2 Die Systemsicherheit

2.1 Zu diesem Kapitel 2 Die Systemsicherheit 2.1 Zu diesem Kapitel Dieses Kapitel enthält die zentralen Themen zur Systemabsicherung wie die Systemparametrisierung, die Anmeldesicherheit und die Absicherung der RFC-Schnittstelle. Diese Themen sind Bestandteil jeder Sicherheitsprüfung eines SAP-Systems. Das Kapitel 2.2 SAP NetWeaver und SAP-Komponenten gibt die Antwort auf die häufig gestellte Frage, was eigentlich der SAP NetWeaver ist und wie er sich abgrenzt zu den einzelnen SAP-Komponenten wie ERP. Kapitel 2.3 Der technische Aufbau eines SAP-Systems zeigt dann auf, wie ein einzelnes SAP-System technisch aufgebaut ist. Anschließend werden die Themen behandelt, die im Rahmen einer Prüfung meistens am Anfang stehen. Kapitel 2.5 Mandanten zeigt die Absicherung der einzelnen Mandanten eines SAP-Systems auf. Die Anmeldesicherheit (Kapitel 2.6) stellt eines der zentralen Themen der gesamten Systemsicherheit dar. Und Notfallbenutzer (Kapitel 2.7) sind trotz umfangreich verfügbarer Firefighter-Produkte auf Grund der hohen Zugriffsrechte immer noch ein zentrales Thema. Danach sind die beiden Standardprotokolle Thema, das Security AuditLog (Kapitel 2.8) und das SysLog (Kapitel 2.9). Beide sind im Rahmen von Systemabsicherungen und Prüfungen hilfreiche Elemente für die Nachvollziehbarkeit. Sicherheitssensible Themen wie das Sperren von Transaktionscodes (Kapitel 2.10) und die logischen Betriebssystemkommandos (Kapitel 2.11) werden danach behandelt. Zu den sicherheitsrelevanten Themen gehören auch das Batch-Input-Verfahren (Kapitel 2.13) sowie der Export von Daten, entweder durch Speichern in eine Datei oder durch einen Ausdruck (Kapitel 2.12). Eine Komponente des SAP NetWeaver ist das BI, welches wiederum das Business Warehouse enthält. Was das für den Zugriff auf sensible Daten bedeutet, wird in Kapitel 2.14 erläutert. Ein großes sicherheitsrelevantes Thema ist RFC. Zu diesem lange Jahre unterschätzten Thema erfahren Sie in den Kapiteln 2.15 bis 2.18 die Funktionsweise, die Absicherung und die Prüfschritte. Kapitel 2.19 Nutzung der Zugriffsstatistik für Prüfungen zeigt auf, wie die Zugriffsstatistik (mit der z. B. Transaktions- und RFC-Aufrufe protokolliert werden) im Rahmen von Prüfungen eingesetzt werden kann. Die Lesezugriffs- 61

2 Die Systemsicherheit protokollierung (mit der lesende Zugriffe auf Daten protokolliert werden können) ist Thema in Kapitel 2.20. Um spezielle Zugriffsrechte geht es abschließend in den Kapiteln 2.21 Kritische Basisberechtigungen und 2.22 Gesetzeskritische Berechtigungen. Insbesondere Letztere sind im Rahmen jeder Prüfung zu betrachten. 2.2 SAP NetWeaver und SAP-Komponenten 2.2.1 SAP NetWeaver Mit dem SAP R/3 Release 4.7 wurde bereits eine Trennung eingeführt zwischen der Basis-Komponente eines SAP-Systems und den Anwendungskomponenten. So war die Basiskomponente des SAP R/3 4.7 die Version 6.20. Diese Konzeption sollte eine einheitliche Plattform schaffen für die verschiedenen SAP-Komponenten und teilweise auch Non-SAP-Komponenten. Zum Nachfolge-Release des SAP R/3 4.7 wurde das Kürzel R/3 gestrichen und die technische Basis und die Anwendungskomponenten konsequent getrennt. Die technische Basis, die u. a. die alte R/3-Basis enthält, erhielt die Bezeichnung SAP NetWeaver. Sie ist ein eigenständiges Produkt und enthält keine der betriebswirtschaftlichen Module aus dem R/3. Diese Module wurden ebenfalls ein eigenständiges Produkt mit der Bezeichnung SAP ERP. Die erste Version war ECC 5.0, danach folgte ECC 6.0 (ECC = ERP Central Component). Abb. 2.2.1: Die Komponenten des SAP NetWeaver 62

