Integrieren mit SAP NetWeaver

Architektur

1. SAP-Kundenumgebungen werden durch die SAP-Virensuche-Schnittstelle (VSI), die Sicherheitskomponente der SAP NetWeaver-Plattform, gesichert. Die VSI wird verwendet, um alle Formen von Kundeninhalten zu sichern, einschließlich Dokumenten, eingebetteten Bildern und aktiven Inhalten wie JavaScript und Skripten in PDF- und Office-Dokumenten. Die Scanner-Funktion arbeitet nahtlos mit der SAP NetWeaver-Technologie und der SAP HANA®-Plattform zusammen.
2. Der Server- und Workload Protection-Scanner überprüft die auf die SAP NetWeaver-Technologieplattform hochgeladenen Inhalte, um deren tatsächlichen Typ zu bestimmen, und meldet dies über die NetWeaver VSI-Schnittstelle an SAP-Systeme. Die Inhaltsüberprüfung schützt vor möglichen bösartigen Skriptinhalten, die in Dokumenten eingebettet oder getarnt sein könnten.
3. SAP-Administratoren können dann Richtlinien festlegen, nach denen bestimmte Dokumenttypen erlaubt sein sollen.

Server- und Workload Protection und SAP-Komponenten

• Server- und Workload Protection: Die zentrale webbasierte Management-Konsole, die Administratoren verwenden, um Sicherheitsrichtlinien zu konfigurieren und Schutz auf den Agenten bereitzustellen.
• Agent: Ein Security Agent, der direkt auf einem Computer eingesetzt wird. Die Art dieses Schutzes hängt von den Regeln und Sicherheitseinstellungen ab, die jeder Agent von Server- und Workload Protection erhält.
• SAP NetWeaver: SAP integrated technology computing platform. The SAP NetWeaver Virus Scan Interface (NW-VSI) provides virus scanning capabilities for third-party products that perform the actual scan. The NW-VSI interface must be activated.
• SAP NetWeaver ABAP WinGUI: Eine Windows-Verwaltungskonsole, die für SAP NetWeaver verwendet wird. In diesem Dokument wird sie für die Konfiguration des Agenten und der SAP NetWeaver Virensuche-Schnittstelle verwendet.

Konfigurieren Sie die Integration des Server- und Workload Protection-Scanners und SAP NetWeaver

1. Siehe Unterstützte Funktionen nach Plattform, um Informationen über die Betriebssysteme zu erhalten, die den Scanner unterstützen.
2. Installieren Sie den Agenten auf einem SAP-Anwendungsserver, der eines der unterstützten Betriebssysteme ausführt. Siehe Agenten installieren‌.
3. Fügen Sie den SAP-Server zu Server- und Workload Protection hinzu und aktivieren Sie den Agenten auf dem SAP-Server. Siehe Fügen Sie den SAP-Server zu Server- und Workload Protection hinzu und aktivieren Sie den Agenten.
4. Öffnen Sie den Computer- oder Richtlinien-Editor und gehen Sie zu Einstellungen → Scanner.
5. Aktivieren Sie die SAP-Integration. Siehe Sicherheitsprofil zuweisen‌.
6. Konfigurieren Sie die SAP-Virensuche-Schnittstelle (VSI), indem Sie die folgenden Transaktionen aufrufen:
   • VSCANGROUP
   • VDURCHSUCHEN
   • VSCANPROFILE
   • VSCANTEST
   Siehe Konfigurieren Sie SAP zur Verwendung des Agenten

Agent installieren

1. Gehen Sie zur Deep Security-Software-Downloadseite und laden Sie das Agentenpaket für Ihr Betriebssystem herunter.
2. Installieren Sie den Agenten auf dem Zielsystem. Sie können rpm oder zypper verwenden, je nach Betriebssystem. In diesem Beispiel wird rpm verwendet, indem Sie folgendes eingeben: rpm -ihv Agent-Core-SuSE_<version>.x86_64.rpm
3. Erwarten Sie ein ähnliches Ergebnis wie das folgende:
   
   Dies zeigt an, dass die Agenteninstallation abgeschlossen ist

Fügen Sie den SAP-Server zu Server- und Workload Protection hinzu und aktivieren Sie den Agenten

• -a ist der Befehl, um den Agenten zu aktivieren, und
• dsm://managerurl:443/ ist der Parameter, der den Agenten auf Server- und Workload Protection verweist. ("managerurl" ist die URL von Server- und Workload Protection, und "443" ist der Standardport für die Kommunikation zwischen Agent und Manager.)

