Kuidas otsida SAP vea koode ja teateid?

Ettevõtted, kes on rakendanud SAP tooted on kulutatud palju ressursse kliendi täpsustamist lahendusi. Kuid kas need arengud võimaldavad täiendavaid riske oma äriprotsesse? SAP tagab kvaliteedi kood oma taotlused läbi kasutusjuhend auditeid tarnitud kood ja kasutamise moodsaim mehhanismid statistilise ja dünaamiline analüüs oma tooteid erinevate kohti.

Uuring viidi läbi ülikooli Saarbrücken (Saksamaa), mille eesmärk oli analüüsida SAP toote koodi (e-kaubanduse lahendused) moodsaim statistilise analüüsi tööriistu. Järeldused olid järgmised - kvaliteet kood on üsna kõrge.

SAP tarkvara koodi veovahendite käsitsi ja automatiseeritud analüüsi tuhandeid eriline test juhtudel. Kliendi kood sageli ei saa täielikult analüüsitud, eriti nägu tihe projekti tähtajad. Tasub arvestades kvaliteeti kliendi kood oma süsteeme.

SAP süsteem lihtsustab äri tegemist süsteemi tasandil, samuti tegevuste analüüsi ja analüütika läbiviimist. Kuid kui ettevõtte programmi koodis on SAP vigu, tuleb neid kohe ja vastavalt ettevõttele korrektseks toimimiseks parandada.

On oluline mõista, et kontrollimine kasutaja luba (sünonüüm SAP turvalisuse paljudele ettevõtetele) ei aita hoida ära sellist vigu, sest kasutaja kasutades vigu kood on väljaspool määratud asutus süsteemiadministraator .

Vaatleme vead, mis võivad esineda kliendi koodi.

koodi süsti

Reserveeritud koodi süsti on üks kõige levinum ja kõige ohtlikum turvaaukude vastavalt OWASP klassifikatsioon. Enamik tuntud turvaaukude, sealhulgas OpenSSL Heartbleed ja Ebay hack, on seotud kogemata jäänud süstides kasutaja sisestatud programmi.

Oht selliste vigade seisneb praktiliselt ettearvamatud tulemused täideviimise haavatavad programmid. Tulemus süsti SQL kood võib olla nii lekke paroole ja täielik eemaldamine kõigile süsteemi andmeid.

Täiendav probleem selline turvaaukude on raske leida neid automatiseeritud tööriistad. Otsi põhinevad eeskirjad ja mustrid ei anna positiivset tulemust tõttu suur hulk ekslikult formuleeritud eeldused.

Ainus tõeliselt tõhus viis leida vigu võib olla staatiline analüüs andmevoo sisenevad programmi. Staatiline analüüs andmevoo võimaldab teil jälgida, milliseid andmeid läheb potentsiaalselt ohtlike kohtade eeldus olemasolu või puudumise koodi süsti haavatavust.

kataloogi läbipääsusüsteemid

Teine ohtlik programmeerimine viga kogemata jättes sisend tüssamine, mis võimaldab kataloogi läbipääsusüsteemid.

Ründaja, kes kasutab seda haavatavust kasumid võime lugeda või kirjutada andmeid väljaspool etteantud kataloogi. Seega kriitiline seadeid saab lugeda või konfiguratsiooni failid kirjutatakse, mida saab välja lülitada süsteemi üsna pika aja jooksul.

On üsna spetsiifiline võimalusi kasutades selle vea. Näiteks kõne OPEN DATASET dset FILTER iv_filter avaldus, mis avab faili lugemisel, Unix süsteemi tarvikud failist lugeda eelnevalt määratud protsess, mis võib täita ootamatu meetmeid operatsioonisüsteemi tasandil.

Seega vale OS konfiguratsiooni ja haavatavad kood, mis ei ole vigu eraldi võib põhjustada tõsised tagajärjed, kui koostööd.

luba vigu

Kas teie programmeerijad juhinduda autoriteedi mõistet arendamisel nende rakendused? Selle kontseptsiooni kohaselt, juurdepääs mis tahes funktsiooni blokeerida programmi tuleks keelata, kuni ei ole sätestatud teisiti.

