Integrieren mit SAP NetWeaver

Wie es funktioniert

1. SAP-Kundenumgebungen werden durch die SAP-Virensuche-Schnittstelle (VSI), die Sicherheitskomponente der SAP NetWeaver-Plattform, gesichert. Die VSI wird verwendet, um alle Formen von Kundeninhalten zu sichern, einschließlich Dokumenten, eingebetteten Bildern und aktiven Inhalten wie JavaScript und Skripten in PDF- und Office-Dokumenten. Die Scanner-Funktion arbeitet nahtlos mit der SAP NetWeaver-Technologie und der SAP HANA®-Plattform zusammen.
2. Die Server- und Workload Protection-Scanner-Funktion durchsucht die auf die SAP NetWeaver-Technologieplattform hochgeladenen Inhalte, um deren tatsächlichen Typ zu bestimmen, und meldet dies über die NetWeaver VSI-Schnittstelle an SAP-Systeme. Die Inhaltsdurchsuchung schützt vor möglichen bösartigen Skriptinhalten, die in Dokumenten eingebettet oder getarnt sein könnten.
3. SAP-Administratoren können dann Richtlinien festlegen, nach denen bestimmte Dokumenttypen erlaubt sein sollen.

Server- und Workload Protection und SAP-Komponenten

• Server- und Workload Protection: Die zentrale webbasierte Management-Konsole, die Administratoren verwenden, um Sicherheitsrichtlinien zu konfigurieren und Schutz auf den Agenten bereitzustellen.
• Agent: Ein Security Agent, der direkt auf einem Computer eingesetzt wird. Die Art dieses Schutzes hängt von den Regeln und Sicherheitseinstellungen ab, die jeder Agent von Server- und Workload Protection erhält.
• SAP NetWeaver: SAP integrierte Technologie-Computing-Plattform. Die SAP NetWeaver Virensuche-Schnittstelle (NW-VSI) bietet Virensuchfunktionen für Drittanbieterprodukte, die die eigentliche Suche durchführen. Die NW-VSI-Schnittstelle muss aktiviert werden.
• SAP NetWeaver ABAP WinGUI: Eine Windows-Verwaltungskonsole, die für SAP NetWeaver verwendet wird. In diesem Dokument wird sie für die Konfiguration des Agenten und der SAP NetWeaver Virensuche-Schnittstelle verwendet.

Richten Sie die Integration zwischen Server- und Workload Protection Scanner und SAP NetWeaver ein

1. Überprüfen Sie die Seite Unterstützte Funktionen nach Plattform, um zu sehen, welche Betriebssysteme die Scanner-Funktion unterstützen.
2. Installieren Sie den Agenten auf einem SAP-Anwendungsserver, der eines der unterstützten Betriebssysteme ausführt. Siehe Installieren Sie den Agenten‌.
3. Fügen Sie den SAP-Server zu Server- und Workload Protection hinzu und aktivieren Sie den Agenten auf dem SAP-Server. Siehe Fügen Sie den SAP-Server zu Server- und Workload Protection hinzu und aktivieren Sie den Agenten.
4. Öffnen Sie den Computer- oder Richtlinien-Editor und gehen Sie zu Einstellungen → Scanner.
5. Aktivieren Sie die SAP-Integration. Siehe Sicherheitsprofil zuweisen‌.
6. Konfigurieren Sie die SAP-Virensuche-Schnittstelle (VSI), indem Sie die folgenden Transaktionen aufrufen. Siehe Konfigurieren Sie SAP zur Verwendung des Agenten:
   • VSCANGROUP
   • VDURCHSUCHEN
   • VSCANPROFILE
   • VSCANTEST

Hinweis Je nach Ihrem Betriebssystem und Ihrer Umgebung kann die Ausgabe, die Sie sehen, leicht von dem abweichen, was in diesem Artikel gezeigt wird.

Agent installieren

1. Gehen Sie zur Deep Security-Software-Downloadseite und laden Sie das Agentenpaket für Ihr Betriebssystem herunter.
2. Installieren Sie den Agenten auf dem Zielsystem. Sie können rpm oder zypper verwenden, je nach Betriebssystem. In diesem Beispiel wird rpm verwendet, indem Sie folgendes eingeben: rpm -ihv Agent-Core-SuSE_<version>.x86_64.rpm
3. Sie sollten eine Ausgabe sehen, die ähnlich dem in diesem Beispiel gezeigten ist und anzeigt, dass die Agenteninstallation abgeschlossen ist:
   

Tipp Sie können den Agenten auch mit einem Bereitstellungsskript bereitstellen, das von Server- und Workload Protection generiert wurde.

