und überlebenswichtig ist, lassen wir zurzeit unsere Systeme von externen Partnern auf mögliche Sicherheitslücken überprüfen. Es ist von Vorteil, die eigenen Anstrengungen bzgl. Sicherheit auch mal extern begutachten zu lassen.

Nachdem wir letztes Jahr einen Penetration-Test durchführen ließen, haben wir uns als nächstes entschlossen, unser SAP System von OSC mit dem WerthAUDITOR prüfen zu lassen.

Mit der Software wurden bei uns 660 Einzeltests durchgeführt. Hierbei ging es unter anderem um die Berechtigungen, die Datenbank, die Schnittstellen, die relevanten Themen bzgl. Wirtschaftsprüfung, kritischen ABAP-Code etc..

In der ersten Kurzübersicht konnte man sich sehr schnell einen ersten Überblick verschaffen. In einem Workshop mit OSC haben wir uns dann die Details angesehen und die erforderlichen Maßnahmen besprochen. Auf dieser Grundlage haben wir die erforderlichen Aufgaben aufgeteilt, in Punkte die wir selber durchführen können und in Maßnahmen, die wir von OSC durchführen lassen.

Durch das Security-Audit haben wir nun einen klaren Leitfaden, wie wir unser SAP System noch sicherer machen können.

Positiv überrascht hatte uns, dass wir nahezu keinen eigenen Aufwand bei der Durchführung der Tests hatten. Die breite Palette an verschiedenen Tests hat uns sehr gefallen.

Da die Tests selber ohne großen Aufwand für uns durchgeführt werden konnten und wir bei den erforderlichen Maßnahmen das Tempo je nach eigener Auslastung selber bestimmen können, ist solch ein Test jederzeit durchführbar. Wir sind sehr zufrieden mit dem Security-Audit und können es jedem empfehlen.

Als Essenz aus dem Erfahrungsbericht lässt sich folgendes  festhalten:

  • Das Thema Sicherheit ist für Unternehmen essentiell und überlebenswichtig.
  • Es ist von Vorteil die Sicherheit auch mal extern begutachten zu lassen.
  • Der Prüfungsumfang muss umfassend sein: Berechtigungen, die Datenbank, die Schnittstellen, die relevanten Themen bzgl. Wirtschaftsprüfung, kritischen ABAP-Code etc..
  • Die Kurzübersicht liefert sehr schnell einen ersten Überblick, Maßnahmen lassen sich leicht ableiten.
  • Der Security-Audit haben gibt einen klaren Leitfaden, wie das SAP System noch sicherer wird.
  • Es gibt nahezu keinen eigenen Aufwand für den Kunden bei der Durchführung der Tests.
  • Der Test ist jederzeit durchführbar und es gibt eine klare Weiterempfehlung.

Jetzt informieren: SAP Audit

Veröffentlicht am

SAP HANA Sicherheitsübersicht – Neue BSI-Publikation von WERTH

Mit der Markteinführung von HANA 2011 als zukünftige Standard-Datenbank für SAP-Systeme hat SAP ein ehrgeiziges Ziel ausgegeben. Um dieses Ziel zu erreichen wurde die In-Memory-Datenbank HANA konsquent ausgebaut. Zunächst kam mit HANA XS der Schritt zur Plattform und 2015 erschien mit S/4HANA die erste SAP-Komplettlösung auf HANA-Basis.

