SAP-Hana-Apps enthalten viele Sicherheitslücken
Die wichtigsten Empfehlungen für Security-Verantwortliche
von Jens Stark - 10.11.2015
Die SAP-Sicherheitsexperten von Onapsis haben mit hunderten Unternehmen weltweit zusammengearbeitet, um die Auswirkungen dieser und anderer schwerwiegender Sicherheitslücken mithilfe des "Business Risk Illustration"-Tools (BRI) zu ermitteln.
SAP-Nutzer auf der Messe Basel: Viele Firmenanwender von SAP Hana sind wegen der gefundenen Lücken angreifbar.
(Quelle: SAP )
Zusätzlich zum Verarbeiten der veröffentlichten SAP-Sicherheitshinweise empfiehlt Onapsis den SAP-Kunden folgende Schritte:
- Schritt 1 - TrexNet-Kommunikation korrekt konfigurieren: Datenübertragung ist essenziell für die Funktion von SAP HANA in Hochverfügbarkeitsumgebungen. Diese Kommunikation muss über Netzwerke stattfinden, die von Endanwendern isoliert sind und auf die von keinem anderen Netzwerk aus zugegriffen werden kann. Zudem ist sicher zu stellen, dass auf der Transportebene sowohl eine Verschlüsselung als auch eine Authentifizierung sauber installiert sind. Wenn nur eine SAP-HANA-Instanz eingerichtet ist, dürfen alle TrexNet-Schnittstellen nur mit der Localhost-Netzwerkschnittstelle kommunizieren.
- Schritt 2 - Überwachen der Benutzeraktivität: Einige der kritischen Sicherheitslücken können von legitimierten Anwendern und Hackern ausgenutzt werden, die versuchen, sich mit den verwundbaren Komponenten zu verbinden (SQL und HTTP). Der HTTP-Datenverkehr ist auf ungewöhnliche Aktivitäten ebenso zu überprüfen wie die HTTP- und die SQL-Logs auf auffällige Eingaben.
- Schritt 3 - Detection und Response: Wichtig ist auch im Bereich SAP eine umfassende Informations-Sicherheitsstrategie. Nur dies stellt ein durchgängiges Monitoring von SAP- und SAP-HANA-Systemen sicher und liefert relevante Echtzeitinformationen an vorhandene SIEM- oder GRC-Tools.
- Die verbleibenden kritischen Sicherheitslücken, die nicht in Verbindung mit dem TrexNet-Protokoll stehen, sollten entsprechend den SAP Security Notes gepatched werden. Für die beschriebenen Schwachstellen hat SAP folgende Security Notes veröffentlicht: 2165583, 2148854, 2175928, 2197397 und 2197428. Onapsis empfiehlt SAP-Kunden, diese so schnell wie möglich zu lesen und umzusetzen.
