Www.ibs-schreiber.de Forensische Methoden im SAP-System zur Aufdeckung von Fraud-Delikten Fraud im SAP-Umfeld kann u.a. folgende Bedeutungen haben: -Unautorisierte.

Folie 1 www.ibs-schreiber.de Forensische Methoden im SAP-System zur Aufdeckung von Fraud-Delikten Fraud im SAP-Umfeld kann u.a. folgende Bedeutungen haben: -Unautorisierte Datenzugriffe über kritische Programmiertechniken in Eigenentwicklungen (z.B. Backdoors) -Unautorisierte Buchungen (z.B. Falsche Berechtigungen, kein 4-Augen Prinzip) -Unautorisiertes Ändern von Daten (z.B. Ändern von Bankverbindungen) -Unautorisiertes Anzeigen von Daten (Datendiebstahl) Um kritische Programmiertechniken zu vermeiden, müssen entsprechende Sourcecode- Analysen in den Antrags-, Test- und Freigabeprozess implementiert werden. Dies ist nicht Thema dieses Vortrags Für unautorisierte Buchungen können beispielsweise statistische Methoden für gebuchte Belege eingesetzt werden, um „Ausreißer“ oder sonstige Auffälligkeiten zu ermitteln, dies ist nicht Thema dieses Vortrags. Für die anderen Punkte der Fraud-Analyse ist es wichtig, ein möglichst umfassendes Bewegungsprofil einer verdächtigen Person im SAP-System erstellen zu können, dafür können die folgenden Aufzeichnungsverfahren genutzt werden. Folie 2 www.ibs-schreiber.de Forensische Methoden im SAP-System zur Aufdeckung von Fraud-Delikten Klassische Änderungsaufzeichnungen –Tabellenänderungsprotokolle (Customizing) –Änderungsbelege (Stamm-, Bewegungsdaten) –Versionshistorie (Entwicklungsumgebung) Weitere Verfahren in der Basis –Änderungen in der Benutzer- und Berechtigungsverwaltung –Systemprotokollierung (Sys Log) –Das Security Audit Log –Auswertungen über das CCMS –Protokolle für die Systemänderbarkeit –Versionierung der Profildateien –Änderungsaufzeichnungen in der Transaktion SE16N –Änderungen an Betriebssystemkommandos Folie 3 www.ibs-schreiber.de Forensische Methoden im SAP-System zur Aufdeckung von Fraud-Delikten Weitere Verfahren im Modulübergreifend –Anwendungs Log Weitere Verfahren im HCM –Protokollierung von Infotypenänderungen –Protokollierung von Reportstarts Fallbeispiele für Benutzer MR_FRAUD –Hat er sich Berechtigungen zugeordnet/entzogen? –Hat er einen anderen Benutzer „aktiviert“? –Hat er Debugging mit Replace durchgeführt? –Hat er über die TA SE16 sensible Tabellen angezeigt? –Hat er Bank-Kontodaten von Lieferanten geändert? Folie 4 www.ibs-schreiber.de Tabellenänderungsprotokolle Thema: Änderungen im Customizing -Funktion: -Muss aktiviert werden (Parameter rec/client) -Aktivierung pro Tabelle (Tabelle DD09L) -Anzeige: -Überblick über Tabelle DBTABLOG -Detailanzeige über Report RSTBHIST -Löschen -Über den Report RSTBPDEL können Tabellenänderungsprotokolle nicht nachvollziehbar gelöscht werden Folie 5 www.ibs-schreiber.de Tabellenänderungsprotokolle -Tabelle DBTABLOG, Selektion: Folie 6 www.ibs-schreiber.de Tabellenänderungsprotokolle -Tabelle DBTABLOG, Ergebnis: Folie 7 www.ibs-schreiber.de Tabellenänderungsprotokolle -Report RSTBHIST, Selektion: Folie 8 www.ibs-schreiber.de Tabellenänderungsprotokolle -Report RSTBHIST, Ergebnis: Folie 9 www.ibs-schreiber.de Änderungsbelege Thema: Änderungen in Stamm- und Bewegungsdaten -Funktion: -Für den SAP-Standard automatisch -Aktivierung für eigene Tabellen nötig (Tabelle TCDOB) -Anzeige: -Über Tabellen CDHDR