Damit rückt HANA immer stärker in das Zentrum einer SAP-Landschaft. In Kombination mit dem Schutzbedarf der dort hinterlegten Daten wird schnell klar, dass ein angemessener Schutz von HANA-Systemen unabdingbar ist.
Hierzu gilt es unter anderem die Netzwerksicherheit zu gewährleisten, den korrekten Umgang mit dem System Benutzer vorzunehmen, für eine verschlüsselte Kommunikation zu sorgen und die persistenten Daten sowie die Enrcyption Keys richtig zu handhaben. Ebenso müssen die Benutzer und die Authentifizierung sicher verwaltet und konfiguriert werden.
Auch das Auditing und Logging hat seinen Anteil an der Gesamtsicherheit des HANA-Systems und ist entsprechend manipulationssicher einzurichten. Aufgrund zunehmender öffentlich bekannter Schwachstellen ist ebenfalls ein effektives Patchmanagement von Nöten. Werden Eigenentwicklungen unter HANA XS erstellt, so sind die Entwicklungen „sicher“ vorzunehmen.
Es zeigt sich also die Sicherheit von HANA ist komplex.
Eine Übersicht zu dem Thema und den notwendigen Schritten finden Sie in unserer neuesten BSI-Publikation „SAP HANA Sicherheitsübersicht„
Veröffentlicht am

Neuer BSI-Leitfaden von WERTH: Forensische Analyse von SAP-Systemen

Die Partnerschaft zwischen WERTH und dem Bundesamtes für Sicherheit in der Informationstechnik (BSI) im Rahmen der Allianz für Cyber-Sicherheit hat weitere Früchte getragen.

Der neue BSI-Leitfaden von WERTH zur forensischen Analyse von SAP-Systemen wurde kürzlich veröffentlicht. Der Leitfaden beschreibt wie eine forensische Auswertung eines SAP-Systems erfolgen kann und welche Vorraussetzungen und Einschränkungen zu beachten sind.

„Die IT-Forensik behandelt die Untersuchung von verdächtigen Vorfällen im Zusammenhang mit IT-Systemen und der Feststellung desTatbestandes und der Täter durch Erfassung, Analyse und Auswertung digitaler Spuren.“ (Quelle: Wikipedia)

Der Leitfaden hilft somit im Falle eines Falles die richtigen Nachforschungen anzustellen. Zur Vorbeugung von ernsten Vorfällen sollten entsprechende Sicherheits-Maßnahmen ergriffen werden, um das Risiko erfolgreicher Angriffe zu senken:

  • SAP Empfehlungen und Guides befolgen
  • Regelmäßge Security Audits
  • SAP Patches einspielen
  • ABAP Code Kontrolle
  • Pflege und Prüfung des Berechtigungskonzepts
  • Protokollierung aktivieren und prüfen.

Nutzen Sie den WERTH AUDITOR zur proaktiven Absicherung Ihrer SAP-Systeme.

Veröffentlicht am

SAP-Sicherheit für CI(S)Os – Neue BSI-Publikation von WERTH

SAP-Systeme verarbeiten und speichern die unternehmenskritischen Daten. In diesem System finden sich die Kunden-, Lieferanten- und Personaldaten. Ebenso werden hier die Finanzdaten wie Bilanzen, Bankkonten und Buchungen verarbeitet. Zusätzlich trifft man Planungsdaten, Konstruktionsdaten und Vertriebsinformationen wie Preislisten an. Jeder einzelne Datenbereich ist bereits sensibel und in Kombination hoch kritisch.

Ein Ausfall des Systems und ein ausbleibender Zugriff auf diese Daten bei gleichzeitigem Verarbeitungsstillstand führen in der Regel zu einem Betriebsausfall. Damit sind SAP-Systeme ein lohnendes Ziel für Cyber-Angriffe. Egal ob Spionage, Sabotage oder Betrug die Motivation ist, die Daten in dem SAP-System geben ein attraktives Ziel ab. Cyberattacken auf SAP-Systeme können großen Schaden im Unternehmen verursachen.

Um sich wirkungsvoll vor ihnen zu schützen, sollten Sie wissen, welche Motive professionelle Hacker verfolgen, wie Sie sich Zugang in das Herz Ihres Unternehmens verschaffen und welche Folgen ein Hackerangriff haben kann. Diese Informationen finden Sie in unserer neuesten BSI-Publikation.

