Sie wollen

  • Hackerzugriffe verhindern
  • Ihre SAP Systeme schützen
  • Unsere Security-Tools kennenlernen

ESNC Security Suite: der Sicherheitsscanner für SAP® NetWeaver™

Wir bieten die beste Security-Audit Lösung im SAP Bereich. Die Analyse vieler SAP Systeme auf kritische Sicherheitsschwachstellen ist nur ein paar Klicks entfernt und SAP Sicherheitsüberprüfungen können nun um einiges schneller durchgeführt werden.

SAP Sicherheit - schnell, unkompliziert, genau passend! Stellen Sie sich Ihr persönliches Sicherheitsmenü, wie im Chinarestaurant, zusammen (z.B. A01, A02 und R01). Sie erhalten ein Produkt, das genau Ihrem Bedarf entspricht und modular mitwachsen kann.

A01 - Audit & Assessment
A02 - PCI DSS 3.0 Compliance
A03 - Remediation and Risk Management
A04 - Security Policy Enforcement
A05 - Penetration Testing
C01 - ABAP Code Security Assessment & Correction
R01 - Real-Time Monitoring & IDP
R02 - SIEM Integration

A01 - SAP Audit & Assessment

Unser Audit & Assessment Modul ermöglicht eine SAP Sicherheitsüberprüfung sowie technische Bewertung Ihrer SAP Infrastruktur. Der Fokus liegt auf internen und externen Angriffsvektoren und deren Bedrohungen. Basierend auf den Ergebnissen, können Performance- und Verfügbarkeitsprobleme vermieden werden, bevor diese kritische Operationen beeinflussen. 

A02 - SAP PCI DSS 3.0 Compliance

Ist Ihr Unternehmen bereit für PCI DSS 3.0? Wissen Sie, dass SAP Kreditkartendaten in mehr als 50 verschiedenen Tabellen speichert? Benutzen Sie das ESNC PCI DSS 3.0 Modul um Ihre Systeme zu scannen und zu verifizieren, um festzustellen, ob sie PCI DSS 3.0 Compliant sind.

A03 - SAP Remediation and Risk Management

Das Remediations- und Risk-Management-Modul enthält erweiterte SAP Autorisierungs- und SoD-Funktionalitäten sowie Landscape basierende Berichte und SAP Monitoring. Es ermöglicht durch die erweiterten Analysefähigkeiten einfacherer Risikobewertungen. Fernerhin vereinfacht es ihre Projekte deutlich und zusätzlich nennt es die assoziierten Geschäftsrisiken.

A04 - Security Policy Enforcement on SAP

Es könnte für Ihr Unternehmen kritisch sein SAP Sicherheitsrichtlinien in Echtzeit innerhalb Ihrer Organisation durchzusetzen. Unbeabsichtigte Änderungen in Ihren SAP Systemen z.B. durch neue Applikationsserver, kann zu einem unsicheren bzw. falsch eingestellten System führen, das dann plötzlich produktiv wird. Neue SAP Systeme, die nicht richtlinientreu sind, können ebenfalls unbeabsichtigt aufgesetzt werden. Mit dem ESNC Security Policy Enforcement on SAP Modul können Sie genau aufsetzen und definieren wie Ihr Unternehmen Sicherheitsrichtlinien automatisch auf jeder SAP System umsetzt. Sie können sicher sein, dass Ihre Systeme Fehleinstellungen sowie unbeabsichtigte Fehler automatisch wieder zu richtlinientreuen Einstellungen zurücksetzen.   

P01 - SAP Penetration Testing

Assurance- und Penetrationstests sind ein sehr wichtiger Teil von jedem Sicherheitslebenszyklus. Wir sind die ersten, die eine SAP Penetrations-Test- Software für Sicherheitsprofis, interne Audit Mannschaften und Audit Unternehmen geschrieben haben, in dem kein technischer Hintergrund notwendig ist. Holen Sie das meiste aus den Resultaten und erkennen Sie gleichzeitig, ob ein Angreifer die untersuchten Systeme attackieren kann.

