Vorbereitung SAP -Berechtigungsprüfung CheckAud 2015 for SAP Systems

Transkript

1 Vorbereitung SAP -Berechtigungsprüfung CheckAud 2015 for SAP Systems CheckAud ist ein Produkt der IBS Schreiber GmbH

2 Kapitel 1 / 2 Inhaltsverzeichnis 1 Inhaltsverzeichnis 1 Inhaltsverzeichnis Berechtigungsprüfung mit CheckAud Was wir Ihnen bieten Und so funktioniert es Durchführung der Installation CheckScan Benötigte Rechte im SAP -System CheckScan Anlegen einer neuen Systemverbindung Auswahl der Tabellen-Sets Erstellung eines Snapshots Berechtigungsprüfung mit CheckAud 2.1 Was wir Ihnen bieten Sie erfahren live und anschaulich, welche Sicherheitslücken im Berechtigungsumfeld Ihres SAP -Systems möglicherweise existieren die Überprüfung erfordert ca. 2 Stunden und wird bei Ihnen vor Ort durchgeführt wir prüfen, ob Ihr Berechtigungskonzept den gesetzlichen Auflagen, Ihren Anforderungen und Ihrem IKS genügt die Überprüfung wird von einem qualifizierten Berater unseres Hauses durchgeführt Sie erfahren, welche Vorteile Ihnen die Sicherheitssoftware CheckAud for SAP Systems bietet Sie gehen keinerlei Verpflichtungen ein 2.2 Und so funktioniert es Sie vereinbaren einen Termin mit uns Sie bereiten die benötigten Daten Ihres SAP -Systems auf, dafür erhalten Sie das Scanmodul unserer Prüfsoftware CheckAud die erzeugten Daten stellen Sie per Speichermedium (DVD, USB-Stick o. ä.) zur Präsentation bereit zum vereinbarten Termin spielt unser Berater bei Ihnen vor Ort diese Daten auf den mitgebrachten Präsentationsrechner und führt die Überprüfung anhand dieser Daten durch gemäß vorbereiteter Analyseschritte werden Ergebnisse aus Ihrem SAP -System erarbeitet und bewertet, mögliche Maßnahmen werden besprochen Sie erhalten detaillierte Ergebnisdokumente in Form von Excel-Exporten und einem Prüfungsbericht nach der Präsentation werden die Daten vom Präsentationsrechner sicher und rückstandslos gelöscht eine Muster-Datenschutzvereinbarung wird Ihnen bereitgestellt, gern verwenden wir aber auch Ihre Vorlagen Für eine Live-Präsentation von CheckAud for SAP Systems oder eine Prüfung durch IBS- Mitarbeiter ist es notwendig, dass die Daten bereits vor dem Termin aufbereitet werden! IBS Schreiber GmbH Seite 2

3 Kapitel 2 Berechtigungsprüfung mit CheckAud 2.3 Durchführung der Installation CheckScan 2015 Das Scanmodul zu CheckAud for SAP Systems steht unter folgendem Link bereit: Bitte entpacken Sie zunächst das Archiv in ein beliebiges Verzeichnis. Mit der Datei SETUP.EXE starten Sie die Installation. Der Installationspfad kann frei gewählt werden. Der vorgeschlagene Standardpfad lautet C:\Program Files\CheckAud GRC Software\for SAP Systems\CheckScan\ IBS Schreiber GmbH Seite 3