Veröffentlicht am

BSI: Allianz für Cybersicherheit veröffentlicht Leitfaden zur Erkennung und Abwehr von Risiken in SAP-ERP-Systemen

Die Allianz für Cyber-Sicherheit ist eine Initiative des Bundesamtes für Sicherheit in der Informationstechnik (BSI), die in Zusammenarbeit mit dem Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e.V. (BITKOM) gegründet wurde.

 

Der Leitfaden dient der Sensibilisierung von SAP-Verantwortlichen und zeigt oft übersehene Angriffsflächen in SAP-Systemen auf. Diese werden an Beispielen verständlich beschrieben. So wird das Gefährdungspotential von kritischen Berechtigungen, Standardzugangsdaten, der RFC-Schnittstelle und unverschlüsselter Kommunikation nachvollziehbar präsentiert. Zusätzlich wird beschrieben, wie man das eigene System schnell und einfach auf potentielle Risiken testen kann.

 

Das Dokument wird von dem Partnerunternehmen Werth IT zur Allianz für Cybersicherheit beigesteuert. Die Werth IT hat sich zum Ziel gesetzt, das Know-How der deutschen Wirtschaft zu schützen.

 

Bekannt ist die Werth IT für ihre preisgekrönte Software Werth Auditor. Die Lösung ermöglicht die schnelle und einfache Beurteilung der Sicherheit von SAP Systemen.
Der Werth Auditor gehört zu den technisch führenden Sicherheitslösungen und vereint als einzige umfassende Prüfungen, die sonst nur unter Einsatz verschiedener Programme möglich wären. Dies umfasst unter anderem die Analyse von Custom ABAP-Code unter verschiedenen Sicherheitsaspekten. Sowie die Prüfung des Systems über alle relevanten Schnittstellen auf technische Schwachstellen, Fehlkonfigurationen, kritische Berechtigungen, problematische Rechte-Kombinationen (SoD). Der Einsatz der Lösung erfordert dabei weder Änderungen an dem bestehenden SAP System noch die Installation zusätzlicher Server. Die intuitiv zu bedienende Lösung erlaubt somit die Identifikation, Priorisierung und Behebung von Risiken in SAP Systemen.

Veröffentlicht am

Quizfrage: Was haben Passwortsicherheit und das 4-Augen-Prinzip mit schwedischen Gardinen gemeinsam?

Dieser Post dreht sich um eine wahre Begebenheit die am 27.01.2015 begann und am 15.03.2017 endete. Im Mittelpunkt stehe eine Mitarbeiterin einer Finanzbehörde die laut deren Vorgesetzten eine ausgewiesenen Fachfrau für Buchhaltungsfragen ist.
Zitat:

„Eine solche Mitarbeiterin wünscht man sich.“ [1]

Die Zutaten zu dieser Story aus dem Leben entstammen aus dem 1×1 der SAP- und IT-Sicherheit. In der Theorie unterliegen Passwörter gewissen Richtlinien zur sicheren Auswahl und sind geheim zu halten. Ebenso ist die Sicherheit und der ordnungsgemäße Betrieb unternehmenskritischer Systeme wie bei SAP-ERP-Systemen einzuhalten und nachzuweisen. Dies zu kontrollieren ist teilweise Aufgabe der Wirtschaftsprüfer sowie der internen Revision und des internen Kontrollsystems. In diesem Fall war es jedoch ein Gericht, dass über all dies urteilen durfte.

Besagte Mitarbeiterin arbeitete bei dem städtischen Service-Zentrum Kasse.Hamburg – die Sicherheitsvorgaben und -prüfungen der Behörde sind hier nicht weiter bekannt.

