Ganze Produkte, Patches, Coding, Datenbank-Inhalte, Rollen, Berechtigungsobjekte: Ein SAP-Transport ist vereinfacht gesagt ein Container zum Austausch zwischen Systemen von eigentlich allem, was man innerhalb eines SAP-Systems findet. Im Normalfall wird der Transport auf einem Entwicklungssystem erstellt, dort freigegeben und exportiert, das hei\u00dft, entsprechende Dateien werden im Transportverzeichnis angelegt. Anschlie\u00dfend wird er in die Importqueue zum Beispiel eines Produktivsystems eingeh\u00e4ngt und ist bereit zum Import. Sicherheitstechnisch entscheidend ist dabei, dass das Abschlie\u00dfen eines Imports alles Enthaltene, ob Coding oder Datenbankinhalte, automatisch aktiviert \u2013 und folglich auch eine m\u00f6glicherweise enthaltene Sicherheitsl\u00fccke. Daher m\u00fcssen zu diesem Zeitpunkt alle Inhalte \u00fcberpr\u00fcft und alle Bedrohungen detektiert worden sein.<\/p>\n\n\n\n
Die Herausforderungen<\/strong><\/h2>\n\n\n\nEntwickler ben\u00f6tigen weitgehende Berechtigungen, um beispielsweise etwas zu debuggen, Transporte zu bef\u00fcllen, teilweise auch anzulegen, gegebenenfalls freizugeben, auf jeden Fall Coding zu ver\u00e4ndern. Damit einher geht ein hohes Risikopotenzial der Manipulation, sei es per verstecktem SAP_all, Hidden-OK-Codes im Transaktionsaufruf oder modifizierte RFC-Pings. Denn f\u00fcr Kundige gibt es zahlreiche M\u00f6glichkeiten, Transporte vom Entwicklungssystem in weitere Systeme zu \u00fcbertragen. Entwicklungssysteme werden in Security Scorpe weniger priorisiert und beispielsweise interne Audits seltener auf diese Systeme ausgeweitet. Verst\u00e4ndlich, da auf Entwicklungssystemen mit weitreichenden Berechtigungen und kritischen Elementen gearbeitet wird. Zudem ist ABAP<\/a>-Coding \u00fcblicherweise eher un\u00fcbersichtlich mit Reports, die 10.000 Zeilen und mehr beinhalten. Eine manuelle Inhaltspr\u00fcfung aller auf Schwachstellen ist angesichts der schieren Datenmenge also keine realistische Option.<\/p>\n\n\n\nWo unterst\u00fctzt der SAP-Standard?<\/strong><\/h2>\n\n\n\nZur Risikominimierung bei SAP-Transporten stellt sich damit grunds\u00e4tzlich die Frage: Was kann der SAP-Standard leisten? Setzen Sie in der Entwicklung auf jeden Fall das ABAP Test Cockpit (ATC) aktiv ein und \u00fcberpr\u00fcfen Sie Coding automatisiert schon bei der Erstellung, aber zumindest im Transportprozess. Allerdings ist ein Problem des ABAP Test Cockpits, dass es nicht sehr tief in die Sicherheitsf\u00e4lle geht, das Code Scanning daher nicht vollst\u00e4ndig ist und viele L\u00fccken \u00fcbrig l\u00e4sst. Daher empfehlen wir Ihnen zus\u00e4tzlich, ein ChaRM einzurichten, ein Change and Request Management, das Ihnen dabei hilft, die Transparenz und Prozesskonformit\u00e4t zu erh\u00f6hen.<\/p>\n\n\n\n
Schlie\u00dflich k\u00f6nnen Sie, noch vor einem Import, auf den nachfolgenden Systemen wie QS- oder Produktionssystemen die STMS_TCRI pflegen. Hier l\u00e4sst sich eine Liste sicherheitskritischer Objekte hinterlegen, deren Import automatisch blockiert wird. Das Problem ist, wer erh\u00f6hte Berechtigungs-Zugriffsm\u00f6glichkeiten hat, k\u00f6nnte diese umgehen und sogar daf\u00fcr sorgen, dass es nicht einmal auff\u00e4llt. Hier ist die Tiefe der Scans im Standard schlicht nicht ausreichend.<\/p>\n\n\n\n