1. Wählen Sie in der Server- und Workload Protection-Konsole die Registerkarte Computer aus.
2. Klicken Sie auf den Computernamen, dann auf Details und überprüfen Sie, ob der Status des Computers auf Verwaltet steht.

Sicherheitsprofil zuweisen

1. Im Computer- oder Richtlinien-Editor gehen Sie zu Anti-Malware → Allgemein.
2. Im Abschnitt Anti-Malware setzen Sie Konfiguration auf Aktiviert (oder Inherited On), und klicken Sie dann auf Speichern.
   
3. In den Abschnitten Echtzeitsuche, Manuelle Suche oder Zeitgesteuerte Suche setzen Sie die Malware Scan Configuration und Zeitplan, oder erlauben Sie, dass diese Einstellungen von der übergeordneten Richtlinie geerbt werden.
4. Klicken Sie auf Speichern. Der Status des Anti-Malware-Moduls ändert sich zu Off, installation pending. Dies bedeutet, dass der Agent das erforderliche Modul von Server- und Workload Protection abruft. Damit dies funktioniert, muss der Client auf den Relay über die Portnummer des Relay-Listening-Ports zugreifen. Wenige Augenblicke später sollte der Agent mit dem Herunterladen von Komponentenaktualisierungen wie Anti-Malware-Mustern und Scan-Engines beginnen.
5. Wählen Sie im Computer-Editor Einstellungen → Scanner.
6. Im Abschnitt SAP setzen Sie Konfiguration auf Aktiviert (oder Inherited On), und klicken Sie dann auf Speichern.

Konfigurieren Sie SAP zur Verwendung des Agents

1. Konfigurieren Sie die Scannergruppe
2. Konfigurieren Sie den Virensuche-Anbieter
3. Konfigurieren Sie das Virensuche-Profil
4. Testen Sie die Virensuche-Schnittstelle

Konfigurieren Sie die Scannergruppe

1. Führen Sie im SAP WinGUI die Transaktion VSCANGROUP aus. Klicken Sie im Bearbeitungsmodus auf New Entries.
   
2. Erstellen Sie eine neue Scannergruppe, indem Sie einen Gruppennamen im Scanner Group-Bereich und eine Beschreibung der Scannergruppe im Group Text-Bereich angeben.
   
3. Klicken Sie auf Speichern oder verlassen Sie den Bearbeitungsmodus.
   Ein Dialog mit dem Namen Prompt for Workbench request erscheint. Im folgenden Beispiel wird eine neue Arbeitsbereichsanfrage erstellt, um alle VSI-bezogenen Änderungen nachzuverfolgen:
   

Konfigurieren des Virensuche-Anbieters

1. Führen Sie im SAP WinGUI die Transaktion VSCAN aus. Klicken Sie im Bearbeitungsmodus auf New Entries.
   
2. Geben Sie eine Konfiguration für eine VSI-zertifizierte Lösung ein.
   Im folgenden Beispiel werden eine Reihe von Konfigurationsparametern festgelegt:
   

   Einstellung	Wert	Beschreibung
   Anbietertyp	ADAPTER (Virensuche-Adapter)	Automatisch festlegen (Standard)
   Anbietername	VSA_<host name>	Automatisch festgelegt, dient als Alias
   Scanner-Gruppe	Wählen Sie die Gruppe aus, die Sie zuvor konfiguriert haben	Alle zuvor erstellten Scannergruppen, die Sie mit der Eingabehilfe anzeigen können
   Status	Aktiv (Anwendungsserver)	Automatisch festlegen (Standard)
   Server	nplhost_NPL_42	Automatisch festgelegt, Hostname
   Reinit. Interv.	8 Stunden	Gibt die Anzahl der Stunden an, nach denen der Virensuche-Adapter neu initialisiert wird und neue Virusdefinitionen lädt.
   Adapter-Pfad (Linux)	/lib64/libsapvsa.so	Standardpfad
   Adapterpfad (Windows)	C:\Programmdateien\TrendAI™\Deep Security Agent\lib\dsvsa.dll	Standardpfad

3. Klicken Sie auf Speichern oder verlassen Sie den Bearbeitungsmodus.
   Eine Aufforderung, dies in eine Werkbankanfrage zu verpacken, erscheint.
4. Bestätigen Sie die Anfrage und klicken Sie dann auf Starten.
   Die Status-Leuchte wird grün, was bedeutet, dass der Adapter geladen und aktiv ist.
   