Die junge Frau konnte sich das Passwort Ihrer Kollegin beschaffen. Im Rahmen der Gerichtsverhandlung und der öffentlichen Berichterstattung wurde hierzu folgendes Bekannt:

Anfang 2015 hatte sich die damals 26-Jährige das Passwort ihrer Kollegin beschafft, das allerdings auch in fahrlässiger Weise offen zugänglich war, wofür es im Nachhinein auch eine Rüge gab. [2]

Mit den Zugangsdaten der Kollegin war die Mitarbeiterin in der Lage Bankdaten anzulegen und zu ändern sowie Zahlungen auszuführen. Ob hier das 4-Augen Prinzip verletzt wurde, lässt sich aus den öffentlichen Informationen nicht sicher ermitteln, jedenfalls wird deutlich darauf hingewiesen, dass erst der Zugang im Namen der Kollegin dies möglich machte:

Mit dem Passwort war die Angeklagte in der Lage, Gelder der Finanzbehörde auf ihr Privatkonto zu überweisen – ohne dass es sofort auffiel.[2]

Ob allein im Namen der Kollegin oder im Zusammenspiel mit Ihrem eigenen Zugang – im Weiteren hat die Mitarbeiterin Gelder der Behörde abgezweigt. Niemanden fielen die ungewöhnlichen Zahlungen oder die Mehrfachnutzung des Zugangs der Kollegin auf. Ein Dutzend Zahlungen zwischen 50€, 5000€ oder 6000€ sind auf diesem Weg erfolgt.

Erst bei einer Überweisung von 394.440 Euro ist jemand aufmerksam geworden. Dies nicht von der internen Revision oder durch einen Alarm des internen Kontrollsystems. Nein – es war ein Mitarbeiter der Sparkasse bei der die Behörde Ihre Konten führt. Dieser war alarmiert, da eine so hohe Überweisung auf ein Privatkonto führte und fragte entsprechend nach. Dies setzte die Ermittlungen in Gang, die letztlich zur Anklage führten. Zunächst gegen beide Mitarbeiterinnen, wobei sich der Passwortdiebstahl im weiteren Verlauf entlastend für die eigentlich unbeteiligte Mitarbeiterin auswirkte.

Zur Motivation der Innentäterin wurde nichts bekannt:

Das Motiv konnte oder wollte sie nicht nennen. [1]

Möglicherweise trifft hier einfach das Sprichwort „Gelegenheit macht Diebe“ zu und die Versuchung war zu groß – trotz eines guten Jobs bei der Behörde.

Das Gericht jedenfalls zeigte wenig Mitleid mit der Mutter von zwei kleinen Kindern und verordnete 2 Jahre und 10 Monate hinter schwedischen Gardinen.

Ein paar offene Fragen bleiben:

Ob ein besserer Sicherheitsstandard bei der Behörde die Mutter von zwei Kindern vor einem schwerwiegenden Fehler geschützt hätte?

Wieso schlug das interne Kontrollsystem nicht bereits bei den kleinen Beträgen an?

Wieso waren die Passwörter und Accounts nicht hinreichend geschützt, um einen mehrfachen Missbrauch zu verhindern?

Warum hatte der Zugang der Kollegin so eine weitreichende Berechtigungen?

Immerhin hat die Behörde nun eine spezielle Software angeschafft, um Betrug zu erkennen. Warum man jedoch die Anschaffung eines „Rauchmelder“ statt Maßnahmen „zur Verhinderung eines Feuers“ öffentlich hervorhebt  bleibt unbeantwortet…

Quellen:
[1]: https://www.ndr.de/nachrichten/hamburg/Ueber-zwei-Jahre-Haft-wegen-schwerer-Untreue,untreue164.html
[2]: https://www.welt.de/regionales/hamburg/article162875904/Als-sie-sich-395-000-Euro-ueberwies-flog-der-Betrug-auf.html

Veröffentlicht am

Zertifizierung von ERP-Systemen nach „Trusted ERP“

Wie alle IT-Systeme sollten auch SAP-Systeme einer regelmäßigen Sicherheitsuntersuchung unterzogen werden. In Zusammenarbeit mit der KonzeptAcht GmbH und der TÜV TRUST IT GmbH ist ein Zertifizierungsverfahren entstanden, mit dem Ihr SAP / ERP-System nach „Trusted ERP“ überprüft und zertifiziert wird. Mit dieser Zertifizierung, die aus einer technischen und organisatorischen Prüfung besteht, führen Sie einen unabhängigen Nachweis über ein dem „Stand der Technik“ entsprechendes Sicherheitsniveau.