2.2 SAP NetWeaver und SAP-Komponenten Abb. 2.2.1 zeigt die verschiedenen Komponenten des SAP NetWeaver. Technisch verbergen sich hinter diesem Aufbau sowohl eine Softwarekomponente, die im aktuellen Releasestand Teil jedes SAP-Systems ist, als auch folgende eigenständige SAP-Systeme: SAP Web AS Er ist Bestandteil jeder NetWeaver-basierten SAP-Installation. Als zentrale Ausführungseinheit stellt er eine Laufzeitumgebung für ABAP- und/oder für Java-Anwendungen zur Verfügung. Abhängig von der Art des installierten SAP-Systems steht hier entweder nur der sogenannte ABAP-Stack, der JAVA- Stack oder aber beide Stacks zur Verfügung. Der SAP Web AS findet sich in der Grafik also in der Application Plattform wieder. SAP EP (Enterprise Portal) Das SAP Enterprise Portal ist ein eigenständiges, Java-basiertes System. Neben der Möglichkeit eines zentralen Zugriffs auf angeschlossene SAP- und Nicht-SAP-Systeme (Single Sign On), können hier auch Daten (Wissen) und Anwendungen zentral zur Verfügung gestellt werden. Zusätzlich können sich hier Benutzer in virtuellen Räumen, sogenannten Collaboration Rooms, organisieren, um Daten und Informationen auszutauschen. Das SAP EP deckt also Teile des Bereichs People Integration und Information Integration ab. Der Einsatz dieses Systems ist optional. SAP PI (Process Integration) Process Integration ist ein eigenständiges Java- und ABAP-basiertes SAP-System (Double-Stack Installation). Es dient als technisches Schnittstellensystem, um Daten zwischen SAP- und Nicht-SAP-Systemen auszutauschen. Die integrierte Komponente Integration Broker ermöglicht die Anbindung und Kommunikation der beteiligten Anwendungen und Produkte bzw. die Umsetzung der modellierten Geschäftsprozesse. Der Einsatz dieses Systems ist optional. SAP BI (SAP Business Intelligence) SAP BI ist ein integrativer Bestandteil des SAP NetWeaver. Mit SAP NetWeaver BI steht u. a. eine integrierte Oberfläche für die Modellierung, die Datenbereitstellung und Reporting- und Analyseprozesse zur Verfügung. Es können also zentral SAP- und Nicht-SAP-Daten zusammengeführt und ausgewertet werden. Als Bestandteil des SAP NetWeaver ist das SAP BI zwar integraler Bestandteil jeder ABAP basierten SAP-Installation, wird hier in der Regel jedoch nicht eingesetzt, sondern als separates System aufgesetzt. SAP BI bildet also einen Teil der Information Integration ab. Der Einsatz dieser Komponente ist optional. 63

2 Die Systemsicherheit SAP NetWeaver Mobile/MI (Mobile Infrastructure) Hiebei handelt es sich um ein eigenständiges Java- und ABAP-basiertes SAP- System, das die Anbindung mobiler Endgeräte und somit den SAP-Zugriff über verschiedene Kanäle ermöglicht. Es werden hierüber also Teile der People Integration abgedeckt. Der Einsatz dieses Systems ist optional. SAP Solution Manager Der SolMan ist ein eigenständiges Java- und ABAP-basiertes SAP-System. Er dient der zentralen Wartung aller SAP-Systeme. Es ermöglicht die Implementierung, den Betrieb, die Überwachung und die Unterstützung von SAP- Lösungen im Unternehmen. Der gesamte Software-Lebenszyklus kann also über das System abgewickelt werden. Der Umfang der genutzten Funktionen ist in den Unternehmen jedoch sehr unterschiedlich. Innerhalb der Grafik kann er als übergreifend betrachtet werden. Der Einsatz dieses Systems ist obligatorisch. 2.2.2 Die SAP -Komponenten Die SAP Business Suite besteht aus einer Sammlung integrierter Anwendungen, mit deren Hilfe die Prozesse eines Unternehmens abgebildet werden. Nicht bei allen Unternehmen sind sämtliche enthaltenen Komponenten im Einsatz. Die Kernanwendungen der SAP Business Suite sind die folgenden (sie werden jeweils in separaten SAP-Systemen implementiert): SAP ERP (Enterprise Resource Planning) In dem ERP-System werden die zentralen Prozesse eines Unternehmens abgebildet. Dazu gehören die Lösungen Financials, Human Capital Management (HCM), Operations und Corporate Services. In der Praxis wird jedoch im Allgemeinen auf Grund der Kritikalität der Daten ein eigenes SAP-System genutzt, um den Bereich HCM abzubilden. SAP CRM (Customer Relationship Management) Das CRM-System bietet Unterstützung bei der Verwaltung der Kundenbeziehungen. Hier werden erweiterte Funktionen beispielsweise für den Vertrieb oder das Marketing geboten, so auch die Einbindung von benötigten Zugriffskanälen wie z. B. dem Interaction Center. Auf Grund der zumeist umfänglichen Kundendaten ist das System als sehr sicherheitsrelevant einzustufen. 64

