Entwicklerschulung – Develop Secure ABAP

Wie in jeder Software stellen einzelne, unsicher programmierte Anwendungen ein Sicherheitsrisiko für das Gesamtsystem dar. In unserer Schulung Develop Secure ABAP  liefern wir Ihnen das Handwerkszeug zur sicheren ABAP-Entwicklung und sensibilisieren Ihre ABAP-Entwickler für das Thema Softwaresicherheit

Schwerpunkte der Schulung

Unsichere Codes als Sicherheitsrisiko

Cyberangriffe auf Application Layer – Angriffe, die auf die Ausnutzung von Schwachstellen im Code ausgelegt sind – nehmen zu. Die häufigste Ursache für unsicheren Code ist mangelndes Know-how der Entwickler. Deadlines müssen eingehalten und Anforderungslisten abgearbeitet werden. Häufig bleibt da keine Zeit, um über die Absicherung der Software nachzudenken. Das Ergebnis ist in Abbildung 1 dargestellt. Unsichere Software wird deployed und stellt fortwährend ein Sicherheitsrisiko für das gesamte SAP-System dar. Im besten Fall wird die Schwachstelle durch Penetration Tests aufgedeckt, bevor sie von Dritten ausgenutzt werden kann. Selbst in diesem Idealfall fallen unverhältnismäßig hohe Kosten für die Behebung der Schwachstelle an.

Abbildung 1 (Quelle: SAP Code Vulnerability Analyzer, Barker & Becker, 2020)

Auch die SAP hat dieses Problem erkannt und stellt mit dem SAP Code Vulnerability Analyzer (CVA) ein Tool zur Verfügung, um ABAP-Code auf Schwachstellen zu untersuchen. Egal, ob sie CVA oder ein anderes Tool im Einsatz haben und gezielt Hilfestellung für die Behebung hoch priorisierter ABAP Checks benötigen oder die Skills Ihres Entwicklerteams auf das nächste Level heben wollen. Unsere Entwicklerschulung sensibilisiert Ihre Entwickler für das Thema Sicherheit und liefert ihnen das Handwerkszeug, um zukünftig sicheren Code zu schreiben.

Inhalte der Entwicklerschulung – Develop Secure ABAP

Die inhaltlichen Schwerpunkte passen wir auf Ihre individuelle Situation an. Dafür können Sie aus der folgenden Liste alle für Sie relevanten Themen auswählen:

• Einführung in das Berechtigungskonzept von SAP
• Vermittlung von Best Practices im Entwicklungsumfeld von ABAP
• Eigenständige Absicherung des ABAP-Codes über Authority Checks
• Vermeidung von Schwachstellen durch Sensibilisierung
  • Im Umgang mit dynamischen Programmiertechniken
  • Für bekannte Angriffe wie beispielsweise SQL- oder Command-Injections etc.
• Gemeinsamer Entwurf von individuellen Entwicklungsrichtlinien
• Einführung eines Code Analyse Tools (z.B. CVA)
• Unterstützung bei der Behebung von aufgedeckten Schwachstellen durch ein Code Analyse Tool

Basierend auf Ihrer Auswahl besprechen wir gemeinsam mit Ihnen die inhaltlichen Schwerpunkte der Schulung. Zusätzlich können Sie uns im Vorfeld Ihre Fragen zukommen lassen, damit wir uns speziell auf Ihre Situation vorbereiten können.

Ergebnisse der Entwicklerschulung

Ziel des Seminars ist es, die Qualität der von Ihren Entwicklern programmierten Anwendungen, zu verbessern und so die Sicherheit Ihres SAP-Systems insgesamt zu steigern. Diese Ergebnisse sind je nach Umfang der Schulung möglich:

• Langfristig sichere Entwicklung von SAP-Anwendungen durch eigene Entwickler
• Aufdeckung der bestehenden Code-Schwachstellen mittels eines Code Analyse Tools
• Individuelle Entwicklungsrichtlinien
• Optional: Webinar ca. 4 Wochen nach der Schulung für individuelle Themen/Fragen zur Sicherung der Ergebnisse

Sie brauchen unsere Unterstützung? Melden Sie sich gerne bei uns!

Voraussetzung

• Sicherer Umgang mit ABAP Objekts (ABAP OO)
• Optional: Kenntnisse der ABAP Development Tools (ADT) für die Eclipse IDE

Schulungsthemen und Agenda im Überblick

• Berechtigungsebenen in SAP
• OWASP Top 10: Die 10 häufigsten Sicherheitslücken in Web-Anwendungen
• Einleitung in Berechtigungen in SAP
  • Abgrenzung zu SAP Security
  • Berechtigungsobjekte
• Berechtigungsprüfungen
  • Berechtigungen für und in Reports
  • Zugriffskontrollen für CDS-Views
• 10 goldene Regeln und Best Practices für sichere Entwicklungen
• Automatisierte Security-Checks
  • Der SAP Code Vulnerability Analyzer (CVA)
  • SecurityBridge: Merkmale, Module und Funktionalitäten
  • Überblick zu weiteren Tools für ABAB Security Checks
• Prüfen von Legacy Code über das ABAP Test Cockpit (ATC)
• Sicherheitslücken schließen
  • Code Injections verhindern
  • RFC-Bausteine absichern
  • Weitere Potenzielle Sicherheitslücken