Ihr Nutzen:

  • Unabhängige Überprüfung der SAP/ERP-Sicherheit
  • Zertifikat als objektiver Nachweis des Sicherheitsniveaus
  • Umfassender Ergebnisbericht inkl. Optimierungsmaßnahmen
  • Wirksamer Wettbewerbsvorteil und ein ideales Instrument zur Gewinnung neuer Kunden
  • Onlinestellung des Zertifikats auf der Webseite der TÜV TRUST IT
  • TÜV-Siegel zur Nutzung für Ihr Marketing

Sprechen Sie uns an!

Veröffentlicht am

Hochkarätiger Cyber-Sicherheitstag lockt Fachpublikum nach Kamen

Im Fokus des 18. Cyber-Sicherheitstages am 14.09.2017 in der Stadthalle Kamen steht die Sicherheit von SAP-ERP-Systemen. Im Gegensatz zu isolierten Software-Systemen, die einzelne Unternehmensbereiche abdecken, ist das Besondere an SAP-Systemen die umfassende Integration und zeitgleiche Verarbeitung sämtlicher betriebswirtschaftlicher, logistischer, Produkt- sowie Finanzdaten in einem integrierten System. Änderungen in Einzelbereichen können zu „Dominoeffekten“ in sämtlichen verbundenen Daten und Prozessen führen – und stellen damit ein hochinteressantes Angriffsziel für
Cyberangriffe dar. In einem Bereich „gehackt“, wird der Zugriff auf sämtliche verbundene Unternehmensdaten möglich und kann zu gravierenden wirtschaftlichen Schäden führen.
So wurden bei einem spektakulären Cyberangriff in den USA einem Dienstleister gleich mehr als 27.000 Datensätze zu US-Regierungsangestellten aus einem SAP-System gestohlen. Die US-Regierung kündigte daraufhin dem Dienstleister, der als Folge in die Insolvenz gehen musste.

Am kommenden Cyber-Sicherheitstag wird ein breites Spektrum zur SAP-Sicherheit angesprochen: Testangriffe auf eigene Systeme, Cyber-Angriffe auf
Produktionssteuerungsanlagen – wie der Cyber-Angriff auf iranische Atomanlagen-, Angriffe auf Smartphones sowie das Trend-Thema Cyberversicherung. Renommierte Experten, u.a. von CISCO, SAP und TÜV Rheinland stellen im Rahmen der kommenden Veranstaltung Lösungsansätze zum Schutz gegen Cyberangriffe vor. Raum wird auch
den Fragen der Teilnehmer gegeben.

Dem Geschäftsführer der Werth IT GmbH, Thomas Werth, gelang es damit, das Expertenforum des BSI (Bundesamt für Sicherheit) nach Kamen zu holen.
Die Werth IT GmbH, angesiedelt im Gründerzentrum Kamen, wurde bereits 2014 auf der Cebit vom BMWi mit dem Sonderpreis für „IT-Sicherheit im Unternehmen“ ausgezeichnet und hat sich inzwischen als führender Lösungsanbieter für SAP-Sicherheit etabliert.
Inzwischen hat sie auch gemeinsam mit dem TÜV ein „Trusted ERP Zertifikat“ entwickelt, mit dem Unternehmen die technische und organisatorische Sicherheit ihres SAP-Systems durch einen Audit nachweisen können. Zudem freut sich die Werth IT über die erfolgreiche Anbindung ihrer Software „werthAUDITOR“ an das SAP „Enterprise Thread
Detection“ System zur Echtzeiterkennung von Cyberangriffen.

Top-Themen und professionelle Referenten versprechen eine hochkarätige Veranstaltung, die insbesondere SAP-Entscheider nicht verpassen sollten.

