Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
Abbildung 32: Statisches Regelwerk
Die Anwendung der gefunden Webapplikationsangriffe sollten zeigen, ob
zum einen der Einsatz auch dieser Webapplikationsfirewall den
Anforderungen genügt und außerdem, wie groß der Unterschied des
Schutzlevels zwischen dynamischem und statischem Regelwerk bei
klassischen Webapplikationen ist.
Im Wesentlichen hat sich hierbei bestätigt, dass auch hier ein gutes
Sicherheitsniveau erreicht werden kann und auch dieses Produkt für den
Einsatz zur Absicherung einer klassischen Webapplikation geeignet ist. Mit
nur jeweils einer Ausnahme wurden alle Angriffe sowohl mittels des
dynamischen als auch des statischen Regelwerks geblockt (Abbildung 33:
Geblockter Angriff bei NetContinuum) und eine Fehlerseite angezeigt, die in
diesem Fall von der NetContinuum selbst ausgeliefert wird.
Abbildung 33: Geblockter Angriff bei NetContinuum
Das dynamische Regelwerk erkannte den für Parameter tampering
anfälligen Parameter ‚cid’, mit Hilfe dessen ein Benutzer die Applikation in
den Administrationskontext setzen kann, fälschlicherweise als
Eingabeparameter und hat somit diesen Angriff nicht verhindert.
Ein manuelles Anpassen der Parameterart auf ‚Read-Only’ behob dieses
Problem, so dass ein vollständiger Schutz gegeben war und der Angriff von
der Webapplikationsfirewall abgefangen wurde (Logfileauszug in Abbildung
34: Geblocktes Parameter Tempering).
Damian Schlager Seite 74