Sicherheit und Prüfung von SAP-Systemen

Artikel

Von Revision-Online (IT-Audit.de)

• SAP-Passwort-Sicherheit - der Artikel von Frank Dittrich erschienen 2003 bei IT-Audit.de und befasst sich mit verschiedenen Aspekten der SAP-Passwort-Sicherheit:
  • Schutz gegen Angreifer mit bestimmten Kenntnissen oder Berechtigungen
  • Schutz gegen unautorisierte Logins
  • Schutz gegen zu schwache Passworte, Hinweise zur Wahl sicherer Passworte

Außerdem enthält er Vorschläge für Erweiterungen des SAP-Standards.

• Frank Dittrich geht im Review (pdf 126 kb) aus 2004 zu seinem obigen Artikel auf Änderungen im SAP-Standard ein und erläutert Schwächen in den Hash-Algorithmen.

• SAP R/3 Berechtigungen (pdf 48 kb) - einem der vernachlässigten Themen bei SAP Projekten geht Thomas Frey in diesem Artikel nach; erschienen April 2003 bei IT-Audit.de.

• Veränderungen im Bestellwesen von SAP R/3 bis Rel. 4.5 (pdf 1 mb) - Problemstellung und Lösungsansatz von Christoph Wildensee; erschienen Juni 2003 bei IT-Audit.de.

• Berechtigungsprüfungen in SAP R/3 HR – Personalwirtschaft (pdf 137 kb) - Christoph Wildensee diskutiert die Zugriffsschutzmechanismem im SAP R/3 HR; erschienen Oktober 2006 bei IT-Audit.de.

• Im Exkurs “Auswertungen im Bereich ESS /Zeitwirtschaft” (pdf 212 kb) zu obigen Artikel nimmt Christoph Wildensee die Berechtigungen der “Employee Self Services” unter die Revisionslupe; erschienen November 2006 bei IT-Audit.de.

• Benchmark-Assessment zur SAP-Sicherheit (doc 646 kb) - in diesem Artikel stellt Dipl. Kfm. Jörg Altmeier die von wikima4 in 2007 geplante zweite Studie zur SAP-Sicherheit vor.

Bei Revision-Online

• Compliance Monitoring in SAP-Systemen (pdf 1 Mb) - Dipl. Kfm. Jörg Altmeier geht der Frage nach was ein Werkzeug zum SAP Compliance Monitoring alles leisten muss.

• Manipulationsmöglichkeit im Rahmen der SAP-Tabellenänderungsberechtigung anhand eines Beispiels - (pdf 64 Kb) erschienen im ReVision III/2003, Artikel von Christoph Wildensee.

• Tabellen-Debugging in SAP R/3 (pdf 338 Kb) - eine unterschätzte Gefahrenquelle in der Administration - erschienen im ZIR 4/2003, Artikel von Christoph Wildensee.

• Sicherheitskonzeption in SAP R/3 (pdf 520 kb) - Regelungsbedarf über die Berechtigungsdefinition und -vergabe hinaus - erschienen im ZIR 4/2002, Artikel von Christoph Wildensee.

• Das Rollenkonzept in SAP R/3 (pdf 199 kb) - Gestaltungsmöglichkeiten aus Sicht der IV-Revision - erschienen im ReVision III/2002, Artikel von Christoph Wildensee.

• Ausgesuchte Berechtigungsobjekte des SAP R/3 Systems als Prüfungsansatz für die IV-Revision - Eine Übersicht von Christoph Wildensee:
  • Download Teil 1 SAP Basis (pdf 45 kb) erschienen im ReVision III/2001
  • Download Teil 2 SAP FI (pdf 42 kb) erschienen im ReVision IV/2001
  • Download Teil 3 SAP CO (pdf 43 kb) erschienen im ReVision I/2002

Bei anderen Webseiten

• NEU Manipulation von Quellcode unter Umgehung der bestehenden Berechtigungsbeschränkungen via SE30 / ATRA / ABAP_TRACE / SAT (Laufzeitanalyse / ABAP Trace) (pdf 643 kb) von Christoph Wildensee.
• Empfehlungen zu SAP-Sicherheitseinstellungen (Profilparameter) (pdf 76 kb) - download von der Webseite der IT AUDIT GmbH Wirtschaftsprüfungsgesellschaft.
• Neuerungen bei den Kennwortregeln in SAP (pdf 210 kb) - download von der Webseite der IT AUDIT GmbH Wirtschaftsprüfungsgesellschaft.
• SAP R/3 Basissystem kurzgefaßt - von Jochen Hein (1998-2007).
• Wir hacken eine SAP Datenbank - von Jochen Hein (2002).
• AIS Das Audit Information System von SAP - Ein Werkzeug für die Revision? - Artikel von Van Acken & Partner.

Englisch

• Advisory zu SAP R/3 mit Oracle - von Jochen Hein, erschienen 2002.
• Analyse eines SAP-Virus - von Jochen Hein, erschienen 2002.

Bücher

Es fehlt ein Buch in der Literaturliste? Hinterlassen Sie doch einen Hinweis auf der Diskussionsseite!

Leitfäden, Checklisten

Australian National Audit Office

• SAP ECC 6.0 Security and Control Better Practice Guide

BSI Grundschutzkatalog

• B 5.13 SAP System

DSAG Leitfäden

• Leitfaden zu Governance, Risk und Compliance: Access Control 5.3 (Teil 1)

• Leitfaden zu zu Governance, Risk und Compliance: Risk Management 10.0 (Teil 2)

• Handlungsempfehlungen zur Anwendung der GDPdU

• Datenschutzleitfaden für SAP ERP 6.0

• Prüfleitfaden SAP ERP 6.0

Prüfungsleitfäden

• SAP Prüfungsleitfäden - Sammlung von Leitfäden auf der Webseite der Roger Odenthal Unternehmensberatung.

Portale, Webseiten

• NEU Christoph Wildensee - Webseite von Christoph Wildensee mit vielen Artikeln zur Revision von SAP-Systemen.

• NEU Daniel Berlin on Security - Blog von Daniel Berlin insbesondere über SAP-Security.

• NEU DSAG - Arbeitskreis Revision/Risikomanagement- Vorstellung des DSAG Arbeitskreis Revision/Risikomanagement und Link zu den DSAG-Leitfäden.

• NEU MarieWagener.de - Webseite von Marie-Luise Wagener über SAP® Security and Controls.

• NEU rz10.de - Blog der mindsquare GmbH zu SAP-Revision- und SAP-Security-Themen.

• NEU SAP Audit Blog - Blog von Marco Eckert zu SAP-Revision- und SAP-Security-Themen.

Thumbshots von

Tools

• NEU CheckAud ParaMeter dient zum Auslesen und Auswerten der SAP-Systemparameter und ist eine Freeware aus der IBS Schreiber GmbH. Zum Download ist eine Registrierung erforderlich.

• NEU SAPala - SAPala ist eine leicht modifizierte Version des Open-Source Programms SapCap. Mehr Infos und Download bei Werth IT GmbH.

• NEU SapCap - SAP packet sniffer

• SAP Standard Kennwörter

• SAP Transaktionscodes mit Kurzbeschreibungen

---

Google-Anzeigen

Der folgende Inhalt ist ein Angebot von Google. Bitte informieren Sie sich über die Datenschutzbestimmungen von Google

---