2.3 Der technische Aufbau eines SAP-Systems SAP SCM (Supply Chain Management) Das SCM-System soll die logistischen Prozesse transparent abbilden und optimieren. Dies bezieht sich sowohl auf interne als auch auf externe Prozesse über die eigenen Unternehmensgrenzen hinweg. Es basiert auf Funktionen für die Planung und Zusammenarbeit mit den Kunden und Zulieferern und der Koordination aller logistischen Aktivitäten. SAP PLM (Product Lifecycle Management) Das PLM-System dient der Bereitstellung aller erforderlichen Daten für den gesamten Produkt-Lebenszyklus. Dazu gehören beispielsweise Funktionen für die Steuerung der zugehörigen Projekte, Anbindung von CAD-(Computer Aided Design-)Systemen, Dokumenten- und Stücklistenverwaltung, Änderungswesen und Variantenkonstruktion und begleitende Kalkulationen. SAP SRM (Supplier Relationship Management) Das SRM-System dient der Optimierung von Geschäftsszenarien im Bereich der Beschaffung. Es stellt beispielsweise Funktionen für den strategischen Einkauf unter Einbeziehung der Lieferantenbeziehungen zur Verfügung. 2.3 Der technische Aufbau eines SAP-Systems 2.3.1 Applikations- und Datenbankserver Ein SAP-System besteht aus der Applikation SAP NetWeaver und der darunter liegenden Datenbank. Bei kleineren Installationen können sowohl die Datenbank als auch der SAP NetWeaver auf einem einzigen Server installiert sein. Bei größeren Systemen werden die Datenbank und SAP auf getrennten Servern installiert. Der Server, auf dem die Datenbank läuft, wird Datenbankserver genannt, die Server, auf denen SAP läuft, wird Applikations- oder Anwendungsserver genannt. Bei großen Installationen ist es möglich, das SAP-System auf mehrere Server zu verteilen. Bei großen Installationen müssen die Ressourcen auf mehrere Server verteilt werden. Die Anwendung kann auf mehrere Server verteilt werden, sodass ein SAP-System aus einem Datenbankserver und mehreren Applikationsservern besteht. 65

2 Die Systemsicherheit 2.3.2 Instanzen Wie in Kapitel 2.3.1 erläutert kann ein SAP-System auf mehrere Server verteilt werden. Auf jedem Server wird die Software gestartet. Dies stellt eine sogenannte Instanz dar. Auf einem Server können auch mehrere Instanzen parallel betrieben werden. In diesem Fall erfolgen auf einem Server mehrere SAP-Installationen, die dann parallel laufen können. Dies wird maßgeblich für kleinere Entwicklungs- und Konsolidierungssysteme angewandt. In Produktivsystemen kann eine Instanz meistens mit einem Applikationsserver gleichgesetzt werden. Jede Instanz hat ihren eigenen Namen. Der Name der Instanz setzt sich zusammen aus den in ihr gestarteten Work-Prozessen (siehe Kapitel 2.3.3) und einer eindeutigen Nummer, der TCP/IP-Port-Adresse der Instanz. Eine Instanz, auf der alle angebotenen Dienste laufen, wird als Zentralinstanz bezeichnet. Werden die Dienste auf verschiedene Instanzen verteilt, spricht man von einem System mit verteilten Instanzen. Welche Instanzen innerhalb eines Systems existieren, gibt die Tabelle TPFID wieder. Hier sind alle existierenden Instanzen hinterlegt. Abb. 2.3.1 zeigt ein SAP-System mit zwei Instanzen. Abb. 2.3.1: Die Tabelle der Instanzen: TPFID Jede Instanz besitzt auf der Betriebssystemebene ein Verzeichnis, in dem die Daten der Instanz gespeichert werden, z. B. Log-Dateien. Besonders zur Prüfung der Zugriffsberechtigungen auf der Betriebssystemebene ist es wichtig zu wissen, welche Instanzen auf welchen Servern existieren, damit alle relevanten Verzeichnisse geprüft werden können. Die Instanzverzeichnisse befinden sich standardmäßig unterhalb des Verzeichnisses usr/sap/<sid>. Das Verzeichnis der Instanz trägt auch den Namen der Instanz. 66