 

Titel: 18. Cyber-Sicherheits-Tag der Allianz für Cyber-Sicherheit

Termin: 14. September 2017
ab 9:00 Uhr Registrierung
ab 17:15 Networking

Veranstaltungsort: Stadthalle Kamen, Rathausplatz 2
59174 Kamen

Anmeldung erforderlich: bis 08.09.2017

Teilnehmeranzahl: begrenzt

Teilnahme: kostenfrei

Webseite: https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Termine/ACS/DE/20170914_Teilnehmertag-18.html

Veröffentlicht am

Prüfung des Berechtigungskonzept – Kontrolle der Rechtetrennung (SOD)

Die Rechtetrennung in SAP-Systemen ist ein wichtiger Sicherheitsaspekt, der bei der Vergabe von Berechtigungen berücksichtigt werden muss.

Eben jene Funktionstrennung dient zur konkreten Vorbeugung gegen kostspielige Risiken in den Gehehmigungsprozessen.

 

Ein einfaches Beispiel veranschaulicht die Aufgabe der Rechtetrennung in SAP Systemen:

Ein Benutzer, der Lieferanten anlegen und gleichzeitig Zahlungen an diese durchführen kann, hätte die Möglichkeit Finanzmittel zu unterschlagen. Hierzu muss er lediglich einen fiktiven Lieferanten anlegen und Zahlungen an diesen ausführen.

 

Es liegt natürlich im Eigeninteresse eines Unternehmens, dass die Genehmigungsprozesse eingehalten werden und sicher sind.

Wirtschaftsprüfern hingegen obliegt die Aufgabe der Kontrolle, dass die vergebenen Berechtigungen die Grundsätze der ordnungsgemäßen EDV-gestützten Buchführungssysteme einhalten.

 

Die Menge an Berechtigungen und Rollen, die in einem produktiven SAP-System erstellt und eingesetzt werden, erschwert allerdings die Kontrolle wie auch die konkrete Einhaltung der Funktionstrennung.  Auch der Überblick ist generell schwierig zu wahren.

Die Benutzer- und Rechtepflege ist ein sehr lebendiger Prozess. Schnell wird einem Benutzer eine weitere Rolle hinzugefügt, die im Zusammenhang mit den bestehenden Berechtigungen einen kritische Berechtigungskombination ergibt.

Dies gilt es in alle Bereichen (BC, CS, LE, PP, FI, SD, MM) mit den jeweils individuellen Vorgaben zu beachten. Zusätzlich gilt es ebenfalls kritische Berechtigungen zu erfassen. Beispielsweise sollte klar definiert sein, wer Benutzer anlegen darf und die Berechtigung nur restriktiv vergeben werden.

 

Der Aufwand zur Kontrolle des Berechtigungskonzepts in SAP Systemen addiert sich so schnell auf mehrere Hundert Tests. Doch jeder einzelne Test ist notwendig, um die Einhaltung der GoB Anforderungen zu kontrollieren. Ohne eine automatisierte Software-Lösung ist der Zeitaufwand für diese Aufgabe immens.

 

Hier unterstützt Sie der Werth Auditor mit seinen umfassenden Tests und hilft Ihnen schnell einen Überblick der Benutzer mit kritischen Berechtigungen und Berechtigungskombinationen zu erhalten und kritische Kombinationen sofort zu erkennen. Eine regelmäßige Überprüfung der Berechtigungen sorgt dafür, dass die vorgesehenen Genehmigungsprozesse nicht unterlaufen werden können.
Nutzen Sie jetzt die Möglichkeit zur automatischen und gründlichen Prüfung der Genehmigungsprozesse in SAP Systemen mit dem Werth Auditor.

Veröffentlicht am

Erkennung von Angriffen auf SAP Systeme durch Analyse des SAP Security-Audit-Logs

Das SAP Security-Audit-Log ist ein wesentlicher Bestandteil zur Überwachung der Sicherheit eines SAP Systems. Denn es bietet Monitoring und Kontrollfunktionen, um zu prüfen welche sicherheitskritischen Aktivitäten in der Vergangenheit auf dem System vorgefallen sind.