und CDPOS oder Report RSSCD100 -Löschen -Über den Report RSCDOK99 können Tabellenänderungsprotokolle nicht nachvollziehbar gelöscht werden Folie 10 www.ibs-schreiber.de Änderungsbelege -Tabelle CDHDR, Selektion: Folie 11 www.ibs-schreiber.de Änderungsbelege -Tabelle CDHDR, Ergebnis: Folie 12 www.ibs-schreiber.de Änderungsbelege -Tabelle CDPOS, Selektion: Folie 13 www.ibs-schreiber.de Änderungsbelege -Tabelle CDPOS, Ergebnis: Folie 14 www.ibs-schreiber.de Versionen Thema: Änderungen in der Entwicklungsumgebung -Funktion: -Automatisch, z.B. bei Transporten -Anzeige: -In der jeweiligen Entwicklertransaktion (z.B. SE38 für Reports) -Übergeordnet mit dem Report RSVCDI00 -Aktuelle Versionen (letzter Änderer in Tabelle SMODILOG) -Löschen -Über die Reports RSVCAD00 (03, 04) können Versionen nicht nachvollziehbar gelöscht werden Folie 15 www.ibs-schreiber.de Versionen -Anzeige in Änderungstransaktion, Versionsvergleich: Folie 16 www.ibs-schreiber.de Versionen -Anzeige in Änderungstransaktion, Ergebnis: Folie 17 www.ibs-schreiber.de Änderungen in der Benutzer- und Berechtigungsverwaltung Thema: Benutzer- und Berechtigungsverwaltung -Funktion: -Änderungen werden über verschiedene Verfahren aufgezeichnet (eigene Tabellen im Benutzerumfeld und Änderungsbelege -Aufzeichnung erfolgt automatisch -Anzeige: -Zentrale Auswertung über das Benutzerinformationssystem (TA SUIM), Kategorie Änderungsbelege Folie 18 www.ibs-schreiber.de Änderungen in der Benutzer- und Berechtigungsverwaltung -Anzeige in Transaktion SUIM: Folie 19 www.ibs-schreiber.de Änderungen in der Benutzer- und Berechtigungsverwaltung -Anzeige in Transaktion SUIM, Änderung Rollen-, Profilzuordnung: Folie 20 www.ibs-schreiber.de Änderungen in der Benutzer- und Berechtigungsverwaltung -Anzeige in Transaktion SUIM, Änderung Rollen-, Profilzuordnung, Ergebnis: Folie 21 www.ibs-schreiber.de Änderungen in der Benutzer- und Berechtigungsverwaltung -Anzeige in Transaktion SUIM, Änderung Benutzereigenschaften: Folie 22 www.ibs-schreiber.de Änderungen in der Benutzer- und Berechtigungsverwaltung -Anzeige in Transaktion SUIM, Änderung Benutzereigenschaften, Ergebnis: Folie 23 www.ibs-schreiber.de System Log Thema: Diverse Systemereignisse -Funktion: -Aufzeichnung automatisch -Konfiguration über Parameter rslg/* -Abspeichern auf Betriebssystemebene in Textdateien -Aufzeichnung einzeln pro Instanz -Anzeige: -Über die Transaktion SM21 -Mögliche Ereignisse für Filterungen in der Tabelle TSL1T -Löschen -Dateien werden im SAP-Standard nach wenigen Tagen automatisch überschrieben -Dateien können auf Betriebssystemebene geändert/gelöscht werden Folie 24 www.ibs-schreiber.de System Log -Anzeige in Transaktion SM21, Selektion: Folie 25 www.ibs-schreiber.de System Log -Anzeige in Transaktion SM21, Ergebnis: Folie 26 www.ibs-schreiber.de Audit Log Thema: Bewegungsprofil ausgewählter Benutzer -Funktion: -Muss vom Kunden aktiviert und konfiguriert werden -Konfiguration über Parameter rsau/* -Abspeichern auf Betriebssystemebene in Textdateien -Aufzeichnung einzeln pro Instanz -Anzeige: -Anzeige der Konfiguration über die Transaktion SM19 -Anzeige der Protokolle über Transaktion SM20 -Löschen -Über die Transaktion SM18 können Audit Log Protokolle nicht nachvollziehbar gelöscht werden -Dateien können auf Betriebssystemebene geändert/gelöscht