SAP Security Assessment und Live Hack in Ihrem Unternehmen

Transkript

1 SAP Security Assessment und Live Hack in Ihrem Unternehmen Halten Sie es für möglich, das man in 2 Stunden ein komplettes SAP-System kompromittieren kann? Wir halten es in 90% aller Fälle für möglich. Live Hack ist mittlerweile in vielen Unternehmen präsent. Es ist nicht nur unterhaltsam, sondern soll vor allem die Teilnehmer sensibilisieren im Umgang mit Technologie und Sicherheit. Angriffe werden heute nicht mehr ausschließlich auf die Infrastruktur gemacht, sondern gegen Menschen. WiFI Hacks, Passwort-Klau und -spearfishing sind nur einige der Methoden dazu. SAP Security Assessment und Live Hack in Ihrem Unternehmen Seite 1

2 Auch die Frage nach der Sicherheit der eigenen Programme wird zu selten gestellt. In Jahrzehnten angesammelte kundeneigene Z-Programme in ABAP stellen sehr oft ein großes Sicherheitsrisiko dar, dessen man sich früher nicht bewusst war.. Das SAP Umfeld bei einem Live Hack In den vergangenen Jahren war die Sichtweise auf SAP Security eine Insel-Sicht: Ähnlich wie in der US-Fernsehserie Lost" war die allgemeine Risiko-Einschätzung, das SAP- Systeme innerhalb eines Unternehmens hinreichend isoliert und nicht wahrnehmbar waren, um für Angreifer interessant zu sein. Bis so ein Hacker-Kid einmal SAP kann, ist er selber ABAP-Programmierer geworden war die Meinung der meisten IT-Verantwortlichen. Und es war ja auch eine gewisse Wahrheit daran. Profiling der Technologie ihres Unternehmens bei Google und Shodan Wollen Sie wissen, wie viele Ihrer Server zum direkten Hack im Internet gelistet sind? Im ersten Teil des Live-Hacks wollen wir zeigen, das dem nicht so ist. Wir zeigen, was das "World Wide Web" so alles für technische und menschliche Informationen liefert. Alleine der Detailierungsgrad eines einzelnen, oberflächlichen Scans von Google&Co zeigen oft erstaunliche Resultate. Danach wird kaum einer noch mit Sicherheit behaupten, dass er nicht schon einmal Ziel eines Hacks war. Wifi Hacks WiFi und Handy haben nichts mit SAP Sicherheit zu tun? Es ist erstaunlich, was man mit WiFi Hacks für Informationen von Geschäftsreisenden bekommen kann. Und gepaart mit einem USB-Angriff auf die Laptops kann man die Geräte von Beratern, Admins und Geschäftspartnern dann fernsteuern. USB Hack Was kann man mit einem USB-Port alles anstellen? Nach diesen Attacken werden oft die Flachbildschirme in Konferenzräumen und die USB-Ports am Laptop ausgeschaltet. Hier ist inzwischen eine hohe Anzahl von Angriffsmethoden möglich. SAP Hacks SAP Security Assessment und Live Hack in Ihrem Unternehmen Seite 2

3 Von RFC über die Manipulation von ABAPS in Tabellen und Transporten bis zum Diebstahl der Passwörter aus der Datenbank reichen die einfachen Hacks von SAP. Weitergehende Angriffe bis hin zu Cross Site Scripting auf Portal-und Java Servern werden gezeigt. Hier ist dann der Kern, der Angriff auf die "Kronjuwelen" SAP Live Hack als Präsentation im Unternehmen Diesen ersten Teil der Live Hacks können wir gerne als Präsentation bei Ihnen durchführen. Es hat in der Regel eine Dauer von zwei Stunden. Insgesamt können wir im Anschluss dann ein weiteres Vorgehen ableiten SAP Security Assessment als mehrtägiger Workshop im Unternehmen Im Rahmen eines mehrtägigen Security Assessments in Ihrem Unternehmen können wir weitere, tiefer reichende Analysen durchführen. Diese können Projektbezogen oder Workshop-bezogen definiert werden. Der SAP-Bereich ist vielleicht der kritischste im Bereich Live Hack und Penetration Test. Hier laufen in der Regel alle Unternehmensprozesse bzw. alle kritischen Unternehmensprozesse. SAP Sicherheitsexperten müssen ein in vielen Jahren praktischer SAP-Arbeit erworbenes Wissen SAP-Umgebungen vorhanden sein. Im kritischen Betriebsumfeld eines professionell geführten SAP-Systems haben Web-Entwickler, Internet-Quereinsteiger und Neulinge keinen Erfolg. Denn alles, was in diesem Bereich stattfindet, ist zu kritisch und muss sich nahtlos in einen komplexen SAP-Betrieb einfügen, ohne ihn zu zerstören. Es ist wichtig, eine Vertrauensbasis mit allen Beteiligten aufzubauen. Ein Live Hacker oder ein Pen-Tester sind keine Helden, die alles durchbrechen und sich dann feiern lassen. Sie sollen dem Kunden die Sicherheitslücken aufzeigen, die unternehmenskritisch sind. SAP Security Assessment und Live Hack in Ihrem Unternehmen Seite 3

