Schaden durch WannaCry, Petya, & Co. abwenden

SAP HotNews, SAP TopNotes, SAP Security Notes und SAP Legal ­Change Notes helfen den Zehntausenden SAP Kunden, proaktiv Probleme und Risiken zu vermeiden bzw. diese so schnell wie möglich zu lösen.

Auch bei mobilen Apps werden Anwender in der Regel automatisch über neue Versionen von Anwendungen informiert, die nicht nur die Funktionalität erweitern, sondern bekannte Probleme lösen und Sicherheitslücken schließen. Leider ist dies bei den meisten Open-Source-Komponenten nicht der Fall!

Bedrohungen außerhalb des Radars

Hier berichtet und warnt die Fach- und Tagespresse meist erst dann über aktuelle Bedrohungen, wenn schon Hunderttausende Systeme betroffen sind und/oder ein großer Schaden entstanden ist.

Software-Entwicklern müssen sich mühsam und zeitaufwändig selbst über aktuelle und neue Versionen informieren und aktiv werden. Noch viel schwieriger wird dies, wenn Open-Source-Komponenten selbst wieder in anderen Komponenten verbaut sind, was oftmals der Fall ist.

Daher sind im Gegensatz zu den „prominent“ dargestellten Fällen WannaCry und Petya die meisten wirklich kritischen Bedrohungen gar nicht auf dem Radar der meisten IT-Verantwortlichen.

Aktuelle Beispiele

„Spring“ ist eines der meistgenutzten Java-Frameworks. Nur wenige Firmen in der SAP-Community dürften Java ohne Spring verwenden, und über 10.000 Open-Source-Software-Pakete basieren darauf. Die Version 4.3.4 wurde erst vor acht Monaten veröffentlicht, ist aber verwundbar und damit ein großes Einfallstor für potenzielle Angreifer.

Auch „Struts2“ ist stark verbreitet, so beispielsweise mit SAP CrystalReports, dem SAP JCO, jQuery, und ist stark gefährdet.

Wohl kaum eine Java-Anwendung nutzt nicht „Apache Common Beanutils“, so zum Beispiel auch im SAP-Hana-Cloud-Umfeld. Hier ist quasi jede Version vor 1.9.2 verwundbar und damit für Anwender riskant.

Die gute Nachricht: Es gibt eine automatische und kostenlose Überwachungslösung. VersionEye vom gleichnamigen Mannheimer Start-up bietet quasi eine Art „OpenSourceNotes“ als Ergänzung zu den bestens bewährten „SAP­notes“ und ist selbst zu 100 Prozent Open Source (unter MIT Lizenz).

Überwacht werden heute schon über 1,4 Millionen Open-Source-Projekte, die in 16 verschiedenen Programmiersprachen entwickelt wurden, so z. B. Java, Java-Script, PHP und „R“ (die wichtige Sprache für Hana).

Mehr als 45.000 registrierte Benutzer und 500.000 monatliche Besucher (weltweit) nutzen diesen Service bereits, um Risiken durch Open-Source-Software aktiv zu minimieren.

VersionEye informiert 24 x 7 automatisch und aktiv über neue Versionen von Open-Source-Komponenten („Version Notes“), mögliche Lizenzprobleme („License Notes“) und Sicherheitsrisiken („Security Notes“).

Und das nicht nach dem „Schrotschussprinzip“, sondern gezielt nur für die wirklich betroffenen und auch beim Anwender eingesetzten Open-Source-Komponenten.

Made in Germany und kostenlos

Im Gegensatz zu ähnlichen, teuren und proprietären US-amerikanischen Services wird auch kein Kunden-Code auf Server in die USA übertragen. Da Ver­sionEye selbst zu 100 Prozent Open-­Source-Software ist, ist die Lösung völlig transparent und kann gegebenenfalls analysiert und auch angepasst werden.

Für die Implementierung von Best Practices beim Einsatz von Open ­Source im SAP-Ecosystem, die nahtlose Inte­gration in Enterprise-Umgebungen und Service Level Agreements werden Enterprise-Services angeboten. Enterprise-­Kunden sind unter anderem Blinkist, Seeburger und Xing.