Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
ein solcher Scan zum Auffinden von den entsprechenden URLs sinnvoll.
Außerdem lässt sich hierdurch auch definitiv feststellen, welche Dienste
auch wirklich aufrufbar sind, unabhängig von einer unter Umständen nur
schwer zu durchschauenden Konfiguration verschiedener Komponenten.
Der Grund für die Erstellung des Skriptes bzw. des Plugins für das Prüfen
der URLs ist, dass diese nicht durch automatisches Crawlen gefunden
werden können. Es ist unter Umständen nicht einmal ein aufrufbares
Rootverzeichnis vorhanden, weswegen ein automatisierter Scan gar nicht
funktionieren und schon bei der ersten Seite stoppen würde. Ein manuelles
Audit wäre aufgrund der Vielzahl an möglichen URLs wie oben erwähnt
ebenfalls nicht möglich. Ebenso existieren kaum Links zwischen den
Applikationen, so dass auch nach Kenntnis von einigen Applikationen
andere noch immer verborgen bleiben.
Zusammenfassend haben also folgende Punkte zur Erstellung des Skriptes
und Plugins zur Überprüfung von SAP Systemen geführt:
Mögliche URLs müssen im Vorfeld bekannt sein
Mögliche URLs können nicht von Hand überprüft werden
Automatische Crawlen der URLs ist im Vorfeld notwendig
Die Basis-URLs, die die Dienste beschreiben, müssen im Vorfeld ein
solches Programm eingetragen werden
Soll nur ein einzelnes System überprüft werden, bestünde auch die
Möglichkeit, dass ein Administrator die theoretisch aufrufbaren URLs
anhand der Konfiguration ermitteln kann. Tatsächlich sind auch
verschiedene Stellen in der Konfiguration die Quellen für die URLs die in
das Skript und Plugin eingetragen wurden. Dennoch soll das Ziel sein, eine
häufiger anwendbare Methode zur Überprüfung zu haben, die es nicht
verlangt, bei jeder Überprüfung sämtliche URLs in der Konfiguration neu
herauszuziehen. Es ist ebenfalls für weitere Überprüfungen wie den
automatischen Teil des Audits über z.B. WebInspect notwendig, diese URLs
in einer geeigneten Form zur Verfügung zu haben.
Bei der Überprüfung der gefundenen URLs tritt ein ähnliches Phänomen auf
wie bei der Referenzapplikation cirobank. Während es für klassische
Webapplikationen jedoch eher selten ist, dass ein HTTP Status 200 als
Antwort auf nicht verfügbare Ressourcen gesendet wird, ist es bei SAP der
Normalfall.
Damian Schlager Seite 41