Sicherheit des SAP-Transportmanagementsystems (STMS): 7 bewährte Vorgehensweisen

Was ist das SAP-Transportmanagementsystem (STMS)?

Das SAP Transport Management System (STMS) koordiniert die Übertragung von Softwarecode, kundenspezifischen ABAP-Entwicklungen und Konfigurationsänderungen zwischen verschiedenen SAP-Umgebungen. Durch die Steuerung des Lebenszyklus eines „Transportauftrags“ vom Entwicklungssystem über die Qualitätssicherung (QA) bis hin zur Produktion stellt das STMS sicher, dass die Unternehmensarchitektur konsistent bleibt.

Das STMS dient zwar als wichtigstes Instrument für Administratoren, um Updates reibungslos durchzuführen, birgt jedoch auch besondere Herausforderungen im Bereich der Cybersicherheit. Da Transporte an mehreren Stellen in der Entwicklungspipeline eingesetzt werden, können bösartiger Code oder falsch konfigurierte Berechtigungen, die in einer Transportanforderung verborgen sind, leicht in geschäftskritische Umgebungen gelangen. Die Absicherung des SAP-Transportmanagementsystems durch spezielle DevSecOps-Verfahren ist von entscheidender Bedeutung für die Aufrechterhaltung einer stabilen und sicheren ERP-Umgebung.

Wie funktioniert das SAP-Transportmanagement?

Das SAP-Transportmanagement steuert die Übertragung von Software- und Konfigurationsänderungen zwischen Entwicklungs-, Test- und Produktionsumgebungen.

Ein Transportauftrag fasst die in einem Entwicklungssystem vorgenommenen Änderungen zusammen. Dieser Auftrag enthält alle erforderlichen Angaben, wie beispielsweise die geänderten Objekte, die SAP-Version und das jeweilige Zielsystem, das die Anwendungsaktualisierungen erhält.

Die zuständigen Beteiligten, wie Entwickler, Mitarbeiter der Qualitätssicherung und Projektmanager, prüfen und genehmigen den Transportauftrag. Nach der Genehmigung wird der Auftrag zur Migration in das Zielsystem freigegeben.

Der Transportauftrag wird in das Zielsystem übertragen, wo die Anwendungsänderungen ausgeführt werden. Das Zielsystem dient in der Regel als dedizierte Test- oder Produktionsumgebung.

Nach der Bereitstellung der Änderungen testen die Sicherheits- und Entwicklungsteams die Konfigurationen, um sicherzustellen, dass sie wie vorgesehen funktionieren und keine negativen Auswirkungen auf andere Bereiche des SAP-Ökosystems haben.

Sobald die Änderungen erfolgreich überprüft wurden, schließen die Administratoren den Transportauftrag, um den Bereitstellungszyklus abzuschließen.

Die Sicherheitsrisiken von SAP-Transporten

Die Integration des SAP Transport Management Systems (STMS) in den Softwareentwicklungszyklus standardisiert die Anwendungsbereitstellung, führt jedoch zu oft übersehenen Schwachstellen, die eine spezialisierte Sicherheitsüberwachung erfordern.

Transporte kommen an verschiedenen Stellen im Entwicklungszyklus zum Einsatz. Da Transporte während des gesamten Entwicklungsprozesses kontinuierlich ausgeführt werden, stellen sie häufig einen blinden Fleck in der SAP-Sicherheit dar und bieten damit deutliche Angriffsmöglichkeiten.

Wenn ein kompromittierter Entwicklungstransport die manuelle Überprüfung umgeht, kann ein Angreifer zahlreiche Techniken nutzen, um Produktionssysteme über bösartige Transporte zu kompromittieren. Diese Ausnutzung führt unmittelbar zu einem katastrophalen Verlust der Vertraulichkeit der Daten, der Systemintegrität und der Betriebsverfügbarkeit.

Schematische Darstellung des SAP DevSecOps-Infinity-Loops mit 11 Sicherheitsintegrationspunkten, darunter Transportprüfungen und Code-Analysen, über den gesamten Entwicklungslebenszyklus hinweg.

Was Sicherheitsteams über das SAP-Transportmanagement wissen sollten

Bei der Verwaltung von Unternehmenssystemen muss ein Gleichgewicht zwischen betrieblicher Automatisierung und striktem Risikomanagement gefunden werden, um spezifische Schwachstellen im Transportbereich zu minimieren.

