SAST in Kürze

1 / 2013

SAST in Kürze

Liebe Leserinnen und Leser, die Sicherheit von SAP®-Systemen ist und bleibt ein brisantes Thema. Viel zu oft offenbaren SAP-Audits Schwachstellen in Systemen. Risiken werden von SAP-Kunden und -Anwendern leider noch immer stark unterschätzt. Wir von akquinet wollen, dass Ihre Systeme und Ihre wertvollen Daten vor Angreifern geschützt sind. Speziell dafür haben wir zum Beispiel die „SAST GRC Suite für SAP“ entwickelt. Weil uns die Sicherheit Ihrer SAP-Systeme besonders am Herzen liegt, möchten wir Sie ab sofort auch mit einem eigenen Newsletter zu diesem Thema informieren. In „SAST Inside“ lesen Sie interessante Berichte über aktuelle Entwicklungen in Bezug auf die Sicherheit von SAP-Systemen. Wir bieten Ihnen hier Tipps und Guidebooks zu konkreten Einstellungen. Erfahren Sie in „SAST Inside“ frühzeitig von Neuerungen unsere Produkte betreffend. Gerne möchten wir Sie auch über Veranstaltungen informieren, an denen wir mitwirken dürfen. So ist akquinet auch 2013 wieder mit einem eigenen Partnerstand auf dem DSAG-Jahreskongress vertreten, der vom 17. bis 19. September in Nürnberg stattfinden wird. Besuchen Sie mich dort. Ich beantworte gerne Ihre Fragen persönlich und freue mich auf einen regen Erfahrungsaustausch. Viel Spaß beim Lesen von „SAST Inside“!

SAST hautnah erleben!

Tipps aus der Beratung

SAP-Events mit akquinet: Optimal geschützt Sicherheit in SAP-Systemen ist ein Kernthema der bevorstehenden Veranstaltungen in der zweiten Jahreshälfte. Der DSAG Jahreskongress 2013 informiert über neue technische Herausforderungen in der SAP-Systemlandschaft. Praxistipps zum Umgang mit Sicherheitslücken liefern der Infotag von Virtual Forge und das Webinar von akquinet. Weiterlesen…

SAP-Audit – Warum alle Ebenen betrachtet werden müssen Wann ist ein SAP-System sicher? Wann nicht? Das klärt eine umfassende Schutzbedarfsanalyse, die auch die technologische Absicherung eines Systems sowie die etablierten Kontrollprozesse des jeweiligen Unternehmens miteinbezieht. Zum Beispiel mit SAST System Track und SAST User Track. Weiterlesen...

Produktinformationen

Neue SAP-Funktion für die Auswertung des Berechtigungstrace

SAST 3.1a: Das neue Release ist da Mehr Sicherheit mit SAST 3.1a: Unter anderem mit erweiterten Archivierungsmöglichkeiten, verbesserter Auswertung von Risikoanalysen sowie einer Reminder- und Eskalationsfunktion im UAM-Workflow. Weiterlesen…

STAUTHTRACE heißt eine neue Erweiterung der ST01 Tracefunktion. Sie erleichtert die Arbeit im SAP-Alltag. Ein systemübergreifender Trace von Anwendern wird problemlos möglich. Weiterlesen...

Herzlich Willkommen im SAST-Serviceportal SAST Info Center – Tipps und Infos 24/7 Das neue „SAST Info Center“ informiert Sie umfassend zu Themen aus dem Bereich „governance risk and compliance“. Immer aktuell und rund um die Uhr. Weiterlesen…

Security Info Absicherung von Oracle-Datenbanken im SAP-Umfeld Softwareaktualisierung, Netzwerksicherheit, ListenerSicherheit: Die besten Tipps zur Härtung von OracleDatenbanken und wie Sie diese umsetzen. Weiterlesen...

Ihr Bodo Kahl akquinet Geschäftsführer

Seite 1

1 / 2013

SAST hautnah erleben!

20.06.

Virtual Forge Infotag in München (Gastreferent Ralf Kempf, Geschäftsführer akquinet)

04.07.

Live-Webinar „Schutz vor Datendiebstahl aus SAP-Systemen! - Download Observer“

22.08.

