Schutz des „SolMan“ Ihrer geschäftskritischen SAP-Anwendungen
Das Schwachstellenmanagement ist eine mühsame und undankbare Aufgabe. Da in geschäftskritischen Anwendungen immer mehr Schwachstellen entdeckt werden und die Bedrohungen stetig zunehmen, wird es immer schwieriger zu entscheiden, welche Probleme sofort behoben werden müssen.
Denk mal kurz darüber nach…
Forschungsberichte haben gezeigt, dass ein Unternehmen 15 Mal länger braucht, um eine Sicherheitslücke zu beheben, als Angreifer, um diese für ihre Zwecke zu nutzen und auszunutzen. Sieben Tage für die Ausnutzung und 102 Tage für die Behebung. Dies zeigte sich Anfang dieses Jahres bei der SAP-RECON-Sicherheitslücke, als innerhalb von weniger als sieben Tagen öffentlich zugänglicher Exploit-Code verfügbar war.
Es ist schon ironisch, dass etwas so Alltägliches (Patch-Management) für ein Unternehmen gleichzeitig so entscheidend sein kann. Die Kontrolle über Datenschutz- und Sicherheitsinformationen ist für jedes Unternehmen lebenswichtig. Sicherheitsexperten sind zu dem Schluss gekommen, dass 57 Prozent aller Sicherheitsverletzungen auf ein mangelhaftes Patch-Management zurückzuführen sind und dass bis zu einem Drittel aller Unternehmen Patches auch mehr als ein Jahr nach ihrer Veröffentlichung noch nicht installiert haben. Das ist bemerkenswert.
- Wie viel Zeit verwenden Sie jeden Monat auf das Schwachstellenmanagement?
- Beheben Sie die kritischsten Sicherheitslücken rechtzeitig? Sind Sie überhaupt in der Lage, diese zu beheben?
- Sind Sie sicher, dass Sie die geschäftskritischen Anwendungen schützen, die Ihr Unternehmen am Laufen halten?
Von den Organisationen, mit denen wir zusammenarbeiten, wissen wir, dass Sie viel zu viel Zeit damit verbringen, die kritischsten Sicherheitslücken zu beheben, und dabei nur darauf hoffen, dass Ihre geschäftskritischen Anwendungen vor internen und externen Bedrohungen geschützt sind.
Wenn es um das SAP-Schwachstellenmanagement geht, stellt der SAP Solution Manager – oder, wie er gemeinhin genannt wird, SolMan – einen besonders kritischen Bereich dar. Allein im Jahr 2020 gab es eine Reihe hochkritischer Schwachstellen mit CVSS-Werten im Bereich von 9 bis 10. Die jüngsten SolMan-Schwachstellen wurden in den SAP-Sicherheitshinweisen vom November behandelt –Einzelheiten finden Sie in unserem Blogbeitrag hier. Nachstehend finden Sie eine Tabelle mit weiteren Informationen.
| Monat | CVSS | SAP-Hinweis Nr. | Titel | CVE |
| März | 10 | 2890213 |
Fehlende Authentifizierungsprüfung in SAP SolMan (Überwachung der Benutzererfahrung) | CVE-2020-6207 |
| März | 9.8 | 2845377 |
Fehlende Authentifizierungsprüfung im SAP Solution Manager (Diagnostik-Agent) | CVE-2020-6198 |
| April | 8.6 | 2906994 |
Fehlende Authentifizierungsprüfung im SAP Solution Manager (Diagnostik-Agent) | CVE-2020-6235 |
| Mai | 9.9 | 2835979 |
Sicherheitslücke durch Code-Injektion beim Herunterladen von Servicedaten | CVE-2020-6262 |
| Juni | 8.2 | 2931391 |
Fehlende XML-Validierung im SAP Solution Manager (Problem Context Manager) | CVE-2020-6271 |
| Juni | 6.5 | 2915126 |
Unvollständige XML-Validierung im SAP Solution Manager (Trace-Analyse) | CVE-2020-6260 |
| Sept. | 10 | 2890213 |
Fehlende Authentifizierungsprüfung in SAP SolMan (Überwachung der Benutzererfahrung) | CVE-2020-6207 |
| Okt | 10 | 2969828 |
Sicherheitslücke durch OS-Befehlsinjektion in CA Introscope Enterprise Manager | CVE-2020-6364 |
| Okt | 7.5 | 2971638 |
Fest codierte Anmeldedaten in CA Introscope Enterprise Manager | CVE-2020-6369 |
| Nov | 10 | 2890213 |
Fehlende Authentifizierungsprüfung im SAP Solution Manager | CVE-2020-6207 |
| Nov | 10 | 2985866 |
Fehlende Authentifizierungsprüfung im SAP Solution Manager (JAVA-Stack) |
CVE-2020-26821 CVE-2020-26822 CVE-2020-26823 |
| Nov | 9.1 | 2979062 |
Rechteausweitung im SAP NetWeaver Application Server für Java (UDDI-Server) | CVE-2020-26820 |
Was bedeutet das nun? SolMan ist die zentrale Drehscheibe für das SAP-Anwendungsmanagement. Jede geschäftskritische SAP-Anwendung – ERP, CRM, SCM, HCM, Financials, BI und mehr – ist mit SolMan verbunden. Erlangt ein Angreifer Zugriff auf SolMan, kann er Zugriff auf jede beliebige SAP-Anwendung erlangen. Mit Zugriff auf beliebige SAP-Anwendungen kann ein Angreifer kritische Informationen (Datenschutz, Finanzen, geistiges Eigentum usw.) stehlen, den Geschäftsbetrieb stören und die Einhaltung gesetzlicher Vorschriften beeinträchtigen. Dies kann zu Umsatzverlusten, Reputationsschäden sowie erheblichen Geldstrafen und Bußgeldern führen.