Angreifer tarnen böswillige Aktivitäten häufig in komplexen Transportobjekten, um herkömmliche Sicherheitsfilter zu umgehen. Sicherheitsteams müssen proaktiv auf die folgenden kritischen Manipulationen auf Anwendungsebene achten:

  • Umgehung von Berechtigungsprüfungen über SU24 und R3TR: Angreifer können mithilfe von SU24 die Berechtigungsprüfungen für bestimmte Transaktionen deaktivieren. Indem sie R3TR-SUSK- oder manuell gepflegte R3TR-TABU-Objekte in einem Transportauftrag verbergen, können Angreifer unbemerkt die Standardberechtigungen ändern und ihre Zugriffsrechte erweitern, sobald der Transport in der Produktionsumgebung angekommen ist.
  • Manipulation der Auftragsverwaltung: Hintergrundaufträge bieten eine riesige Angriffsfläche. Angreifer können Standard-Hintergrundaufträge wie den Auftrag „sap_collector_for_perfmonitor“ ausnutzen, um beliebige Berichte auszuführen, ohne dass dabei Autorisierungsflags ausgelöst werden. Darüber hinaus können Angreifer R3TR-JOBD-Transportobjekte verwenden oder TBTC*-Tabellen manipulieren, um völlig neue, bösartige Aufträge auf Produktionssystemen zu definieren und einzuplanen.
  • Automatisierte Codeausführung beim Import: Angreifer können schädlichen Code einschleusen, der während der Importphase automatisch ausgeführt wird. Durch die Verwendung von SAP-XPra-Einträgen kann jeder Bericht ohne obligatorische Parameter beim Import ausgeführt werden. Ebenso sorgt die Zuweisung schädlicher After-Import-Methoden über SAP-TOBJ-Definitionen dafür, dass der schädliche Code bei jedem Import von Daten für dieses bestimmte Pflegeobjekt nahezu unbemerkt ausgeführt wird.
  • Ausnutzung logischer Dateinamen und Betriebssystembefehle: SAP verwendet logische Dateinamen, um platform physische Befehle einer Gruppe logischer Befehle zuzuordnen. Angreifer können diese Entitäten über den Transport überschreiben (mithilfe von Objekten wie R3TR CDAT FILENAME), wodurch sie sensible Daten umleiten oder unbefugte physische Betriebssystembefehle ausführen können.

Fehlen angemessene Zugriffskontrollen und ein Identitätsmanagement, können sich unbefugte Personen Zugang zum SAP-Transportmanagementsystem verschaffen. Diese Angreifer können Transportaufträge ohne die erforderlichen Berechtigungen ändern, was zu Datenlecks, Ausfällen des ERP-Systems und schwerwiegenden Cyberangriffen führen kann. Ein fest integrierter Datenschutz hat für Unternehmen, die sich einer eskalierenden Bedrohungslage gegenübersehen, weiterhin höchste Priorität.

Transportanfragen enthalten häufig hochsensible Daten wie Benutzeranmeldedaten, Finanzdaten oder personenbezogene Daten (PII). Unsichere Transportanfragen sind nach wie vor sehr anfällig für das Abfangen im Netzwerk und Datendiebstahl.

Das SAP-Transportmanagement nutzt verschiedene Protokolle, um Aufträge zwischen Systemen zu übertragen, beispielsweise HTTP oder FTP. Durch die Verwendung ungesicherter Protokolle können Angreifer kritische Transportaufträge während der Übertragung abfangen, verändern oder dauerhaft löschen.

Ohne umfassende Überwachung und Prüfung ist es nahezu unmöglich, unbefugte Zugriffe oder böswillige Änderungen an Transportanfragen zu erkennen. Diese kritische Lücke in der Transparenz führt dazu, dass schwerwiegende Sicherheitsverletzungen über längere Zeiträume hinweg unbemerkt bleiben.

Wird keine ordnungsgemäße Aufgabentrennung durchgesetzt, erhalten Einzelpersonen uneingeschränkten Zugriff auf alle Bereiche des SAP-Transportmanagementsystems. Diese übermäßigen Berechtigungen erleichtern die Durchführung unbefugter Änderungen oder den Diebstahl vertraulicher Daten erheblich.

Um diese Risiken zu mindern, müssen Unternehmen strenge Zugriffskontrollen einführen, sichere Übertragungsprotokolle verwenden, Übertragungsvorgänge überwachen und eine konsequente Aufgabentrennung durchsetzen. Darüber hinaus kann der Einsatz von Verschlüsselung und digitalen Signaturen dazu beitragen, die Integrität und Vertraulichkeit von Übertragungsanfragen zu gewährleisten.