4 Mit Hilfe von Werkzeugen testen wir Ihr SAP-System in Absprache für eine initiale Risiko- Analyse Initiale Überprüfung der Infrastruktur Dies beinhaltet ein initialer Scan der Infrastruktur eines SAP-Systems, um äußere Bedrohungsanalysen zu erkennen und zu dokumentieren. Es können aber auch weiter reichende interne Analysen der SAP-Basis und GRC-Profile untersucht werden. Hierzu verwenden wir die Business Risk Assessment Suite von Onapsis. Aber auch mit anderen Werkzeugen sind in Absprache diese Analysen möglich. Initiale Überprüfung der kundeneigenen ABAP-Programme mit CVA Weiterhin bieten wir an, in Zusammenarbeit mit der SAP, einen initialen Scan eines ABAP- Entwicklungssystems mit dem Werkzeug SAP Code Vulnerability Analyse durchzuführen und für sie kommentiert aufzubereiten. Ergebnisse und weiteres Vorgehen Aus den Ergebnissen stellen wir Ihnen eine Abschlusspräsentation zusammen. Hier bekommen Sie eine erste Einschätzung der Verletzbarkeit ihrer Systeme und eine Einstufung in Risikowerte für ihre Branche und Unternehmens-Situation. Auf Basis dieser initialen Assessments kann man dann eine generelle Strategie für SAP- Sicherheitsprojekte entwickeln, deren Handlungs-Prioritäten sich an Bedrohungsbewertungen und Risikoanalysen orientieren. log(2) als Beratungspartner Sicherheit hat immer eine lebendige Komponente, denn sie hat ja auch immer eine sich ständig ändernde Dimension, die viel mit dem unablässigen Wandel der Technologie zu tun hat. Erfolg zu haben, neue Strategien zu erschließen und im Unternehmen zu verwirklichen bedeutet, quer zu denken, weiter zu denken und nach Impulsen jenseits der ausgetretenen Wege zu suchen. Mit mehr als 25 Jahren internationaler Erfahrung in den USA, Asien und Australien bei renommierten Unternehmensberatungen sind wir ein angesehener Gesprächspartner für große Projekte im SAP-Bereich. Aber ebenso wichtig ist es vor allem im Bereich "Sicherheit" der großen SAP-Systeme auch eben diese weltweite Erfahrung in Risk Management, Attack Vector Analysis und Threat Protection mitzubringen. Erfahrung in SAP Security Assessment und Live Hack in Ihrem Unternehmen Seite 4

5 Sicherheitsprojekten muss genauso global sein wie die Bedrohungsszenarien der Cyber- Attacken. Dies bedeutet, immer das ganze Bild, die ganze Unternehmens-Landschaft zu erfassen, in der man arbeitet und deren Rahmenbedingungen man berücksichtigt und gestaltet. Das Beratungskonzept vom log(2) nützt konventionelle Beratungsansätze, aber auch neue Wege bei der flexiblen Unterstützung unserer Kunden bei komplexen SAP- Technologieprojekten. Web Konferenzen, Video Center, Cloud Protection und On-Premise Work werden zu einem umfassenden Beratungsansatz zusammengefasst Ansprechpartner Holger Stumm log(2) ohg Memelstrasse Groß Zimmern mobil: / Tel: / Fax: / holger.stumm@log2.de Registergericht: Amtsgericht Darmstadt/Dieburg HRB Nr: 7136 UID: DE SAP Security Assessment und Live Hack in Ihrem Unternehmen Seite 5