C01 - ABAP Code Security Assessment & Correction

Die Absicherung von selbstentwickelten ABAP Programmen, BSP Pages und DynPros ist für größere Organisationen eine schwere Aufgabe. Ohne die Verwendung von Automatisierungswerkzeugen ist es fast unmöglich diese zu erreichen. Wir glauben, dass sichere Softwarelebenszyklen immer da notwendig sind, wo Eigenentwicklungen gemacht werden. Regelmäßige SAP Sicherheits Audits sollten ausgeweitet werden, um ABAP Sicherheitsüberprüfungen und entsprechende Geschäftsprozesse auf eine Linie zu bringen, die dann ein optimales und sicheres Entwicklungsverfahren bilden. Meistens wird nur eine ABAP Performance Überprüfung durchgeführt und die Sicherheitsüberprüfung ignoriert.

R01 - SAP Real-Time Monitoring & IDP

SAP Sicherheitsbestrebungen sollten auch einen Fokus auf das Aufspüren von Hackerangriffen und deren Prävention für entsprechende Sicherheit legen. Wir glauben, dass als Bestandteil von jedem Audit das Log und die entsprechenden Spuren analysiert werden sollten. Unser SAP Real-Time Monitoring & IDP Modul erweitert die ESNC Security Suite Funktionalität, um das Aufspüren von versuchten Hackerangriffen und liefert eine leicht zu benutzende Oberfläche für die Ausführung von manuellen SAP Sicherheitsanalysen und IDP-Aufgaben. Dies vereinfacht das Risikomanagement und hilft in der Priorisierung von entsprechenden Aktionen bzw. Reaktionen.    

R02 - SAP SIEM Integration

Vorab SAP Ereignisse sammeln und korrelieren und dann diese automatisch an Ihre SIEM Lösung in seiner native Formatierung weiterleiten. Durch ESNCs langjährige SAP Forschung und dem SAP Hintergrund haben Sie die Sicherheit, dass die richtigen Ereignisse in Echtzeit an Ihre SIEM Lösung gesendet werden. Wir haben unsere jahrelangen Erfahrungen in SAP dazu genutzt um einen Middleware zu scheiben, der für unsere Kunden und Partner den richtigen Zugang zu kritischen SAP Ereignissen ermöglicht.


Wir sind SAP zertifiziert!

ESNC Security Suite mit Code Security plugin (ESNC Security Suite Enterprise) ist SAP zertifiziert für Integration mit SAP-Anwendungen.

Zertifizierte Funktionen:

  • Security Audit und Business Risk Assessment
  • Analyse der Benutzerberechtigungen (SoD)
  • Code-Sicherheit und -Performance Scan
  • Passwort Compliance Analyse
  • Vulnerability Trending
  • Unit und Load-Testing mit und ohne SAP Solution Manager
* ESNC Code Security für ABAP™ kann als integrierte Komponente der ESNC Security Suite gekauft werden oder als eigenständige Anwendung.

Security Suite: SAP Sicherheitsschwachstellen und –empfehlungen im Überblick

ESNC Security Suite bietet eine einfach zu bedienende Benutzeroberfläche, um den aktuellen Systemstatus zu analysieren und während eines SAP Sicherheits-Audits an vorliegenden Empfehlungen zu arbeiten. Die Resultate eines SAP-Audits werden mit Aktionsfeldern und detaillierten Sicherheitsinformationen angezeigt. Sie können einfach gefiltert und gruppiert werden.

 

ESNC Security Suite - SAP Security Audit results

Erkannte SAP Sicherheitsschwachstellen können unkompliziert durchgesehen werden. Mit jedem SAP Sicherheits-Audit wird außerdem automatisch ein Aktionsplan generiert.

ESNC Security Suite für SAP® NetWeaver™ Features für SAP-Assessments

  • Durch die einfach zu bedienenden SAP Scan-Tools können Sie mit ein paar wenigen Klicks, die wichtigsten SAP Sicherheitsschwachstellen überprüfen.

  • Vergleichen und rückverfolgen Sie nach jedem SAP-Audit die SAP Sicherheitseinstellungen Ihrer Anwendungsserver, Systeme und Systemlandschaften.

  • Überprüfen Sie Ihre Management Änderungs-/Konfigurationsprozesse mit den Ergebnissen des SAP Sicherheitsscans.

  • Überprüfen Sie, welche SAP Nutzer kritische Berechtigungen haben

  • Kontrollieren und prüfen Sie secinfo/reginfo-Konfigurationen, SAP Systemsicherheitsparameter, die Konfiguration des Message-Servers, SAP System-Patches, Oracle DB Sicherheitseinstellungen und vieles mehr.

