Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
Hierbei hat sich gezeigt, dass bei der Überprüfung der Webapplikationen
eines SAP-Systems zusätzliche Vorbereitungen getroffen werden müssen
um eine Überprüfung vernünftig und vollständig durchführen zu können.
Die Komplexität von SAP-Systemen ist hier einer der Hauptgründe, weshalb
die Sicherheit von SAP-basierten Webapplikationen kaum oder gar nicht
behandelt wurde. Diese Komplexität setzt sich auch bei den
Webapplikationen fort und erfordert weitere Schritte um eine Überprüfung
durchzuführen. Eine der ersten Fragen ist, welche Dienste bzw.
Webapplikationen auf dem SAP-System aufrufbar sind. Schon dies ist in
den meisten Fällen unbekannt und eine einfache Möglichkeit die tatsächlich
vorhandenen Dienste zu erkennen fehlt.
Daher ist der erste Schritt bei der Überprüfung der Webapplikationen eines
SAP-Systems festzustellen, welche Dienste bzw. Webapplikationen
angeboten werden. Hierfür wurde zunächst ein Perl-Skript gefertigt, später
dann auf ein Plugin für den auch schon bei den klassischen
Webapplikationen verwendeten WebInspect geschrieben, der diese Arbeit
übernimmt. Dies kann nur automatisiert durchgefürhrt werden, da die
mögliche Zahl an Diensten schon bei einer Basisinstallation ohne weitere
Komponenten sehr hoch ist. Die einzelnen von einem SAP-System
angebotenen Webapplikationen zeichnen sich durch eine eindeutige Starturl
aus. In den in dieser Diplomarbeit verwendeten SAP-Systemen der Version
7.00 konnten insgesamt über 2000 URLs identifiziert werden (Tabelle 1:
Anzahl der SAP URLs).
Tabelle 1: Anzahl der SAP URLs
Komponente
URLs
ABAP-Stack: 569
JAVA-STACK: Shortcuts zu anderen Applikationen 130
JAVA-STACK: Webdynpro-Applikationen 390
JAVA-STACK: Portal-Applikationen 1008
JAVA-STACK: gesamt: 1528
SAP gesamt 2097
Dienste ohne Shortcuts 1976
Auf Nachfrage bei Verantwortlichen ist die genaue Kenntnis darüber,
welche Dienste angeboten werden nur selten vorhanden, schon daher ist
Damian Schlager Seite 40