Live-Webinar „SAP Notfalluser-Konzept - Protokollierung lesender Zugriffe auf sensible SAP-Daten (HCM,Finance)“

10.09.

Live-Webinar "SAP Solution Manager - Segen oder Fluch für die Sicherheit Ihrer SAP-Systeme?"

17.09. - 19.09.

DSAG Jahreskongress in Nürnberg

09.10.

Live-Webinar "Automatisierte Überwachung aller relevanten SAP-Infrastrukturkomponenten"

05.11.

Live-Webinar "Berechtigungs- und Funktionstrennungsanalysen in Echtzeit"

Quelle: http://www.bmw-welt.com

Zu Gast in der BMW Welt München 20. Juni: „Neue Lösungen für Sicherheit & Compliance in SAP-Systemen“ Investieren Sie in Ihre SAP-Sicherheit – und besuchen Sie den Infotag „Neue Lösungen für Sicherheit & Compliance in SAP-Systemen“ von Virtual Forge. In der BMW Welt in München wird am 20. Juni 2013 neben der Qualitätssicherung und dem Risikomanagement auch die Sicherheit thematisiert. Denn in einem SAP-System gibt es bis zu 3.000 Stellschrauben, die evaluiert werden müssen, um den sicheren Betrieb zu gewährleisten. Gemeinsam mit unserem Partner Virtual Forge zeigen wir Ihnen, wie Sie Sicherheitslücken in Ihrem SAP-System schnell und zuverlässig aufdecken und beheben können. Erkenntnisse und Zahlen aus der Praxis belegen, dass sich Investitionen in die SAP-Sicherheit wirklich lohnen. Seien Sie dabei und diskutieren Sie mit: Beim brisanten Vortrag mit dem Titel „5 Todsünden im Berechtigungswesen“ des akquinet-Geschäftsführers Ralf Kempf. Blocken Sie jetzt den Termin und seien Sie dabei! → Registrieren Sie sich jetzt!

4. Juli: Diebstahlsicher mit dem akquinet Live-Webinar „Schutz vor Datendiebstahl aus SAP-Systemen!" – SASTGRC Suite Download Observer” Sie wollen Ihre SAP-Systeme vor Datendiebstahl schützen? Sie suchen ein effizientes SAP-zertifiziertes Instrument zum Schutz Ihres Unternehmens gegen Betriebsspionage und gegen eine Verletzung der Datenschutzbestimmungen? Am 4. Juli 2013 informiert das 30-minütige Live-Webinar von akquinet über den „Schutz vor Datendiebstahl aus SAP -Systemen!". Das Webinar richtet sich an SAPVerantwortliche sowie -Mitarbeiter, die eine SAPintegrierte Lösung gegen vielfältige Sicherheitslücken suchen. Mit dem SAST-Download Observer wird das Herunterladen sensibler Daten (zum Beispiel von Patenten, technischen Zeichnungen, Kundendaten oder Finanzdaten) aus dem SAP-System automatisch überwacht und protokolliert. → Registrieren Sie sich jetzt!

17. bis 19. September: DSAG Jahreskongress 2013 Die größte SAP-Anwendergruppe weltweit lädt ein: zum DSAG Jahreskongress 2013. Vom 17. bis 19. September 2013 wird in Nürnberg über mobile Anwendungen, CloudLösungen und In-Memory diskutiert. Die Veranstaltung findet dieses Jahr unter dem Motto „Prozesse im Wandel – Fakt oder Fiktion?“ statt. Insbesondere Trends und zukünftige Herausforderungen im Zuge neuer Technologien stehen im Fokus. Wer Sicherheitsrisiken in der eigenen SAP-Systemlandschaft minimieren will, kann vor Ort mit unseren Experten sprechen – und erhält kompetente Beratung zu Compliance -Projekten. Mit unserer „SAST GRC Suite für SAP®“ schließen Sie zusätzlich Sicherheitslücken in Ihren SAP-Systemen und sorgen für ein Maximum an Sicherheit. Besuchen Sie auch unseren Partnervortrag „Die Entzauberung der SAP-Sicherheitsmythen“ am 17. September 2013 um 17:45 Uhr.

