Warum Onapsis?

Onapsis im Vergleich zu generischen Cybersicherheitslösungen: Absicherung der Sicherheitslücke in ERP-Anwendungen

Herkömmliche Schwachstellenscanner, Firewalls, Tools zur Erkennung und Reaktion auf Endpunktbedrohungen sowie allgemeine SIEM-Lösungen sind unverzichtbare Komponenten jedes Sicherheitsprogramms. Sie sind jedoch nicht dafür ausgelegt, die Komplexität von SAP-Geschäftsanwendungen zu bewältigen. Erfahren Sie, warum Fortune-500-Unternehmen ihre generischen Sicherheitsprodukte durch Onapsis ergänzen – die einzige von SAP empfohlene Cybersicherheits platform , die speziell für SAP-Umgebungen entwickelt wurde.

Eine individuelle Demo vereinbaren Entdecken Sie SecOps- und SIEM-Integrationen
Zwei IT-Fachleute, die in einem Rechenzentrum ein Tablet prüfen

Zusammenfassung: Die Sicherheitslücke bei SAP-Anwendungen in herkömmlichen Cybersicherheitsprogrammen

Unternehmen geben Millionen für mehrschichtige Cybersicherheitsmodelle aus, darunter Firewalls, Netzwerksicherheit, Endpoint Detection and Response (EDR) sowie allgemeine Tools zum Schwachstellenmanagement (VM). Marktanalysten wie Gartner und andere haben jedoch festgestellt, dass die mehrschichtige Sicherheit von Datenbanken und Anwendungen wie ERP-Systemen (SAP oder Oracle) in herkömmlichen Lösungen zur Schwachstellenanalyse nicht umfassend unterstützt wird.

Während herkömmliche Cybersicherheitslösungen das Netzwerk, den Hypervisor und das Betriebssystem schützen, arbeiten geschäftskritische Anwendungen (wie beispielsweise solche, die auf SAP ECC, SAP S/4HANA, RISE with SAP und SAP BTP laufen) mit komplexer Anwendungslogik, benutzerdefiniertem Code und proprietären Protokollen, für deren Schutz generische Tools nicht ausreichend gerüstet sind.

Leider ist dies genau die Ebene, auf der Angriffe auf SAP-Systeme heutzutage stattfinden.

VerteidigungsschichtSicherheitstechnologien und -abdeckung
Perimeter- und NetzwerkschichtFirewalls, WAFs, Netzwerksicherheit
Endpunkt- und BetriebssystemebeneEDR, Betriebssystem-Patches, Host-Sicherheit
Allgemeine Anwendungen Allgemeine SAST, DAST, IAST
⚠️ DER BLINDPUNKT DER SAP-ANWENDUNGSEBENESAP-Geschäftslogik, SAP-Transporte, HANA, Fiori, „ SAP BTP “, benutzerdefinierter ABAP- oder UI5-Code, SAP-Sicherheitshinweise, SAP-Konfigurationen, SAP-Benutzerberechtigungen, SAP-APIs

  • Passive Nutzung von CVE-Feeds: Generische Schwachstellenscanner beziehen öffentliche CVE-Feeds ein. Abgesehen von den Informationen, die entweder über Patch-Benachrichtigungen von Anbietern oder durch Crowdsourcing-Communities öffentlich zugänglich gemacht werden, können sie keine SAP-Berechtigungsfehler, Fehlkonfigurationen oder andere Schwachstellen auf Anwendungsebene identifizieren, die das Unternehmen einem Risiko aussetzen. Darüber hinaus ist es mit diesen Tools nicht möglich, nicht öffentliche Exploits oder Zero-Day-Bedrohungen vor der Veröffentlichung öffentlicher Patches zu erkennen oder zu überprüfen, ob manuelle SAP-Sicherheitshinweise und Workarounds korrekt angewendet wurden.
  • Kein ERP- Threat Intelligence: Herkömmlichen Tools fehlen „ threat intelligence “ oder Feeds, die speziell auf die ERP-Sicherheit ausgerichtet sind. Dadurch haben Sicherheitsteams keinen Einblick in die Taktiken aktiver Angreifer (TTPs), SAP- threat intelligence oder sogar Ausgleichskontrollen, die kritische SAP-Systeme schützen könnten, bevor Patches installiert werden können.
  • Breites, aber nicht tiefgreifendes technisches und sprachliches Spektrum: Generische SAST-Tools (Static Application Security Testing) großer Anbieter konzentrieren sich darauf, ein möglichst breites Spektrum an Programmiersprachen abzudecken, bieten jedoch in der Regel keine tiefgehende Abdeckung der SAP-Programmiersprachen (ABAP, Fiori, SAPUI5, XSJS, CDS). Auch die Komplexitäten der modernen SAP-Entwicklung – vom Transportmanagement bis hin zu moderneren SAP-DevSecOps-Pipelines – werden nicht berücksichtigt.
  • Protokollaggregation ohne Kontext: SIEM-Systeme können zwar SAP-Ereignisprotokolle im Rohformat erfassen, verfügen jedoch nicht über vorgefertigte SAP-Regeln zur Erkennung von Bedrohungen, Exploit-Signaturen und Bewertungen von Verhaltensanomalien, die speziell auf SAP-Anwendungen zugeschnitten sind, sodass kritische Sicherheitsereignisse übersehen werden. Das bloße Senden von SAP-Rohprotokollen an generische SIEM-Systeme führt nicht zu den gewünschten Sicherheitsergebnissen und kann die Lizenzkosten für SIEM-Systeme erheblich erhöhen.

