SAP HANA – Sicherheit und Berechtigungen

Tiede, Thomas Thomas Tiede befasst sich seit mehr als 20 Jahren mit dem Thema SAP-Sicherheit. Als Geschäftsführer der auf IT- und SAP-Sicherheit spezialisierten IBS Schreiber GmbH hat er zahlreiche Sicherheitsprüfungen durchgeführt sowie Sicherheits- und Berechtigungskonzepte implementiert. Als Dozent hält er Seminare und Vorträge zu diesen Themen, u.a. im Rahmen der Zertifizierung »Certified Auditor for SAP-Systems«, die die IBS Schreiber GmbH zusammen mit dem ISACA Germany Chapter anbietet. Thomas Tiede war maßgeblich an der Entwicklung der GRC-Software CheckAud® for SAP-Systems sowie am RuleSet Update-Service for SAP Access Control beteiligt. Die bisherigen Auflagen seines Buches sind unter dem Titel »OPSAP - Ordnungsmäßigkeit und Prüfung von SAP-Systemen« erschienen.

lt;br>
Einleitung ... 19


1. Einführung in SAP HANA ... 23


1.1 ... Der technische Aufbau von SAP HANA ... 24

1.2 ... SAP HANA Cockpit ... 31

1.3 ... SAP HANA Database Explorer ... 46

1.4 ... SAP HANA Studio ... 52

1.5 ... HDBSQL ... 64

1.6 ... DBA Cockpit ... 68

1.7 ... SAP HANA XS ADVANCED ... 72

1.8 ... SAP HANA und SAP ERP bzw. SAP S/4HANA ... 77

1.9 ... Leitfäden zur SAP-HANA-Sicherheit ... 80



2. Netzwerk- und Betriebssystemsicherheit ... 85


2.1 ... Absicherung der UNIX-Benutzer ... 85

2.2 ... Schutz von Dateien und Verzeichnissen ... 91

2.3 ... Zugriff auf die UNIX-Ebene vom ABAP-Stack aus ... 94

2.4 ... Protokollierung von Aktionen unter UNIX ... 100



3. Systemsicherheit in SAP HANA ... 103


3.1 ... Verwaltung von Lizenzen ... 103

3.2 ... Pflege von Systemparametern ... 108

3.3 ... Verschlüsselung von Daten ... 122

3.4 ... Verschlüsselung der Kommunikation ... 139

3.5 ... Verbindungen zu anderen Systemen -- Remote Sources ... 143

3.6 ... Skripte zur Prüfung der Systemsicherheit ... 158

3.7 ... Alerts ... 163



4. Sicherheit in Multi-Tenant-Datenbanken ... 173


4.1 ... Das Konzept der Tenant-Datenbanken ... 173

4.2 ... Tenant-übergreifende Zugriffe ... 181

4.3 ... Nicht änderbare Parameter in Tenants ... 181

4.4 ... Einschränkung von Funktionen in Tenants ... 182

4.5 ... High Isolation Level für Tenants ... 184

4.6 ... Protokollierung von Änderungen an Tenants ... 189



5. Authentifizierung in SAP HANA ... 191


5.1 ... Authentifizierungsmethoden ... 191

5.2 ... Kennwortrichtlinien ... 204



6. Benutzerverwaltung in SAP HANA ... 221


6.1 ... Der Benutzerstammsatz ... 221

6.2 ... SAP-HANA-XS-Advanced-Benutzer ... 244

6.3 ... SAP-HANA-Standardbenutzer ... 251

6.4 ... Remote-Benutzer ... 257

6.5 ... Benutzergruppen ... 261



7. Das Berechtigungskonzept von SAP HANA ... 267


7.1 ... Konzept der SAP-HANA-Berechtigungen ... 267

7.2 ... System Privileges ... 269

7.3 ... Object Privileges ... 282

7.4 ... Package Privileges ... 293

7.5 ... Analytic Privileges ... 300

7.6 ... Application Privileges ... 300

7.7 ... Weitergabe von Berechtigungen ... 305

7.8 ... Maskierung von Daten ... 307

7.9 ... Privileges on Users ... 309

7.10 ... Kopieren von Berechtigungen ... 310

7.11 ... Trace von Berechtigungen ... 312

7.12 ... Berechtigungen in SAP HANA XS Advanced ... 323



8. Das Rollenkonzept von SAP HANA ... 333


8.1 ... Eigenschaften von Rollen ... 333

8.2 ... Runtime-Katalogrollen ... 339

8.3 ... Design-Time-Repository-Rollen (XSC) ... 348

8.4 ... Design-Time-HANA-DI-Rollen (XSA) ... 360

8.5 ... SAP-HANA-Standardrollen ... 367



9. Analyse des SAP-HANA-Berechtigungskonzepts ... 371


9.1 ... Tabellen und Views zur Analyse von Berechtigungen ... 371

9.2 ... Analysen aus Benutzersicht ... 373

9.3 ... Analysen aus Berechtigungssicht ... 377

9.4 ... Auswertung effektiver Berechtigungen ... 379

9.5 ... Das Skript HANA_Security_GrantedRolesAndPrivileges ... 388

9.6 ... Praktische Beispiele für Berechtigungsanalysen ... 390



10. Das Berechtigungskonzept von SAP S/4HANA ... 399


10.1 ... Wechsel von SAP ERP zu SAP S/4HANA ... 399

10.2 ... Technische Sicherheit in SAP S/4HANA ... 418

10.3 ... Berechtigungen zur Ausführung von SAP-Fiori-Apps ... 423



11. Auditing in SAP HANA ... 437


11.1 ... Konfiguration des Auditings in SAP HANA ... 437

11.2 ... Einrichten von Policies ... 446

11.3 ... Auswertung des Auditings ... 468

11.4 ... Löschen von Auditing-Protokollen ... 477

11.5 ... Auditing in SAP HANA XSA ... 479

11.6 ... Best-Practice-Empfehlungen ... 484



12. Checklisten zur Analyse der Sicherheit von SAP HANA ... 499


12.1 ... Einführung in SAP HANA ... 499

12.2 ... Netzwerk- und Betriebssystemsicherheit ... 505

12.3 ... Systemsicherheit in SAP HANA ... 509

12.4 ... Sicherheit in Multi-Tenant-Datenbanken ... 520

12.5 ... Authentifizierung in SAP HANA ... 523

12.6 ... Benutzerverwaltung in SAP HANA ... 527

12.7 ... Das Berechtigungskonzept von SAP HANA ... 532

12.8 ... Das Rollenkonzept von SAP HANA ... 537

12.9 ... Analyse des SAP-HANA-Berechtigungskonzepts ... 543

12.10 ... Das Berechtigungskonzept von SAP S/4HANA ... 544

12.11 ... Auditing in SAP HANA ... 547



Anhang ... 553


A ... Sicherheitsrelevante Systemparameter ... 555

B ... Sicherheitsrelevante Views in SAP HANA ... 559

C ... Sicherheitsrelevante Tabellen in SAP S/4HANA ... 563

D ... Der Autor ... 567



Index ... 569