Für Kurzentschlossene Rufen Sie uns einfach an +49 (0)40-88173-4625 oder schicken Sie uns eine Mail an [email protected]

Seite 2

1 / 2013

PRODUKTINFORMATIONEN SAST 3.1a: Das neue Release ist da Eine optimierte Archivierung im SAST-Download Observer, verbesserte Auswertungsmöglichkeiten von Risikoanalysen, eine Reminder- und Eskalationsfunktion im UAM-Workflow sowie erste Web-Interfaces wichtiger UAM-Funktionen: Das sind noch lange nicht alle Ergänzungen, die das neue SAST-Release 3.1a bietet.

Weitere Informationen erhalten Sie über das SASTServiceportal im Download-Bereich. Hier erhalten Sie auch immer die aktuellen Hinweise zu neuen Erweiterungen unserer Produkte (demnächst ein Tool im HR-Umfeld, mit dem lesende Zugriffe sensibler HR-Daten revisionssicher protokolliert werden).

Seit April 2013 steht das Release SAST 3.1a allen akquinetKunden zur Verfügung.

Das erste Servicepack SP01 zum Release 3.1a veröffentlichen wir Anfang Juli 2013.

Wir freuen uns besonders auf Anregungen und Verbesserungsvorschläge von unseren Kunden und SAP-Anwendern. Denn wir arbeiten für Sie mit unserem Security-ExpertenTeam bereits an dem nächsten Release. Michael Kuschnik Fon: +49 (0)40-88173-2706 E-Mail: [email protected]

Mit dem Release 3.1a ermöglicht akquinet in vier SASTProdukten eine Reihe neuer und überaus nützlicher Funktionen an (Auswahl siehe Grafik).

Neben Deutsch und Englisch steht Ihnen unsere SAST GRC Suite ab sofort auch in folgenden Sprachen zur Verfügung*: 

Russisch



Französisch



Spanisch



Tschechisch



Chinesisch



Portugiesisch (brasilianisches Portugiesisch)

*Sprachpakete können als kostenpflichtige Zusatzpakete über unseren Vertrieb bestellt werden.

Seite 3

1 / 2013

Herzlich Willkommen im SAST-Serviceportal SAST Info Center – Tipps und Infos 24/7 Das SAST-Serviceportal (https://sast.akquinet.de) hat Zuwachs bekommen: Mit dem neuen Bereich „Info Center“ bleiben Sie stets rundum informiert. Seit Jahresbeginn erfahren hier Kunden und Anwender der „SAST GRC Suite für SAP®“ alles Wissenswerte aus dem Bereich „governance risk and compliance“. Im neu hinzugekommenen Bereich stehen Ihnen Publikationen und viele weitere wertvolle Informationen zur Verfügung. Präsentationen, zum Beispiel von der TROOPERS 2012 oder der DSAG 2012 sowie interessante Charts, etwa wie „Breaking SAP® in 59 sec.“, können hier kostenlos heruntergeladen werden. Mit dem „SAST Info Center“ erweitert akquinet das SASTServiceportalangebot. Profitieren auch Sie von den Vorteilen, wie es bereits über 160 zufriedene Portal-Nutzer tun. Informieren Sie sich jederzeit, aktuell und umfassend – im „SAST Info Center“. Ihr Ansprechpartner bei Fragen rund um das SAST-Serviceportal ist:

Florian Wunder Fon: +49 (0)40-881 73-4413 E-Mail: [email protected]

Haben Sie eigene interessante Beiträge für uns, die wir im Sinne aller unserer Kunden veröffentlichen können, dann freuen wir uns über Ihre Einsendung an [email protected].