Erweiterung durch toolgest\u00fctzte Transportkontrollen<\/a> und Code Scan<\/a><\/strong><\/h2>\n\n\n\nUm aber einen umfassenden Schutzschild zu gew\u00e4hrleisten, sollten Sie den SAP-Standard gezielt erweitern und ausweiten. Die Kombination mit unseren Pathlock-L\u00f6sungen<\/a><\/strong> macht es effektiv fast unm\u00f6glich, alle Sicherheitsschritte zu umgehen. Dies beginnt im Entwicklungssystem durch unsere Code-Scanning-Erweiterung des ATC mit \u00fcber 80 Testf\u00e4llen. Der ATC erlaubt auch, einen Scan bereits vor der Freigabe zu machen. Das erm\u00f6glicht Ihnen, diese Erweiterung in einem Transport-Scanning automatisch und einfach mit den Standard-Funktionalit\u00e4ten einzubinden. Damit haben Sie eine tiefe Kontrolle auf Security-Schwachstellen.<\/p>\n\n\n\nDer n\u00e4chste Schritt ist eine Export-Kontrolle. Mit dieser M\u00f6glichkeit wird grunds\u00e4tzlich jeder Export \u00fcberwacht, die Objekte innerhalb eines Transports werden auf Kritikalit\u00e4t \u00fcberpr\u00fcft und gegebenenfalls wird der gesamte Transport blockiert. Es folgt eine Protokollierung des Security Events, damit das Ganze nachverfolgt werden kann. \u00c4quivalent dazu bieten wir auch die M\u00f6glichkeit, jeden Import zu \u00fcberwachen. F\u00fcr diese beiden Methoden existieren zudem Trusted-Optionen, weil es bei Bedarf m\u00f6glich sein muss, auch Kritisches wie ein selbstausf\u00fchrendes Programm einzubringen. Als Letztes k\u00f6nnen Sie, zu jeder beliebigen Zeit, Ad-hoc-Scans machen, um zu pr\u00fcfen bzw. retrospektiv zu sehen, ob ein Inhalt kritisch ist.<\/p>\n\n\n\n![\"Grafik](\"https:\/\/pathlock.com\/wp-content\/uploads\/2023\/05\/Grafik1_Transportkontrolle.png\")
<\/figure>\n\n\n\nTransportkontrollen und<\/strong> die Vorteile einer toolgest\u00fctzten L\u00f6sung<\/strong><\/h2>\n\n\n\nSAP-Standardfunktionalit\u00e4ten f\u00fcr Transportanalysen sto\u00dfen schnell an ihre Grenzen. Durch eine Toolerweiterung wird der Aufwand reduziert und Transportkontrollen lassen sich zudem noch automatisieren. Die Integration erfolgt in die von SAP bereitgestellten Standardmechanismen, ohne bereits etablierte Mechanismen zu revidieren. Unsere Pathlock-Erweiterungen gehen aber bei den Kontrollanalysen einen entscheidenden Schritt weiter. Sie erm\u00f6glichen, dass auf kritische Inhalte gepr\u00fcft wird, noch bevor sie zur Einspielung in die SAP-Systeme freigegeben werden. Und das in Echtzeit bereits w\u00e4hrend der Implementierung.<\/p>\n\n\n\n
Durch die automatische Sperrung fehlerhafter Transporte k\u00f6nnen Entwicklungsteams so Probleme beheben, bevor die Qualit\u00e4t, Sicherheit oder Compliance des SAP-Systems beeintr\u00e4chtigt wird. Ganz gleich, ob es sich um mangelhafte Codierung, fehlerhafte Konfiguration oder absichtliche Manipulation handelt. Das Regelwerk l\u00e4sst sich dabei individuell erweitern. Sie k\u00f6nnen eigene Pattern anlegen, eigene Suchmuster definieren und damit ganz konkret nach Schwachstellen suchen. Das Ganze ist \u00fcber Customizing definiert und ohne Programmierkenntnisse m\u00f6glich. Es macht damit den erweiterten SAP-Standard zu einer echten Bedrohungserkennung, mit der Sie kritische Inhalte automatisch blocken und \u00fcber ein Security Dashboard tracken k\u00f6nnen. Und schlie\u00dflich ein weiterer signifikanter Vorteil: Alle Funde lassen sich in andere Tools exportieren und die Ergebnisse der Transportkontrolle beispielsweise in ein SIEM \u00fcberf\u00fchren.<\/p>\n\n\n\n
