Virenschutz für SAP E-Recruiting

Transkript

1 Virenschutz für SAP E-Recruiting ein White-Paper

2 E-Recruiting der Trend im Personalmarkt Viele Unternehmen realisieren mit dem Einsatz moderner E-Recruiting Technologie signifikante Einsparungen im Bereich der Mitarbeitersuche und -auswahl. Der Zugriff auf ein Talent-Warehouse und einen entsprechenden Talent-Pool bietet Unternehmen die Möglichkeit, akuten, aber auch zukünftigen Personalanforderungen effizient gerecht zu werden. Die Personalsuche- und -auswahl ist eindeutig ein Bereich, der von der enorm gewachsenen Akzeptanz des Internets profitiert, was sich nicht zuletzt auch in der gesunkenen Anzahl der Stellenanzeigen in Print-Medien äußert. Die Mehrzahl der heutigen E-Recruiting-Systeme nicht nur jene auf Basis von SAP E- Recruiting bieten Bewerbern die Möglichkeit, Anhänge mit Ihrer Bewerbung in das Portal zu laden. Diese Uploads stellen aus Security-Sicht ein Problem dar. Insbesondere vor dem Hintergrund immer neuer Sicherheitslücken, auch gängigen Office- Datei Formaten, und der Tatsache, dass normale Viren-Scan Technologie diese Uploads nicht untersuchen kann, stellen diese eine erhebliche Sicherheitslücke dar. Potentiell infizierte Dateien werden in diesem Szenario am Virenschutz vorbei in der SAP- Datenbank gespeichert und an jeden weitergeleitet, der die Bewerber-Daten sichtet oder bearbeitet. Datei-Anhänge als Infektions-Vektor Gefahr geht schon seit langem nicht mehr nur von ausführbaren Dateien aus, die per versendet werden. Selbst Datei-Formate, die als vermeintlich sicher galten, entpuppen sich heute als Infektions-Vektoren für Viren und Malware. War man noch vor zwei Jahren relativ gut geschützt, wenn man nur die automatische Makro-Aktivierung in Microsoft Word deaktiviert hatte, reicht heute das Öffnen eines Dokumentes ohne Makros aus, um sich zu infizieren.

3 Adobe's Portable Document Format, das vielfach selbst von Regierungsstellen angeboten wird und seitens des Bundesamt für Sicherheit in der Informationstechnik (BSI) zum sicheren Austausch von Daten empfohlen wird, kann Viren und anderer Malware als Wirt dienen und zur Verbreitung von Viren beitragen. Diese nutzen in der Regel Sicherheitslücken in verschiedenen PDF-Viewern.

4 Selbst das reine Ansehen eines Bildes, zum Beispiel im verbreiteten JPEG-Format, kann Schadfunktionen einer eingebetteten Malware aktivieren (Perrun-Virus), wenn Ihr Betriebssystem nicht gegen diese Sicherheitslücke geschützt ist. Aber auch andere Grafik-Formate, wie das Microsoft-eigene Windows Metafile Format (WMF) wurde in der Vergangenheit bereits zum Verbreiten von Malware genutzt.

5 Virenschutz für SAP-Portale Möglichkeiten der NetWeaver-Plattform: Seit NetWeaver04 SPS9 verfügt die Applikationsplattform von SAP über die Möglichkeit, Uploads und Downloads gegen Virenbefall zu sichern. SAP hat hierzu eine Schnittstelle geschaffen (NW-VSI), die die Anbindung von Virenscannern ermöglichen soll. Empfehlungen des BSI: Die Berechtigung und die Notwendigkeit dieser Sicherheits-Technologie bestätigt auch wiederum das Deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI). In dessen IT-Grundschutz-Handbuch wurde 2005 erstmalig ein gesondertes Modul zum Thema SAP-Sicherheit veröffentlicht, in dem es heißt: Generell sind für SAP Systeme in Portal-Szenarien folgende grundsätzliche Aspekte wichtig:... Schutz vor Viren beim Hoch- oder Herunterladen von Dateien Hinweise zur Implementierung und den jeweiligen Verantwortlichkeiten sind ebenso geregelt wir die Empfehlung, den Virenschutz im SAP-Umfeld mit dem behörden- oder unternehmensweiten Virenschutz-Konzept abzustimmen. Details unter: M Absicherung eines SAP Systems im Portal-Szenario M Virenschutz für SAP Systeme

6 Die BowBridge-Lösung: Die AntiVirus Bridge Technologie von BowBridge ermöglicht es Unternehmen und Behörden, schnell und kosteneffizient, ggf. sogar unter Verwendung vorhandener Virenschutz-Produkte, diese Sicherheitslücke zu schließen und Compliance zu den Empfehlungen des BSI sicherzustellen. Der erfolgreiche Abschluss des aufwändigen SAP Zertifizierungsprozesses garantiert die Interoperabilität mir Ihrer SAP E-Recruiting Lösung, aber auch mit jeder anderen ABAP oder Java-basierten Applikation und bietet Ihnen die Sicherheit, auch seitens SAP stets Support für Ihren SAP-Virenschutz zu erhalten. Weitere Informationen erhalten Sie unter: oder per unter

7 Testen Sie Ihr SAP E-Recruiting Portal. Im Folgenden beschreiben wir anhand der fiktiven ACME Corporation, die Schritte, zur Überprüfung, ob Ihr SAP E-Recruiting Portal gegen Malware-Uploads gesichert ist. Als Test-Virus wird hierzu die EICAR-Datei verwendet. Es handelt sich hierbei nicht um einen Virus, sondern um eine definierte 68 Bytes lange Zeichen-Folge, die von allen Virenscannern als Malware erkannt wird. Die EICAR-Datei können Sie kostenlos herunterladen von Die Durchführung dieses Tests geschieht auf Ihre eigene Verantwortung. BowBridge Software schließt jegliche Haftung für eventuell eintretende Probleme aus. Erzeugen Sie eine fiktive Bewerbung: Suchen Sie hierzu in Ihrem Portal eine geeignete (ggf. zu Testzwecken angelegte) Stelle: und bewerben Sie sich online. Sie gelangen zum Bewerbungsassistenten.

8 Hier müssen Sie sich ggf. neu registrieren Als nächster Schritt im Bewerbungsassistenten werden persönliche sowie berufliche Daten abgefragt. Sie können ohne diese Eingaben zum Schritt Anlagen Scrollen

9 Fügen Sie nun eine Anlage hinzu. Hierzu sollten Sie je nach unterstützten Datei-Typen die EICAR-Datei umbenennen, z.b. in EICAR.doc und klicken Sie auf Speichern. Ergebnis KEIN VIRENSCHUTZ: Die EICAR-Datei wurde in Ihr Portal hochgeladen. Dies bedeutet, Sie haben keinen Virenschutz!! Ergebnis: Virenschutz aktiv Wenn Sie diese oder eine ähnliche Fehlermeldung beim Upload erhalten, ist der Virenschutz auf Ihrem E-Recruiting Portal aktiv und sie sind gegen Malware-Uploads geschützt.

10 Copyright 2007, BowBridge Software Limited, Altrottstr. 31, Walldorf SAP und NetWeaver sind eingetragene Markenzeichen der SAP AG. Alle anderen Warenzeichen und Markennamen sind Eigentum der jeweiligen Besitzer auch wenn nicht eindeutig entsprechend gekennzeichnet.