Seite 4

1 / 2013

TIPPS AUS DER BERATUNG SAP-Audit – Warum alle Ebenen betrachtet werden müssen Häufig werden Sicherheitsthemen ausschließlich auf der Berechtigungsebene innerhalb eines SAP-Systems diskutiert. Dass dies wichtig ist, ist unbestritten. Doch wie lässt sich ein SAP-System umfassend analysieren, um einen möglichst vollständigen Überblick des aktuellen Security Levels zu erhalten? Wann ist ein System sicher? Wann nicht? Um diese Fragen zu klären, muss ein System umfassend analysiert werden – auf sämtlichen Betrachtungsebenen. Eine Schutzbedarfsanalyse ist dann umfassend, wenn sie auch die technologische Absicherung eines Systems sowie die im Unternehmen über viele Jahre etablierten Kontrollprozesse miteinbezieht. Ein wesentlicher Bestandteil der Analyse ist dementsprechend das Betriebssystem, das, bildlich gesprochen, wie bei einer Pyramide das Fundament der IT-Infrastruktur bildet (siehe Grafik). Auch die Schnittstellen auf der Betriebssystem-Ebene sind wichtige Analysebestandteile.

Jede Betriebssystemplattform offenbart eigene Schwachstellen, die aus den verschiedensten Quellen bekannt sind – etwa dem jeweiligen Herstellerportal, aus Security-Portalen oder zum Beispiel in Form von Hinweisen in Security Notes im Service-Portal der SAP AG selbst. Dies gilt generell für die in SAP-Systemen zugrundeliegenden Datenbankplattformen. Denn auch hier finden sich auf unterschiedlichen Security Level weitreichende SecuritySchwächen – angefangen von Benutzer- und Berechtigungsstrukturen der zugrundeliegenden Datenbankschemen bis hin zu unsicheren Parametrisierungen. Die direkt die SAP-Produkte umfassende Security-Ebene, die Applikationsebene, beinhaltet neben der auf SAP NetWeaver aufbauenden Plattform auch jene auf Applikationsebene, in der die Berechtigungen gemäß zugrundeliegender Berechtigungskonzepte vergeben werden.

Zur Prüfung dieser verschiedenen Ebenen, inklusive eines verlässlichen und periodischen Reportings, eignen sich verschiedene Werkzeuge. So bietet SAP über den Security Optimization Service (SOS) als Funktionalität des SAP Solution Managers ein Prüfregelwerk an, das die Schwachstellen im Umfeld von SAP NetWeaver sowie in Bezug auf SAP Security Patches systemübergreifend analysieren kann. Um Funktionstrennungskonflikte zu ermitteln, müssen Softwareprodukte anderer Hersteller zum Einsatz kommen. Eine vollständige Analyse der dargestellten Security-Ebenen lässt sich etwa durch den Einsatz der Komponenten SASTSystem Track sowie SAST-User Track durchführen. Die Ergebnisse münden in aussagekräftige Berichte. Diese bilden das Grundgerüst für eine dauerhaft angelegte Security Compliance der gesamten Systemlandschaft, die sich in Form eines Auditplanes im Einsatz der Komponente SASTRisk Track zeigt. Wer auf verschiedene Analysetools mit unterschiedlichen Prüfschwerpunkten setzt, wird viel Zeit aufwenden müssen, um Ergebnisse sinnvoll zusammenzuführen. Auch die Übersichtlichkeit der Daten wird sehr wahrscheinlich leiden. Die Vorteile eines strukturierten SAST-Reportings über sämtliche Security-Ebenen liegen hingegen auf der Hand: Einzelergebnisse werden einheitlich dargestellt. Sie können leicht zu einem ganzheitlichen Security Level zusammengeführt werden. Dies spart Anwendern Zeit. Und Unternehmen Geld.

Seite 5

1 / 2013

TIPPS AUS DER BERATUNG

SECURITY INFO

Neue SAP-Funktion für die Auswertung des Berechtigungstrace

Absicherung von Oracle-Datenbanken im SAPUmfeld

Ein leider allzu bekanntes Problem: Sie aktivieren den Trace für einen Benutzer in ST01 und sehen keine Ergebnisse. Denn: Der Benutzer war im Rahmen der SAP-Lastverteilung auf einer anderen Instanz aktiv.

Aus der Erfahrung von über 100 SAP-Audits wissen wir, dass bei nahezu jedem Kunden – mindestens mit einem Exploit – auf die SAP-Datenbank als DBA oder SAP SIDADM zugegriffen werden kann.

