Patch-Prozess als Risikofaktor für SAP

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

TXOne Networks

Patch-Retrospektive für das Jahr 2014

Der Blick auf 2014 zeigt, wie hochgefährliche Lücken die gesamte SAP-Plattform betrafen. Wer mit dem Patchen nicht nachkommt, verpasst auch Notes zu Bedrohungen, die mitunter die Nicht-SAP-Sicherheitsdiskussion berühren. So die Note 2005441 zum Thema Heartbleed, die 27 Produkte von Sybase, HP, Mobile Solutions oder die SAP Business Suite betrifft.

Eine ganze Serie von Patches mit den CVE-Nummern CVE-2014-6271,-7169, -7186, -7187, -6277, -6278 widmen sich der Shellshock-Familie. Diese Software-Sicherheitslücken in der Unix-Shell Bash ermöglichen es, ungeprüft Programmcode auszuführen. Betroffen waren hier SAP-Systeme, die auf Suse, einigen HP-UX-Versionen, AIX, Soraris, RedHat und Oracle Linux laufen.

Ein anderes prominentes Beispiel ist Poodle – die Sicherheitslücke, die es erlaubt, über verschlüsselte Verbindungen übermittelte private Daten von Clients und Servern auszulesen. Opfersysteme sind hier die Transaktionslayer, SAP HANA und SAP Netwaver sowie alle darauf basierenden Applikationen oder auch mobile SAP Lösungen von Sybase oder Afaria.

Analysiert man alle Patches, sind vor allem folgende Bereiche bedroht:

• die SAP Buisness Suite,

• SAP HANA,

• SAP Afaria Server - also auch die Verwaltung mobiler Geräte,

• Sybase Unwired Platform – zur Erstellen und Verwalten mehrerer mobiler Anwendungen, die eine sichere Verbindung aller wichtigen Gerätetypen mit verschiedensten Backend-Datenquellen herstellen,

• Sap Sybase Adaptive Server Enterprise – und damit eine zentrale Datenbank für Geschäftsdaten, und

• SAP SQL Anywhere.

Hauptangriffsziele auf Transaktionsebene sind SAP Netweaver und die SAP Business Suite (17 entdeckte Sicherheitslücken, 22 veröffentlichte Patches), SAP HANA (18 Lücken, sechs Patches) oder Business Objects (acht Lücken, fünf Patches).

Die Möglichkeiten nicht gefixter Sicherheitslücken sind beeindruckend. Security Note 2015446 ermöglicht die unautorisierte Injektion von XSJS Code in der SAP HANA Web-Based Development Workbench. Ausgenutzt wird diese Lücke durch das Erstellen einer HTTP POST Anfrage.

Die Security Note 2039905 führt einen CORBA Call aus und kann unter Ausnutzung einer lückenhaften Autorisierung Administrator-Sessions hijacken, Nutzerpasswörter lesen und so als Basis für weitere Angriffe dienen. Die Liste ließe sich noch lange fortsetzen. Eine Lücke in Business Objects ermöglicht sogar einen Shut-Down von kompletten SAP-Systemen.

Patching-Lücken schließen

Wie lässt sich das Problem beheben? Naheliegend wäre, einfach regelmäßig zu patchen – wenn man damit nachkommt. Wichtig dabei ist zuerst einmal eine Überprüfung der Patch-Lücken. Dazu bedarf es eines kontinuierlich durchgeführten Assessments von Verwundbarkeiten.

Manchen Unternehmen fehlen dafür aber einfach die personellen und zeitlichen Ressourcen. Lösungen scannen hier SAP-Server in kürzester Zeit. Solche Scans sind dann auch regelmäßig durchzuführen. Sie zeigen die Effekte einer Bedrohung, wenn sie böswillig ausgenützt würden.

Auditoren erhalten so einen Echtzeitstatus als augenfällige Diskussionsgrundlage für eine Durchführung und Priorisierung von Patches. Fortgeschrittene Technologien bieten mittlerweile die Analyse einer SAP-Instanz innerhalb von Minuten und eine genaue schrittweise Anleitung, welcher Patch wie zu installieren ist.

Manche Anwendungen bieten zusätzlich einen Echtzeitschutz, um die zeitliche Lücke zwischen dem Entdecken einer Lücke und dem Erscheinen eines Patches zu schließen. Aufgrund der Komplexität von SAP-Implementierungen im Schnitt 12 Monate, bis zur Implementierung im Schnitt dann aber noch mal ein halbes Jahr.

Zero-Day-Attacken lassen sich derweil mit Fingerprints blockieren, parallel werden auch interne Bedrohung oder eventuell bereits ausgebeutete Lücken durch das Erkennen von anomalem Nutzerverhalten identifiziert. Wenn ein Mitarbeiter aus der Entwicklung plötzlich auf den Server des SAP-HCM-Moduls oder FI-Moduls zugreift, dann scheint eine Lücke verletzt worden zu sein. Aber der Zugriff lässt sich belegen, lokalisieren und stoppen.

* Gerhard Unger ist Vice President EMEA bei Onapsis.

(ID:43182058)