Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
4 Vergleich klassischer Webapplikationen mit SAP
aus Verteidigersicht
Im Folgenden soll ein Vergleich gezogen werden zwischen den
Möglichkeiten und dem Aufwand zur Absicherung der Gefahren, die in
Kapitel 2.3.4 aufgezeigt wurden. Das Ziel einer Absicherung ist die
Minimierung der Gefahren und Angriffpunkte, so dass eine erhöhte
Sicherheit im Sinne der IT-Sicherheit (vgl. Definition in Kapitel 2.2.1)
entsteht. Da niemals eine hundertprozentige Sicherheit bestehen kann,
muss immer zwischen dem Aufwand und dem erzielbarem
Sicherheitsgewinn abgewogen werden.
Bei der Absicherung eines IT-Systems genügt es nicht, sich nur auf eine
Ebene, wie z.B. der Absicherung des Betriebssystems zu konzentrieren.
Vielmehr muss eine ganzheitliche Betrachtung vorgenommen werden, die
alle Komponenten mit einbezieht. Wesentliche Bereiche in Hinblick auf
Webapplikationen sind die sichere Konfiguration des Betriebssystems, das
auch einspielen von Patches beinhaltet, ein sicherer Aufbau und
Konfiguration des Netzwerkes und der Komponenten des Netzwerkes, eine
sichere Konfiguration der auf den IT-Systemen installierten Komponenten
und Diensten sowie eine sichere Programmierung um die in Kapitel 2.3.4
vorgestellten Gefahren zu vermeiden.
Dieses Kapitel beschäftigt sich nicht mit Absicherungsmöglichkeiten von
Betriebssystemen und Netzwerken, sondern mit spezifischeren
Möglichkeiten zur Absicherung von Webapplikationen bzw.
Webapplikationen auf Basis von SAP. Dies beinhaltet die sichere
Konfiguration der für Webapplikationen zentralen Diensten und
insbesondere SAP Systeme, sowie zentrale Aspekte einer sicheren
Programmierung. Besonderen Wert legt gelegt wird auf eine auch in der
Praxis bevorzugten, weitere Ebene, die versucht, die Webapplikationen auf
Anwendungsschicht gegen alle Gefahren, die in Kapitel 2.3.4 beschrieben
werden, abzusichern und somit eine zusätzliche Sicherheitsschicht darstellt,
die den Bereichen sichere Programmierung und Konfiguration übergeordnet
ist.
In diesem Kapitel wird nach einer Einführung in vorgeschlagene und
verwendete Sicherheitsarchitekturen in Hinblick auf Netzwerktopologien
und der Erklärung der prinzipiellen Funktionsweise der dazugehörigen
Webapplikationsfirewalls sowohl die Abischerung der Webapplikation
cirobank als exemplarischem Beispiel von klassischen Webapplikationen als
Damian Schlager Seite 62