Genau für dieses Problem stellt SAP in den aktuellen Hot Packages eine Erweiterung der ST01-Tracefunktion bereit. Diese erleichtert einen systemübergreifenden Trace von Anwendern.

Alle Daten des SAP-Systems werden in der Datenbank abgelegt. Wenn sich ein Hacker direkt Zugriff auf die Datenbank verschafft und so Zugang zu den SAP-Tabellen erlangen kann, sind Datendiebstahl, Manipulationen und Sabotage möglich.

Mit der im Hinweis 1707841 ausgelieferten Erweiterung können Sie den Systemtrace für Berechtigungsprüfungen auf allen Servern sowie auf ausgewählten Servern eines Systems starten oder stoppen (Neue Transaktion: STAUTHTRACE).

Tipps zur Härtung von Oracle-Datenbanken (Oracle 10/11)

Der Name des Servers wird bei den durchgeführten Berechtigungsprüfungen in einer zusätzlichen Spalte angezeigt. Dank der neuen Transaktion, können Traces wesentlich leichter vom Berechtigungsadministrator ausgewertet werden. Bequem, im Tagesbetrieb. OSS Hinweise: → Hinweis 1603756 - Berechtigungsprüfungen aufzeichnen mit STAUTHTRACE → Hinweis 1707841 - STAUTHTRACE: Systemweite Traceauswertung → Hinweis 1793298 - STAUTHTRACE - Auswahl der Server über eine Logon Gruppe

Sie haben Fragen? Fon: +49 (0)40-88173-4625 E-Mail: [email protected]

Softwareaktualisierung Oracle stellt seinen Kunden zyklische Sicherheitspatches zur Verfügung – die Service Critical Patch Updates (CPU). Kunden wird dringend empfohlen, die Patches stets zeitnah einzuspielen. Seit 2005 stellt Oracle CPUs für alle Produktangebote im regelmäßigen Turnus zur Verfügung. Die umfangreichen Patches beinhalten Korrekturen für signifikante Sicherheitsschwächen. Kunden sollten sie unbedingt einbauen, sofern sie nicht mit einem anderen Patch kollidieren, der aus SAPSicht unbedingt notwendig ist.

CPU-Patches ab Oracle Version 10.2.0.4 bestehen nicht mehr wie bisher aus einem einzigen großen Merge-Patch, sondern aus mehreren voneinander unabhängigen sogenannten Patch-Molekülen. Ein Patch-Molekül ist prinzipiell wie ein einzelner Patch zu sehen. Es kann entweder komplett installiert werden oder gar nicht. Bei einem Konflikt zwischen einem bereits installierten Patch und einem im CPU enthaltenen Patch-Molekül kann der DBA entscheiden, den CPU entweder gar nicht zu installieren oder aber wenigstens die konfliktfreien PatchMoleküle zu installieren. Die konfliktverursachenden PatchMoleküle werden zu einem späteren Zeitpunkt nachinstalliert, wenn der Merge-Patch zur Verfügung steht. Der wesentliche Vorteil dieses neuen Verfahrens ist eine geringere Wahrscheinlichkeit für Patch-Konflikte. Wenn trotzdem ein Patch-Konflikt auftritt, so verhindert das nicht die Installation des gesamten CPUs, sondern nur des betroffenen Patch-Moleküls. Es ist jedoch durchaus möglich, dass aufgrund technischer Probleme ein Merge nicht möglich ist. In diesem Fall liegt die Entscheidung wie bisher auf Kundenseite, den CPU-Patch zu installieren oder den bereits empfohlenen funktionalen Patch. akquinet empfiehlt dringend verfügbare Oracle-SecurityPatches zeitnah einzuspielen.

Mit dem Release 10.2.0.4 hat sich das Verfahren, wie CPUs aufgebaut sind, grundlegend geändert. Oracle stellt das CPU Patch Verfahren auf das sogenannte "n-apply" um. Dies bedeutet, dass der CPU-Patch nur noch reine SecurityPatches beinhaltet – keine funktionalen Patches mehr. Kommt es beim Einspielen des CPU-Patches zu einem Konflikt, wird vom Oracle Support für den Patch, der den Konflikt verursacht, ein Merge-Patch bereitgestellt. Da jedoch nur Security-Patches im CPU-Patch enthalten sind, ist die Wahrscheinlichkeit für Patch-Konflikte sehr gering.

