![\"IT-Onlinemagazin](\"https:\/\/sast-solutions.de\/blog-de\/wp-content\/uploads\/2019\/12\/Expert-Talk_Logo_mitSAST_200px.jpg\"){kind=logo}
SAP-Anwenderunternehmen und auch die DSAG fordern Security Dashboards f\u00fcr h\u00f6here Transparenz und die Signalisierung notwendiger Ma\u00dfnahmen. Besonders kritisch sind jedoch Risiken, die erst aus einer Kombination mehrerer, f\u00fcr sich jeweils unkritischer, Ereignisse entstehen. Denn auch den besten Dashboards gelingt es nicht, solche unerkannten Sicherheitsvorf\u00e4lle darzustellen.<\/p>\n
<\/p>\n
<\/p>\n
Das folgende Interview zwischen Helge Sanden (Chefredakteur IT-Onlinemagazin) und Ralf Kempf (CTO SAST SOLUTIONS) ist am 2. M\u00e4rz 2021 im<\/em> IT-Onlinemagazin<\/a><\/em> erschienen.<\/em><\/strong><\/p>\n \u00a0<\/strong><\/p>\n Interessant ist eigentlich viel mehr, dass die gr\u00f6\u00dften Schwachstellen von SAP-Systemen seit Jahren unver\u00e4ndert sind und doch in vielen Unternehmen noch nicht behoben wurden. Das ist zum einen eine fehlerhafte Systemkonfiguration, die zu viele L\u00fccken f\u00fcr Angreifer l\u00e4sst, dann der Missbrauch von User-Rollen und -Berechtigungen und als dritter Punkt das unerw\u00fcnschte Verhalten von Nutzern im System, das zu internen Sicherheitsvorf\u00e4lle f\u00fchrt.<\/p>\n Investitionen, die Unternehmen erfolgreich im Bereich der Berechtigungs- und Benutzerverwaltung t\u00e4tigen, werden oftmals durch den fahrl\u00e4ssigen Umgang mit den grundlegendsten Sicherheitsma\u00dfnahmen gef\u00e4hrdet. Das hei\u00dft, Unternehmen agieren sehr h\u00e4ufig bereits bei der Authentifizierung, dem User Management und bei den Berechtigungen. Sie vernachl\u00e4ssigen jedoch zwei weitere wichtige Bausteine f\u00fcr eine vollumf\u00e4ngliche Absicherung. Zum einen den Schutz der IT-Systeme und der Infrastruktur selbst zum anderen eine unternehmensweite Konsolidierung aller Sicherheitseinstellungen im Rahmen von Analysen und Reports.<\/p>\n Gerade bei der Implementierung moderner Security Dashboards f\u00fcr SAP-Landschaften sind viele Unternehmen noch unentschlossen. Eine Ursache scheint vermehrt der bef\u00fcrchtete Aufwand zu sein, der bei Entscheidern dem Wunsch nach gr\u00f6\u00dftm\u00f6glicher Transparenz und einem ganzheitlichen \u00dcberblick in Echtzeit gegen\u00fcbersteht. Doch diese Vorbehalte sind aufgrund der hohen Effizienz eines Security Dashboards unklug und angesichts aktueller Bedrohungslagen sogar gef\u00e4hrlich. Denn der Einsatz bringt Vorteile sowohl bei der effektiven Echtzeit\u00fcberwachung als auch beim schonenden Umgang mit den internen IT-Ressourcen.<\/p>\n Und um den Herausforderungen der stetig komplexer werdenden Anforderungen im Bereich SAP Security weiterhin begegnen zu k\u00f6nnen, sind Dashboards zur transparenten \u00dcbersicht einfach essenziell. Kein SAP-Anwendungsunternehmen sollte auf diese Vorteile verzichten, denn aufgrund gleicher Software sind die Anforderungen an Sicherheit, Transparenz und \u00dcberwachung f\u00fcr alle letztlich identisch.