  • Erhalten Sie detaillierte Informationen darüber, wie Sie Ihre SAP Sicherheitsschwachstellen nach den Scans beheben können.

Analyse der SAP Passwortkonformität

SAP Sicherheitsscans können ohne entsprechende Analysen der SAP Passwortkonformität nicht durchgeführt werden. Diese Analysen stellen einen Hacker nach, der versucht Passwörter zu knacken, sodass damit entdeckte Passwörter sicherer gemacht werden können, bevor diese missbraucht werden. Die SAP Passwort-Hashes sind in vielen Tabellen, wie z. B. USR02 und USH02 zu finden. Ein Angreifer kann viele mögliche Wege gehen, um Zugriff zu diesen Tabellen zu erhalten. Er kann beispielsweise einen Benutzer mit Display-Rechte gebrauchen, um die USR02-Tabelle anzuzeigen oder das Fernsteuerungsmodul RFC-READ-TABLE benutzen, um diese zu lesen.

Mit jedem SAP Sicherheitsscan analysiert ESNC Security Suite die Konformität der SAP Passwörter in Bezug auf Ihre organisatorischen Sicherheitsrichtlinien. Die Kunden können frei entscheiden, ob Sie die Passwörter angezeigt bekommen wollen, oder ob diese verborgen bleiben. Diese Einschränkung wird auf der binären Ebene eingestellt und zwar vor der Installation der Software.

Die SAP Module zur Passwortanalyse unterstützen die SAP Hash-Codes B, F, G (BCODE und PASSCODE) und die aktuellsten SAP Passwort Hashes H und I (PWDSALTEDHASH). ESNC Security Suite ist aktuell das einzige Tool, dass die neuesten SAP Passwort Hashes analysieren kann.

ESNC Security Suite - SAP User Password Security Analysis

Verständliche SAP Sicherheits-Audit Berichte

Alle entdeckten Schwachstellen werden in einem SAP Sicherheitsprüfungsbericht angezeigt, der den neuesten Standards entspricht. Die Berichte enthalten die Entdeckungen des SAP Sicherheitsscans, Empfehlungen dazu und einen Aktionsplan. Alle Berichte können in verschiedene Formate, XML, CSV und PDF inbegriffen, exportiert werden.

ESNC Security Suite - SAP Security Report

Automatische Generierung des SAP Sicherheitsberichts

Abfragen von Systemdaten und SAP Sicherheits-Audits können mit nur wenigen Klicks eingerichtet werden. Sie können den SAP Sicherheitsscan beispielsweise monatlich über Ihr gewähltes Produktionssystem laufen lassen, um Management Dashboards zu kreieren und Sie können die SAP Sicherheitsprüfung in unterschiedlichen Intervallen in dem QA- und dem DEV-System anwenden.

ESNC Security Suite - SAP Security Information Retrieval Scheduling


Risikomanagement Add-On - ESNC Security Suite für SAP® NetWeaver™

Unternehmenskunden können zusätzlich das Risikomanagement Add-On (separat lizenziert) erhalten, welches den Betriebsfunktionen und den Systemlandschaftsberichten/SAP Monitoring erhöhte SAP Berechtigungen und Funktionstrennungen beifügt. Dadurch können SAP Sicherheitsprüfungen in hunderten von Systemen gleichzeitig durchgeführt werden. Mit der erhöhten Analyseleistung wird die Risikoeinschätzung vereinfacht und Sie können das Meiste aus Ihren SAP Scanergebnissen herausholen. Außerdem vereinfacht es spürbar alle SAP Sicherheitsprüfungs-Projekte.

  • Konzentriert sich auf die Sicherheit Ihres gesamten SAP-Systems und dessen Nutzer.

  • Erhalten Sie exzellente SAP Sicherheits-Audit-Berichte, die auf dem aktuellen Status all Ihrer Systeme basieren.

  • Entwickeln Sie Risikobegrenzungspläne auf der Basis Ihrer SAP-Assessment Ergebnisse.

  • Re-priorisieren Sie Ihre SAP Sicherheitsprobleme, kreieren Sie Sicherheitszulassungen (Varianzen/Ausnahmen), lassen Sie sich informieren, wenn die Varianzen verfallen.

  • Nach jedem SAP Scan haben Sie Zugriff auf über 20 Diagramme, die für ein Unternehmens-Dashboard und die Nachverfolgung von SAP Systemfortschritten genutzt werden können.