4 Kapitel 2 Berechtigungsprüfung mit CheckAud 2.4 Benötigte Rechte im SAP -System Die Anmeldung über CheckScan 2015 an das SAP -System erfolgt via RFC-Schnittstelle. Es ist dabei zu beachten, dass CheckScan nur Release-Stände ab 7.00 bis 7.50 unterstützt. Hierfür wird ein Benutzerkonto (Systembenutzer) mit folgenden Rechten benötigt: Option A 1. Berechtigungsobjekt: S_RFC Aktivität: 16 RFC_NAME: PERF_TRA_ADD, RFC_METADATA, RFC1, S1EM, SDTX, SDIFRUNTIME, SRFC, SYST, SYSU Option B Berechtigungsobjekt: S_RFC Aktivität: 16 RFC_NAME: DDIF_FIELDINFO_GET, EM_GET_NUMBER_OF_ENTRIES, GET_SYS_COMP_REL, RFCPING, RFC_FUNCTION_SEARCH, RFC_GET_FUNCTION_INTERFACE, RFC_METADATA_GET, RFC_METADATA_GET_TIMESTAMP, RFC_PING, RFC_READ_TABLE, RFC_SYSTEM_INFO, SYSTEM_RESET_RFC_SERVER 1 RFC_TYPE: FUGR RFC_TYPE: FUNC 2. Berechtigungsobjekt: S_TABU_DIS Aktivität: 03 Berechtigungsgruppe: &NC&, PS, SA, SC, SACF, SRZL, SS, SUSR Berechtigungsobjekt: S_TABU_NAM Aktivität: 03 Tabelle: ADIRACCESS, AGR_AGRS, AGR_DEFINE, AGR_TEXTS, AGR_USERS, CCCFLOW, CVERS, DD02L, DD02T, DD03L, DD03T, DD04T, DD09L, DEVACCESS, ORGCRACT, PRGN_CUST, RFCDES, RFCDOC, RFCSYSACL, RFCTRUST, RSAUPROF, SEC_POLICY_ATTR, SEC_POLICY_RT, T000, T77S0, TADIR, TCDOB, TMSCSYS, TMSPCONF, TOBC, TOBCT, TOBJ, TOBJ_CHK_CTRL_R, TOBJ_OFF, TOBJT, TPLOG, TSTC, TSTCT, USER_ADDRS, USOBAUTHINAC- TIVE, USORG, USR_CUST, USR01, USR02, USR05, USR06, USR10, USR11, USR13, USR21, USR40, USR41_MLD, US- REFUS, UST04, UST10C, UST10S, UST12, AGR_1016, CVERS_REF, PAT03, SXPGCOSTAB, TDDAT,TRDIR 1 Gemäß SAP Note (Minimum authorization profile for external RFC programs) ist die Berechtigung für den Funktionsbaustein SYS- TEM_RESET_RFC_SERVER grundsätzlich erforderlich. IBS Schreiber GmbH Seite 4

5 Kapitel 2 Berechtigungsprüfung mit CheckAud Hinweis: Alternativ sind in dem heruntergeladenen Zip-Archiv zwei SAP -Rollen enthalten. In diesen SAP -Rollen sind die notwendigen Berechtigungen für den SAP -Kommunikationsbenutzer enthalten, welcher für den Scan des zu prüfenden SAP -Systems verwendet wird. Die Berechtigungen beschränken sich auf den Zugriff remotefähiger SAP -Funktionsbausteine sowie auf die für die Berechtigungsauswertung relevanten SAP -Tabellen. Die beiden relevanten SAP -Rollen lauten: Tabellen-Set AUTH: Tabellen-Set SYSTEM: IBS_CHECKAUD_SCAN2015 IBS_CHECKAUD_SCAN2015_SYSTEM IBS Schreiber GmbH Seite 5

6 Kapitel 3 CheckScan CheckScan Anlegen einer neuen Systemverbindung Hinweis: für die Anlage von Systemverbindungen werden detaillierte Informationen (TCP/IP- Adresse, DNS-Adresse oder SAProuter-String, Messageserver, Servergruppe, Mandant, Systemnummer etc.) zu den auszulesenden SAP -Systemen benötigt. Diese können beispielsweise über das SAP LogOn Pad oder über die SAP Basisadministration in Erfahrung gebracht werden. Über die Schaltfläche kann eine neue Verbindung zu einem SAP - System angelegt werden. Alternativ kann über die Schaltfläche die SAPLOGON.INI einer vorhandenen SAP LogOn-Installation eingelesen werden. Dabei werden die aus der SAPLOGON.INI verfügbaren Verbindungsinformationen übernommen und müssen nur noch mit Mandant bzw. den Anmeldeinformationen des SAP - Kommunikationsbenutzers ergänzt werden. Zur Erstellung einer neuen Systemverbindung wird folgender Dialog angezeigt: Abbildung 1 - Eingabe der Verbindungsinformationen zu einem Quellsystem Beschreibung System Server SAProuter-String Systemnummer System-ID Mandant Zugangsdaten Passwort speichern beliebige Beschreibung zum anzulegenden Quellsystem Auswahl zwischen Verbindung über Anwendungsserver oder Gruppen/Serverselektion TCP/IP-Adresse oder DNS-Adresse des SAP -Host alternative Verbindung über den SAProuter-String Instanznummer des SAP -Quellsystems Systembezeichnung des SAP -Quellsystems auszulesender Mandant des SAP -Quellsystems Name und Kennwort des SAP -Kommunikationsbenutzers zur Anmeldung des Scanmoduls am Quellsystem (alternativ kann hier auch ein in den Einstellungen hinterlegter SAP -Standardbenutzer per Flag aktiviert werden) sofern dieses Flag nicht aktiviert ist, wird bei jeder Snapshot-Erstellung nach dem Passwort des SAP -Kommunikationsbenutzers gefragt IBS Schreiber GmbH Seite 6