Kahjuks paljudes projektides, juurdepääsu kontroll toimub tehingu tasandil, mis võimaldab ühendada eri olemasolevate lubade et juurdepääs keelatud informatsiooni. Näiteks kasutades nõudetehing avaldus (mida kasutatakse laialdaselt arendajad) projektidega, tehingukulude juurdepääsu kontrolli on ohtlik. Ilma Volituskaardiga-CHECK, HELISTA tehingudeklaratsioon lubab sul hargneda muul tehingu.

Samuti on võimalik, et on olemas luba kontroll, kuid seda tehti valesti. Sellistel juhtudel on vaja ka leida ja parandada.

Tagaosad

Enne seda vaatasime mõningaid haavatavuste juhtumeid, kui programmeerijad tegid tahtmatuid vigu, mille tulemusena koodi haavatavaks. Siiski on ka juhtumeid, kui programmeerija muudab teatavate kasutajate programmi täitmise voolu teadlikult (dokumentideta omadused) või ei jäta nn backdoor üldse, mis võimaldab teil ümber jääda kõik süsteemi poolt määratud kontrollid.

Arendaja saab luua tagauks ilma pahatahtlike otstarbeta, näiteks saamine SAP _All asutus töötada rohkem tõhusamalt rakendamise projekti. Ilmselgelt ei kahjusta see riske, et tagajärgede olemasolu tutvustab.

Veebis on palju näiteid veebis, mida saab hõlpsasti kopeerida ja tootmissüsteemile üle kanda. See on väga raske püüda olemasolu dokumentideta omaduste ja tagateoste, esiteks, sest suur hulk kliendi koodi ja teiseks, sest iseärasused SAP programmeerimiskeele. ABAP võimaldab teil käivitada koodi lennata ja salvestatakse DBMS-is, st see võib olla peidetud väga sügav.

Kuidas leida SAP vead?

Koodide haavatavuste leidmiseks on mitmeid erinevaid viise, mille kõige arenenum on staatiline andmevoolu analüüs.

SAP NetWeaver AS-il on moodul, mis analüüsib turvaaukude olemasolu või puudumise andmevoo (koodi haavatavuse analüüs). Seal on sertifitseeritud partneri lahendused, mis võimaldavad teil skaneerida rakenduste kood haavatavuste jaoks.

SAP Koodi haavatavuse analüüs (CVA) põhineb koodi inspektori tööriistal, mis on suutnud vaadata paljude aastate jooksul potentsiaalselt ohtlike konstruktide kliendi koodi, kuid erinevalt koodinspektor kasutab ta oma töös andmevoogude analüüsi. See on kõige otstarbekas kasutada CVA-d projekti esimesest etapist - sada arengutappi (enne arengu üleandmist mööda maastikku), kuna paranduste tegemine hiljem (näiteks tootliku käitamise ajal) on keerulisem ja kulukam.

CVA kasutuselevõtt eeldab mitte ainult tuvastamist ja vigade leidmist, vaid muutes ka ettevõtte arendusstandardite lähenemisviisi.

Uue arengu tootmissüsteemi kasutuselevõtt peab olema volitatud ekspert, kes juhib oma tööd kõige kaasaegsemate arengu analüüsi vahendite poolt.

Üks vigu leidmise viisid on selline vahend. Mitte igaüks ei tea, et SAP sisaldab üle ühe miljoni veateate. Seda lihtsat ja kõige olulisemaid tasuta vahendit saate kasutada veakoodi ja SAP sõnumi kiiresti leida.

A SAP veakood nagu AA729 või märksõna nagu vara tuleb sisestada spetsiaalne aken leida kõik seotud SAP veateated.

Korduma Kippuvad Küsimused

Mida tähendab kataloogi läbikäimine?

See on programmeerimisviga SAP, mis jätab tahtmatult sisendi, mis võimaldaks kataloogi läbikäimist. See saab lugeda kriitilisi süsteemi sätteid või kirjutada konfiguratsioonifaile, mis võib süsteemi üsna pika aja jooksul alla viia.

Millised on tõhusad meetodid SAP veakoodide ja sõnumite tõrkeotsinguks?

Tõrkeotsing SAP Veakoodid ja sõnumid hõlmavad tõhusalt SAP tugiportaalide kasutamist, konsulteerimist SAP dokumentatsiooni ja SAP kasutajakogukondadega tegelemist teadmiste ja lahenduste jaoks.