Angebot anfordern
Preisliste herunterladen
Beratungsgespräch vereinbaren
Support
Torsten Schmits
 - 24. April 2018

Betatest: secinfo und reginfo Generator für SAP RFC Gateway

Fotolia_123015824_web-200x133 Viele Unternehmen kämpfen mit der Einführung und Benutzung von secinfo und reginfo Dateien für die Absicherung von SAP RFC Gateways. Wir haben dazu einen Generator entwickelt, der bei der Erstellung der Dateien unterstützt. In diesem Blog-Beitrag werden zwei von SAP empfohlene Vorgehensweisen zur Erstellung der secinfo und reginfo Dateien aufgeführt mit denen die Security Ihres SAP Gateways verstärkt wird und wie der Generator dabei hilft.

secinfo und reginfo Generator anfordern

Möglichkeit 1: Restriktives Vorgehen

Für den Fall des restriktiven Lösungsansatzes werden zunächst nur systeminterne Programme erlaubt. Somit können keine externe Programme genutzt werden. Da das aber gewünscht ist, müssen die Zugriffskontrolllisten schrittweise um jedes benötigte Programm erweitert werden. Dieses Verfahren ist zwar sehr restriktiv, was für die Sicherheit spricht, hat jedoch den sehr großen Nachteil, dass in der Erstellungsphase immer Verbindungen blockiert werden, die eigentlich erwünscht sind. Darüber hinaus stellt die dauerhafte manuelle Freischaltung einzelner Verbindungen einen ständigen Arbeitsaufwand dar. Bei großen Systemlandschaften ist dieses Verfahren sehr aufwändig.

Möglichkeit 2: Logging-basiertes Vorgehen

Eine Alternative zum restriktiven Verfahren ist das Logging-basierte Vorgehen. Hierfür müssen vorerst alle Verbindungen erlaubt werden, indem die secinfo Datei den Inhalt USER=* HOST=* TP=* und die reginfo Datei den Inhalt TP=* enthalten. Während der Freischaltung aller Verbindungen wird mit dem Gateway-Logging eine Aufzeichnung aller externen Programmaufrufe und Systemregistrierungen vorgenommen. Die erstellten Log-Dateien können im Anschluss begutachtet und daraufhin die Zugriffskontrolllisten erstellt werden. Auch hier ist jedoch ein sehr großer Arbeitsaufwand vorhanden. Besonders bei großen Systemlandschaften werden viele externe Programme registriert und ausgeführt, was sehr umfangreiche Log-Dateien zur Folge haben kann. Diese durchzuarbeiten und daraufhin Zugriffskontrolllisten zu erstellen, kann eine kaum zu bewältigende Aufgabe darstellen. Bei diesem Vorgehen werden jedoch während der Erstellungsphase keine gewollten Verbindungen blockiert, wodurch ein unterbrechungsfreier Betrieb des Systems gewährleistet ist.

Das Problem: Viel Aufwand

Die Absicherung durch secinfo und reginfo Dateien in einer bestehenden Systemlandschaft einzuführen ist verbunden mit Risiko und Aufwand. Wie in den beiden Möglichkeiten bereits angedeutet, steigt der Arbeitsaufwand bei zunehmender Größe der Systemlandschaft stark an. Entweder werden zeitweise Programmaufrufe blockiert, die eigentlich erwünscht sind oder es müssen enorm große Gateway-Logs analysiert werden. Würde man sich nun aufgrund des hohen Arbeitsaufwands dazu entscheiden, dauerhaft auf die Nutzung der Zugriffskontrolllisten zu verzichten, stellt dies eine große Sicherheitslücke dar. Das ungeschützte System besitzt keine Einschränkungen bezüglich der externen Dienste, die sich registrieren dürfen und darüber hinaus sind auch keine Regelungen zur Ausführung von Programmen vorhanden.

Eine mögliche Konsequenz wäre beispielsweise die Registrierung eines externen Systems auf dem bösartige Programme vorhanden sind. In dem Moment, wo ohne jegliche Kontrolle fremde Programme auf dem eigenen System ausgeführt werden, kann man davon ausgehen, dass großer Schaden angerichtet wird. Dieser reicht beispielsweise von einem unbemerkten Auslesen von Einkaufs- und Verkaufszahlen über ein Abzweigen finanzieller Mittel bis hin zu einem Lahmlegen oder Manipulieren des gesamten Systems. Darüber hinaus ist dieses Szenario auch bei schlecht gepflegten Zugriffskontrolllisten möglich.

Unsere Lösung: secinfo und reginfo Generator für SAP RFC Gateway

Um das Problem zu lösen, haben wir einen Generator entwickelt, der auf Basis von Gateway-Logs automatisiert secinfo und reginfo Dateien erstellen kann. Die grundlegende Idee basiert auf dem Logging-basierten Vorgehen. Er übernimmt die Aufgabe der zeitintensiven Analyse der Log-Dateien und gewährt darüber hinaus durch die Automatisierung eine maximale Zuverlässigkeit. Dennoch sollten die Einträge der generierten Dateien von einer Person überprüft werden. Da es sich bei den als Input genutzten Log-Dateien um sensible Daten handelt, verlassen selbstverständlich keine der eingefügten Daten Ihr System.

secinfo_und_reginfo

Autor_Torsten Schmits
Sichern Sie sich jetzt Ihre kostenlose Teilnahme an dem Betatest für unseren secinfo und reginfo Generator
Torsten Schmits, Projektleiter secinfo und reginfo Generator

Weitere Informationen zu dem Generator finden Sie hier.

Haben Sie noch andere Vorgehensweise zur Erstellung und Verwaltung Ihrer secinfo und reginfo Dateien? Konnten Sie unseren Generator bereits ausprobieren und haben Wünsche oder Verbesserungsvorschläge? Lassen Sie es mich wissen! Ich freue mich über Ihre Kommentare!

Torsten Schmits

Ich bin Torsten Schmits und begeisterter SAP Berater bei der mindsquare. SAP Basis & Security sind mein Spezialgebiet.

Sie haben Fragen? Kontaktieren Sie mich!

Kostenloses E-Book zum Thema SAP Berechtigungstools als Download:

Kostenloses E-Book zum Thema SAP Berechtigungskonzept als Download:

Jetzt das kostenlose E-Book zum Thema SAP Berechtigungen downloaden:





Schreiben Sie einen Kommentar

Bitte füllen Sie alle mit * gekennzeichneten Felder aus. Ihre E-Mail Adresse wird nicht veröffentlicht.