 

Das Audit-Log wird in der SAP Hilfe wie folgt beschrieben:

Das Security-Audit-Log ist ein Werkzeug für Auditoren, die sich die Ereignisse im SAP-System detailliert ansehen müssen. Wenn Sie das Security-Audit-Log aktivieren, zeichnen Sie die Aktionen auf, die Sie für die Verfolgung als relevant einstufen. Sie können dann in Form eines Audit-Analysereports auf diese Informationen zugreifen und sie auswerten.

Oberstes Ziel des Audit-Log ist die Aufzeichnung von:

  • sicherheitsbezogenen Änderungen an der SAP-Systemumgebung (z. B. Änderungen an Benutzerstammsätzen)
  • Informationen, die mehr Transparenz bieten (z. B. erfolgreiche und erfolglose Anmeldeversuche)
  • Informationen, die der Nachvollziehbarkeit einer Reihe von Ereignissen dienen (z. B. erfolgreiche oder erfolglose Transaktionsstarts)

…

Ist das Audit-Log aktiviert, bietet es eine Kontrolle der protokollierten Ereignisse und somit einen guten Einblick in die Sicherheitslage des Systems.

 

So kann rückblickend festgestellt werden, wann welcher User, welche Berechtigungen oder Profil angelegt wurden.

Auch lässt sich feststellen wer Änderungen an der Audit-Log Konfiguration durchgeführt hat. Im Falle einer Aufarbeitung eines möglicherweise sicherheitsrelevanten Vorfalls sind dies wichtige Informationen.

Doch eine Analyse des Audit-Logs ermöglich es ebenso verdächtige Aktivitäten und Spuren von Angriffen zu erkennen. So wird detailliert protokolliert wann und von wo sich Standard-User wie SAP* eingeloggt haben. Ebenso lassen sich Passwort-Rate Angriffe anhandgescheiterter Logins erkennen.

Auch die RFC-Schnitstelle wird gründlich überwacht. Da diese oftmals ein El-Dorado für Angreifer ist, sollte man auf diese Log-Einträge besonders gründlich schauen.

Insbesondere gilt es heraus zu arbeiten ob kritische RFC-Funktionen aufgerufen wurden oder dies versucht wurde.

Beispielsweise könnte ein (gescheiterter) Aufruf der Funktion RFC_READ_TABLE für den (versuchten) Abfluss von sensiblen Daten stehen. Doch auch nach Funktionen, die (unfreiwillig) die Ausführung von Systembefehlen oder Datenbankabfragen erlauben ist zu suchen.

Auch erfolgreiche oder fehlgeschlagene RFC-Logins geben Aufschluss über mögliche Passwort-Rate-Angriffe.

Sicher sollte eine Anmeldung eines Standardbenutzers wie EARLYWATCH von einem Benutzer-Terminal aus den Argwohn eines Auditors erwecken.

Genauso wie eine Häufung von fehlgeschlagenen Transaktionsaufrufen eines Benutzers, insbesondere wenn es sich hierbei um kritische Transaktionen mit Möglichkeiten zur Rechteausweitung handelt.

 

Mit einer wie zuvor beschriebenen Analyse des Audit-Logs kann man somit beurteilen, ob das System in der Vergangenheit potentiellen Angriffen ausgesetzt war. Weiterhin hat man so auf einen Blick eine Übersicht über alle sicherheitsrelevanten Vorkommnisse auf dem System und kann Turnusmäßig den Status kontrollieren.

 

Aufgrund der vielen Einträge in dem Security-Audit-Log ist eine Automatisierung der Auswertung absolut empfehlenswert. Der Werth Auditor unterstützt Sie hierbei vollständig und hilft Ihnen damit direkt bei der Überwachung Ihres SAP Systems.
Prüfen Sie regelmäßig Ihr Audit-Log und bei Verdachtsfällen kontrollieren Sie das Audit-Log für den relevanten Zeitraum auf die hier beschriebenen kritischen Einträge.