Fallstudie für das Risikomanagement Add-on: SAP Nutzerberechtigungsanalyse in allen Systemen gleichzeitig

ESNC Security Suite bietet eine individuell anpassbare Analyse für SAP Nutzerberechtigungen, um funktionstrennungsbezogene Arbeiten durchzuführen. Mit dem Risikomanagement Add-on ist diese Funktion erweitert, um alle SAP-Systeme gleichzeitig abzudecken.

ESNC Security Suite - SAP Authorizations - Segregation of Duties Analysis

Gruppieren der SAP Sicherheitsthemen nach Bedrohung, Gefährdung, Empfehlung oder System

Nach jedem SAP Sicherheitsaudit sind SAP Sicherheitsanalysen durch Gruppierungen möglich, eine vielseitige Funktion der ESNC Security Suite. Dadurch werden Zeit und Kosten gespart und die Rentabilität der SAP Sicherheits-Audits wird deutlich erhöht. Abhänging von Ihrer Systemlandschaft und den SAP Sicherheitsrisiken können Sie nach jedem Scan verschiedene Strategien umsetzen, z.B.:

Sich nach und nach den individuellen SAP Sicherheitsproblemen widmen, die auf dem System basieren:

Mit dieser Methode können fast alle Systeme priorisiert werden. Beispiel: Wenn die SAP HCM Sicherheit und die SAP ERP Sicherheit eine höhere Priorität für Sie haben, dann kommt das SAP HCM (Human Capital Management) und das SAP ERP System an die Spitze der Ergebnisse und nacheinander werden zuerst die hoch eingestuften und dann die medium eingestuften Schwachstellen dieser Systeme behoben  werden. Diese Gruppierung erhalten Sie ganz allein dadurch, dass sie die System Spalte an die Spitze des Bildschirms ziehen. Andere Werte die Gewichtigkeit und Bedrohung können ebenso leicht hinzugefügt werden.

SAP Security Review Results - Risk Management

Die Fokussierung auf eine einzelne SAP Schwachstelle oder Gruppierung von SAP Schwachstellen inmitten viele SAP Systeme:

Bestimmte SAP Sicherheitsprobleme können vom Rest der Aktivitäten isoliert und nacheinander behandelt werden. Sie können beispielsweise einrichten, dass geeignete SAP Gateway Sicherungen (z. B. secinfo files) in allen Systemen auf einmal konfiguriert werden. Sie können dieser Aufgabe relevante lokale Ressourcen zuweisen. Das ist durch das Hinaufziehen der Severity Spalte in die obere linke Spalte möglich. Wenn erwünscht können zusätzliche Filter eingerichtet werden, z.B. um die SAP Sicherheitsfunde in Hoch und Medium einzustufen.

SAP Security Results Analytics - Prioritization


SAP Intrusion Detektion und Prävention (IDS / IDP) Add-on – ESNC Security Suite für SAP® NetWeaver™

SAP Sicherheitsbemühungen müssen sich darauf fokussieren, Hackerversuche zu entdecken und für ein angemessenes Level präventiven Systemschutzes zu sorgen. Wir glauben, dass es ein Teil jedes SAP Sicherheits-Audits und jeder SAP Sicherheitsprüfung sein sollte, SAP Sicherheits-Audit-Logs und relevante Spuren zu analysieren. Unser SAP Intrusion Detection Add-in (separat lizenziert) verbessert die Funktion der ESNC Security Suite um Hackerversuche aufzuspüren und bietet dem Nutzer eine einfache Bedienoberfläche zur Durchführung der manuellen SAP Sicherheits-Analysen und Intrusion Prävention Aktionen. Die Risikomanagement-Aufgaben werden vereinfacht und die Prioritätensetzung der SAP Sicherheitsaktionen wird vereinfacht. Add-in überprüft Bereiche, wie:

  • SAP Sicherheit-Audit-Log

  • SAP Änderungsbelege

  • SAP Trace-Dateien

  • Betriebssystem, Database Sicherheit und Trace -Informationen

Die ESNC Security Suite Scanfunktionen werden von der SAP Intrusion Detection und Prävention Komponente enorm verbessert. Kunden können diese Komponente ebenfalls periodisch anwenden und Geschäftsprozesse einführen, um sie Teil des SAP Sicherheitsprüfungskreislaufs zu machen.