<\/p>\n Der Trendbegriff \u201eDashboard\u201c wird inzwischen gerne und vielf\u00e4ltig genutzt, oft schon f\u00fcr Produkte, die lediglich ein statisches Monitoring mit einer grafischen Oberfl\u00e4che f\u00fcr die Anwendung kombinieren. Solche Oberfl\u00e4chen sind jedoch kaum adaptier- und justierbar. Doch gerade in der flexiblen Anpassung an nicht vorhersehbare Entwicklungen, wie zum Beispiel der aktuellen Bedrohungslage, liegt die St\u00e4rke eines ganzheitlichen Security Dashboards.<\/p>\n Ein echtes Security Dashboard visualisiert zielgruppengerecht Informationen \u00fcber die Vielfalt der verschiedenen Systeme und Zust\u00e4ndigkeiten und erm\u00f6glicht einen einheitlichen Top-Down-Blick auf den erreichten Sicherheits- und Compliance-Standard \u2013 und das in Echtzeit. Zudem muss die L\u00f6sung nicht nur zeigen, wo es ein Problem gibt, sondern auch gleichzeitig eine Handlungsempfehlung zu dessen Eliminierung liefern.<\/p>\n Aufgrund der besonderen Komplexit\u00e4t der SAP-Systeme, in Kombination mit den vielen unternehmensinternen Bedarfsinteressen, erfordert die Implementierung eines Security-Dashboards jedoch eine hohe Kenntnis der internen Prozesse, der Verantwortlichkeiten und dar\u00fcber hinaus ein tiefgreifendes SAP Security Know-how. Doch hieran mangelt es vielmals in den Unternehmen.<\/p>\n Ein Security Dashboard muss erm\u00f6glichen, die Daten je nach Situation zu kombinieren, egal aus welchem Bereich, und sowohl das Reporting f\u00fcr den IT-Security-Bereich als auch f\u00fcr Systemverantwortliche visualisieren.<\/p>\n Insbesondere Systemverantwortliche ben\u00f6tigen auf der ersten Ebene eine einfache \u00dcbersicht mit nur zwei Ampeln. Eine Ampel f\u00fcr den Bereich Konfiguration und Berechtigungen, die zweite f\u00fcr das Themenfeld SIEM\/Echtzeit\u00fcberwachung. So wei\u00df ein Verantwortlicher sofort, in welchem Bereich er aktiv werden muss und erh\u00e4lt auf einen Klick Details zu den Vorf\u00e4llen und entsprechende Handlungsempfehlungen in Echtzeit.<\/p>\n In der Praxis m\u00fcssen SAP-Kunden etwa das Ergebnis von 2.000 Einzelpr\u00fcfhandlungen aus 300 SAP-Systemen t\u00e4glich \u00fcberwachen und dabei Schwachstellen durch kritische Konfigurationen und auff\u00e4llige Nutzung erkennen. Dies ist auf einfache Weise und in Echtzeit nur mit einem Security Dashboard realisierbar, das die M\u00f6glichkeit bietet, \u00fcber diverse Ebenen bis zu den Details der Alarmmeldung zu navigieren.<\/p>\n Die Fr\u00fchindikatoren per se gibt es nicht, denn daf\u00fcr sind Sicherheitsl\u00fccken und Angriffsversuche einfach zu vielf\u00e4ltig und ver\u00e4ndern sich zudem auch noch laufend.<\/p>\n Aber nat\u00fcrlich gibt es Warnsignale, die Unternehmen leider viel zu h\u00e4ufig ignorieren. Ich denke da beispielsweise an negative Ergebnisse aus einem Security Audit. Es ist fast erschreckend, dass immer wieder in Unternehmen bestimmte Schwachstellen bekannt sind, sie aber dennoch nicht beseitigt werden. Solche Erkenntnisse bleiben oftmals versteckt in Schubladen liegen. Es fehlt an einer gesunden Fehler-Kultur, in der ausschlie\u00dflich relevant ist, Transparenz zu schaffen, Fehler ans Licht zu bringen und sich nicht auf das – eventuell sogar versehentliche – Fehlverhalten von Mitarbeiter*innen zu konzentrieren.