Angriffe in Echtzeit erkennen

SAP-Systeme sind Teil der kritischen Unternehmensinfrastruktur, denn sie verarbeiten und speichern sensible Daten und steuern damit die Wertschöpfungsprozesse. Obwohl Angriffe durch Hacker, Wirtschaftsspione und eigene Mitarbeiter enorme Schäden anrichten können, mangelt es vielen Verantwortlichen noch am nötigen Sicherheitsbewusstsein. Wie sonst ließe es sich erklären, dass es bei Marktbefragungen immer wieder Antworten zu hören gibt wie: "Natürlich kann es in Unternehmen zu SAP-Sicherheitsvorfällen kommen, aber gewiss nicht bei uns, da ist so etwas noch nie passiert!" Auf die Gegenfrage, wie sich das denn zuverlässig feststellen ließe, gibt es meist nur eine Reaktion: Schulterzucken und lange Gesichter.

Typische SIEM-Produkte greifen zu kurz

Fakt ist: Mit den typischen automatisierten Überwachungsprodukten, den so genannten SIEM-Systemen(SecurityInformation and Event Management), sind Unternehmen nicht in der Lage, mögliche SAP-Angriffe schnell und sicher zu erkennen. Diese Systeme sind geeignet, um Unregelmäßigkeiten in der IT-Infrastruktur festzustellen und zu beheben. Dazu werden die Log-Daten aus verschiedenen Quellen, wie Netzwerk, Servern und Datenbanken, gesammelt, korreliert und mit vordefinierten Regeln in Verbindung gebracht, um mögliche Angriffsmuster auszumachen.

Im Fall einer Attacke lösen die SIEM-Systeme einen Alarm aus, auf den festgelegte Maßnahmen folgen: so erhält zum Beispiel der Administrator gezielte Informationen, um bestimmte IT-Aktivitäten sofort zu stoppen oder Anwender komplett zu sperren. Darüber hinaus sind SIEM-Systeme in der Lage, historische Daten mit bekannten Angriffsmustern abzugleichen, um im Rahmen von forensischen Analysen rückwirkend herauszufinden, was da genau passiert ist.

So nützlich die weitverbreiteten SIEM-Produkte für die allgemeine IT-Sicherheit in den Unternehmen sind, so wenig können sie SAP-Systeme vor unerlaubten Zugriffen schützen. Dies liegt daran, dass diese SIEM-Lösungen die speziellen SAP-Protokolle und -Auswertungsmöglichkeiten schlichtweg nicht "verstehen". Die Folge: Immer wieder erfahren Unternehmen erst durch Presseberichte oder - schlimmer noch - durch das Auftauchen von "Konkurrenzprodukten" am Markt, dass ihre SAP-Systeme von Wirtschaftsspionen gehackt worden sind.

Experten-Silos oder "Nimm Du ihn, ich hab ihn sicher…"

Zu den technischen Limitierungen hinsichtlich der SAP-Abdeckung marktüblicher SIEM-Lösungen kommt ein organisatorischer Aspekt, der sich seit vielen Jahren am Markt beobachten lässt: Sicherheit wird in den Unternehmen typischerweise in der IT-Abteilung und dem SAP-Kompetenzcenter verortet. Fragt man die IT-Abteilung nach Sicherheit, sind Begriffe wie Firewalls, Betriebssysteme, Virtual Private Networks und auch SIEM zu hören - also eine sehr technische Sicht.

Spricht man jedoch mit SAP-Experten, trifft man auf Begrifflichkeiten wie Rollen und Berechtigungen, Access Control, Risikomanagement - eine Perspektive also, die auf die Absicherung der Anwendungsebene zielt. Da nun die IT-Abteilung in Fragen der SAP-Sicherheit in der Regel auf die SAP-Kollegen im Unternehmen deutet, diese das Thema der technischen Sicherheit aber oft bei den IT-Kollegen sehen, entsteht gerade bei der Erkennung von Angriffen eine Lücke, die dringend geschlossen werden muss.

Aufrüstung oder Neueinführung?