Konfigurieren des Virensuche-Profils

1. Führen Sie im SAP WinGUI die Transaktion VSCANPROFILE aus und wählen Sie dann die SAP-Operation aus, die eine Virensuche erfordert.
   Wählen Sie zum Beispiel Aktiv für /SCET/GUI_UPLOAD oder /SCET/GUI_DOWNLOAD aus und klicken Sie dann auf Speichern.
   
2. Im Bearbeitungsmodus klicken Sie auf New Entries.
   Die Virensuche-Profile definieren, wie bestimmte Transaktionen (Datei-Uploads, Datei-Downloads usw.) entsprechend der Virensuche-Schnittstelle behandelt werden. Um den zuvor konfigurierten Virensuche-Adapter im Anwendungsserver zu verwenden, müssen Sie ein neues Virensuche-Profil erstellen.
3. Geben Sie in Scan Profile Z_TMProfile ein und wählen Sie Aktiv, Default Profile und Evaluate Profile Configuration Param aus.
   
4. Während Sie sich noch im Bearbeitungsmodus befinden, doppelklicken Sie auf Steps, um die Schritte zu konfigurieren:
   
5. Klicken Sie auf New Entries.
   Die Schritte definieren, was zu tun ist, wenn das Profil durch eine Transaktion aufgerufen wird.
6. Setzen Sie Position auf 0, Typ auf Gruppe und Scanner Group auf den Namen der Gruppe, die Sie zuvor konfiguriert haben.
7. Klicken Sie auf Speichern oder verlassen Sie den Bearbeitungsmodus.
   Eine Benachrichtigung erscheint schließlich über ein bestehendes Virensuche-Profil, /SCET/DP_VS_ENABLED.
8. Ignorieren Sie die Benachrichtigung über ein vorhandenes Profil, da das Profil nicht aktiv ist und nicht verwendet wird.
   Nachdem Sie diese Benachrichtigung bestätigt haben, werden Sie gebeten, diese Konfiguration in einem Anpassungsantrag zu verpacken. Das Erstellen eines neuen Antrags hilft, die vorgenommenen Änderungen nachzuverfolgen:
   
9. Um Konfigurationsparameter für einen Schritt zu erstellen, doppelklicken Sie auf Profile Configuration Parameters, klicken Sie dann auf New Entries und legen Sie die Parameter fest:

   Parameter	Typ	Beschreibung
   CUST_ACTIVE_CONTENT	BOOL	Überprüfen Sie, ob eine Datei ein Skript (JavaScript, PHP, ASP-Skript) enthält und sperren.
   CUST_CHECK_MIME_TYPE	BOOL	Überprüfen Sie, ob der Dateinamenerweiterung mit seinem MIME-Typ übereinstimmt. Wenn sie nicht übereinstimmen, wird die Datei gesperrt. Alle MIME-Typen und Erweiterungsnamen können genau übereinstimmen. Zum Beispiel: Word-Dateien müssen .doc oder .dot sein JPEG-Dateien müssen .jpg sein Text- und Binärdateien können jede Erweiterung haben (nicht sperren) Siehe Unterstützte MIME-Typen für die integrierte Zuordnungstabelle. Um den Scanner so zu konfigurieren, dass er MIME-Typen oder Dateierweiterungen erkennt, die in der integrierten Tabelle nicht enthalten sind, siehe Benutzerdefinierte MIME-Typ-Zuordnungen hinzufügen.