Herkömmliche Tools zum Schwachstellenmanagement sind für eine mehrschichtige Unternehmenssicherheit von entscheidender Bedeutung. Sie decken ein breites Spektrum an Infrastrukturkomponenten, Anwendungen, Betriebssystemen und Endgeräten ab. Werden diese VM-Tools jedoch auf ein SAP-System angewendet, erkennen sie zwar möglicherweise wichtige Schwachstellen in der Virtualisierungsumgebung und im Betriebssystem des SAP-Systems, erzeugen jedoch eine erhebliche Anzahl von Fehlalarmen oder – schlimmer noch – von nicht erkannten Schwachstellen, wenn sie auf assess die SAP-Anwendungsschicht ausgerichtet werden.

Onapsis ist anders:

  • Umfassende SAP-Anwendungsabdeckung: Während generische Scanner die grundlegende Sicherheit von Systemen, Betriebssystemen oder Anwendungen bewerten, konzentriert sich Onapsis Assess konzentriert sich gezielt auf die SAP-Anwendungsebene und bietet über 6.000 Prüfungen für das gesamte SAP-Ökosystem, darunter ABAP, JAVA, HANA-Datenbanken, „ SAP BTP “, SAP- Cloud -Connector, SAP-Web-Dispatcher, BusinessObjects, SAProuter und SuccessFactors. Diese Wissensdatenbank wurde über mehr als 17 Jahre hinweg verfeinert und in Tausenden der weltweit komplexesten SAP-Implementierungen praxiserprobt.
  • Überprüfung manueller Hinweise und Workarounds: Bei über 50 % der kritischen SAP-Sicherheitshinweise sind manuelle Konfigurationsschritte nach der Installation erforderlich, um das Risiko wirksam zu beseitigen. Generische Scanner überprüfen lediglich die Versionen von SAP-Patches und -Komponenten, was ein falsches Gefühl der Sicherheit vermittelt und/oder zu einer erheblichen Anzahl von Fehlalarmen führt. Onapsis Assess überprüft automatisch, ob manuelle Maßnahmen und Workarounds vollständig ausgeführt wurden, sodass Sie sich keine Sorgen machen müssen und unnötigen manuellen Aufwand vermeiden.
  • Business Risk Prioritization: Instead of dumping thousands of unprioritized CVE warnings on SAP Basis teams, Onapsis evaluates landscape context and business impact, reducing manual review effort from hundreds of hours per month to <1 hour.
Entdecken Sie Onapsis „ Assess “ für das SAP-Exposure-Management

Security Operations Center (SOCs) nutzen SIEM-Systeme für die zentralisierte Protokollkorrelation. Ein SIEM-System ist jedoch nur so effektiv wie seine Fähigkeit, die Protokolle auf der Grundlage der darauf aufbauenden Funktionen zur Erkennung von Bedrohungsmustern ( threat intelligence ) und zur Erkennungsoptimierung (detection engineering) zu verarbeiten und zu interpretieren.

