SAP-Sicherheit in der Cloud: Eine starke Verteidigung ist der erste Schritt

Die Sicherung einer SAP-Umgebung ist für jedes Unternehmen von entscheidender Bedeutung, und mit der zunehmenden Nutzung öffentlicher Clouds für diese Umgebungen wächst auch die Sorge um die SAP-Sicherheit. 

Bei diesen Hyperscalern arbeiten Teams rund um die Uhr, um sicherzustellen, dass ihre Lösungen unangreifbar sind. Häufig werden auch Cybersicherheitslösungen von Drittanbietern eingesetzt, um sicherzustellen, dass diese Umgebungen sicher und geschützt sind. Ein starker Schutz für Ihr Netzwerk oder Ihre Cloud-Umgebung ist nur der erste Schritt, um Ihre SAP-Systeme für Eindringlinge unzugänglich zu machen.

Geeignete Migrationstechniken für die Sicherheit

Es ist wichtig zu beachten, dass viele der unten aufgeführten Sicherheitsthemen in Ihrer Umgebung vor Ort festgelegt und gesichert sein können. Bei der Migration müssen jedoch bestimmte Sicherheitsaspekte der Umgebung geöffnet/freigegeben/exponiert werden, um die Migration abzuschließen. Wenn Sie auf der grünen Wiese oder mit einer brandneuen Installation in der Cloud beginnen, ist es wichtig, auch diese Komponenten zu verstehen. 

Die meisten dieser technischen SAP-Sicherheitsmaßnahmen, die über die Cybersicherheit hinausgehen, werden zum Zeitpunkt der Installation oder bei Migrationsprojekten aufgedeckt. Daher können sie unbemerkt bleiben oder in Vergessenheit geraten, bis es zu spät ist. Ein gutes technisches SAP-Audit sollte helfen, diese Schwachstellen aufzuspüren, aber wie wir alle wissen, ist es nicht die beste Praxis, darauf zu warten, dass ein Audit Sie über Ihre Sicherheitsschwachstellen informiert.

Verständnis der SAP-Datenbanksicherheit

Die Datenbank ist das Herzstück des SAP-Systems. Alle Daten der Umgebung befinden sich in diesen Tabellen, zusammen mit allen anderen Systemkomponenten. Wenn die Datenbank offen liegt, ist sie für diejenigen offen, die wissen, wie man sie entfernt, verändert oder zerstört.

Das wirklich Interessante an SAP-Datenbanken ist jedoch, dass nur sehr wenige Datenbankbenutzer erforderlich sind. Während eine Nicht-SAP-Datenbank Hunderte von Benutzern mit Zugang haben kann, gibt es in einer SAP-Umgebung nur eine Handvoll Benutzer, da das Protokoll dafür sorgt, dass zusätzliche Zugriffe auf die Datenbank unter Verschluss gehalten werden.

Es gibt einen primären Datenbankbenutzer, der eine Verbindung zur eigentlichen SAP-Anwendung herstellt, und nur einige wenige Support-Benutzer, die für das technische Support-Team eingerichtet wurden. Das war's. Es sollten keine weiteren Benutzer definiert werden. Alltägliche Benutzer brauchen keinen Zugriff auf die Datenbank zu haben. 

Sicherheitstipp

Wenn ein zufälliger Benutzer auf der Datenbankebene erstellt wird, sollten alle extremen Maßnahmen ergriffen werden, um diesen Benutzer zu benachrichtigen, zu melden und zu beseitigen. Wenn eine Person mit böswilligen Absichten es irgendwie schafft, die Cloud-Sicherheit, die Cybersicherheit und die Sicherheit auf Betriebssystemebene zu überwinden, muss sichergestellt werden, dass sie nicht in die Datenbank gelangen kann. 

Die SAP-Anwendungsschicht

Der Zugriff auf die Datenbank ist nicht der einzige Weg, um an sichere Daten zu gelangen. Auch wenn die Datenbankebene angemessen gesichert ist, gibt es immer noch Möglichkeiten, über die Anwendungsebene an die Daten heranzukommen. Ähnlich wie bei der Datenbankebene gibt es bestimmte Möglichkeiten, die Anwendungsebene abzuschotten und zu sichern, falls jemand über die anfängliche Netzwerk- und Betriebssystemsicherheit hinaus eindringt. 

Sicherheitstipp

Die Anwendungsschicht muss nach der Migration oder Installation in die öffentliche Cloud möglicherweise ordnungsgemäß gesichert werden.

Häufige Sicherheitslücken

Am besten ist es, die Sicherheit vor der Freigabe für das Unternehmen zu überprüfen und kontinuierlich zu überwachen. Hier sind die häufigsten Sicherheitslücken.