7 bewährte Sicherheitsverfahren für SAP-Transportmanagement

Die Absicherung von SAP-Umgebungen erfordert die Implementierung strenger Authentifizierungsprotokolle, die Überwachung der Datenübertragungswege sowie die Durchführung kontinuierlicher Schwachstellenanalysen.

orangefarbenes quadratisches Symbol
Handschlag-Symbol

Zugriffskontrollen implementieren

Verhindern Sie unbefugten Zugriff auf das SAP-Transportmanagementsystem, indem Sie strenge Authentifizierungs- und Autorisierungsmechanismen implementieren, wie beispielsweise die Zwei-Faktor-Authentifizierung und control strenge rollenbasierte control.

orangefarbenes quadratisches Symbol
Häkchen-Symbol

Verwenden Sie sichere Transportprotokolle

Setzen Sie sichere Transportprotokolle wie HTTPS und SFTP ein. Dadurch wird sichergestellt, dass die Daten während der Übertragung vollständig verschlüsselt bleiben und vor Abfangen oder Manipulation geschützt sind.

orangefarbenes quadratisches Symbol
Listen-Symbol

Transportaktivitäten überwachen und prüfen

Führen Sie Überwachungs- und Prüfmechanismen ein, um alle Transportvorgänge nachzuverfolgen und unbefugte Zugriffe oder Änderungen sofort zu erkennen. Überprüfen Sie regelmäßig die Prüfprotokolle, um die uneingeschränkte Einhaltung der unternehmensinternen Sicherheitsrichtlinien sicherzustellen.

orangefarbenes quadratisches Symbol
Van-Symbol

Sichere Transportrouten

Sorgen Sie dafür, dass die Übertragungswege durch den Einsatz von Firewalls, VPNs und fortschrittlichen Netzwerksicherheitsmaßnahmen vollständig geschützt bleiben. Dies verhindert unbefugten Zugriff und gewährleistet die Integrität der übertragenen Daten.

orangefarbenes quadratisches Symbol
Personensymbol

Sicherheitspatches und Updates installieren

Halten Sie das SAP-Transportmanagementsystem mit den neuesten Sicherheitspatches und Updates des Herstellers auf dem aktuellen Stand, um alle bekannten Sicherheitslücken zu schließen.

orangefarbenes quadratisches Symbol
Dreieck-Symbol

Führen Sie regelmäßig Sicherheitsüberprüfungen durch

Führen Sie regelmäßige Sicherheitsbewertungen durch, wobei Sie spezielle Penetrationstests und Schwachstellenscans einsetzen, um kritische Sicherheitslücken innerhalb der Transportarchitektur systematisch zu identifizieren und zu beheben.

orangefarbenes quadratisches Symbol
Handschlag-Symbol

SAP-Anwender über Sicherheitsmaßnahmen aufklären

Bieten Sie umfassende Schulungen für Administratoren an, um das Bewusstsein für die Bedeutung der Sicherheitsüberwachung zu schärfen. Durch diese Schulungen wird sichergestellt, dass die Mitarbeiter Sicherheitsbedrohungen erkennen und die strikte Einhaltung der Datenschutzbestimmungen in der gesamten SAP-Umgebung gewährleisten können.

orangefarbenes quadratisches Symbol
Handschlag-Symbol

Wahrung der Systemintegrität und Einhaltung der Vorschriften

Durch die Umsetzung dieser bewährten Verfahren gewährleisten Unternehmen die Sicherheit und Integrität ihrer SAP-Transportmanagement-Systeme. Dieser proaktive Ansatz schützt das Unternehmen vor Cyberangriffen, ohne die Entwicklererfahrung oder die Bereitstellungsgeschwindigkeit zu beeinträchtigen.

Onapsis für das SAP-Transportmanagement

Um das SAP-Backend-Entwicklungssystem umfassend zu sichern, sind automatisierte Anwendungssicherheitstests erforderlich, mit denen Transporte vor der Bereitstellung in der Produktion überprüft werden.

Onapsis Controlautomatisiert die Überwachung von Änderungen, die das Entwicklungssystem verlassen, und bietet zusätzliche Genehmigungsworkflows für kritische Situationen. Control ideal für Unternehmen, die Folgendes erreichen möchten:

  • Überprüfen Sie Transporte und deren Aufbau auf Fehler, bevor sie in die Produktion freigegeben werden
  • Passen Sie Transport-Scans an, um Fehler im Transportaufbau und im Code des Transports zu erkennen, bevor dieser in die Produktion übernommen wird
  • Nutzen Sie die Vorteile einer kontinuierlichen Überwachung von Transporten mit automatischen Warnmeldungen bei verdächtigen Inhalten
  • Nutzen Sie die Kompatibilität mit SAP-Sprachen, Datenbanken, Objekten und Entwicklungsumgebungen

Weiterführende Literatur

ALLE RESSOURCEN
Onapsis: Best Practices für das SAP-Transportmanagement

Sind Sie bereit, Ihre Sicherheitslücke bei SAP zu schließen?

