Wie man einen SAP-Benutzer sperrt (SU01) und entsperrt (SU10)
Heterogen
Entweder werden zeitweise Programmaufrufe blockiert, die eigentlich erwünscht sind oder es müssen enorm große Gateway-Logs analysiert werden. Würde man sich nun aufgrund des hohen Arbeitsaufwands dazu entscheiden, dauerhaft auf die Nutzung der Zugriffskontrolllisten zu verzichten, stellt dies eine große Sicherheitslücke dar. Das ungeschützte System besitzt keine Einschränkungen bezüglich der externen Dienste, die sich registrieren dürfen und darüber hinaus sind auch keine Regelungen zur Ausführung von Programmen vorhanden. Eine mögliche Konsequenz wäre beispielsweise die Registrierung eines externen Systems auf dem bösartige Programme vorhanden sind. In dem Moment, wo ohne jegliche Kontrolle fremde Programme auf dem eigenen System ausgeführt werden, kann man davon ausgehen, dass großer Schaden angerichtet wird. Dieser reicht beispielsweise von einem unbemerkten Auslesen von Einkaufs- und Verkaufszahlen über ein Abzweigen finanzieller Mittel bis hin zu einem Lahmlegen oder Manipulieren des gesamten Systems. Darüber hinaus ist dieses Szenario auch bei schlecht gepflegten Zugriffskontrolllisten möglich. Unsere Lösung: secinfo und reginfo Generator für SAP RFC Gateway Um das Problem zu lösen, haben wir einen Generator entwickelt, der auf Basis von Gateway-Logs automatisiert secinfo und reginfo Dateien erstellen kann. Die grundlegende Idee basiert auf dem Logging-basierten Vorgehen. Er übernimmt die Aufgabe der zeitintensiven Analyse der Log-Dateien und gewährt darüber hinaus durch die Automatisierung eine maximale Zuverlässigkeit. Dennoch sollten die Einträge der generierten Dateien von einer Person überprüft werden. Da es sich bei den als Input genutzten Log-Dateien um sensible Daten handelt, verlassen selbstverständlich keine der eingefügten Daten Ihr System. Weitere Informationen zu dem Generator finden Sie hier.
Gerade nach Sicherheitsvorfällen kann es notwendig sein herauszufinden, welche (technischen) User sich zu welchem Zeitpunkt eingeloggt haben. Einen ersten Einstiegspunkt bietet dafür die Tabelle USR02. In der Spalte TRDAT können Sie für den gewünschten User das letzte Anmeldedatum finden. Eine Historie über die vorherigen Anmeldungen ist in dieser Tabelle jedoch nicht zu finden. In solchen Fällen hilft der Security Auditlog oder kurz SAL. Vorbereitung Damit Sie auf die gewünschten Daten zugreifen können, müssen diese zuvor auch gespeichert worden sein. Im Security Auditlog können Sie über verschiedene Filter bestimmen, für welche User auf welchen Mandanten welche Informationen geloggt werden. Der Security Auditlog speichert, je nach Konfiguration, Anmeldungen, RFC-Aufrufe und weitere Aktionen für bestimmte User. Diese Einstellungen können Sie in der Transaktion SM19 vornehmen. Hinweis: Das Loggen von Useraktivitäten muss den betroffenen Usern bewusst sein! Konfigurieren Sie die SAL daher nur für technische User oder in Absprache mit Usern / Betriebsrat / etc. Es lässt sich dort ua einsehen, wann der SAL aktiviert und zuletzt bearbeitet wurde (1). Sie können hier außerdem die verschiedenen Filter auswählen (2), die Filter einzeln aktivieren (3), Mandanten und Benutzer bestimmen (4) sowie festlegen, welche Aktivitäten geloggt werden (5). Statische Konfiguration in der SM19 Unter der Dynamischen Konfiguration lässt sich außerdem einsehen, ob SAL aktuell für das System aktiv ist. Status des SAL ermitteln Auswertung des SAL Wenn der Security Auditlog aktiv ist, wechseln Sie in die SM20 Auswertung des Security Auditlog. Wählen sie die gewünschten User und den Mandanten aus sowie das passende Zeitfenster. Für die Anmeldungen reicht die Option Dialoganmeldungen aus. Starten Sie anschließend die Analyse über AuditLog neu einlesen. Auswertung starten Sie erhalten eine Übersicht der Anmeldungen des Users an den gewählten Mandanten des Systems.
CPU-Konfiguration
Bei der Migration von Betriebssystemen und Datenbanken begleiten wir Sie aktiv. Die Optimierung zeitkritischer Prozesse garantiert einen reibungslosen Ablauf.
Sie können mehrere Anwendungen in einer SAP-HANA-Instanz auf einem Rechner betreiben und die Anwendungsdaten über Datenbankschemata voneinander trennen (Multiple Components, One Database: MCOD, siehe SAP-Hinweis 1661202). Die Systeme teilen sich neben der Hardware auch Betriebssystem und Datenbank, die Isolierung ist relativ schwach. Diese Option ist nur für spezielle Anwendungskombinationen freigegeben.
Mit "Shortcut for SAP Systems" steht ein Tool zur Verfügung, das einige Aufgaben im Bereich der SAP Basis erheblich erleichtert.
Des Weiteren sollten die GUI-Eigenschaften der SM30 geerbt werden, damit die Parametertransaktion mit der gleichen Software gestartet werden kann.
Zur eindeutigen Beschreibung gehört neben der Definition der zu erbringenden Leistung auch die Nennung von Leistungsausschlüssen und von Voraussetzungen, die vorliegen müssen.