Onapsis ist anders:

  • Fundierte Kenntnisse geschäftskritischer SAP-Systeme: Onapsis verfügt über ein umfangreiches Regelwerk, das auf mehr als 17 Jahren fundierter SAP- und Cybersicherheits-Expertise basiert Defend. Unsere kontinuierliche Überwachung nutzt standardmäßig mehr als 2.500 Regeln zum Schutz von SAP-Landschaften.
  • Schutz vor kritischen Zero-Day-Angriffen noch vor der Veröffentlichung von Patches: Onapsis „ Defend “ bietet unseren Kunden Schutz vor kritischen Zero-Day-Angriffen, noch bevor SAP-Sicherheitshinweise veröffentlicht werden. Im Durchschnitt sind Onapsis-Kunden bereits 120 Tage vor der Offenlegung einer Sicherheitslücke und der Veröffentlichung technischer Patches durch SAP geschützt.
  • Senkung der SIEM-Lizenzkosten: Die Anbindung von SAP-Systemen an ein generisches SIEM und die Erfassung aller SAP-Protokolle führt nicht nur dazu, dass kritische Sicherheitsereignisse übersehen werden (aufgrund fehlender SAP-spezifischer Erkennungsmechanismen), sondern kann auch die volumenabhängigen SIEM-Lizenzkosten erheblich in die Höhe treiben. „Onapsis Defend “ filtert Ereignisse vorab über seine SAP-Bedrohungs-Parser und sendet nur die relevanten Signale an das SIEM – nicht das Rauschen. Falls dies aus Gründen der Compliance-Aufbewahrung erforderlich ist, kann „ Defend “ die Rohdaten der Ereignisse auch an das SIEM weiterleiten, was ansonsten komplexe Integrationen vereinfacht.

Onapsis- Defend - und SIEM-Lösungen: „Gemeinsam besser“

Onapsis arbeitet direkt mit führenden SIEM-Anbietern zusammen, um SAP-Blindspots im SOC zu beseitigen. Die Onapsis- Defend -Lösung identifiziert die schwerwiegendsten Bedrohungen, potenzielle Angriffsversuche und verdächtiges Verhalten von SAP-Insidern, die anschließend an ein SIEM weitergeleitet und mit anderen Ereignissen aus der Infrastruktur korreliert werden können:

Abmessung / LeistungsfähigkeitNur ein generisches SIEM Onapsis- Defend - und SIEM-Lösung (integriert)
SAP-Regeln „out-of-the-box“Wenn überhaupt, dann nur sehr wenigeÜber 2.500 spezielle SAP-Regeln zur Erkennung von Bedrohungen
Erkennung von SAP-SicherheitslückenKeine integrierte SAP-Exploit-Erkennung oder benutzerdefinierte Exploit-RegelnÜber 600 SAP-Exploit-Regeln, die es nur bei Onapsis gibt. Kritische Warnmeldungen zu potenziellen SAP-Exploits werden sofort an das SIEM weitergeleitet.
Regeln für Zero-Day-Pre-PatchesSAP-Zero-Day-Bedrohungen können vor der Veröffentlichung eines Patches durch den Hersteller nicht erkannt werdenRegeln zum Schutz vor Patches werden etwa 120 Tage vor der Veröffentlichung von SAP-Sicherheitshinweisen bereitgestellt. Kritische Warnmeldungen zu potenziellen Sicherheitslücken werden sofort an das SIEM weitergeleitet.
Spezielles SAP-ForschungsteamKein eigenes ERP- threat research -TeamDie branchenführende Onapsis Research Labs
Entdecken Sie Onapsis „ Defend “ für die Erkennung und Bekämpfung von Bedrohungen in SAP-Systemen

Herkömmliche AST-Tools bieten, wie auch andere hier genannte Kategorien, eine umfassende und wichtige Abdeckung verschiedener Programmiersprachen, die im gesamten Unternehmen zum Einsatz kommen. Eines haben sie jedoch alle gemeinsam:

  • Mangelnde Tiefe bei SAP-relevanten Programmiersprachen wie ABAP, UI5 und anderen.
  • Es fehlt an Unterstützung und Hintergrundwissen hinsichtlich der spezifischen Feinheiten der SAP-Code-Entwicklung, ihrer Phasen und ihrer Änderungsmanagementprozesse.