werden Folie 27 www.ibs-schreiber.de Audit Log -Anzeige in Transaktion SM20, Selektion: Folie 28 www.ibs-schreiber.de Audit Log -Anzeige in Transaktion SM20, Ergebnis: Folie 29 www.ibs-schreiber.de Auswertungen über das CCMS Thema: Statistische Aufzeichnungen aller Benutzer -Funktion: -Automatische Aufzeichnung für alle Benutzer: Transaktionsstarts, Reportstarts, RFC-Aufrufe -Konfiguration über Parameter stat/* -Im SAP Standard: Speicherung der Daten für 2 Monate -Abspeichern auf Betriebssystemebene in Textdateien -Anzeige: -Anzeige über Transaktion STAD, ST03N -Übergeordnete Auswertung über Funktionsbaustein swnc_collector_get_aggregates -Löschen -Dateien können auf Betriebssystemebene geändert/gelöscht werden Folie 30 www.ibs-schreiber.de Auswertungen über das CCMS -Anzeige in Transaktion ST03N: Folie 31 www.ibs-schreiber.de Protokolle Systemänderbarkeit Thema: Systemöffnung für System-Customizing und Entwicklungsumgebung -Funktion: -System muss vom Kunden geschlossen werden (Report RSWBO004) -Schutz gegen Änderungen von Systemtabellen und Entwicklungsumgebung -Automatische Protokollierung -Anzeige: -Anzeige innerhalb des Reports RSWBO004 Folie 32 www.ibs-schreiber.de Protokolle Systemänderbarkeit -Anzeige in Report RSWBO004, Aufruf Historie: Folie 33 www.ibs-schreiber.de Protokolle Systemänderbarkeit -Anzeige in Report RSWBO004, Ergebnis: Folie 34 www.ibs-schreiber.de Versionierung der Profildateien Thema: Systemkonfiguration über Systemparameter -Funktion: -Systemverhalten wird stark von der Einstellung sicherheitsrelevanter Systemparameter beeinflusst -Für die meisten Parameteränderungen muss das System neu gestartet werden, einige sind auch dynamisch änderbar -Automatische Protokollierung -Ablage auf Betriebssystemebene in Textdateien -Anzeige: -Versionierung innerhalb der Pflegetransaktion RZ10 Folie 35 www.ibs-schreiber.de Versionierung der Profildateien -Anzeige in Transaktion RZ10, Selektion: Folie 36 www.ibs-schreiber.de Versionierung der Profildateien -Anzeige in Transaktion RZ10, Ergebnis (2x SPRINGEN – AUSFÜHRLICHERE LISTE): Folie 37 www.ibs-schreiber.de Änderungsaufzeichnungen in der Transaktion SE16N Thema: Änderungsaufzeichnung speziell für TA SE16N -Funktion: -Alle Tabellen können mit dieser Transaktion im Debugging-Modus geändert werden (auch bei geschlossenem System) -Automatisch Protokollierung auch bei ausgeschalteter Tabellenänderungsprotokollierung -Anzeige: -Änderungen stehen in Tabelle SE16N_CD_KEY (Headerdaten), SE16N_CD_DATA (Positionsdaten) Folie 38 www.ibs-schreiber.de Änderungsaufzeichnungen in der Transaktion SE16N -Anzeige in Tabelle SE16N_CD_KEY, Selektion: Folie 39 www.ibs-schreiber.de Änderungsaufzeichnungen in der Transaktion SE16N -Anzeige in Tabelle SE16N_CD_KEY, Ergebnis: Folie 40 www.ibs-schreiber.de Änderungsaufzeichnungen in der Transaktion SE16N -Anzeige in Tabelle SE16N_CD_DATA, Selektion: Folie 41 www.ibs-schreiber.de Änderungsaufzeichnungen in der Transaktion SE16N -Anzeige in Tabelle SE16N_CD_DATA, Ergebnis: Folie 42 www.ibs-schreiber.de Änderungen an Betriebssystemkommandos Thema: Anonyme Datenzugriffe auf die Betriebssystemebene -Funktion: -Über Logische Betriebssystemkommandos können über den SAP- Betriebssystembenutzer Dateien ausgelesen/gepflegt werden -Kommandos werden im System vordefiniert -Über Report