Fügen Sie den SAP-Server zu Server- und Workload Protection hinzu und aktivieren Sie den Agenten

• -a ist der Befehl, um den Agenten zu aktivieren, und
• dsm://managerurl:443/ ist der Parameter, der den Agenten auf Server- und Workload Protection verweist. ("managerurl" ist die URL von Server- und Workload Protection, und "443" ist der Standardport für die Kommunikation zwischen Agent und Manager.)

1. In der Server- und Workload Protection-Konsole gehen Sie zum Computers-Tab.
2. Klicken Sie auf den Computernamen und dann auf Details und überprüfen Sie, ob der Status des Computers "Verwaltet" ist.

Sicherheitsprofil zuweisen

1. Im Computer- oder Richtlinien-Editor gehen Sie zu Anti-Malware → Allgemein.
2. Im Abschnitt Anti-Malware setzen Sie Konfiguration auf Aktiviert (oder Inherited On) und klicken Sie dann auf Speichern.
   
3. In den Abschnitten Echtzeitsuche, Manuelle Suche oder Zeitgesteuerte Suche legen Sie die Malware Scan Configuration und Zeitplan fest oder erlauben Sie, dass diese Einstellungen von der übergeordneten Richtlinie übernommen werden.
4. Klicken Sie auf Speichern. Der Status des Anti-Malware-Moduls ändert sich zu Off, installation pending. Dies bedeutet, dass der Agent das erforderliche Modul von Server- und Workload Protection abruft. Damit dies funktioniert, muss der Client auf den Relay über die Portnummer des Relay-Listeners zugreifen. Wenige Augenblicke später sollte der Agent mit dem Herunterladen von Komponenten-Updates wie Anti-Malware-Mustern und Scan-Engines beginnen.
5. Wählen Sie im Computer-Editor Einstellungen → Scanner.
6. Im Abschnitt SAP setzen Sie Konfiguration auf Aktiviert (oder Inherited On) und klicken Sie dann auf Speichern.

Konfigurieren Sie SAP zur Verwendung des Agents

1. Konfigurieren Sie die Trend Micro-Scannergruppe
2. Konfigurieren Sie den Trend Micro Virensuche-Anbieter
3. Konfigurieren Sie das Trend Micro Virensuche-Profil
4. Testen Sie die Virensuche-Schnittstelle

Hinweis Die Virensuche-Gruppe und der Virensuche-Adapter sind beide globale Konfigurationen (Client 00). Das Virensuche-Profil muss in jedem Mandanten (Client 01, 02, usw.) konfiguriert werden.

Trend Micro-Scannergruppe konfigurieren

1. Führen Sie im SAP WinGUI die VSCANGROUP-Transaktion aus. Klicken Sie im Bearbeitungsmodus auf New Entries.
   
2. Erstellen Sie eine neue Scannergruppe, indem Sie einen Gruppennamen im Bereich Scanner Group und eine Beschreibung der Scannergruppe im Bereich Group Text angeben.
   
3. Klicken Sie auf das Speichersymbol oder verlassen Sie den Bearbeitungsmodus.
   Ein Dialogfeld mit dem Namen "Aufforderung zur Workbench-Anforderung" wird angezeigt. Im unten gezeigten Beispiel wird eine neue Workbench-Anforderung erstellt, um alle VSI-bezogenen Änderungen nachzuverfolgen:
   

Trend Micro Virensuche-Anbieter konfigurieren

1. Führen Sie im SAP WinGUI die VSCAN-Transaktion aus. Klicken Sie im Bearbeitungsmodus auf New Entries.
   
2. Geben Sie eine Konfiguration für eine VSI-zertifizierte Lösung ein.
   Im folgenden Beispiel werden die folgenden Konfigurationsparameter festgelegt:
   

   Einstellung	Wert	Beschreibung
   Anbietertyp	ADAPTER (Virensuche-Adapter)	Automatisch festlegen (Standard)
   Anbietername	VSA_<host name>	Automatisch festgelegt, dient als Alias
   Scanner-Gruppe	Wählen Sie die Gruppe aus, die Sie zuvor konfiguriert haben	Alle zuvor erstellten Scannergruppen, die Sie mit der Eingabehilfe anzeigen können
   Status	Aktiv (Anwendungsserver)	Automatisch festlegen (Standard)
   Server	nplhost_NPL_42	Automatisch festgelegt, Hostname
   Reinit. Interv.	8 Stunden	Gibt die Anzahl der Stunden an, nach denen der Virensuche-Adapter neu initialisiert wird und neue Virusdefinitionen lädt.
   Adapter-Pfad (Linux)	/lib64/libsapvsa.so	Standardpfad
   Adapterpfad (Windows)	C:\Programme\Trend Micro\Deep Security Agent\lib\dsvsa.dll	Standardpfad

3. Klicken Sie auf das Speichersymbol oder verlassen Sie den Bearbeitungsmodus.
   Eine Aufforderung, dies in eine Werkbankanfrage zu verpacken, erscheint.
4. Bestätigen Sie die Anfrage und klicken Sie dann auf die Schaltfläche Starten.
   Die Statusanzeige leuchtet grün, was bedeutet, dass der Adapter geladen und aktiv ist.
   