2.3 Der technische Aufbau eines SAP-Systems 2.3.3 Die SAP-Prozesse und -Dienste 2.3.3.1 Abkürzungen: DVEBMGS Alle Applikationsserver eines SAP-Systems bilden eine logisch geschlossene Einheit. Daher müssen die Aufgaben der jeweiligen Server genau definiert werden. Die Aufgaben, die in einem SAP-System anfallen und die auf die einzelnen Applikationsserver verteilt werden müssen, werden Prozesse und Dienste genannt. SAP kennt sieben solcher Prozesse/Dienste: Dialog (D) = Prozess Verbuchung (V) = Prozess Enqueue (Sperrverwaltung) (E) = Prozess Batch (Hintergrundverarbeitung) (B) = Prozess Message-Server (M) = Dienst Gateway (G) = Dienst Spool (S) = Prozess In einem SAP-System mit genau einem Applikationsserver werden diese Prozesse und Dienste von diesem einen Server ausgeführt. Wenn sich die Anwendung SAP aus mehreren Applikationsservern zusammensetzt, werden sie auf die Server verteilt. Welche Prozesse und Dienste auf einem Applikationsserver (also auf einer Instanz) laufen, ist am Namen der Instanz zu erkennen. Der Name einer Instanz setzt sich folgendermaßen zusammen: <SID>_<Prozesse/Dienste><TCP/IP-Port> <SID> SID (System IDentification) steht für den dreistelligen Namen des SAP-Systems. <Prozesse/Dienste> Hier werden die Kürzel für die auf dieser Instanz gestarteten Prozesse und Dienste angegeben. <TCP/IP-Port> steht für die letzten beiden Ziffern des TCP/IP-Ports, welcher für die Netzverbindung genutzt wird. Standardmäßig laufen Dialog-Verbindungen über die Ports 3200 3299 und reine RFC/CPIC-Verbindungen über die Ports 3300 3399. Hier im Instanznamen werden jeweils die letzten beiden Ziffern des Ports angegeben. Lautet der Name einer Instanz P01_DVEBMGS00, so hat das SAP-System den Namen P01, es laufen auf dieser Instanz alle Prozesse und Dienste, und es wird der Port 00 (3200 und 3300) genutzt. Der Instanzname C40_DEMG00 zeigt an, dass in dieser Instanz nur der Dialog- und der Enqueue-Prozess sowie der Message-Server- und der Gateway-Dienst laufen. Auf der Betriebssystemebene bilden die Prozesse und Dienste den Verzeichnisnamen für das Verzeichnis der Instanz (Abb. 2.3.2). 67

2 Die Systemsicherheit Abb. 2.3.2: Ein Instanzverzeichnis auf der Betriebssystemebene Welche Prozesse gerade aktiv laufen, kann über die Transaktion SM50 (Menüpfad Werkzeuge Administration Monitor Systemüberwachung Prozessübersicht) eingesehen werden. Hier können einzelne Instanzen ausgewählt werden (Abb. 2.3.3). Abb. 2.3.3: Transaktion SM50 Prozessübersicht 68