7 Kapitel 3 CheckScan 2015 Über die Schaltfläche kann überprüft werden, ob mit den hinterlegten Informationen eine Verbindung zu dem Quellsystem möglich ist. Über die Schaltfläche wird die neue Systemverbindung gesichert. 3.2 Auswahl der Tabellen-Sets Für die Präsentation von CheckAud an Echtdaten werden die beiden Tabellen-Sets AUTH und SYSTEM benötigt. Diese können bei der Einrichtung einer Systemverbindung ausgewählt werden. Hierzu muss man den Reiter auswählen und die beiden Sets aktivieren. Die benötigten Berechtigungen werden unter Benötigte Rechte im SAP -System genauer ausgewiesen. Abbildung 2 - Auswahl der benötigten Tabellen-Sets 3.3 Erstellung eines Snapshots Für die Erstellung von Snapshots der gewünschten SAP - Quellsysteme muss die erstellte Systemverbindungen in der Listenansicht per Flag markiert werden. Bei Bedarf können die Snapshots über ein Passwort verschlüsselt werden: Abbildung 3 - Verschlüsselung der Snapshots Halten Sie in diesem Fall das Passwort für Präsentation bereit! Das Erstellen der Snapshots erfolgt über die Schaltfläche. IBS Schreiber GmbH Seite 7

8 Kapitel 3 CheckScan 2015 Im nachfolgenden Dialog werden Sie aufgefordert, einen Pfad für die Erstellung der Snapshot- Datei (*.casnapshot) anzugeben. Danach beginnt das Scanmodul mit einem Test, ob alle Berechtigungen für die benötigten Funktionsbausteine und Tabellen vorliegen. Sollte hier eine Fehlermeldung angezeigt werden, prüfen Sie bitte, ob der für den Scan verwendete Benutzer die korrekten Berechtigungen im SAP -System besitzt. Verläuft der Test erfolgreich, werden danach die benötigten Tabelleninformationen gelesen und in der Snapshot-Datei (*.casnapshot) gespeichert. Der aktuelle Stand des Auslesens sowie die geschätzte Restzeit werden Ihnen angezeigt. Bei Fertigstellung des Snapshots erhalten Sie eine entsprechende Erfolgsmeldung. Halten Sie die Snapshot-Datei zur Präsentation per Speichermedium (DVD oder USB-Stick) bereit. IBS Schreiber GmbH Seite 8

9 2015 IBS Schreiber GmbH. Alle Rechte vorbehalten. In dieser Publikation enthaltene Informationen können ohne vorherige Ankündigung geändert werden. Die vorliegenden Angaben werden von der IBS Schreiber GmbH bereitgestellt und dienen ausschließlich Informationszwecken. Die IBS Schreiber GmbH übernimmt keinerlei Haftung oder Garantie für Fehler oder Unvollständigkeiten in dieser Publikation. Die IBS Schreiber GmbH steht lediglich für Produkte und Dienstleistungen nach der Maßgabe ein, die in der Vereinbarung über die jeweiligen Produkte und Dienstleistungen ausdrücklich geregelt ist. Aus den in dieser Publikation enthaltenen Informationen ergibt sich keine weiterführende Haftung. CheckAud ist eine eingetragene Marke der IBS Schreiber GmbH. SAP ist eine Marke oder eingetragene Marke der SAP AG in Deutschland und anderen Ländern weltweit. Microsoft, Windows, Windows Server, Windows XP, Windows Vista, Windows 7 und Windows 8 sind Marken oder eingetragene Marken der Microsoft Corporation oder deren Tochtergesellschaften in den USA und anderen Ländern. IBS Schreiber GmbH Seite 9

10 IBS Schreiber GmbH Zirkusweg Hamburg Tel: +49 (0) Fax: +49 (0) info@ibs-schreiber.de