SAP-Sicherheit durch Antivirus-Schutz und Content-Security gewährleisten

Anbieter zum Thema

fsas-afc-horizontal-2-positive-rgb-nov24 (Fsas)

Fsas Technologies GmbH

FAST LTA GmbH

Onapsis Europe GmbH

TREND MICRO Deutschland GmbH

Wer steht letztlich dafür gerade?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat 2005 erstmals ein Modul zum Thema SAP-Sicherheit in das IT-Grundschutzhandbuch integriert. Dieses Modul regelt nicht nur technische und organisatorische Maßnahmen zum Schutz von SAP-Systemen, es definiert auch klare Zuständigkeiten.

Im Falle des Virenschutzes liegen diese für die Planung und Auswahl beim Unternehmens- bzw. Behörden-IT-Sicherheitsverantwortlichen – also recht hoch in der Verantwortungshierarchie. Implementierung und Betreuung sind ebenfalls definiert und obliegen den Applikations- bzw. Virenschutz-Verantwortlichen.

Gut informierte Unternehmen sind bisher eher eine Seltenheit?

In diesem Bereich scheint noch einiges an Aufklärungsarbeit vonnöten zu sein, insbesondere, weil SAP-Verantwortliche oftmals nur über ein wenig detailliertes Wissen zum Thema Security verfügen und Security-Verantwortlichen der Einblick in die Absicherungsmöglichkeiten bei einem SAP-System fehlt. Hier sehen sich BowBridge und Trend Micro nicht zuletzt auch in der Verantwortung, auf diese Problematik hinzuweisen und bei der Schließung dieser Sicherheitslücke mit Know-how und Lösungen zu helfen.

Wo liegen die größten Risiken im Unternehmen, im Bereich von SAP-Anwendungen zum Opfer von Betriebsspionage zu werden?

Kein SAP-System gleicht dem anderen, daher ist es kaum möglich, eine pauschale Aussage zu Risiko-Potenzialen zu treffen. Generell gilt immer dort ein erhöhtes Risiko-Potenzial, wo Systeme für externe Zugriffe geöffnet werden (müssen). Dabei spielen zum einen Zugriffsmöglichkeiten (z.B. über Standard-Web-Browser) ebenso eine Rolle wie die Implementierung detaillierter Autorisierungsmechanismen.

Somit müssen Unternehmen den Gewinn, der sich aus der nahtlosen Integration externer User in Business-Prozesse ergibt, abwägen gegen das erhöhte Risiko. Insbesondere in Umgebungen, in denen es „den Usern so einfach wie möglich“ gemacht wird, erzeugt die Einfachheit auf der User-Seite (Single Sign-On, Portal-Zugang) natürlich eine höhere Komplexität im Backend, wenn das Sicherheitsniveau gehalten oder gar verbessert werden soll.

Wo liegt der spezifische Lösungsansatz von Trend Micro/BowBridge, bzw. wie weit unterscheidet und ergänzt sich dieser von anderen gängigen Lösungsansätzen aus der IT-Security wie Extrusion und Intrusion Prevention Systemen?

Der Lösungsansatz von BowBridge und Trend Micro unterscheidet sich grundlegend von gängigen Infrastruktur-basierten Lösungsansätzen wie Intrusion (Extrusion) Prevention. Die Mehrzahl dieser Technologien verfolgt den Ansatz, auf Netzwerkebene Regelbrüche zu erkennen, Malware „in Transit“ zu finden oder gar verhaltensbasiert potenzielle Malware zu finden.

AntiVirus Bridge hingegen integriert sich unmittelbar in die Applikationsplattform SAP NetWeaver und extrahiert Dateien beim Upload oder Download. Dies geschieht transparent für die eigentliche Applikation – jedes Mal wenn Standardfunktionen (z.B. SAPGUI-Upload) genutzt werden. Darüber hinaus können aber auch bestehende Applikationen explizit daraufhin geprüft werden, ob sie die Virenscan-Funktionalität nutzen und können entsprechend angepasst werden.

Ein klassischer Anwendungsfall ist das regelmäßige, applikationsübergreifende Scannen von Bestandsdaten in den SAP-Datenbanken. Durch die Integration in der Applikation-Server-Schicht werden weiterhin Informationen zu sicherheitsrelevanten Vorfällen protokolliert.

Auf diese Weise kann beispielsweise der Versuch, eine infizierte Datei hochzuladen, im Kontext einer Benutzersitzung – sofern applikationsseitig implementiert – für Alerting und Risk-Management-Zwecke verwendet werden. Letzteres ist insbesondere im Umfeld der auch in Europa wichtiger werdenden Compliance-Diskussion ein entscheidender Vorteil.