Profile-Parameter:

Profilparameter innerhalb von SAP sind verschiedene Einstellungen, die sich auf die Sicherheit, den Zustand und die Leistung auswirken. Diese können entweder auf der Ebene des Betriebssystems oder der SAP-Anwendung geändert werden. Innerhalb dieser Parameter gibt es verschiedene Sicherheitseinstellungen, die leicht dazu führen können, dass jemand mit böswilligen Absichten Zugriff auf alle Daten oder die Möglichkeit zur Ausführung im System erhält (z. B.: Erstellen von Zahlungen an sich selbst, Sammeln von persönlichen Daten, Erstellen von Kundenaufträgen usw.).

Client-Einstellungen:

Innerhalb des SAP-Systems gibt es verschiedene "Mandanten", die der Einfachheit halber zur Trennung von Informationen verwendet werden. Die Möglichkeit, Änderungen in verschiedenen Systemen, z. B. einem Produktionssystem, vorzunehmen, ist eingeschränkt. Normalerweise müssen alle Änderungen in der Entwicklung erstellt, in einer Qualitätssicherungsumgebung getestet und schließlich in die Produktion übertragen werden. Durch das Sperren von Produktionssystemen, um sicherzustellen, dass Änderungen nicht direkt in der Produktion vorgenommen werden können, wird ein ordnungsgemäßes Testen gewährleistet, das zu einer Gefährdung des Systems führen könnte. In seltenen Fällen kann es vorkommen, dass diese Einstellungen für einen kurzen Moment geöffnet werden müssen, um eine schnelle Änderung vorzunehmen, aber diese Client-Einstellungen sollten sofort wieder gesperrt werden. Wenn dies vergessen wird, könnte jeder, der Zugang zu Ihrer Cloud-Umgebung hat und von diesen geöffneten Client-Einstellungen in einem Produktionssystem weiß, die Vorteile einer Änderung nutzen, die mehr Zugang ermöglicht und völlig unbemerkt bleibt.

Softwarekomponenten:   

Jedes SAP-System besteht aus verschiedenen Softwarekomponenten. Jede dieser Komponenten hat ihre eigene Support-Pack-Stufe, die möglicherweise für verschiedene Sicherheitslücken offen ist. Wenn festgestellt wird, dass eine dieser Komponenten auf einem bestimmten Patch-Level ein Sicherheitsproblem aufweist, gibt SAP sofort ein "HotNews"-Update heraus, um seine Kunden zu warnen. Dies ist nicht nur auf On-Premise-Umgebungen beschränkt, sondern wirkt sich auch direkt auf Systeme aus, die in öffentlichen Clouds laufen. Es gibt eine Skala von 1 bis 10, wobei 10 der kritischste Wert ist, der gepatcht werden muss. Es ist wichtig, dass Sie über eine Überwachung verfügen, die diese wichtigen HotNews-Schwachstellen identifiziert und Sie darüber informiert, für welche Ihrer Systeme diese spezielle HotNews relevant ist. 

Kernels:

SAP hat auch einen eigenen Kernel mit einem eigenen Patch-Level. Ähnlich wie bei den Software-Komponenten werden auch bei den Kernels Sicherheitslücken gefunden, die sofort gepatcht werden müssen. Es wird oft der Irrglaube geäußert, dass der Kernel nicht betroffen ist, da sich Ihre Umgebung in der öffentlichen Cloud befindet, obwohl dies durchaus der Fall sein kann. Es empfiehlt sich, nicht nur einen Mechanismus zur Erkennung veralteter Kernel einzurichten, sondern auch eine Lösung zur schnellen und effizienten Verwaltung automatischer Aktualisierungen dieser Kernel.

Verbesserung der SAP-Sicherheit

SAP-Sicherheit in der öffentlichen Cloud bedeutet nicht unbedingt, dass Ihr System vor Schwachstellen oder Angriffen auf Ihre Umgebung geschützt ist. Die Hyperscaler und Lösungen von Drittanbietern aktualisieren ihre Tools ständig, um sicherzustellen, dass die Systeme unangreifbar sind.

Es ist wichtig, sich nicht darauf zu verlassen, dass Hyperscaler und Cybersicherheitslösungen der einzige Schutz vor Sicherheitsbedrohungen sind. Die SAP-Umgebung und -Datenbank müssen kontinuierlich überwacht und aktualisiert werden, ähnlich wie sie vor Ort verwaltet werden, und Avantra kann dabei helfen. Fühlen Sie sich durch die Sicherheit von SAP-Lösungen bedroht? Die Avantra-Plattform der nächsten Generation erkennt und behebt Probleme, bevor sie auftreten. So können Sie sich auf ein besseres Geschäftserlebnis verlassen, in der Gewissheit, dass Ihre SAP-Landschaft solide, stabil und sicher ist. Erfahren Sie wie.