In meinem heutigen Blog Post analysieren wir natürlich keine Briefmarken, sondern die Risiken weitreichender Administrationsrechte auf SAP Systeme. Sie erfahren diesmal, welche Risiken bestehen, wie man die Risiken analysieren kann und welche Maßnahmen ergriffen werden können.
Teil II der Serie: „Aktivitäten von SAP Superusern“
1. SAP Systeme offen wie Scheunentore
2. Analyse des Risikos von Nutzern mit SAP Administrationsrechten
3. Do it yourself: So gehen Sie Nutzern mit SAP Administrationsrechten auf den Grund
4. Advanced Analytics: was Sie über Nutzer mit SAP Administrationsrechten noch wissen wollten – aber nie getraut haben zu fragen
Wie erkennt man, dass Superuser in SAP buchen?
Umfassende SAP Administrationsrechte werden in aller Regel dadurch verliehen, dass einem Nutzer bestimmte weitreichende SAP Profile zugewiesen werden. Wenn man untersucht, ob Nutzer mit solchen Profilen gebucht haben, dann erhält man die gesuchten Buchungen. Insbesondere die SAP Profile SAP_ALL und SAP_NEW gelten als besonders weitreichend. Ein Maßstab zur Einschätzung des damit verbundenen Risikos ist die Anzahl der Buchungsbelege, die durch einen Nutzer mit SAP_ALL oder SAP_NEW gebucht wurden. Dabei ist zu beachten, dass es noch weitere kritische SAP Berechtigungsprofile geben kann.
Wie erhält man Daten für eine Superuser Analyse?
Wenn Sie in Ihrem SAP System die Buchungen von Superusern analysieren wollen, benötigen Sie die dafür notwendigen Datenstrukturen und Daten aus ihrem SAP System. Sie können einen Datendownload aus Ihrem SAP System mit zap Audit durchführen. Die Analyse von Superusern ist Bestandteil der Auswertungen in zap Audit.
Wie wertet man die Superuser in SAP konkret aus?
Ich zeige Ihnen technisch ganz konkret wie es geht! Dazu ist nichts anderes notwendig, als Standard SQL. In unserem Whitepaper erkläre ich Ihnen, wie Sie in drei Schritten eine aussagekräftige Auswertung zum Thema Buchungen von Superusern in SAP bewerkstelligen. Zum Download der Schritt-für-Schritt Anleitung zur Superuser Analyse gelangen Sie hier:
