SAP HANA sicher konfigurieren und verwalten

Behüteter Datenschatz

von Juan Pablo Perez-Etchegoyen

SAP ist in vielen Unternehmen die Standardanwendung schlechthin und die In-Memory-Variante SAP HANA spielt künftig eine immer größere Rolle. Unsichere Konfigurationen und die hohe Komplexität von SAP-Implementierungen bergen jedoch enorme Risiken: Durch die enge Verzahnung von Datenbanken und Applikationen haben Schwachstellen unmittelbare Auswirkungen. Die direkte Anbindung mobiler Hardware und externer Anwender vergrößert zudem die Angriffsfläche. Mit den richtigen Anpassungen sorgen Sie für Sicherheit.

Aus IT-Administrator 03/2016

Täglich prasseln verschiedenste Angriffe auf die IT-Systeme von Unternehmen ein. Die breite Masse lässt sich zwar mit Standardmitteln wie Virenscannern ... (mehr)

Die besondere Sicherheitsrelevanz einer jeden SAP-HANA-Landschaft resultiert aus der zentralen Stellung der ERP-Plattform als Basistechnologie für alle SAP-Applikationen inklusive S4/HANA und die SAP-HANA-Cloud. Hauptkomponente der Plattform ist eine In-Memory-Datenbank, an die eine Reihe zusätzlicher Dienste angebunden ist. Durch die unmittelbare Verknüpfung von Datenbank und Anwendungen schlagen Angriffe zum Beispiel über SQL-Protokolle noch direkter auf die Geschäftsprozessebene durch.

Schaltzentrale mit Lücken

SAP HANA bietet verschiedene Möglichkeiten auch für den unerlaubten Datenzugriff. Einige Ports ermöglichen Anwendern oder Anwendungen den SQL/ MDX-Zugriff auf Datenbanken über das SQLDBC-Protokoll. Andere erlauben den Zugriff auf Web-Applikationen. Clients werden hier via Webbrowser oder mobile Clients per HTTP verbunden. Über SSL erlaubt SAP Hana Studio die Durchführung von administrativen Aufgaben. Zudem verwalten einige SAP HANA-Komponenten über die Datenbankfunktion hinaus native oder Third-Party-Applikationen und sorgen auch hier für den notwendigen Datenaustausch.

Durch die prominente Rolle von SAP HANA stehen bei Sicherheitslücken in den individuellen Konfigurationen des Unternehmens die Verfügbarkeit, Integrität und Vertraulichkeit von SAP-Geschäftsdaten und -Prozessen unmittelbar auf dem Spiel. Zugleich erweitert sich mit den Möglichkeiten des Zugriffs auf SAP HANA-Instanzen die Angriffsfläche exponentiell. Ein Beispiel ist der in SAP HANA eingebaute Applikations- und Web-Server, der Kunden die einfache Programmierung webbasierter Applikationen ermöglichen soll. Die Anwendungen können dann logischerweise auf die zugehörigen Geschäftsdaten zugreifen. Für den Angreifer ergibt sich daraus bei schlecht konfigurierten Systemen die Möglichkeit, schon mit herkömmlichen Methoden wie SQL Injection oder XSS-Attacken Daten von außen

...

Der komplette Artikel ist nur für Abonnenten des ADMIN Archiv-Abos verfügbar.