Wir zeigen Ihnen, wie einfach es sein kann, Ihre Geschäftsanwendungen zu schützen.

Demo vereinbaren

Häufig gestellte Fragen

STMS koordiniert den kontinuierlichen Transfer von Softwarecode und Konfigurationsänderungen zwischen Entwicklungs-, Test- und Produktionsumgebungen, um Konflikte zwischen Anwendungen zu vermeiden.

Zu den wichtigsten Sicherheitsrisiken zählen die automatisierte Ausführung von Schadcode über manipulierte Transportobjekte, die Umgehung von Autorisierungsmechanismen, unsichere Transportprotokolle sowie die potenzielle Offenlegung sensibler Daten, die in Transportanfragen enthalten sind.

Onapsis Control bietet den ultimativen Schutz für Ihr Transportmanagement, indem es sich nahtlos in Ihren täglichen Softwareentwicklungsprozess integriert, ohne Ihr Team dabei zu behindern.

– Direkte Anbindung: Die Lösung lässt sich direkt in die Tools integrieren, die Ihr Team bereits nutzt, wie beispielsweise SAP TMS, SAP ChaRM und Tools von Drittanbietern wie Rev-Trac.
– Automatische Sicherheitsprüfungen: Bevor ein Transport fortgesetzt wird, scannt das System automatisch den darin enthaltenen Code, um versteckte Sicherheitsrisiken aufzudecken, und unterstützt dabei mehrere Programmiersprachen, gestützt durch Onapsis Research Labs.
– Verhinderung von fehlerhaftem Code: Wie ein automatisierter Sicherheitswächter verhindert das System vollständig, dass unsichere Transporte in die Live-Produktion gelangen, und beugt so Systemabstürzen oder Hackerangriffen vor.
– Notfall-Releases: Wenn ein geschäftskritischer Notfall eine schnelle Änderung erfordert, ermöglicht das System ein Notfall-Release und führt dabei ein strenges, detailliertes Protokoll über alle Maßnahmen und Genehmigungen.

Die automatisierte Überwachung erkennt unbefugte Zugriffe und böswillige Änderungen an Transportanfragen, die bei manuellen Prüfprozessen regelmäßig übersehen werden. Durch die Integration einer kontinuierlichen Überwachung auf Anwendungsebene können Sicherheitsteams Anomalien sofort erkennen, Prüfprotokolle überprüfen und die strikte Einhaltung der unternehmensinternen Sicherheitsrichtlinien vor der Freigabe für die Produktion sicherstellen.

Onapsis überwacht Änderungen am SAP-System durch kontinuierliche, automatisierte Anwendungssicherheitstests und die Erkennung von Bedrohungen in Echtzeit über den gesamten Entwicklungslebenszyklus hinweg. Das „ platform “ überprüft mithilfe des Onapsis-Moduls „ Control “ benutzerdefinierten Code und Transportaufträge vor der Freigabe für die Produktion und identifiziert dabei strukturelle Fehler und Sicherheitslücken. Nach der Bereitstellung überwacht das System kontinuierlich die Anwendungsebene und leitet SAP-spezifische Telemetriedaten direkt an die SIEM-Plattformen des Unternehmens weiter, um unbefugte Änderungen und aktive Ausnutzungsversuche sofort zu erkennen.

Ja, es gibt spezialisierte Cybersicherheitslösungen, die die proprietäre SAP-Anwendungsschicht nativ auf unbefugte Änderungen und böswillige Aktivitäten überwachen. Allzweck-Netzwerkscanner und Sicherheitstools sind nicht in der Lage, proprietäre SAP-Protokolle und die ABAP-Programmierlogik zu interpretieren. Unternehmen müssen speziell für diesen Zweck entwickelte SAP-Sicherheitsplattformen wie Onapsis einsetzen, um einen kontinuierlichen Einblick in die Anwendungsschicht zu erhalten. Diese spezialisierten Lösungen automatisieren das Schwachstellenmanagement, scannen Transportaufträge und koordinieren die Reaktion auf Vorfälle in Echtzeit, um kritische Unternehmensdaten zu schützen.