Sicherheit von SAP in Bezug auf neue Technologien
Sicherheit von SAP in Bezug auf neue Technologien
Sicherheit von SAP in Bezug auf neue Technologien
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
<strong>Sicherheit</strong> <strong>von</strong> <strong>SAP</strong> <strong>in</strong> <strong>Bezug</strong> <strong>auf</strong> <strong>neue</strong> <strong>Technologien</strong><br />
s<strong>in</strong>d. Es werden sowohl allgeme<strong>in</strong>e, sprachenübergreifende Empfehlungen<br />
gegeben, als auch spezifischere, <strong>auf</strong> Schwachstellen e<strong>in</strong>zelner<br />
Programmiersprachen gerichtete Empfehlungen. E<strong>in</strong>e detaillierte Liste<br />
f<strong>in</strong>det sich wiederum auch hier <strong>in</strong> Anhang B: Konfigurationsempfehlungen<br />
und Programmierrichtl<strong>in</strong>ien.<br />
Absicherung mittels der Web Application Firewalls<br />
E<strong>in</strong> Umprogrammieren <strong>von</strong> Applikationen ist, wie die praktische Erfahrung<br />
zeigt, nicht immer durchführbar und mit erheblichem Aufwand verbunden.<br />
Gerade bei <strong>SAP</strong>, so haben auch Gespräche des Verfassers mit Entwicklern<br />
gezeigt, ist e<strong>in</strong> Umprogrammieren bestehender Applikationen, <strong>in</strong>sbesondere<br />
der <strong>von</strong> <strong>SAP</strong> bereitgestellten Teile, oft problematisch. Immer häufiger 4<br />
wird <strong>auf</strong> den E<strong>in</strong>satz e<strong>in</strong>er Webapplikationsfirewall als e<strong>in</strong>e der<br />
<strong>Sicherheit</strong>skomponenten gesetzt, die Fehler bei der Konfiguration der<br />
beteiligten Komponenten und der Programmierung auszugleichen versucht.<br />
Für die Bearbeitung der Diplomarbeit hat der Verfasser dieses Element als<br />
praktische, übergreifende Komponente exemplarisch für die Absicherung<br />
sowohl der klassischen Webapplikation als auch <strong>von</strong> Webapplikationen <strong>auf</strong><br />
Basis <strong>von</strong> <strong>SAP</strong> verwendet um deren Eignung e<strong>in</strong>er Prüfung zu unterziehen.<br />
Bei der klassischen Webapplikation wurden ke<strong>in</strong>e Probleme erwartet. Zwar<br />
wurde die Konfiguration e<strong>in</strong>er Webapplikationsfirewall für die<br />
Webapplikation cirobank zum ersten Mal durchgeführt, jedoch s<strong>in</strong>d die<br />
Webapplikationsfirewalls weit genug entwickelt, um bei den meisten RFCkonformen<br />
Webapplikationen mit vertretbarem Aufwand den geforderten<br />
Schutz erbr<strong>in</strong>gen zu können.<br />
Als ersten Schritt wurde die Webapplikation cirobank durch Citrix NetScaler<br />
8 gesichert, wobei der bevorzugte Lernmodus verwendet wurde.<br />
Im Lernmodus werden alle Seiten, Parameter, etc. der Applikation mit<br />
deren Länge und Art der erlaubten Zeichen gelernt und bei Bedarf diese<br />
Regelungen wieder angepasst. Dies kann dazu führen, dass die Regeln sehr<br />
zahlreich werden und der vor Allem <strong>in</strong> Deutschland geforderten<br />
Nachvollziehbarkeit und Wartung im Wege stehen. Daher wurden zu<br />
zahlreiche, detaillierte Regeln durch generalisierte Regeln ersetzt, die dann<br />
zwar e<strong>in</strong> theoretisch weniger hohes <strong>Sicherheit</strong>sniveau bieten, aber durch<br />
die praktische Prüfung mittels der Angriffe, für die die Webapplikation<br />
verwundbar ist, vom Verfasser als ausreichend befunden wurde.<br />
Damian Schlager Seite 71
Change language