Seite 6

1 / 2013

SECURITY INFO Netzwerksicherheit und Oracle-Listener In SAP-Umgebungen verbinden sich alle SAP-Systeme über den Oracle-Listener auf die Datenbank. Von daher ist der Schutz des Netzzugriffs einer der wichtigsten Punkte im Sicherheitskonzept für Oracle.

Listener Sicherheit: Unterschied ORACLE 10 /11 G LOCAL OS AUTHENTICATION vs. Passwort und Admin Restriction (Oracle 8/9) Ab Oracle 10 ist die Administration des Listener nur noch für Benutzer der Gruppe DBA möglich.

Listener gegen Poisoning-Attacken schützen Der Oracle-Datenbankserver hat einen separaten ListenerProzess, der normalerweise auf TCP-Port 1521 läuft. Er leitet die Anfragen der Clients an das eigentliche DatenbankSystem weiter, das für die angefragte Datenbank-Instanz zuständig ist. Bereits seit Version 8i ist es möglich, über eine solche Netzwerk-Verbindung auch weitere Listener anzumelden.

Das Setzen eines Listener-Passworts sowie der Option ADMIN_RESTRICTION ist aus diesem Grund normalerweise nicht mehr notwendig.

Ein weiterer Listener kann sich sogar für eine bereits existierende Datenbank-Instanz registrieren. Der bereits aktive Listener interpretiert das als neuen Knoten eines Oracle Real Application Clusters (RAC) und nutzt den neuen Listener für Load-Balancing. Sprich: Jede zweite DatenbankVerbindung wird ab dann über den neuen Listener umgeleitet.

Da jedoch Exploits zur Umgehung dieser Authentifizierung bekannt sind, wird für Systeme mit einem hohen Schutzbedarf empfohlen, die Option ADMIN_RESTRICTION unbedingt zu verwenden. Nur so wird zuverlässig verhindert, dass ein Oracle DB Listener durch lsnrctl-Aufrufe administriert werden kann.

Deshalb sollten Oracle-Admins möglichst bald selbst aktiv werden, um ihre Installationen abzusichern. Wer kein Clustering nutzt, hat es da noch relativ einfach. In diesem Fall kann man über die Anweisung dynamic_registration = off in der Konfigurationsdatei listener.ora das nicht notwendige Feature deaktivieren.

Absicherung der SQL*Net bei Zugriff durch eine Firewall In SAP-Umgebungen benötigen nur die SAP-Server Zugriff auf die Oracle-Datenbank. Etablieren Sie einen netzwerkseitigen Schutz, der folgende Anforderungen erfüllt:

Listener Logging aktivieren So aktivieren Sie das Logging mit den Listener-Trace in der Datei listener.ora:

1. Kein Zugriff auf die Datenbank oder den Listener durch SQL*Net aus PC- oder nicht vertrauenswürdigen Server -Segmenten

LSNRCTL> set current_listener LSNRCTL> set log_directory /network/admin LSNRCTL> set log_file .log LSNRCTL> set log_status on LSNRCTL> save_config

Entfernen von Klartext-Kennwörtern aus der ListenerDatei Listener.ora Entfernen Sie alle Klartext-Kennwörter aus der Datei Listener.ora und setzen Sie abhängig vom Schutzbedarf ein komplexes Listener-Kennwort sowie die Option ADMIN_RESTRICTION. Durch das Setzen dieser Option sind keine Änderungen des Listener-Status per lsnrctlKommando mehr möglich. Alle Änderungen müssen lokal in der Datei listener.ora durchgeführt werden. Beispiel: LSNRCTL> set password Password: mypassword

Absicherung des $TNS_ADMIN Verzeichnisses Folgende Oracle-Dateien im Verzeichnis $TNS_ADMIN sind kritisch in Hinblick auf die Sicherheit des Systems:   

Listener.ora Sqlnet.ora Protocol.ora

Die Datei Listener.ora kann in SAP-Umgebungen an verschiedenen Orten gespeichert werden. Je nach Version des Systems kann dies der Share SAPMNT oder das TNS_ADMIN -Verzeichnis sein. Alle Dateien dürfen nur für DBAs oder ROOT anzeigbar und pflegbar sein.