Was können Sie also tun, um das SAP-Schwachstellenmanagement zu verbessern und es effektiver und effizienter zu gestalten? Onapsis kann Ihnen dabei helfen. Und so funktioniert es:
Schluss mit dem Patch-Wahnsinn
Mit der Platform können Sie die kontinuierliche Überprüfung Ihrer gesamten SAP-Landschaft auf fehlende SAP-Sicherheitshinweise oder Patches automatisieren. Die Ergebnisse zeigen Ihnen entweder, wo Patches fehlen, oder bestätigen, dass Sie diese tatsächlich installiert haben. Darüber hinaus liefert Onapsis Schweregrad-Einstufungen und Informationen zu den geschäftlichen Auswirkungen, damit Sie proaktiver handeln und priorisieren können, welche Maßnahmen zuerst ergriffen werden müssen. Und sollten Sie weiterhin Schwierigkeiten haben, die Patches schnell anzuwenden und Ihr Risiko zu minimieren, können Integrationspartner wie Optiv, IBM, Accenture und andere Ihnen mit entsprechenden Dienstleistungen helfen, auf dem neuesten Stand zu bleiben.
Bleiben Sie geschützt, auch wenn Sie besonders gefährdet sind
Oftmals können Patches nicht schnell genug installiert werden, da es für das Unternehmen nicht praktikabel ist, Produktionssysteme vom Netz zu nehmen, bevor ein geplantes Wartungsfenster zur Verfügung steht. Was geschieht also in der Zeit zwischen der Verfügbarkeit eines Patches und dem Zeitpunkt, zu dem er tatsächlich installiert werden kann? Anstatt nur darauf zu hoffen, dass kein Exploit auftritt, können Sie die Platform nutzen, um Ausgleichskontrollen zu implementieren, die Sie auf böswillige Aktivitäten in Bezug auf eine bestimmte Schwachstelle hinweisen. Diese Warnmeldungen ermöglichen es Ihnen, schnell auf potenzielle Bedrohungen zu reagieren, um einen Angriff zu stoppen und zu verhindern. Durch die Einrichtung dieser Ausgleichskontrollen gewinnen Sie Zeit, bis Sie die Patches ohne Auswirkungen auf den Geschäftsbetrieb installieren können.
Gewinnen Sie Einblicke, um Bedrohungen einen Schritt voraus zu sein
Wissen ist Macht. Je mehr Informationen Sie über Schwachstellen und Bedrohungen haben, desto besser sind Sie darauf vorbereitet, Ihre geschäftskritischen Anwendungen vor potenziellen Angriffen zu schützen. Die Onapsis Research Labs führend im Bereich threat intelligence. Als Onapsis-Kunde und Nutzer der Platform haben Sie Zugriff auf diese leistungsstarken threat intelligence. Zur Information: Diese Ausgabe sowie RECON und die vorherigen Ausgaben des Solution Manager wurden den Onapsis Research Labs zugeschrieben. Wir bieten Ihnen frühzeitigen Zugriff auf Informationen zu Schwachstellen und Funktionen unserer Lösung, damit Sie den Bedrohungen immer einen Schritt voraus sind und Ihre geschäftskritischen Anwendungen schützen können.
Um Ihnen den Einstieg zu erleichtern und Ihnen Sicherheit zu geben, bieten wir das Onapsis Protection Program für SAP Solution Manager an. Dieses Programm ist eine kostengünstige Kombination aus Produkten und Dienstleistungen, mit der Sie manuelle Prozesse automatisieren und Effizienzsteigerungen erzielen können, um die Sicherheit von SolMan zu gewährleisten und die geschäftlichen Auswirkungen potenzieller Bedrohungen zu vermeiden. Erfahren Sie mehr über das Onapsis Protection Program für SAP Solution Manager. Und für den umfassenden Schutz Ihrer geschäftskritischen SAP-Anwendungen informieren Sie sich über die Platform, eine von SAP empfohlene App und den Standard für SAP-Sicherheit und Compliance. Kontaktieren Sie uns noch heute.