2.3 Der technische Aufbau eines SAP-Systems Nachfolgend werden die einzelnen Prozesse und Dienste erläutert. 2.3.3.2 Der Dialogprozess Der Dialogprozess nimmt die Anforderungen der laufenden Benutzersitzungen entgegen. Von diesem Prozess muss es natürlich mehrere in einem SAP- System geben. Auf jeder Instanz müssen mindestens zwei Dialogprozesse laufen. Zur Erzielung einer optimalen Performance sollte für alle fünf bis acht Benutzer ein Dialogprozess gestartet werden (stark abhängig von den Anforderungen und der Quantität der Server). Ein Dialogprozess wird nicht genau einem Benutzer zugeordnet. Der Prozess nimmt immer genau eine Anforderung entgegen und wartet dann auf die nächste, egal von welchem Benutzer. Der Dialogprozess wird vom Dispatcher der jeweiligen Instanz mit Anforderungen versorgt. Ein Dialogschritt im SAP- System stellt genau eine Bildschirmmaske dar. 2.3.3.3 Der Verbuchungsprozess Die meisten verändernden Zugriffe auf die Datenbank erfolgen asynchron. Das heißt, die Daten werden nicht direkt von einem Dialogprozess in die Datenbank geschrieben, sondern werden in einer Tabelle zwischengespeichert (siehe Kapitel 3.2.2). Der Verbuchungsprozess übernimmt nun die Aufgabe, diese Tabelle auszulesen und die Daten in die Datenbank zu übertragen. Durch dieses Prinzip werden große Performanceverbesserungen erreicht. Würden z. B. zehn Benutzer parallel etwas verbuchen (also abspeichern), so müsste bei der synchronen Methode die Datenbank alle zehn Anforderungen sequentiell abarbeiten, was für die Benutzer hohe Wartezeiten zur Folge hätte. Durch die Zwischenspeicherung entfallen diese Wartezeiten. Die zu speichernden Daten der Benutzer werden in einer Tabelle zwischengespeichert, und der Verbuchungsprozess übernimmt im Hintergrund das Übertragen der Daten in die Datenbank. 2.3.3.4 Der Enqueue-Prozess Der Enqueue-Prozess stellt die Sperrverwaltung des SAP-Systems dar. Innerhalb eines SAP-Systems kann es nur einen einzigen Enqueue-Prozess geben. Auf dem Server, auf dem dieser Enqueue-Prozess läuft, befindet sich eine Sperrtabelle im Hauptspeicher, die vom Enqueue-Prozess verwaltet wird. Bearbeitet ein Benutzer z. B. den Stammsatz eines Debitors, so wird in der Tabelle vom Enqueue-Prozess ein Eintrag vorgenommen, dass dieser Datensatz gesperrt ist. Versucht ein zweiter Benutzer, denselben Debitor zu bearbeiten, gibt der Enqueue-Prozess auf diese Anforderung eine negative Antwort und der Benutzer bekommt die Fehlermeldung Debitor XXXX durch Benutzer 69

2 Die Systemsicherheit XXXX gesperrt. Somit werden Inkonsistenzen in der Datenbank vermieden. Das Entsperren einer logischen Tabelle oder eines logischen Datensatzes übernimmt der Dequeue-Prozess. Diese Sperre ist eine rein logische Sperre, es werden von diesem Prozess keine Tabellen in der Datenbank gesperrt. So ist es durch einen direkten Zugriff auf die Datenbanktabellen möglich, einen Datensatz zu ändern, der über das SAP-System durch den Enqueue-Prozess gerade gesperrt ist. Daher ist insbesondere bei der ABAP-Programmierung darauf zu achten, dass keine direkten Tabellenänderungen am Sperrprozess vorbei vorgenommen werden (siehe auch Kapitel 6.7.3). 2.3.3.5 Der Batch-Prozess Der Batch-Prozess ist zuständig für die Hintergrundverarbeitung. Langwierige Arbeitsaufgaben, die keiner Dialog-Eingabe bedürfen, sollten im Hintergrund ausgeführt werden. Sie werden dann als sogenannte Jobs eingeplant. Diese Jobs können von einem Benutzer ereignisgesteuert oder zu einem bestimmten Zeitpunkt ausgeführt werden. Auf jeder Instanz können mehrere Batch-Prozesse gestartet werden. 2.3.3.6 Der Message-Server-Dienst Dieser Dienst ist für die Kommunikation der verschiedenen Instanzen untereinander verantwortlich. In jedem SAP-System gibt es genau einen Message- Server-Dienst. Die Instanz, auf der dieser Prozess läuft, wird auch als Zentrale Instanz bezeichnet. Im Wesentlichen ist er verantwortlich für das Routen von Mitteilungen zwischen den Servern. Bei diesen Mitteilungen kann es sich z. B. um das Starten von Batch-Jobs handeln, einem Anstoß zur Verbuchung oder um Enqueue- oder Dequeue-Prozesse. 2.3.3.7 Der Gateway-Dienst Der Gateway-Dienst übernimmt die Kommunikation zwischen Anwendungen auf verschiedenen SAP-Systemen oder zu Nicht-SAP-Systemen über das Protokoll TCP/IP. Er ist auch zuständig für RFC und CPIC. 2.3.3.8 Der Spool-Prozess Der Spool-Prozess übernimmt die Verwaltung der Ausgabeaufträge eines SAP-Systems. Die Druckaufträge werden bis zur Ausgabe in den TemSe-Objekten (Temporäre Sequentielle Objekte) zwischengespeichert. Die TemSe- Objekte können entweder in der Datenbank (unter Verwendung der RDBMS- Sicherheitsmechanismen) oder im Betriebssystem abgelegt werden. Es können beliebig viele Spool-Prozesse je Server gestartet werden. 70