ABAP Code Security – SAP Code Vulnerability Analyzer / Virtual Forge CodeProfiler for ABAP
Roll-Wartezeit
Vererbungshierarchie mit Masterrolle und zugeordneten Rollen Haben Sie mehrere abgeleitete Rollen erstellt, dann kann eine einfache Übersicht über alle "verwandten" Rollen praktisch sein. Rufen Sie dazu eine beliebige abgeleitete oder auch die Masterrolle auf und klicken Sie dann anschließend auf den Button "Vererbungshierarchie". Sie erhalten nun eine genaue Übersicht darüber, welche Rollen welcher Masterrolle zugeordnet sind.
Im Kontext der SAP-Basis kann als Beispiel die Bereitstellung eines SAP-Applikationsservers für ein beliebiges SAP-System herangezogen werden. Parameter wären zB sowohl Prozessoranzahl, Speicher, Plattenplatz, Betriebssystem als auch die Laufzeitumgebung.
Richtwerte für Antwortzeiten
Noch ein wichtiges Beispiel ist die Leseberechtigung für TemSe-Objekte. Die temporären Dateien werden oft vergessen, denn häufig wird nicht bedacht, dass zwischengespeicherte (streng) vertrauliche Daten, die nur für einen Benutzer bestimmt sind (Eigentümer), unbefugt von einem anderen Benutzer eingesehen werden können - und das mandantenübergreifend. Die erwähnten Beispiele zeigen uns, wie wichtig es ist die Berechtigungen für mandantenunabhängige Transaktionen mit Bedacht zu vergeben. Download Transaktionstabellen Die Transaktionen, welche die Beispiele von oben ermöglichen, inkl. bestimmter Ausprägungen der zugehörigen Berechtigungsobjekte und unsere Empfehlungen dazu finden Sie in der Datei „Kritische mandantenübergreifende Berechtigungen“ zum Download. Weitere mandantenunabhängige Transaktionen befinden sich in der Datei „Cross Clients TCODES“. Die Kritikalität dieser Transaktionen sollte je nach Kontext bewertet werden. Ich empfehle, stets vorsichtig damit umzugehen und diese Transaktionen im Hinterkopf zu behalten.
In diesem Artikel zum Thema SAP Security Automation möchte ich einen kleinen Blick in die Zukunft von automatisierten Prozessen im SAP Security Bereich wagen. Das Thema Security Automation bietet für viele Unternehmen noch eine Menge Potential in Bezug auf Zeitersparnis und Prozessoptimierung. Unser tägliches Arbeitsumfeld bietet zahlreiche Aufgaben, die schon heute exzellent automatisch bearbeitet werden könnten. Aus diesem Grund stelle ich in diesem Artikel zwei der Möglichkeiten vor, welche im weit gefassten Bereich Security Automation bereits bestehen. Security Automation mittels SAP Security Check Die erste Möglichkeit der Security Automation, die ich hier vorstellen möchte, ist die automatische Prüfung der vorhandenen Berechtigungen. Haben Sie sich schon einmal gefragt, wer von den Usern in Ihrem SAP-System kritische Berechtigungen besitzt? Und haben Sie dies schon einmal per Hand versucht nachzuvollziehen? Dies ist je nach Kenntnisstand und Erfahrung des Berechtigungsadministrators eine Arbeit, bei der einiges an Zeit ins Land geht. Wenn zusätzlich eine Wirtschaftsprüfung angekündigt wird und das SAP-System bezüglich kritischer Berechtigungen sowie Segregation of Duties überprüft werden soll, dann ist es sehr schwierig allen Anforderungen zu genügen und die Berechtigungslandschaft diesbezüglich abzusichern. Aus diesem Grund stellen verschiedene Anbieter Lösungen bereit, mittels Toolunterstützung die Überprüfung des Berechtigungswesens in Hinblick auf kritische Berechtigungen und Segregation of Duties zu automatisieren. So können Berechtigungsadministratoren ihre wertvolle Zeit dazu nutzen, die Fehler zu beheben, anstatt eben diese Fehler erst zu suchen. Wir nutzen beispielsweise ein Tool, welches die Überprüfung von über 250 Regeln durchläuft. Anschließend erhalten wir eine Auswertung darüber, gegen welche Regeln verstoßen wird und welche Punkte in Ordnung sind. Ein einfaches Beispiel für solche Regeln ist die Verwendung des Profils SAP_ALL. Ein weiteres wäre die Vergabe der Sprungberechtigung im Debugging (Berechtigungsobjekt S_DEVELOP mit dem Feld ACTVT = 02). Dies sind zwei relativ simple Beispiele des Regelwerks von Security Check-Tools. Weiterführend werden auch Abfragen getätigt, welche im Bereich Segregation of Duties angesiedelt sind. Die Verwendung dieses Tools ermöglichte es uns, von der manuellen Überprüfung von kritischen Berechtigungen zu einem automatischen Ablauf überzugehen.
Mit "Shortcut for SAP Systems" werden Aufgaben im Bereich der SAP Basis vereinfacht und fehlende Funktionen des Standards ergänzt.
Der Parameter login/disable_multi_gui_login begrenzt die Möglichkeit, sich mehrfach am SAP-System anzumelden.
Die Ergebnisse der Prüfungen können dokumentiert werden, sodass die Entwicklung über einen Zeitraum betrachtet werden kann.