Absicherung der Zugriffsrechte auf ORCALE-Binaries Oracle-Binaries in $ORACLE_HOME/bin dürfen nur für den primären Oracle-Account ausführbar sein. Die Rechte auf die tnslsnr und lsnrctl sollten im Unix Umfeld auf 0700 gesetzt werden.

2. Keine Filterung der SQL-Zugriffe von den SAP-Servern, um Performanceeinbußen zu vermeiden

Seite 7

1 / 2013

SECURITY INFO Entfernung gefährlicher Dienste aus der ListenerKonfigurationsdatei listener.ora In der Datei Listener.ora dürfen keine externen Dienste (ExtProc or PLSExtProc ) aktiviert sein, um den Zugriff auf das Betriebssystem zu verhindern.

Aktivierung der Validnode-Checking-Option Der Zugriff auf die Datenbank muss unbedingt für alle Server, außer den SAP-Anwendungsservern, verboten werden. Aktivieren Sie hierzu die Validnode-Check-Option in der Datei sqlnet.ora. Beispiel: tcp.validnode_checking = yes tcp.invited_nodes = (x.x.x.x | name, x.x.x.x | name) tcp.excluded_nodes=( x.x.x.x | name, x.x.x.x | name)

Änderung der Portnummer (SQL*NET) (Optional) Verwenden Sie möglichst keine Portnummern im Bereich 15xx, da diese durch Portscan-Programme automatisch mit Oracle assoziiert werden.

Überprüfung der Logfiles Die Logfiles der Datenbank sowie des Listeners sollten zeitnah überwacht werden, um Angriffe möglichst frühzeitig entdecken zu können.

Standarduser und Kennwörter Ändern Sie umgehend nach der Installation die Kennwörter aller in der Datenbank verwendeten User. Eine Übersicht der definierten User finden Sie in der Tabelle DBA_USERS . Deaktivieren Sie unnötige User wie OUTLN und DBSNMP.

Oracle-Rechte /DBA-Rechte Kein User aus den Usern SYS und SYSTEM darf über DBARechte verfügen. Die SAP-Systemuser müssen der Rolle SAP_DBA zugewiesen sein.

Rechte auf Oracle-Dateien Die Rechte auf den Oracle-Binaries und Datenbankdateien sollten gemäß SAP-Empfehlungen gesetzt sein. Wir empfehlen generell die Rechtevergabe 0750, um einen Zugriff durch Dritte zu verhindern.

Archive Log Modus SAP-Systeme (auch Testsysteme) müssen generell mit einem ständig aktiviertem Archive Log Mode betrieben werden, um Datenverlust zu verhindern. SQL> select log_mode from v$database; LOG_MODE -----------ARCHIVELOG

Sie haben Fragen zur Absicherung Ihrer OracleSysteme? Unsere Fachberater helfen Ihnen gerne. Fon: +49 (40) 88 173-4625 E-Mail: [email protected]

Remote-Authentifizierung des SYS Logins Weil bei der Anmeldung an der Datenbank mit SYS-Rechten von einem anderen Rechner keine Kontrolle über das Betriebssystembenutzerkonto vorhanden ist, sollte man diese Art der Verbindung verhindern. Dazu müssen der init.ora-Parameter remote_login_passwordfile auf none gesetzt und die OraclePasswortdatei entfernt sein. Ein Benutzer ist somit nur berechtigt, sich mit SYSDBA-Rechten anzumelden, wenn er der lokalen Unix-Gruppe DBA angehört. Bei Windows heißt diese Gruppe ORA__DBA.

Datensicherung Ein ausreichendes Verfahren zur Datensicherung muss etabliert sein. Datensicherungsmedien müssen getrennt von den produktiven Systemen in einem anderen Schutzbereich gelagert werden.

Kontakt: akquinet AG · Paul-Stritter-Weg 5 · 22297 Hamburg · Fon: +49 (0)40-88173-0 · Impressum · SAST Inside Newsletter abbestellen

Seite 8