SAP-Plattformsicherheit und Schwachstellenmanagement SAP-Sicherheit bei Porsche

Anbieter zum Thema

Arvato Systems

Keeper Security EMEA Ltd.

Outpost24 GmbH

Auch wenn mit SAP ST-PI auf den ersten Blick alles in Ordnung zu sein scheint, können sich im Hintergrund Sicherheitslücken auftun. Die Porsche AG entdeckt sie einem speziellen Sicherheitstool und stellte ihr Vorgehen auf einer Veranstaltung der DSAG gemeinsam mit dem Security-Spezialisten Werth IT GmbH vor.

Für Sebastian Rose, IT Plattform Manager SAP bei der Porsche AG, war es eine klassische „Hallo wach“-Sekunde: die Meldung, eine Code Injection Vulnerability im Service Data Download des SAP-Systems sei möglich (9,9 auf der CVSS-Skala!). Die erste Reaktion des Spezialisten für Lizenzmanagement und Sicherheitsfragen: den Status der betroffenen Komponente SAP ST-PI mit dem WerthAuditor zu kontrollieren, einer Softwarelösung zur Sicherheitsbeurteilung von SAP­Systemen der Werth IT GmbH. Die Prüfung ergab, dass das Add-on auf aktuellem Stand ist und erst kurz zuvor gepatcht worden war.

Um die Sicherheitslücke für immer zu schließen, wurde sie in das Angriffsvektoring des Auditors übernommen und dort zwei weitere Prüffälle eingefügt: 1. ob der Hinweis eingespielt ist und 2. ob ein Exploit möglich ist. Als die Security-Software dann jedoch angab, ein Exploit sei trotz enthaltenem Hinweis noch immer möglich, wurden im SAP-Team von Porsche wirklich alle schlagartig wach. Das Wort „false positive“ machte die Runde. Um es vorwegzunehmen: Auch eine absolut kritische Schwachstelle wie in diesem Fall konnte Porsche dank seiner Security-Infrastruktur mit dem Werkzeug von Werth IT sofort aufdecken und korrigieren.

Denn was würde es bedeuten, wenn die Möglichkeit einer SAP All Injection unentdeckt bliebe? IT-Security-Experte Thomas Werth: „Ein Angreifer könnte darüber beliebigen Custom ABAB-Code im SAP-System ausführen und Datenbankbefehle schreibend und lesend herabsetzen. Er könnte auf Tabellen zugreifen, Dateien herunterladen, OS-Kommandos absetzen und so auf Betriebssystemebene eine Backdoor über den SAP Layer einschleusen. Und dann steht womöglich das gesamte Produktivsystem.“

Gefahr aus der Tiefe des SAP-Systems

Dass hier ein vermeintlicher „false positive“ auftrat, lag daran, dass an einer bestimmten Stelle im SAP-System ein Transportüberholer einen älteren Stand verursacht hatte. Die Systemkomponente ST-PI wurde also als aktuell angezeigt, in den Tiefen von SAP war jedoch durch den Überholer trotzdem etwas umgestoßen worden. Mit der Security-Software konnte die Lücke sofort geschlossen werden. Sebastian Rose hat der Vorfall einmal wieder gezeigt: Auch wenn SAP ST-PI auf aktuellem Stand scheint, kann im Verborgenen ein Unheil dräuen. „Einen Hinweis einspielen alleine genügt daher nicht“, so der SAP-Experte, „man muss auch prüfen, welche Angriffsvektoren möglich sind.“

Die Auditor-Software hinterlässt „Zero-Footprint“, d.h. dockt sich out-of-the-box an, ohne dass im SAP-System etwas dafür geändert werden muss. Thomas Werth erklärt, warum: „Wäre der Auditor in SAP integriert, reicht ein einfaches Delete-Statement und das gesamte Sicherheits-Monitoring wäre verschwunden.“ Aus diesem Grund werden auch Log-Dateien immer zusätzlich auf andere Log-Server ausgelagert.