<\/p>\n Eine unserer wichtigsten Empfehlungen ist es daher immer wieder: Reagieren Sie sofort, bewerten Sie Sicherheitsl\u00fccken aufgrund ihrer Kritikalit\u00e4t und schieben Sie die Bereinigung nicht auf die lange Bank. Denn Zeit ist der entscheidende Faktor, sollte es wirklich einmal zu einem relevanten Angriff kommen.<\/p>\n Auch hier gibt es leider nicht das eine Patentrezept, das alles heilt. Denn die optimale Reaktion h\u00e4ngt ganz stark vom jeweiligen Angriffsversuch ab. Aber was alle Reaktionen eint ist, dass es ein sauber aufgesetztes Risikomanagement im Unternehmen braucht mit definierten Prozessen, wie man vorgeht, um Risikoszenarien zu durchlaufen. Hier helfen beispielsweise die Vorgehensmodelle von ISO2700x, BSI oder NIST.<\/p>\n Im SAST Expert Talk<\/a> gew\u00e4hrt Andreas Feistl von LINDE Einblicke in die SAP Security-Strategie seines Unternehmens und zeigt, wie es durch die Integration der SAST SUITE<\/a> in ihr SIEM-Monitoring gelungen ist, kritische und komplexe SAP-Sicherheitsvorf\u00e4lle in Echtzeit zu erkennen.<\/p>\n Daneben erz\u00e4hlen wir aus unserer t\u00e4glichen Praxis, so unter anderem von den Anforderungen an ein Security Information Center und wie Dashboards helfen, die permanente \u00dcberwachung von SAP-Systemen abzurunden. Denn wichtig ist, Incidents schnellstm\u00f6glich zu erkennen und zu bewerten, um entsprechende Gegenma\u00dfnahmen m\u00f6glichst unverz\u00fcglich einleiten zu k\u00f6nnen.<\/p>\n Auff\u00e4llig ist sicherlich, dass wir immer h\u00e4ufiger auf das Thema \u201eCloud\u201c angesprochen werden. Mein Tipp dazu: Sensible Daten geh\u00f6ren nicht au\u00dferhalb des eigenen Kontrollbereichs gespeichert. Entsprechend sollten Unternehmen Security-L\u00f6sungen und Dashboards on-premise realisieren und vorzugsweise nicht in der Cloud.<\/p>\n Die Fragen stellte Helge Sanden, Chefredakteur des IT-Onlinemagazins.<\/em><\/p>\n <\/p>\n <\/p>\nHerr Kempf, welche Trends beobachten Sie bei Schwachstellen, die f\u00fcr Angriffe auf SAP-Systeme ausgenutzt werden k\u00f6nnten?<\/strong><\/h2>\n
![\"SAST](\"https:\/\/sast-solutions.de\/blog-de\/wp-content\/uploads\/2021\/03\/Security-Keyfacts_Grafik_de.png\")
<\/p>\nWelche Fehleinsch\u00e4tzungen beobachten Sie diesbez\u00fcglich in Unternehmen?<\/strong><\/h2>\n
Wie kann man die Erkennungsquote kritischer Angriffe erh\u00f6hen?<\/strong><\/h2>\n
Was zeichnen gute Security Dashboards aus?<\/strong><\/h2>\n
![\"SAST](\"https:\/\/sast-solutions.de\/blog-de\/wp-content\/uploads\/2021\/03\/SAST-Security-Dashboard_Teaserbild.jpg\")
<\/p>\nGibt es typische Fr\u00fchindikatoren f\u00fcr einen Angriffsversuch?<\/strong><\/h2>\n
Was tut man, wenn man einen laufenden Angriffsversuch feststellt?<\/strong><\/h2>\n
Was erfahren wir von Ihnen bei der IT-Onlinekonferenz 2021?<\/strong><\/h2>\n
Was wird 2021 das dominierende Thema bei der SAP-Sicherheit?<\/strong><\/h2>\n
Vielen Dank f\u00fcr das Gespr\u00e4ch.<\/strong><\/h2>\n
![\"Ralf](\"https:\/\/sast-solutions.de\/blog-de\/wp-content\/uploads\/2016\/12\/ralfkempf_akquinet-300x210.jpg\")
\nRalf Kempf <\/strong>(CTO SAST SOLUTIONS)<\/strong><\/p>\n![\"Helge](\"https:\/\/sast-solutions.de\/blog-de\/wp-content\/uploads\/2019\/02\/Helge-Sanden-IT-Onlinemagazin-6458-300x200.jpg\")
\nHelge Sanden <\/strong>(Chefredakteur des IT-Onlinemagazins)<\/strong><\/p>\nWeitere Artikel \u00fcber Echtzeit\u00fcberwachung:<\/h2>\n