Trend Micro Virensuche-Profil konfigurieren

1. Führen Sie im SAP WinGUI die VSCANPROFILE-Transaktion aus und wählen Sie dann die SAP-Operation, die eine Virensuche erfordert.
   Beispielsweise aktivieren Sie das Kontrollkästchen "Aktiv" für /SCET/GUI_UPLOAD oder /SCET/GUI_DOWNLOAD und klicken Sie dann auf das Speichersymbol.
   
2. Im Bearbeitungsmodus klicken Sie auf New Entries.
   Die Virensuche-Profile definieren, wie spezifische Transaktionen (Datei-Uploads, Datei-Downloads usw.) in Bezug auf die Virensuche-Schnittstelle behandelt werden. Um den zuvor konfigurierten Virensuche-Adapter im Anwendungsserver zu verwenden, müssen Sie ein neues Virensuche-Profil erstellen:
3. Geben Sie im Feld Scan Profile "Z_TMProfile" ein und aktivieren Sie die Kontrollkästchen Aktiv, Default Profile und Evaluate Profile Configuration Param.
   
4. Während Sie sich noch im Bearbeitungsmodus befinden, doppelklicken Sie auf den Steps-Ordner, um die Schritte zu konfigurieren:
   
5. Klicken Sie auf New Entries.
   Die Schritte definieren, was zu tun ist, wenn das Profil durch eine Transaktion aufgerufen wird.
6. Setzen Sie das Position auf "0", das Typ auf "Gruppe" und das Scanner Group auf den Namen der Gruppe, die Sie zuvor konfiguriert haben.
7. Klicken Sie auf das Speichersymbol oder verlassen Sie den Bearbeitungsmodus.
   Eine Benachrichtigung wird (eventuell) über ein bestehendes Virensuche-Profil, /SCET/DP_VS_ENABLED, erscheinen.
8. Ignorieren Sie die Benachrichtigung über ein vorhandenes Profil, da das Profil nicht aktiv ist und nicht verwendet wird.
   Nachdem Sie diese Benachrichtigung bestätigt haben, werden Sie aufgefordert, diese Konfiguration in einem "Anpassungsantrag" zu verpacken. Das Erstellen eines neuen Antrags hilft, die vorgenommenen Änderungen nachzuverfolgen.
   
9. Um Konfigurationsparameter für einen Schritt zu erstellen, doppelklicken Sie auf den Profile Configuration Parameters-Ordner, klicken Sie dann auf New Entries und legen Sie die Parameter fest:

   Parameter	Typ	Beschreibung
   CUST_ACTIVE_CONTENT	BOOL	Überprüfen Sie, ob eine Datei ein Skript (JavaScript, PHP oder ASP-Skript) enthält, und sperren Sie
   CUST_CHECK_MIME_TYPE	BOOL	Überprüfen Sie, ob der Dateinamenerweiterung mit dem MIME-Typ übereinstimmt. Wenn sie nicht übereinstimmen, wird die Datei gesperrt. Alle MIME-Typen und Erweiterungsnamen können genau abgeglichen werden. Zum Beispiel: Word-Dateien müssen .doc oder .dot sein JPEG-Dateien müssen .jpg sein Text- und Binärdateien können jede Erweiterung haben (werden nicht gesperrt) Siehe Unterstützte MIME-Typen.

10. Doppelklicken Sie auf den Ordner Step Configuration Parameters. Klicken Sie auf New Entries und legen Sie die Parameter fest:

    Parameter	Typ	Beschreibung	Standard (Linux)	Standard (Windows)
    SCANBESTEFFORT	BOOL	Der Scan sollte auf "Best-Effort"-Basis durchgeführt werden; das bedeutet, alle (sicherheitskritischen) Flags, die es einem VSA ermöglichen, ein Objekt zu durchsuchen, sollten aktiviert werden, wie SCANALLFILES und SCANEXTRACT, aber auch interne Flags. Details darüber, welche Flags genau dies sind, können in der Zertifizierung gespeichert werden.	(nicht festgelegt)	(nicht festgelegt)
    ALLEDATEIENSCANNEN	BOOL	Durchsucht alle Dateien unabhängig von ihrer Dateierweiterung.	Deaktiviert	Deaktiviert
    SCANEXTENSIONS	CHAR	Liste der Dateierweiterungen, für die die VSA durchsuchen soll. Nur Dateien mit den konfigurierten Erweiterungen werden überprüft. Andere Erweiterungen sind gesperrt. Platzhalter können ebenfalls verwendet werden, um nach Mustern zu suchen. \* steht für diesen Ort und folgende, und ? steht nur für dieses Zeichen. Zum Beispiel, exe;com;do?;ht* => \`\*\` bedeutet, alle Dateien zu durchsuchen.	null	""
    SCANLIMIT	INT	Diese Einstellung gilt für komprimierte Dateien. Sie legt die maximale Anzahl von Dateien fest, die entpackt und gescannt werden.	INT_MAX	65535
    SCANEXTRACT	BOOL	Archive oder komprimierte Objekte müssen entpackt werden	aktiviert	aktiviert
    SCANEXTRACT_GRÖSSE	SIZE_T	Maximale Entpackgröße	0x7FFFFFFF	62914560 (60 MB)
    SCANEXTRACT_TIEFE	INT	Maximale Tiefe, bis zu der ein Objekt entpackt werden soll.	20	20
    SCANMIMETYPES	CHAR	Liste der zu scannenden MIME-Typen. Nur Dateien mit konfigurierten MIME-Typen werden überprüft. Andere MIME-Typen sind gesperrt. Dieser Parameter funktioniert nur, wenn CUST_CHECK_MIME_TYPE aktiviert ist.	(nicht festgelegt)	(nicht festgelegt)
    BLOCKMIMETYPES	CHAR	Liste der MIME-Typen, die gesperrt werden. Dieser Parameter funktioniert nur, wenn CUST_CHECK_MIME_TYPE aktiviert ist.	(nicht festgelegt)	(nicht festgelegt)
    BLOCKEXTENSIONS	CHAR	Liste der Dateierweiterungen, die gesperrt werden.	(nicht festgelegt)	(nicht festgelegt)

Testen Sie die Virensuche-Schnittstelle

1. Führen Sie im SAP WinGUI die VSCANTEST-Transaktion aus.
   
   Jeder VSI-fähige SAP-Anwendungsserver verfügt auch über einen eingebauten Test, um zu überprüfen, ob die Konfigurationsschritte korrekt durchgeführt wurden. Dazu wird ein EICAR-Testvirus (www.eicar.org) in eine Transaktion gepackt, die einen bestimmten Scanner aufrufen kann.
2. Wenn nichts ausgefüllt wird, wird das Standardprofil aufgerufen, das im letzten Schritt konfiguriert wurde. Füllen Sie daher nichts aus.
3. Klicken Sie auf Ausführen.
   Es erscheint eine Benachrichtigung, die erklärt, was ein EICAR-Testviren ist.
4. Bestätigen Sie die Benachrichtigung.
   Die Transaktion wird abgefangen:
   

1. Die Transaktion hat das Standard-Virensuche-Profil aufgerufen, welches das Virensuche-Profil Z_TMPROFILE ist.
2. Das Virensuche-Profil Z_TMPROFILE ist so konfiguriert, dass es einen Adapter aus der Virensuche-Gruppe Z_TMGROUP aufruft.
3. Die Virensuche-Gruppe Z_TMGROUP hat mehrere Adapter konfiguriert und ruft einen davon auf (in diesem Fall VSA_NPLHOST).
4. Der Virensuche-Adapter gibt den Wert 2- zurück, was bedeutet, dass ein Virus gefunden wurde.
5. Informationen über die erkannte Malware werden angezeigt, indem Eicar_test_1 und das Dateiobjekt /tmp/zUeEbZZ_TMPROFILE angezeigt werden.
6. Das aufgerufene Standard-Virensuche-Profil Z_TMPROFILE schlägt fehl, da Schritt 00 (die Virensuche-Gruppe) nicht erfolgreich war und daher die Dateitransaktion von der weiteren Verarbeitung gestoppt wird.

Unterstützte MIME-Typen

• Agent-Version 9.6 verwendet VSAPI 9.85
• Agent-Version 10.0 verwendet ATSE 9.861
• Agent-Version 10.1 verwendet ATSE 9.862
• Agent-Version 10.2, 10.3, 11.0, 11.1 und 11.2 verwendet ATSE 10.000
• Agent-Version 11.3 und höher verwendet ATSE 11.0.000