Das Aufdecken von Sicherheitslücken war bei Porsche früher viel aufwändiger. Tabellen wurden ausgelesen, SAP-Profilparameter überwacht, Mandantenhärtung fand statt – das ganze Potpourri aus SAP-Bordmitteln. Die Arbeit mit und die Pflege von zusammenkomprimierten Tabellen ist jedoch aufwändig. Es gibt keine automatisierte Auswertung und kein kontrollspezifisches Alerting, Prüfungen sind teilweise nur manuell möglich und Systembesonderheiten lassen sich kaum herausfinden.

Security ganzheitlich angehen

Die Auditor-Software hat Porsche mandantenspezifisch an seine SAP-Systeme angeschlossen. Sie enthält Zigtausende Prüfungen auf SAP- und Betriebssystemebene und ermöglicht es Porsche dadurch, die Sicherheit eines Systems komplett zu bewerten: Berechtigungen, Codeanalyse, Systemhärtung, Konfiguration, Kontrolle des Loggings, Sicherheit der (RFC-)Schnittstellen, Patch Management. „So verzahnt die IT heute ist, muss man das Thema Sicherheit ganzheitlich angehen“, ist Sebastian Rose überzeugt.

Zu den integrierten Prüfungen kommen weitere Werkzeuge, unter anderem eine Berechtigungssimulation, mit der sich Rollen und Benutzer prüfen und härten lassen. Man kann Prüfkaskaden in eigenen Vorlagen zusammenfassen und sich seine Systemspezifität zusammenstellen (Entwicklungs- oder Testsystem). Es gibt ferner eine automatische Korrektur zur automatischen Behebung von Problemen auf Knopfdruck. In der Oberfläche des Auditors wird dem SAP-Team bei Porsche eine Auswahl an Tests angezeigt.

Für das Monitoring wurde die Methode des Job Schedulings gewählt. Das bedeutet, dass Prüfprojekte zu definierten Zeitrahmen einzeln aufgerufen werden. Die Hintergrundjobs laufen zwischen 30 Sekunden und zwei Minuten, je nach Größe des Systems. Wer das System nutzt, bemerkt in der Regel gar nicht, dass im Hintergrund ein Audit stattfindet.

Integratives Zusammenspiel mit Splunk

Die vom Auditor generierten Prüfergebnisse gilt es im nächsten Schritt, in Reports zu visualisieren. Dafür nutzt Porsche nicht die Security-Software selbst, sondern die Ergebnisse werden an die Log-, Monitoring- und Reporting-Plattform Splunk übertragen, die der Auditor direkt anbinden kann. Im Splunk-Dashboard wurde ein kontrollspezifisches Alerting eingerichtet. Die Plattform prüft, ob ein bestimmtes Szenario eintritt, löst dann einen Alarm aus und generiert gleichzeitig automatisch ein Ticket. Für Splunk und gegen die Alternative SAP Solution Manager hat sich Porsche wiederum aus Gründen der Unabhängigkeit entschieden. „Es ist wie mit den Logs“, sagt Sebastian Rose, „kritische Daten gehören nicht in die Systeme, die geprüft werden. Das wäre ein Jackpot für Angreifer. Wir präferieren daher eine zusätzliche Sicherungsschicht.“

Nächster Meilenstein im Security-Projekt bei Porsche ist das Schnittstellenmanagement. Hier soll eine weitere Software der Werth IT zum Management und für die Überwachung der Schnittstellen zwischen den SAP-Systemen eingesetzt werden. Mit ihr lässt sich aufdecken und grafisch darstellen, welche Systeme ungepatcht und damit verwundbar sind, wo sich veraltete oder defekte RFC-Destinations befinden, wo Absprünge in höher privilegierte Systeme möglich sind etc. Durch solche und weitere Funktionen will Porsche die Transparenz seiner SAP-Landschaft weiter erhöhen - zusätzlich zur bereits erreichten Verbesserung der SAP-Sicherheit.

Über den Autor: Frank Zscheile ist IT-Journalist aus München.

(ID:47161044)