Technische Änderungen
Eskalationsverfahren
Sofern das DBA-Cockpit auf das Web UI umgestellt ist, gelangen Sie auch aus dem Menübaum der Transaktion DBACOCKPIT in das Web UI. Genauere Informationen zur Umstellung finden Sie in der SAP-Onlinehilfe zum jeweiligen Datenbanksystem und in den Hinweisen in Anhang E, »Informationsquellen«.
Der Datenaustausch zwischen Systemen (SAP oder Drittanbieter) erfolgt über Remote Function Calls (RFCs) oder über Webservices. Über RFCs oder Webservices können Systeme und Komponenten unterschiedlicher Versionen miteinander kommunizieren.
AL11 SAP-Verzeichnisse
Ein wichtiger Bereich der SAP Security ist die Analyse der kundeneigenen SAP-Programme, die klassisch in der proprietären SAP-Sprache ABAP geschrieben werden. Auch hier können, wie in allen Programmiersprachen, Sicherheitslücken programmiert werden – sei es nun bewusst oder unbewusst. Die Muster der Sicherheitslücken im ABAP-Code unterscheiden sich dabei allerdings von denen in Java-Stacks oder Windows-Programmen. Das Ziel bei diesen herkömmlichen Programmen ist es meistens, durch gezielte Falscheingaben das Programm entweder zum Absturz zu bringen (Buffer Overflow) oder künstlich eigenen Code zur Ausführung zu bringen (Code Injection). Beides ist in ABAP nicht möglich, da ein Absturz eines Prozesses nichts anderes bewirkt als das Erzeugen eines Eintrages in der Log-Datenbank (Dump ST22) und ein anschließendes Beenden des Reports mit Rückkehr an den Menüstartpunkt. Eine direkte Manipulation wie in anderen Hochsprachen oder Servern ist also nicht möglich. Allerdings gibt es andere Manipulationsmöglichkeiten.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Basis.
Schluss mit der unübersichtlichen Zettelwirtschaft macht die Freeware Scribble Papers. Allerdings eignet sich das Tool auch dazu, neben Notizen Textdokumente und Textschnipseln aller Art abzulegen, zu strukturieren und schnell aufzufinden.
Der SAP Solution Manager bietet SAP-Kunden und Partnern Werkzeuge und Verfahren, um alle Lösungen von SAP und von Drittanbietern über den gesamten Lebenszyklus hinweg unterstützen zu können. So können Kunden das gesamte Potenzial der SAP Business Suite nutzen.
Basisadministratoren steht mit "Shortcut for SAP Systems" eine PC-Anwendung zur Verfügung, die etliche Tätigkeiten in der SAP Basis vereinfacht bzw. ermöglicht.
Wann haben Sie sich das letzte Mal Gedanken über die Sicherheit Ihrer RFC Schnittstellen gemacht? Können Sie mit Sicherheit sagen, dass alle Ihre technischen RFC User nur die Berechtigungen besitzen, die sie auch tatsächlich benötigen? Und wissen Sie eigentlich wer genau die Passwörter dieser User kennt? Können Sie zu 100% ausschließen, dass nicht jetzt in diesem Moment ein SAP User mit falscher Identität Ihre Produktivsysteme infiltriert? Change now: Es geht um Pro-Aktivität! Doch bevor Sie jetzt beginnen und sich auf die Suche nach dem „Identitäten-Wandler“ begeben (was ich wirklich nicht empfehlen möchte!), schlage ich vor, dass Sie die Wurzel des Übels fassen und Ihre RFC Sicherheit proaktiv stärken.
Diese Daten sollen dann bei sämtlichen Manipulationen an Benutzern und Rollen berücksichtigt werden.