Um sich wirksam vor externen wie internen Angreifern zu schützen, müssen SAP-Kunden daher mehr für die Sicherheit ihrer SAP-Systeme und Anwendungen tun. "Gibt es unerwartete Aktivitäten in meiner SAP-Umgebung?", "Wer ist der Angreifer?" und "Was für ein Angriff hat stattgefunden?" lauten die wesentlichen Fragen, die rasch beantwortet und mit Gegenmaßnahmen verknüpft werden müssen. Einen möglichen Ansatz bietet die "Aufrüstung" der vorhandenen SIEM-Überwachungssysteme, und zwar durch Eigenentwicklung der Funktionen und Logik, die für die Auswertung und Korrelation der SAP-Logdateien benötigt werden. Dies erfordert zwar viel eigenes SAP-Know-how und einigen Zeitaufwand, erlaubt aber, die SAP-Sicherheitsüberwachung innerhalb der vorhandenen SIEM-Systemwelt zu leisten.

Eine weitere Möglichkeit bietet die Ergänzung der SIEM-Produkte durch eine neue SAP-Sicherheitslösung: Mit SAP Enterprise Threat Detection (ETD) wird die Lücke in der Überwachung kritischer IT-Infrastrukturen geschlossen. Da diese Lösung alle SAP-Protokolle und -Logdateien "von Haus aus versteht", ist es erstmals möglich, Angriffe auf SAP-Systeme in Echtzeit zu erkennen. Im Prinzip funktioniert ETD ähnlich wie die SIEM-Systeme: Zunächst werden die SAP-Logdateien übertragen und in Echtzeit analysiert. Hat ein Angriff stattgefunden, erkennt ETD dessen Spuren und löst einen Alarm, dieser wiederum vordefinierten Folgeaktivitäten aus. Auch mit ETD sind forensische Analysen möglich.

Über die technischen Analysen hinaus ermöglicht ETD auch semantische, applikationsspezifische Auswertungen der SAP-Protokolle. Damit lässt sich zum Beispiel zeitnah erkennen, wenn in einem SAP-System unerlaubte Buchungen vorgenommen oder E-Mails mit Anhängen und Makros eingeschleust werden, die Massenangriffe auf die Datenbank im Backend durchführen sollen. Damit erweitert sich der Umfang der SAP-Überwachungsmöglichkeiten beträchtlich. Ein wesentlicher Vorteil der ETD-Lösung ist die Verarbeitung großer Datenmengen in Echtzeit, da sie auf der In-Memory-Plattform HANA läuft.

SIEM-Aufrüstung oder SAP ETD?

Ob sich ein Unternehmen für die "Aufrüstung" der vorhandenen SIEM-Systeme oder für die Ergänzung durch SAP ETD entscheidet, hängt von verschiedenen Faktoren ab. Wer seinen SIEM-Produkten selbst SAP "beibringt", braucht keine Lizenz-, Wartungs- und Projektkosten für die ETD-Einführung zu bezahlen. Demgegenüber steht der Programmier- und Pflegeaufwand für die Eigenentwicklungen.

ETD-Anwender wiederum genießen den Vorteil standardisierter Funktionen, das heißt sie erhalten eine technisch ausgereifte Lösung, die von SAP mit jedem Service Package weiterentwickelt und um aktuelle Regeln für die Erkennung neuer Angriffsmuster ergänzt wird. Ein weiteres Argument für ETD könnte sein, dass sich die Sicherheitslösung nahtlos in die neue SAP-Produktstrategie integriert, die mit S/4HANA eine auf HANA basierende ERP-Suite zur Verfügung stellt. So ist zu erwarten, dass ETD direkt an den künftigen SAP-Technologierweiterungen partizipiert. Es ist davon auszugehen, dass sich mittelfristig eine Koexistenz traditioneller SIEM-Systeme und ETD etabliert. SAP sieht dazu die Möglichkeit vor, die Alarmierung aus ETD in ein bestehendes SIEM-System zu integrieren.

Fazit: Eile ist geboten

Je nach den individuellen Anforderungen von Unternehmen sollte die "Aufrüstung" vorhandener SIEM-Überwachungssysteme gegen eine ETD-Neueinführung abgewogen werden, in manchen Fällen erscheint eine Kombination beider Lösungen ideal.

In jedem Fall aber ist Eile geboten, damit Unternehmen die steigenden Gefahren externer und interner Systemangriffe schneller als bisher erkennen und bewerten und - falls nötig - sofort Gegenmaßnahmen ergreifen können. Denn die täglichen Meldungen zeigen, dass SAP-Systeme immer stärker in den Fokus der Angreifer geraten. Durch neue Technologie wie das Internet of Things, Mobile und Cloud Computing dehnt sich die Angriffsfläche zudem immer mehr aus.