Weisen Sie Benutzern nur so viele Berechtigungen zu, wie sie f\u00fcr ihre Arbeit tats\u00e4chlich ben\u00f6tigen. Dadurch wird das Risiko eines unbefugten Zugriffs oder eines fehlerhaften Transportes minimiert.<\/p>\n\n\n\n
ABAP<\/a> Test Cockpit (ATC) und SAP Code Inspector (SCI):<\/strong><\/p>\n\n\n\n Code-Pr\u00fcfungen stellen sicher, dass der Code den Standards und Best Practices entspricht. Das ABAP Test Cockpit und der SAP Code Inspector helfen dabei, potenzielle Probleme im Code aufzudecken. Sie k\u00f6nnen in den Transportprozess integriert werden.<\/p>\n\n\n\n Change and Request Management (ChaRM)<\/strong><\/p>\n\n\n\n Transporte sollten in einem kontrollierten und dokumentierten Prozess durchgef\u00fchrt werden, um die Transparenz und Konformit\u00e4t zu erh\u00f6hen. F\u00fchren Sie ein Vier-Augen-Prinzip ein, um sicherzustellen, dass nur befugte Personen Transporte durchf\u00fchren k\u00f6nnen.<\/p>\n\n\n\n Transportmanagement-System (STMS)<\/strong><\/p>\n\n\n\n STMS ist das zentrale Werkzeug f\u00fcr das Transportmanagement in SAP-Systemen. Es bietet verschiedene Funktionen, um die Integrit\u00e4t und Konsistenz von Transporten zu gew\u00e4hrleisten, einschlie\u00dflich der \u00dcberpr\u00fcfung von Transportinhalten, der Sperrung sicherheitskritischer Objekte und \u00dcberpr\u00fcfung von Abh\u00e4ngigkeiten und Objekten w\u00e4hrend des Importprozesses.<\/p>\n\n\n\n Trotz der von SAP zur Verf\u00fcgung gestellten Werkzeuge und empfohlenen Ma\u00dfnahmen gibt es einige grundlegende L\u00fccken und Schwachstellen, die von Angreifern ausgenutzt werden k\u00f6nnen. Beispielsweise m\u00fcssen Code Security Checks im ATC separat erworben werden, sie sind nicht standardm\u00e4\u00dfig verf\u00fcgbar. Der ATC konzentriert sich mehr auf Syntax- und Performance-Checks, wie die folgende Abbildung zeigt:<\/p>\n\n\n ChaRM und STMS k\u00f6nnen nur die Transporte selbst kontrollieren, die ihre Prozesse durchlaufen. Sie haben jedoch keine Kontrolle \u00fcber den Inhalt der Transporte (mit Ausnahme der kritischen Objekte, die in der Transaktion STMS_TCRI gepflegt werden). Wenn beispielsweise ein Entwickler eine Sicherheitsl\u00fccke in den Transportinhalt einbaut, erkennen STMS und ChaRM dies nicht automatisch.<\/p>\n\n\n\n Da der SAP-Standard nicht ausreichend Schutz bietet, ist es wichtig, zus\u00e4tzliche Ma\u00dfnahmen zu ergreifen, um das Risiko von Sicherheitsl\u00fccken bei Transporten zu minimieren. Eine M\u00f6glichkeit besteht darin, Security-Scans<\/strong> (inhaltliche Pr\u00fcfung der Transporte) einzurichten und kritische Transporte automatisch zu sperren oder nur nach dem 4-Augen-Prinzip freizugeben. Mit Pathlock Transport Control<\/strong><\/a> erhalten Sie ein automatisiertes Tool zur Transportanalyse, bevor diese Ihre Systeme gef\u00e4hrden. Scannen Sie Transporte auf kritische Objekte und Coding, sowohl bei der Erstellung eigener Transporte (vor dem Export), als auch beim Import von Fremdtransporten. Mit dem integrierten Dashboard sind Sie jederzeit \u00fcber kritische Transportaktivit\u00e4ten informiert. Das Tool l\u00e4sst sich problemlos mit anderen Pathlock-L\u00f6sungen wie dem Code Scanning<\/strong><\/a>, dem Vulnerability Managemen<\/strong>t<\/a> und der Threat Detection<\/a> <\/strong>kombinieren.<\/p>\n\n\n\n Dar\u00fcber hinaus sind regelm\u00e4\u00dfige Schulungen und Sensibilisierungsma\u00dfnahmen f\u00fcr Besch\u00e4ftigte <\/strong>wichtig. Sie sollten sich der Auswirkungen unsicherer Transporte bewusst sein und wissen, wie sie ihre Arbeit sicher und gesch\u00fctzt ausf\u00fchren k\u00f6nnen. Sorgen Sie daf\u00fcr, dass das Coding bereits vor der Freigabe von Transporten durch die Entwickler (toolgest\u00fctzt, ATC\/SCI) gepr\u00fcft wird, um Schwachstellen fr\u00fchzeitig zu erkennen oder begr\u00fcndet zu akzeptieren.<\/p>\n\n\n\n Mit diesen zus\u00e4tzlichen Kontrollmechanismen schaffen Sie eine echte Bedrohungserkennung und sind potenziellen Angreifern einen Schritt voraus.<\/p>\n\n\n\n Wenn Sie tiefer in das Thema einsteigen m\u00f6chten, kontaktieren Sie uns<\/strong><\/a> und schauen Sie sich unsere Webinar-Aufzeichnung<\/strong><\/a> an.<\/p>\n\n\n\nTransportkontrollen und die vorhandenen Gaps<\/strong><\/h2>\n\n\n\n
![\"\"](\"https:\/\/pathlock.com\/wp-content\/uploads\/2023\/07\/PLDE_Grafik_Gaps_TC.png\")
Bild Quelle: https:\/\/www.dsag.de\/wp-content\/uploads\/2021\/12\/dsag_leitfaden_atc_2020_06.pdf<\/a>
s. Seite 36 (Original wurde leicht angepasst)<\/figcaption><\/figure>\n<\/div>\n\n\nZus\u00e4tzliche Unterst\u00fctzung durch Kontrollfunktionen und Software-Tools<\/strong><\/h2>\n\n\n\n
![\"Raphael](\"https:\/\/pathlock.com\/wp-content\/uploads\/2023\/04\/RaphaelKelbert_900x900px-1.png\")
Raphael Kelbert, Product Management (Pathlock Deutschland)<\/strong><\/p>\n\n\n\n