Onapsis Control ist anders und bietet umfassende Tests für SAP-Code in der Entwicklung (und in der IDE), im Ruhezustand sowie während der Übertragung (oder beim Transport) – ganz gleich, ob Ihre Teams weiterhin auf einem vollständigen ECC-Stack arbeiten oder modernere CI/CD-Funktionen einsetzen:

  • Fundierte Kenntnisse in der SAP-Programmierung: Generische SAST-Tools decken weit verbreitete Standardprogrammiersprachen wie Java, .NET und Python ab. Sofern sie SAP-Unterstützung bieten, handelt es sich in der Regel um eine sehr begrenzte Anzahl von Testfällen für die statische ABAP-Analyse, die meist mit hohen Falsch-Positiv-Raten einhergehen, da sie seltener gepflegt und nur in begrenzten Laborumgebungen getestet werden. Onapsis „ Control “ führt umfassende Sicherheitstests für ABAP, Fiori, SAPUI5, HANA-native Technologien (XSJS, CDS, SQLScript) und BTP Node.js durch. Unsere Experten aktualisieren unsere Inhalte kontinuierlich mit regelmäßig veröffentlichten neuen Testfällen und gewährleisten so höchste Abdeckung, Genauigkeit und konsistente Ergebnisse.
  • Entwicklerproduktivität und Autokorrektur: Während SAST-Produkte sich oft darauf beschränken, ein Projekt in Git (im Ruhezustand) zu scannen, lässt sich Onapsis Control vollständig in die IDEs Ihres Teams (VS Code, Eclipse, SAP Business Application Studio) integrieren und bietet mit „One-Click Fix“ eine automatisierte Code-Korrektur.
  • DevSecOps & Transportintegration: Überprüft Code im Ruhezustand, während der Übertragung und in der Produktion (über Onapsis Assess) und lässt sich nativ in SAP TMS, ChaRM, Cloud ALM (cTMS), Rev-Trac, ABAPgit sowie CI/CD-Pipelines (Azure DevOps, GitHub) integrieren.
Entdecken Sie Onapsis „ Control “ für die Sicherheit von SAP-Eigencode

Umfassende „ Platform “-Matrix: Onapsis im Vergleich zu generischen Sicherheitstools

Funktion / BereichOnapsis PlatformPerimeter / EDRAllgemeines SchwachstellenmanagementAllgemeines SIEM Allgemeine Anwendungssicherheit
Von SAP empfohlen (und Premium-zertifiziert)JaNeinNeinNeinNein
Ein engagiertes ERP- Threat Research -Team✓Ja
(ORL, ab 17 Jahren)		NeinNeinNeinNein
Regeln für den Zero-Day-Schutz vor dem Patch✓Ja
(~120 Tage im Voraus)		NeinNeinNeinNein
Überprüft manuelle Hinweise und WorkaroundsJaNeinNeinNeinNein
Über 2.500 SAP-Regeln zur Erkennung von BedrohungenJaNeinNeinNeinNein
Umfassende Code-Analyse für mehrere SAP-SprachenJaNeinNeinNein
Nur begrenzte ABAP-Kenntnisse oder gar keine
Automatisierte SAP-Code-Korrektur innerhalb der IDEJaNeinNeinNeinNein

Bewährte Branchenführerschaft und Vertrauen im Ökosystem

  • Die einzige von SAP empfohlene „ Platform “ für SAP-Cybersicherheit: Premium-zertifiziert durch SAP-Tests, die nur auf Einladung zugänglich sind, und garantiert Stabilität bei „ platform “ sowie API-Leistung.
  • Onapsis Research Labs (ORL): Entdeckung und Mithilfe bei der Behebung von über 1.000 Zero-Day-Sicherheitslücken in SAP-Systemen, anerkannt vom SAP Product Security Response Team und geschätzt von staatlichen Sicherheitsbehörden (US-CISA, FBI, DoD, deutsches BSI, ENISA) sowie Partnern aus den Bereichen Incident Response (Mandiant, CrowdStrike, Deloitte) und „ threat intelligence “ (Recorded Future, Flashpoint).
  • Branchenzertifizierungen: Veracode Verified (gesicherte Codebasis), ISO 27001, ISO 20243, SOC 1/2 Typ 2 und TISAX Stufe 3.

Schließen Sie noch heute Ihre SAP-Sicherheitslücke

Lassen Sie nicht zu, dass Ihre wichtigsten Geschäftsanwendungen eine Sicherheitslücke in Ihrem Unternehmensschutz darstellen. Ergänzen Sie Ihre bestehenden Sicherheitsinvestitionen mit dem bewährten Marktführer, um das zu schützen, was am wichtigsten ist.

Eine individuelle Demo anfordern