Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
Dennoch hat sich die Basisinstallation des NetWeaver ohne spezielle
Applikationen als resistenter gegenüber Angriffen gezeigt, als es bei
klassischen Webapplikationen der Fall ist.
Insbesondere der JAVA-Stack hat keine generischen Angriffe, die
unabhängig von einer vom Kunden verwendeten Applikation sind,
zugelassen.
Bei einer vollständigen Überprüfung eines SAP Systems als Ganzes und
nicht nur einzelner Webapplikationen ist die grösste Herausforderung das
Auffinden tatsächlich verfügbarer Dienste. Sobald alle erreichbaren
Webapplikationen bekannt sind, kann im Wesentlichen ein Audit wie bei
klassischen Webapplikationen durchgeführt werden, natürlich unter
Beachtung der SAP-Besonderheiten wie globale Parameter.
Auf diese Weise können außerdem Fehlkonfigurationen an der
Rechtevergabe schnell und effektiv erkannt werden. Ein untergeordneter
Punkt hierbei ist auch die Informationsgewinnung. Teile der Applikation,
wie z.B. durch direkten URL-Aufruf sichtbare Teile ohne
Nutzungsberechtigung oder auch Fehlerseiten können so schon durch das
automatische Audit durch einen Webapplikationsscanner wie WebInspect
gefunden werden.
3.5 Zusammenfassung
Bei der klassischen Webapplikation, die als Referenz verwendet wurde,
verlief die Überprüfung wie es im Vorfeld zu erwarten war. Das
automatische Audit des Scanners funktionierte bis auf einige kleinere
Schwächen problemlos und lieferte auch, abgesehen von ungewöhnlich
vielen false-Positives, sehr gute Ergebnisse. Die manuelle Überprüfung
vertiefte diese noch und förderte auch bedeutsame Schwachstellen zu
Tage, die der Scanner nicht fand. Insgesamt verhielt sich die klassische
Webapplikation wie Webapplikationen, die man auch im Internet findet und
auch die Überprüfung war vergleichbar, sowohl in Hinblick auf den Ablauf
als auch auf die Ergebnisse.
Bei SAP zeigte sich zunächst, dass schon das automatische Audit nicht ohne
Weiteres möglich ist und der Scanner zunächst darauf vorbereitet werden
muss. Bei der daraufhin möglichen Überprüfung waren die Ergebnisse
sowohl bei ABAP auch auch bei JAVA von einer Masse an false-Positives
geprägt. Darüber hinaus waren verifizierbare, also echte Schwachstellen
Damian Schlager Seite 60