Sicherheit von SAP in Bezug auf neue Technologien
Sicherheit von SAP in Bezug auf neue Technologien
Sicherheit von SAP in Bezug auf neue Technologien
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
<strong>Sicherheit</strong> <strong>von</strong> <strong>SAP</strong> <strong>in</strong> <strong>Bezug</strong> <strong>auf</strong> <strong>neue</strong> <strong>Technologien</strong><br />
Verwendete Produkte<br />
Für die zur Absicherung zu verwendenten Produkte <strong>von</strong> Webapplikationen<br />
kamen vor Allem <strong>in</strong> H<strong>in</strong>blick <strong>auf</strong> die Integrationsanforderungen und das<br />
hohe Schadenspotential <strong>von</strong> <strong>SAP</strong> nur kommerzielle Produkte <strong>in</strong> Frage. Frei<br />
verfügbare Programme wie mod_security 27 bieten ke<strong>in</strong>e vergleichbaren<br />
Schutzmöglichkeiten und ebenfalls nicht die geforderten Funktionen, da<br />
hier Hochverfügbarkeit, Zuverlässigkeit und Performance bei allen<br />
Aufgaben gegeben se<strong>in</strong> muss. Ebenso ist e<strong>in</strong>e professionelle Unterstützung<br />
für Konfiguration der Webapplikationsfirewall und im Fehlerfall<br />
unverzichtbar.<br />
Auf dem Markt s<strong>in</strong>d derzeit nur weniger Anbieter, dennoch wurden für e<strong>in</strong>e<br />
qualifiziertere Aussage über die Absicherungsmöglichkeiten 2 Produkte<br />
verwendet:<br />
Citrix NetScaler 8.0: Nachfolger der ersten verfügbaren<br />
Webapplikationsfirewall 28<br />
NetCont<strong>in</strong>uum 6.0: 29 Webapplikationsfirewall mit den meisten<br />
Installationen <strong>in</strong> Deutschland 30<br />
4.3 Absicherungsmöglichkeiten klassischer<br />
Webapplikationen<br />
Konfiguration der Komponenten<br />
Bei klassischen Webapplikationen gibt es e<strong>in</strong>e große Vielfalt an<br />
Komponenten und für jede Komponente eigene Richtl<strong>in</strong>ien, wie sie<br />
abzusichern s<strong>in</strong>d. Hier s<strong>in</strong>d e<strong>in</strong>ige E<strong>in</strong>stellungen <strong>auf</strong>geführt, die<br />
typischerweise bei e<strong>in</strong>em Audit der bei der cirobank verwendeten<br />
Komponenten <strong>auf</strong>fällig s<strong>in</strong>d oder den besondere Beachtung geschenkt<br />
werden sollte. E<strong>in</strong>e Liste der erarbeiteten Konfigurationsempfehlungen s<strong>in</strong>d<br />
<strong>in</strong> Anhang B: Konfigurationsempfehlungen und Programmierrichtl<strong>in</strong>ien zu<br />
f<strong>in</strong>den.<br />
Programmierrichtl<strong>in</strong>ien<br />
Als zweite Komponente werden e<strong>in</strong>ige Programmierrichtl<strong>in</strong>ien dargestellt,<br />
die für die Vermeidung <strong>von</strong> Schwachstellen <strong>in</strong> Webapplikationen wichtig<br />
27 http://www.modsecurity.org/<br />
28 http://www.citrix.com/<br />
29 Anmerkung: Das hier getestete NCOS 6.0 ist e<strong>in</strong> <strong>neue</strong>s major Release und zum Zeitpunkt der<br />
Diplomarbeit die erste Installation dieser Version <strong>in</strong> Deutschland.<br />
30 http://www.barracudanetworks.com/netcont<strong>in</strong>uum/<br />
Damian Schlager Seite 70
Change language