Sicherheit von SAP in Bezug auf neue Technologien
Sicherheit von SAP in Bezug auf neue Technologien
Sicherheit von SAP in Bezug auf neue Technologien
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
<strong>Sicherheit</strong> <strong>von</strong> <strong>SAP</strong> <strong>in</strong> <strong>Bezug</strong> <strong>auf</strong> <strong>neue</strong> <strong>Technologien</strong><br />
Programmierrichtl<strong>in</strong>ien für <strong>SAP</strong><br />
Die empfohlene Benutzung <strong>von</strong> Bibliotheksfunktionen ist gerade bei<br />
<strong>SAP</strong> häufig der Fall, da viel Funktionalität schon bei <strong>SAP</strong> enthalten<br />
ist und im Wesentlichen Anpassungen vorgenommen werden.<br />
Nicht benötigte Funktionen <strong>in</strong> den Bauste<strong>in</strong>en, die angepasst oder<br />
benutzt werden, sollten deaktiviert werden<br />
Ke<strong>in</strong>e Bauste<strong>in</strong>e erstellen oder verwenden, die e<strong>in</strong>en direkten Zugriff<br />
<strong>auf</strong> das Betriebssystem oder die Datenbank erlauben<br />
Die E<strong>in</strong>- bzw. Ausgabeprüfung sollte <strong>SAP</strong> übernehmen, leider ist<br />
diese wie gezeigt nicht vollständig, so dass entweder sichergestellt<br />
se<strong>in</strong> muss, dass e<strong>in</strong>e andere Komponente wie e<strong>in</strong>e<br />
Webapplikationsfirewall die Prüfung übernimmt, oder die Prüfungen<br />
<strong>von</strong> <strong>SAP</strong> ergänzt werden. Dies gilt auch für das Escapen <strong>von</strong><br />
Sonderzeichen<br />
Bei Prüfung <strong>von</strong> Parametern, URLs etc. ist Whitelist<strong>in</strong>g dem<br />
Blacklist<strong>in</strong>g vorzuziehen<br />
Authorisierung, Authentifizierung sollte dem <strong>SAP</strong>-System überlassen<br />
werden<br />
Sensible Informationen sollten nicht <strong>auf</strong> dem Client gespeichert<br />
werden, sowie sensible Aktionen nicht <strong>auf</strong> dem Client ausgeführt<br />
werden. Anzumerken ist hier, dass bei Portalapplikationen sehr viel<br />
Clientaktivität stattf<strong>in</strong>det, aber e<strong>in</strong>e Analyse dennoch ke<strong>in</strong>e<br />
Schwachstellen <strong>auf</strong>gedeckt hat und die <strong>von</strong> <strong>SAP</strong> gelieferte<br />
Clientseitigen Skripte somit als sicher e<strong>in</strong>gestuft werden können.<br />
Fehlerseiten dürfen ke<strong>in</strong>e Applikationslogik preisgeben. Das <strong>SAP</strong><br />
System selbst gibt standardmäßig immer noch Versionsangaben mit<br />
an, je nach Fehlermeldung auch detailliertere Informationen<br />
SSL bevorzugt gegenüber Klartext e<strong>in</strong>setzen. Hierbei sollte <strong>auf</strong> e<strong>in</strong>e<br />
starke Verschlüsselung geachtet werden, da sonst die <strong>Sicherheit</strong> <strong>von</strong><br />
SSL ausgehebelt werden kann<br />
Bei HTTP Methoden ist POST dem GET vorzuziehen, so werden<br />
ebenfalls ke<strong>in</strong>e sensiblen Daten <strong>in</strong> Logs erfasst<br />
Damian Schlager Seite 99
Change language