Wenn Sie mehr \u00fcber die Risikominimierung bei SAP-Transporten erfahren m\u00f6chten, schreiben Sie uns<\/strong><\/a>. <\/p>\n\n\n\n![\"Raphael](\"https:\/\/pathlock.com\/wp-content\/uploads\/2023\/04\/RaphaelKelbert_900x900px-1.png\")
Raphael Kelbert, Product Management (Pathlock Deutschland)<\/strong><\/p>\n\n\n\n ![\"Clemes](\"https:\/\/pathlock.com\/wp-content\/uploads\/2023\/05\/Clemes-Gutter.jpg\")
Clemens G\u00fctter, Product Management (Pathlock Deutschland)<\/strong><\/p>\n\n\n\n<\/p>\n\n\n\n
Dieses Thema wurde in der Mai\/Juni-Ausgabe der itsecurity<\/strong> ver\u00f6ffentlicht und ist parallel auch auf dem Onlineportal itdaily.net<\/strong><\/a> erschienen.<\/p>\n\n\n\nSchauen Sie sich auch unser Webinar<\/a>,<\/strong> inklusive Live-Hacking-Demonstration, an.<\/p>\n\n\n\n
Wo unterst\u00fctzt der SAP-Standard?<\/strong><\/h2>\n\n\n\nZur Risikominimierung bei SAP-Transporten stellt sich damit grunds\u00e4tzlich die Frage: Was kann der SAP-Standard leisten? Setzen Sie in der Entwicklung auf jeden Fall das ABAP Test Cockpit (ATC) aktiv ein und \u00fcberpr\u00fcfen Sie Coding automatisiert schon bei der Erstellung, aber zumindest im Transportprozess. Allerdings ist ein Problem des ABAP Test Cockpits, dass es nicht sehr tief in die Sicherheitsf\u00e4lle geht, das Code Scanning daher nicht vollst\u00e4ndig ist und viele L\u00fccken \u00fcbrig l\u00e4sst. Daher empfehlen wir Ihnen zus\u00e4tzlich, ein ChaRM einzurichten, ein Change and Request Management, das Ihnen dabei hilft, die Transparenz und Prozesskonformit\u00e4t zu erh\u00f6hen.<\/p>\n\n\n\n
Schlie\u00dflich k\u00f6nnen Sie, noch vor einem Import, auf den nachfolgenden Systemen wie QS- oder Produktionssystemen die STMS_TCRI pflegen. Hier l\u00e4sst sich eine Liste sicherheitskritischer Objekte hinterlegen, deren Import automatisch blockiert wird. Das Problem ist, wer erh\u00f6hte Berechtigungs-Zugriffsm\u00f6glichkeiten hat, k\u00f6nnte diese umgehen und sogar daf\u00fcr sorgen, dass es nicht einmal auff\u00e4llt. Hier ist die Tiefe der Scans im Standard schlicht nicht ausreichend.<\/p>\n\n\n\n
Erweiterung durch toolgest\u00fctzte Transportkontrollen<\/a> und Code Scan<\/a><\/strong><\/h2>\n\n\n\nUm aber einen umfassenden Schutzschild zu gew\u00e4hrleisten, sollten Sie den SAP-Standard gezielt erweitern und ausweiten. Die Kombination mit unseren Pathlock-L\u00f6sungen<\/a><\/strong> macht es effektiv fast unm\u00f6glich, alle Sicherheitsschritte zu umgehen. Dies beginnt im Entwicklungssystem durch unsere Code-Scanning-Erweiterung des ATC mit \u00fcber 80 Testf\u00e4llen. Der ATC erlaubt auch, einen Scan bereits vor der Freigabe zu machen. Das erm\u00f6glicht Ihnen, diese Erweiterung in einem Transport-Scanning automatisch und einfach mit den Standard-Funktionalit\u00e4ten einzubinden. Damit haben Sie eine tiefe Kontrolle auf Security-Schwachstellen.