Interview zu SAP-Sicherheit

SAP HANA von Grund auf sicher konfigurieren

| Redakteur: Stephan Augsten

Security-Insider: Wie hoch schätzen Sie die Gefahr durch Angriffe auf SAP HANA ein?

Nunez: Die Risiken sind groß und mit SAP HANA verbreiten sich die Gefahren. Sabotage, Spionage, Betrug aber auch die permanente Kontrolle eines ganzen Systems bis hin zum Herunterfahren einer kompletten Infrastruktur können nicht nur enorme technische, sondern auch wirtschaftliche Auswirkungen haben.

Die Spionage von Unternehmens-Know-how kann unmittelbar die eigenen Wettbewerbsvorteile bedrohen. Wenn Sicherheitslücken dazu führen, dass Compliance-Standards nicht eingehalten werden, stehen Unternehmen im Ernstfall schlecht da.

Wenn Daten in falsche Hände geraten, können eventuelle Schadenersatzforderungen und Strafzahlungen große finanzielle Dimensionen annehmen – abgesehen vom Imageverlust. So überlebte etwa USIS, ein US-amerikanischer Personal-Dienstleister für die US-Regierung und die Homeland-Security, die Entwendung der Personendaten von mindestens 27.000 Personen – nach anderen Angaben sogar 48.000 Personen – nicht mehr.

Uns liegen Aussagen von zuständigen CISOs, vor, die den Schaden bei Shutdown eines Systems auf rund 22 Millionen Dollar pro Minute beziffern. Zudem haben SAP HANA-Infrastrukturen eine hohe allgemeine Sicherheitsrelevanz durch ihren Einsatz bei Unternehmen im Energiesektor, in der Pharmazie oder auch in Behörden.

Security-Insider: Wer ist schuld an dieser Situation?

Nunez: Schuldzuweisungen nutzen immer wenig. Alle Beteiligten tun ihr Bestes. Auch der Hersteller warnt regelmäßig vor Lücken und gibt Patches aus. Wir unterstützen das und arbeiten daher eng mit SAP zusammen. Dennoch dauert es aufgrund der Komplexität der Plattformen lange, Sicherheitslücken zu schließen – im Schnitt vergehen nach unseren Beobachtungen von der ersten Entdeckung einer Lücke bis zum Einspielen des Patches bei Unternehmen 18 Monate.

Schließlich, aber auch nicht zuletzt, soll ja SAP auch die Produktivität steigern: Das verlangt eigentlich nach dem freien Zugang und flexiblen Austausch von Daten und der Möglichkeit, mit privilegierten Accounts schnell agieren zu können. Gerade Default-Konfigurationen in Testumgebungen öffnen den Gefahren Tür und Tor.

Bei den komplexen SAP-Landschaften mit zahlreichen Instanzen, die jeweils bis zu 1500 Konfigurationsparameter kennen – davon bis zu 20 Prozent sicherheitsrelevante Parameter –, verlieren IT-Administratoren, Fachabteilungen und CISOs schnell den Überblick. Dieser Zustand muss vor allem den CISO alarmieren, denn er ist verantwortlich, alle Beteiligten an einen Tisch zu bringen und die Sicherheitsrichtlinien vorzugeben.

Security-Insider: Was sollte man tun, um Risiken in SAP HANA zu beheben?

Nunez: Es gibt viel zu tun. Das Einspielen von Patches, die Anwendung von Governance Risk and Compliance und Segregation of Duties sind dabei nur ein Teil der IT-Sicherheits-Hausaufgaben. Entscheidend ist eine korrekte Basiskonfiguration. Die Kommunikation über Trexnet zum Beispiel trennt man idealerweise vom Endanwender-Netz und schließt auch Zugriffe über andere Netzwerke ab. Die Datenübertragung erfolgt am besten nur mit geeigneter Verschlüsselung.

Angemessene Authentifizierungsmechanismen gehören zu einer Pflichtübung in Sachen IT-Sicherheit, die dennoch oft unterlassen wird. Ohne Neukonfigurationen verlässt man sich besser nicht auf Default-Installationen. TrexNet verfügt etwa bei Default-Konfiguration in allen SAP-HANA-Versionen bis zu SPS7 über eine Anbindung an externe Netzwerke, eine Verschlüsselung ist standardmäßig nicht vorgesehen und eine SSL-Authentifizierung gibt es erst mit Version SPS10.

Eine weitere Rolle spielt die Überwachung der Nutzeraktivitäten. Insbesondere SQL-Zugriffe und der HTTP-Datenverkehr sind in Echtzeit zu verfolgen. Login-Einträge belegen oft auffällige Zugriffsmuster, etwa wenn der vermeintlich legitimierte Anwender aus der Finanzabteilung sich nicht mehr aus dem heimischen Büro, sondern aus dem Ausland oder zu ungewöhnlichen Zeiten einwählt. Aber auch auffällige Datenübertragungen werden sichtbar.

Ohne eine kontinuierliche, automatische und in Minutenschnelle durchgeführte Überprüfung von SAP-Landschaften auf Sicherheitslücken laufen aber auch diese Maßnahmen ins Leere. Ein solcher Check zeigt die geschäftlichen Auswirkungen der Risiken auf, ermöglicht die Priorisierung der Sicherheitslücken und gibt Handlungsempfehlungen zu ihrer Behebung. Zugleich bietet er dem CISO die Möglichkeit, seine Aufgabe zu erfüllen: Die Überwachung der Sicherheitslage, das Einschätzen der Risiken und die Koordination der Sicherheitsmaßnahmen.

Inhalt des Artikels:

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43820559 / Datenbanken)