RSBDCOS0 können Kommandos ohne vorherige Definition abgesetzt werden -Anzeige: -Änderungen vordefinierter Kommandos in Tabelle SXPGHISTOR -Aufruf des Rep. RSBDCOS0 über Sys Log Folie 43 www.ibs-schreiber.de Änderungen an Betriebssystemkommandos -Anzeige in Tabelle SXPGHISTOR: Folie 44 www.ibs-schreiber.de Weitere Verfahren modulübergreifend Thema: Anwendungslog für wichtige Aktivitäten in den Modul -Funktion: -Das Anwendungslog wird automatisch gefüllt -Verschiedene, von den Entwicklern festgelegte Meldungen werden geschrieben, z.B. Zahlllauf in FI oder Extraktorchecker im BI-Umfeld -Anzeige: -Anzeige über TA SLG1 oder Tabelle SMMAIN Folie 45 www.ibs-schreiber.de Weitere Verfahren modulübergreifend -Anzeige in Tabelle SMMAIN, Selektion: Folie 46 www.ibs-schreiber.de Weitere Verfahren modulübergreifend -Anzeige in Tabelle SMMAIN, Ergebnis: Folie 47 www.ibs-schreiber.de Weitere Verfahren im HCM Thema: Protokollierung von Infotypenänderungen -Funktion: -Änderungen an Infotypen werden nur aufgezeichnet, wenn dies explizit im Customizing über die Tabellen T585A und T585B aktiviert wurde -Anzeige: -Anzeige der Änderungsprotokolle über den Report RPUAUD00 -Löschen: -Über den Report RPUAUDDL können die Protokolle zur Infotypen-Änderung gelöscht werden Folie 48 www.ibs-schreiber.de Weitere Verfahren im HCM -Anzeige in Report RPUAUD00, Selektion: Folie 49 www.ibs-schreiber.de Weitere Verfahren im HCM -Anzeige in Report RPUAUD00, Ergebnis: Folie 50 www.ibs-schreiber.de Weitere Verfahren im HCM -Anzeige in Report RPUAUD00, Ergebnis Details (Doppelklick): Folie 51 www.ibs-schreiber.de Weitere Verfahren im HCM Thema: Protokollierung von Reportstarts -Funktion: -Protokolle von Reportstarts werden nur aufgezeichnet, wenn dies explizit im Customizing über die Tabelle T599R aktiviert wurde -Anzeige: -Anzeige der Protokolle über den Report RPUPROTD -Löschen: -Über den Report RPUPROTU können die Protokolle gelöscht werden Folie 52 www.ibs-schreiber.de Weitere Verfahren im HCM -Anzeige in Report RPUPROTD, Selektion: Folie 53 www.ibs-schreiber.de Weitere Verfahren im HCM -Anzeige in Report RPUPROTD, Ergebnis: Folie 54 www.ibs-schreiber.de Weitere Verfahren im HCM -Anzeige in Report RPUPROTD, Ergebnis Details (Doppelklick): Folie 55 www.ibs-schreiber.de Fallbeispiele für MR_FRAUD Frage: Hat er sich Berechtigungen zugeordnet/entzogen? Frage: Hat er einen anderen Benutzer „aktiviert“? Frage: Hat er Debugging mit Replace durchgeführt? Frage: Hat er über die TA SE16 sensible Tabellen angezeigt? Frage: Hat er Daten in eine Datei heruntergeladen? Frage: Hat er Bank-Kontodaten von Lieferanten geändert ? Folie 56 www.ibs-schreiber.de Fallbeispiele für MR_FRAUD Frage: Hat er sich Berechtigungen zugeordnet/entzogen? -Funktion: TA SUIM – Änderungsbelege Frage: Hat er einen anderen Benutzer „aktiviert“? -Funktion: TA SUIM – Änderungsbelege Frage: Hat er Debugging mit Replace durchgeführt? -Funktion: TA SM21 – Meldungskennung A19 Frage: Hat er über die TA SE16 sensible Tabellen angezeigt? -Funktion: TA STAD Frage: Hat er Daten in eine Datei heruntergeladen? -Funktion: TA SM20 Frage: Hat er Bank-Kontodaten von Lieferanten geändert ? -Funktion: Report RSSCD100 – Objektklasse KRED Folie 57 www.ibs-schreiber.de Vielen Dank, …jetzt nur noch kurz die Workshop-Vorstellung, und dann Hamburg entdecken…