<\/p>\n\n\n\nDer n\u00e4chste Schritt ist eine Export-Kontrolle. Mit dieser M\u00f6glichkeit wird grunds\u00e4tzlich jeder Export \u00fcberwacht, die Objekte innerhalb eines Transports werden auf Kritikalit\u00e4t \u00fcberpr\u00fcft und gegebenenfalls wird der gesamte Transport blockiert. Es folgt eine Protokollierung des Security Events, damit das Ganze nachverfolgt werden kann. \u00c4quivalent dazu bieten wir auch die M\u00f6glichkeit, jeden Import zu \u00fcberwachen. F\u00fcr diese beiden Methoden existieren zudem Trusted-Optionen, weil es bei Bedarf m\u00f6glich sein muss, auch Kritisches wie ein selbstausf\u00fchrendes Programm einzubringen. Als Letztes k\u00f6nnen Sie, zu jeder beliebigen Zeit, Ad-hoc-Scans machen, um zu pr\u00fcfen bzw. retrospektiv zu sehen, ob ein Inhalt kritisch ist.<\/p>\n\n\n\n<\/figure>\n\n\n\nTransportkontrollen und<\/strong> die Vorteile einer toolgest\u00fctzten L\u00f6sung<\/strong><\/h2>\n\n\n\nSAP-Standardfunktionalit\u00e4ten f\u00fcr Transportanalysen sto\u00dfen schnell an ihre Grenzen. Durch eine Toolerweiterung wird der Aufwand reduziert und Transportkontrollen lassen sich zudem noch automatisieren. Die Integration erfolgt in die von SAP bereitgestellten Standardmechanismen, ohne bereits etablierte Mechanismen zu revidieren. Unsere Pathlock-Erweiterungen gehen aber bei den Kontrollanalysen einen entscheidenden Schritt weiter. Sie erm\u00f6glichen, dass auf kritische Inhalte gepr\u00fcft wird, noch bevor sie zur Einspielung in die SAP-Systeme freigegeben werden. Und das in Echtzeit bereits w\u00e4hrend der Implementierung.<\/p>\n\n\n\n
Durch die automatische Sperrung fehlerhafter Transporte k\u00f6nnen Entwicklungsteams so Probleme beheben, bevor die Qualit\u00e4t, Sicherheit oder Compliance des SAP-Systems beeintr\u00e4chtigt wird. Ganz gleich, ob es sich um mangelhafte Codierung, fehlerhafte Konfiguration oder absichtliche Manipulation handelt. Das Regelwerk l\u00e4sst sich dabei individuell erweitern. Sie k\u00f6nnen eigene Pattern anlegen, eigene Suchmuster definieren und damit ganz konkret nach Schwachstellen suchen. Das Ganze ist \u00fcber Customizing definiert und ohne Programmierkenntnisse m\u00f6glich. Es macht damit den erweiterten SAP-Standard zu einer echten Bedrohungserkennung, mit der Sie kritische Inhalte automatisch blocken und \u00fcber ein Security Dashboard tracken k\u00f6nnen. Und schlie\u00dflich ein weiterer signifikanter Vorteil: Alle Funde lassen sich in andere Tools exportieren und die Ergebnisse der Transportkontrolle beispielsweise in ein SIEM \u00fcberf\u00fchren.<\/p>\n\n\n\n
Wenn Sie mehr \u00fcber die Risikominimierung bei SAP-Transporten erfahren m\u00f6chten, schreiben Sie uns<\/strong><\/a>. <\/p>\n\n\n\n Raphael Kelbert, Product Management (Pathlock Deutschland)<\/strong><\/p>\n\n\n\n Clemens G\u00fctter, Product Management (Pathlock Deutschland)<\/strong><\/p>\n\n\n\n<\/p>\n\n\n\n
Dieses Thema wurde in der Mai\/Juni-Ausgabe der itsecurity<\/strong> ver\u00f6ffentlicht und ist parallel auch auf dem Onlineportal itdaily.net<\/strong><\/a> erschienen.<\/p>\n\n\n\nSchauen Sie sich auch unser Webinar<\/a>,<\/strong> inklusive Live-Hacking-Demonstration, an.<\/p>\n\n\n\n
Um aber einen umfassenden Schutzschild zu gew\u00e4hrleisten, sollten Sie den SAP-Standard gezielt erweitern und ausweiten. Die Kombination mit unseren Pathlock-L\u00f6sungen<\/a><\/strong> macht es effektiv fast unm\u00f6glich, alle Sicherheitsschritte zu umgehen. Dies beginnt im Entwicklungssystem durch unsere Code-Scanning-Erweiterung des ATC mit \u00fcber 80 Testf\u00e4llen. Der ATC erlaubt auch, einen Scan bereits vor der Freigabe zu machen. Das erm\u00f6glicht Ihnen, diese Erweiterung in einem Transport-Scanning automatisch und einfach mit den Standard-Funktionalit\u00e4ten einzubinden. Damit haben Sie eine tiefe Kontrolle auf Security-Schwachstellen.