Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
die Rechte, die Benutzer auf Applikationen haben, definieren. Applikationen
müssen schon beim Deploy diesen Security Zones zugeordnet werden,
daher ist die Planung von erforderlichen Security Zones eine der
wichtigsten Arbeiten bei der Konfiguration eines SAP Systems mit JAVA
Stack. Die Rechte der Benutzer, Rollen etc. werden dann ebenfalls diesen
Security Zones zugeordnet, wodurch ein Sicherheitskonzept entsteht, in
dem Applikationen im Idealfall nur für die Benutzer aufrufbar sind, die
damit arbeiten müssen.
Schon ausgehend von der Basisinstallation können noch einige Dienste
optimiert werden, für das es auch ein eigenes Dokument von SAP gibt 33 .
Hierbei muss allerdings auch erwähnt werden, dass eine solche optimierte
Konfiguration Einschränkungen der Funktionalität zur Folge haben können.
Daher gibt es gleich mehrere weitere Empfehlungen von SAP, wie Probleme
bei Anwendung des Dokumentes behoben werden können.
Ergänzend gibt es noch rudimentäre möglichkeiten, den Webzugriff zu
konfigurieren; die wesentlichen Einstellungen sind hier das Deaktivieren
von Directory Listings und das mögliche Entfernen von Links zu nicht
öffentlichen Applikationen.
Zusammenfassend lässt sich sagen, dass die Konfigurationsmöglichkeiten
bei SAP, die die Sicherheit in Hinblick auf die Webapplikationen erhöhen,
kaum vorhanden sind. Im ABAP Umfeld beschränken sich die meißten
Informationen auf Empfehlung für die Arbeit mit der SAP GUI. Das
Webumfeld, in das SAP immer mehr integriert wird, wird kaum oder gar
nicht behandelt.
Der Größte Anteil der Konfigurationsmöglichkeiten wird von Benutzer und
Rechtemanagement bestimmt, das auch tatsächlich einen gewichtigen
Anteil an einem so komplexen und von vielen Benutzern verwendetem
System darstellt 34 .
Programmieransätze
Bei den Empfehlungen zur sicheren Programmierung gibt es große
Unterschiede zu Empfehlungen für klassische Webapplikationen. Viele der
Funktionen, die bei klassischen Webapplikationen erst implementiert
33 How To... Secure Permissions for Initial Content in SAP Enterprise Portal
34 Angemerkt sei hier nochmals die Komplexität, die sich durch alle Bereiche bei der Untersuchung
oder Administration von SAP Systemen bemerkbar macht. Eine von SAP veröffentlichte Liste mit den
von SAP verwendeten Ports erstreckt sich schon alleine über 14-Seiten, die die von den Systemen
verwendeten Ports beschreibt und die sich über den beinahe gesamten Portbereich verteilen und
gegenseitig überlagern.
Damian Schlager Seite 78