it-sa Sicherheit SAP HANA Konstantin Gork IBS Schreiber GmbH

Transkript

1 it-sa Sicherheit SAP HANA Konstantin Gork IBS Schreiber GmbH 1

2 SAP HANA EINLEITUNG 2

3 Das SAP-System - unendliche Möglichkeiten SAP ERP Kunden Lieferanten Kostenstellen SAP CRM Kunden Konditionen Aufträge SAP SRM Lieferanten Kontrakte Bestellungen SAP HCM Mitarbeiter Abrechnungen Kostenplanung SAP BW Individuelle Unternehmensdaten 3

4 Das SAP-System - unendliche Möglichkeiten SAP Systemlandschaft S Entwicklung Konsolidierung Produktion 4

5 Das SAP-System - unendliche Möglichkeiten SAP Systemkomponenten Client Applikationsserver Datenbank Betriebssystem Betriebssystem Betriebssystem 5

6 SAP HANA Im Jahr 2010 wurde SAP-HANA unter dem Namen High Performance Analytic Appliance vorgestellt. HANA ist eine SQL-Datenbank, die auf der In-Memory- Technologie basiert. Zur Administration und Entwicklung wird SAP HANA Studio (basierend auf Eclipse) eingesetzt. Unterstützte Betriebssysteme: SLES und RHEL (auch für IBM Power Server) 6

7 SAP HANA AUTHENTIFIZIERUNG UND KOMMUNIKATION 7

8 SAP HANA - Authentifizierung HANA-Benutzer SYSTEM Höchstberechtigter Datenbankbenutzer mit Systemrechten (z.b. Benutzer- und Berechtigungsverwaltung) Kennwort wird während der Installation festgelegt (wird es jemals geändert?) Sollte nicht im Tagesgeschäft genutzt werden Verfahrensweise für diesen Benutzer ist in den Leitfäden nicht eindeutig geregelt: SAP HANA Security Guide: Benutzer sollte deaktiviert werden DSAG Prüfleitfaden: Regelung der Nutzung über eine Verfahrensanweisung Linux-Benutzer <sid>adm <sid> = System-ID des HANA-Systems Ist der Besitzer der SAP HANA-Installation und hat damit Vollzugriff auf die Installation Kennwort wird während der Installation festgelegt (wird es jemals geändert?) Zugriff auf diesen Benutzer ist restriktiv zu vergeben 8

9 SAP HANA - Authentifizierung SAP SQL Clients: hdbsql HANA Studio (eclipse) Das HANA Studio unterstützt den Unicode Zeichensatz, der hdbsql Client nicht. Alternative SQL Clients: PyHDB etc. 9

10 SAP HANA - Authentifizierung SCRAM Salted Challenge Response Authentication Mechanism (SCRAM) Definiert in RFC

11 SAP HANA - Kommunikation Kommunikation Nach erfolgreicher Anmeldung erfolgt die weitere Kommunikation unverschlüsselt. Zum Vergleich: Bei der Anmeldung über die SAPGUI werden die Daten komprimiert übertragen (default Einstellung). 11

12 SAP HANA - Kommunikation Default Einstellungen Klartext Kommunikation Verschlüsselte Kommunikation muss separat konfiguriert werden Serverseitige TLS/SSL Konfiguration Clientseite TLS/SSL Konfiguration Quelle: 12

13 SAP HANA - Netzwerkdienste 13

14 - SAP HANA - TLS/SSL (sslscan) Serverseitige TLS/SSL Konfiguration - SAP Host Agent (saphostctrl) TCP 1129 Instance Agent (sapstartsrv) TCP SAP HANA SPS12 SAP HANA SPS12 14

15 SAP HANA - TLS/SSL (sslscan) Serverseitige TLS/SSL Konfiguration SAP HANA XS Engine TCP 4300 SAP HANA SPS12 15

16 SAP HANA - Kommunikation Default Einstellungen Die interne Kommunikation kann mittels TLS/SSL geschützt werden ansonsten: Kommunikation im Klartext Unterschiedliche SSL/TLS Konfigurationen 16

17 SAP HANA PROTOKOLLIERUNG UND AUSWERTUNG 17

18 SAP HANA Protokollierung und Auswertung AuditLog Protokollierung kritischer Aktionen Einschränkung auf Benutzer, Aktionen und Objekte möglich Anzeige der Konfiguration ist u.a. über View AUDIT_POLICIES möglich Hauptschalter Aktivierung des Audits (golbal.ini): 18

19 SAP HANA Protokollierung und Auswertung AuditLog 19

20 SAP HANA Protokollierung und Auswertung AuditLog Die Erstellung des Benutzers ibs mit dem Passwort Start123 erzeugt folgenden Syslog-Eintrag 20

21 SAP HANA Protokollierung und Auswertung Aber: Viele Konfigurationen erfolgen über das Betriebssystem. Daher: Erstellung eines Konzepts zur Nutzung des Benutzers root. Erstellung eines Konzepts zur Überwachung der relevanten Konfigurationsdateien. Und: Zeitnahe Auswertung der Logdateien 21

22 SAP HANA Protokollierung und Auswertung AuditLog Konzept zur Nutzung Erstellung eines Konzeptes zur Protokollierung: Existieren gesetzliche Anforderungen für die Protokollierung? Existieren unternehmensspezifische Anforderungen für die Protokollierung? Was muss / soll protokolliert werden? Wie lange müssen / sollen die Daten aufbewahrt werden? Erstellung eines Sicherungskonzept für die Protokolldaten. Erstellung eines Konzeptes zur Auswertung der Protokolle Was soll regelmäßig ausgewertet werden? Und was bedeutet regelmäßig? Wer ist für die Auswertungen verantwortlich? Können die Auswertungen automatisiert werden? Werden die Auswertungen ausreichend dokumentiert? Existieren Eskalationsstufen für die Ergebnisse der Auswertung? 22

23 SAP HANA - Tipps Patches für SAP HANA Systeme sollten nicht als optional angesehen werden! SAP HANA Security Whitepaper SAP HANA Security Guide Operating System Security Hardening Guide for SAP HANA 23

24 Fragen? 24

25 Vielen Dank! Konstantin Gork IBS Schreiber GmbH Zirkusweg 1, Hamburg Tel.: Fax:

26 IBS Schreiber GmbH Seminare Über 140 Seminarthemen: SAP -Sicherheit IT-Sicherheit Datenanalyse Grundlagen / Management der Revision Datenschutz Prüfung / Beratung SAP -Sicherheit IT-Sicherheit Datenanalyse Externe betriebliche Beauftragte für IT-Sicherheit Informationssicherheit Datenschutz Sachverständige Prüfstelle für Datenschutz nach 3 DSAVO Externer Datenschutzbeauftragter Datenschutz- und Datensicherheitskonzepte Software CheckAud for SAP Systems CheckIDM 26