<\/p>\n\n\n\n Der n\u00e4chste Schritt ist eine Export-Kontrolle. Mit dieser M\u00f6glichkeit wird grunds\u00e4tzlich jeder Export \u00fcberwacht, die Objekte innerhalb eines Transports werden auf Kritikalit\u00e4t \u00fcberpr\u00fcft und gegebenenfalls wird der gesamte Transport blockiert. Es folgt eine Protokollierung des Security Events, damit das Ganze nachverfolgt werden kann. \u00c4quivalent dazu bieten wir auch die M\u00f6glichkeit, jeden Import zu \u00fcberwachen. F\u00fcr diese beiden Methoden existieren zudem Trusted-Optionen, weil es bei Bedarf m\u00f6glich sein muss, auch Kritisches wie ein selbstausf\u00fchrendes Programm einzubringen. Als Letztes k\u00f6nnen Sie, zu jeder beliebigen Zeit, Ad-hoc-Scans machen, um zu pr\u00fcfen bzw. retrospektiv zu sehen, ob ein Inhalt kritisch ist.<\/p>\n\n\n\n SAP-Standardfunktionalit\u00e4ten f\u00fcr Transportanalysen sto\u00dfen schnell an ihre Grenzen. Durch eine Toolerweiterung wird der Aufwand reduziert und Transportkontrollen lassen sich zudem noch automatisieren. Die Integration erfolgt in die von SAP bereitgestellten Standardmechanismen, ohne bereits etablierte Mechanismen zu revidieren. Unsere Pathlock-Erweiterungen gehen aber bei den Kontrollanalysen einen entscheidenden Schritt weiter. Sie erm\u00f6glichen, dass auf kritische Inhalte gepr\u00fcft wird, noch bevor sie zur Einspielung in die SAP-Systeme freigegeben werden. Und das in Echtzeit bereits w\u00e4hrend der Implementierung.<\/p>\n\n\n\n Durch die automatische Sperrung fehlerhafter Transporte k\u00f6nnen Entwicklungsteams so Probleme beheben, bevor die Qualit\u00e4t, Sicherheit oder Compliance des SAP-Systems beeintr\u00e4chtigt wird. Ganz gleich, ob es sich um mangelhafte Codierung, fehlerhafte Konfiguration oder absichtliche Manipulation handelt. Das Regelwerk l\u00e4sst sich dabei individuell erweitern. Sie k\u00f6nnen eigene Pattern anlegen, eigene Suchmuster definieren und damit ganz konkret nach Schwachstellen suchen. Das Ganze ist \u00fcber Customizing definiert und ohne Programmierkenntnisse m\u00f6glich. Es macht damit den erweiterten SAP-Standard zu einer echten Bedrohungserkennung, mit der Sie kritische Inhalte automatisch blocken und \u00fcber ein Security Dashboard tracken k\u00f6nnen. Und schlie\u00dflich ein weiterer signifikanter Vorteil: Alle Funde lassen sich in andere Tools exportieren und die Ergebnisse der Transportkontrolle beispielsweise in ein SIEM \u00fcberf\u00fchren.<\/p>\n\n\n\n Wenn Sie mehr \u00fcber die Risikominimierung bei SAP-Transporten erfahren m\u00f6chten, schreiben Sie uns<\/strong><\/a>. <\/p>\n\n\n\n <\/p>\n\n\n\n Dieses Thema wurde in der Mai\/Juni-Ausgabe der itsecurity<\/strong> ver\u00f6ffentlicht und ist parallel auch auf dem Onlineportal itdaily.net<\/strong><\/a> erschienen.<\/p>\n\n\n\n Schauen Sie sich auch unser Webinar<\/a>,<\/strong> inklusive Live-Hacking-Demonstration, an.<\/p>\n\n\n\n <\/figure>\n\n\n\nTransportkontrollen und<\/strong> die Vorteile einer toolgest\u00fctzten L\u00f6sung<\/strong><\/h2>\n\n\n\n
Raphael Kelbert, Product Management (Pathlock Deutschland)<\/strong><\/p>\n\n\n\n Clemens G\u00fctter, Product Management (Pathlock Deutschland)<\/strong><\/p>\n\n\n\n