Hana erfordert Umdenken bei der Sicherheit

Hana wurde zunächst als relationale Datenbank für SAP-Systeme entwickelt. Basis bildet dabei die In-memory-Technologie. Hauptvorteil ist dabei der enorme Performance-Schub gegenüber herkömmlichen Datenbanksystemen.

Mit der Einführung von Hana ging SAP auch hinsichtlich Entwicklungsumgebung und Benutzeroberfläche neue Wege: Java und HTML5 bzw. Fiori und SAPUI5 stehen im Vordergrund.

Dadurch ergeben sich auch neue Anwendungsmöglichkeiten für Hana im Business-Einsatz. Hana wird deshalb immer mehr als Entwicklungsplattform angesehen, auf der beliebige Java- und HTML5-Anwendungen in Runtime-Umgebungen ausgeführt werden können.

Das erweiterte Anwendungsspektrum wirkt sich auch auf das Sicherheitsmodell und die Sicherheitsarchitektur aus. Der Fokus liegt nun auf fünf primären Sicherheitsebenen, die sich aus der Java-Entwicklungsumgebung sowie der Datenbanktechnologie ergeben:

Netzwerksicherheit, Authentifizierung und SSO (Single Sign-on), Autorisierung, Verschlüsselung (Transport und Daten)  sowie Audit und Logging.

Der Fokus im Bereich der Netzwerksicherheit liegt auf klassischen Maßnahmen, also auf der Systemarchitektur mit mehreren Sicherheitszonen und der limitierten Bereitstellung erforderlicher Services.

Die Netzwerkkommunikation muss auf die notwendigsten Ports reduziert werden, gerade auch im Hinblick auf Daten- und administrative Zugriffsmöglichkeiten: etwa über das SQLDBC-Protokoll, Hana Studio oder den SolMan.

Hinsichtlich Authentifizierung unterstützt Hana eine Vielzahl von sicheren Methoden, etwa Benutzername und Passwort, Kerberos, SAML (Security Assertion Markup Language) 2.0, SAP-­Logon-Tickets oder X.509.

Wichtig ist die korrekte Implementierung und Integration in die bestehende Authentifizierungsumgebung, das heißt etwa die Anbindung an Microsoft AD (Active Directory) und LDAP-(Lightweight Directory Access Protocol-)Verzeichnisdienste, die Einbindung in PKI-(Public-Key-Infrastruktur-)Umgebungen oder die Verknüpfung mit Token-basierten Authentifizierungsverfahren wie SAML oder Active-Directory-Verbunddiensten (Active Directory Federation Services, AD FS).

Im Bereich Autorisierung gibt es die gravierendsten Änderungen bei Hana. Vereinfacht ausgedrückt müssen die SAP-Admins nun die „DBA-Sprache“ beherrschen.

Waren das Rollen- und Berechtigungsmanagement in der Vergangenheit stets mit SAP-ERP-Anwendungen verknüpft, so werden sie nun auf den Datenbanklayer ausgelagert. Damit übernimmt quasi jede Anwendung innerhalb der Hana-Runtime das Berechtigungsmodell aus dem Datenbankumfeld.

Dieses unterscheidet sich aber deutlich von bisherigen Berechtigungsmodellen, zum Beispiel im ERP-System. Ein SAP-Admin muss nun verstehen, wie Datenbanken funktionieren und sich die bisherigen Rollen und Rechte übertragen lassen. Durch das neue Autorisierungsmodell von Hana ist eine äußerst detaillierte und exakte Zugriffskontrolle möglich.

Dabei werden Rollen genutzt, in denen Rechte zusammengefasst und strukturiert werden. Die Rechte basieren auf Standard-SQL-Berechtigungen für Objekte und Hana-Spezifikationen für Business-Applikationen.

Hinsichtlich Verschlüsselung sind die beiden Ebenen Transport und Daten zu berücksichtigen. Transportverschlüsselung bedeutet zunächst SSL-Verschlüsselung, allerdings sollten auch Alternativen wie VPN-Techniken geprüft werden.

Die Datenverschlüsselung funktioniert nur bei der Ablage von Daten in Sto­rage-Volumes. Die Verschlüsselung der Daten im Hauptspeicher ist hier der Knackpunkt, vor allem dann, wenn mehrere Instanzen auf dem gleichen System ausgeführt werden sollen.

Die entscheidende – aber oft unbeantwortete – Frage lautet in solchen Fällen: „Wer stellt dann die Integrität der Daten sicher und verhindert ein ‚Überspringen‘ der Daten von einer Instanz auf die nächste?“

Hana bietet zudem umfangreiche Audit- und Logging-Möglichkeiten. Der freie Speicherplatz ist dabei allerdings der limitierende Faktor. Durch die Flut an (SQL-)Anfragen auf dem System besteht schnell die Gefahr, dass der Speicher an seine Kapazitätsgrenzen stößt.

Hier helfen aktuell nur externe Tools, gerade bei der Erfüllung von Compliance-Anforderungen geht. Hana bringt somit von Haus aus mehrere Sicherheitsfunktionen mit sich. Ihre Anwendung erfordert aber auf Seite der SAP-Administratoren ein Umdenken.

Die größte Herausforderung betrifft dabei das Rollen- und Berechtigungsmanagement, da es sich im Vergleich zu bisherigen SAP-ERP-Umgebungen, bei denen Anwendungs- und Datenbankebene klar voneinander getrennt waren, komplett gewandelt hat.

Zu diesem Thema erhält NTT Security zurzeit auch die meisten Kundenanfragen. Die Verschlüsselung steht hingegen aktuell auf Anwenderseite noch nicht im Fokus.

Aber auch hier wird bald eine Änderung eintreten, da aufgrund von Compliance-Vorgaben noch ein hoher Handlungsbedarf besteht. Schließlich darf nicht vergessen werden, dass Angreifer bei einem erfolgreichen Zugriff auf Hana ohne großen Aufwand unternehmenskritische Daten stehlen, ändern oder löschen können.