10. Doppelklicken Sie auf Step Configuration Parameters. Klicken Sie auf New Entries und legen Sie die Parameter fest:

    Parameter	Typ	Beschreibung	Standard auf Linux	Standard auf Windows
    SCANBESTEFFORT	BOOL	Der Scan sollte nach dem Best-Effort-Prinzip durchgeführt werden; das heißt, alle sicherheitskritischen Flags, die es einem VSA ermöglichen, ein Objekt zu durchsuchen, sollten aktiviert werden, wie SCANALLFILES und SCANEXTRACT, aber auch interne Flags. Details darüber, welche Flags genau dies sind, können in der Zertifizierung gespeichert werden.	nicht festgelegt	nicht festgelegt
    ALLEDATEIENSCANNEN	BOOL	Durchsucht alle Dateien unabhängig von ihrer Dateierweiterung.	Deaktiviert	Deaktiviert
    SCANEXTENSIONS	CHAR	List of the file extensions for which the VSA should scan. Only files with the configured extensions are checked. Other extensions are blocked. Wildcards can also be used here to search for patterns. \* stands for this location and following and ? stands for only this character. For example, exe;com;do?;ht* => \`\*\` means to scan all files.	null	""
    SCANLIMIT	INT	Diese Einstellung gilt für komprimierte Dateien. Sie legt die maximale Anzahl von Dateien fest, die entpackt und DURCHSUCHT werden sollen.	INT_MAX	65535
    SCANEXTRACT	BOOL	Archive oder komprimierte Objekte müssen entpackt werden	aktiviert	aktiviert
    SCANEXTRACT_GRÖSSE	SIZE_T	Maximale Entpackgröße	0x7FFFFFFF	62914560 (60 MB)
    SCANEXTRACT_TIEFE	INT	Maximale Tiefe, bis zu der ein Objekt entpackt werden soll.	20	20
    SCANLOGPATH	CHAR	Benutzerdefinierter Protokollpfad für VSA Muss ein absoluter Dateipfad zu einer regulären Datei oder zu einem Ort sein, an dem eine reguläre Datei erstellt werden kann. Kann kein ausführbarer Dateipfad sein. Es werden nur begrenzte Protokollnachrichten geschrieben. Zum Beispiel die erkannte Malware. Unterstützt von Agentenversionen, die ab dem 2. Mai 2024 veröffentlicht wurden.	(nicht festgelegt)	(nicht festgelegt)
    SCANMIMETYPES	CHAR	Liste der MIME-Typen, die durchsucht werden sollen. Nur Dateien mit konfigurierten MIME-Typen werden überprüft. Andere MIME-Typen werden gesperrt. Dieser Parameter funktioniert nur, wenn CUST_CHECK_MIME_TYPE aktiviert ist.	nicht festgelegt	nicht festgelegt
    BLOCKMIMETYPES	CHAR	Liste der zu sperrenden MIME-Typen. Dieser Parameter funktioniert nur, wenn CUST_CHECK_MIME_TYPE aktiviert ist.	nicht festgelegt	nicht festgelegt
    BLOCKEXTENSIONS	CHAR	Liste der zu blockierenden Dateierweiterungen.	nicht festgelegt	nicht festgelegt

Benutzerdefinierte MIME-Typ-Zuordnungen hinzufügen

• Richtlinie (empfohlen): Einträge werden in der Server- und Workload Protection-Konsole definiert und auf jeden durch die Richtlinie geschützten SAP-Server angewendet.
• Lokale INI-Datei: Einträge werden direkt auf einem einzelnen SAP-Server definiert. Verwenden Sie diese Methode, um die Richtlinie auf einem bestimmten Host zu überschreiben oder einen Eintrag anzuwenden, bevor der Agent die aktualisierte Richtlinie erhält.

1. In Server- und Workload Protection öffnen Sie den Computer- oder Richtlinien-Editor und gehen Sie zu Einstellungen → Scanner.
2. Im Bereich SAP suchen Sie Custom MIME type mappings und fügen Sie für jeden MIME-Typ, den der Scanner erkennen soll, einen Eintrag hinzu. Geben Sie für jeden Eintrag die folgenden Werte an:
   • MIME type: Der vollständige MIME-Typ-String, zum Beispiel application/x-custom.
   • File extensions: Eine durch Kommas getrennte Liste von einer oder mehreren Erweiterungen, die dem MIME-Typ zugeordnet werden sollen, ohne führende Punkte. Erweiterungen werden ohne Berücksichtigung der Groß- und Kleinschreibung abgeglichen. Zum Beispiel, cst, custom.
3. Klicken Sie auf Speichern. Server- und Workload Protection überprüft jeden Eintrag und lehnt jeden Eintrag ab, der einen leeren MIME-Typ oder eine leere Erweiterungsliste hat. Gültige Einträge werden beim nächsten Heartbeat an den Agenten verteilt und mit der integrierten Zuordnungstabelle zusammengeführt, die der SAP Scanner verwendet.

<CustomMimeMappings>
		<CustomMimeMapping mimeType="application/x-custom" extensions=";cst;custom;"/>
		<CustomMimeMapping mimeType="application/vnd.company" extensions=";comp;"/>
		<CustomMimeMapping mimeType="text/x-specialformat" extensions=";spc;special;"/>
</CustomMimeMappings>

1. Erstellen oder bearbeiten Sie auf dem SAP-Server die Datei /var/opt/ds_agent/am/custom_mime.ini.
2. Fügen Sie jede Zuordnung in einer eigenen Zeile hinzu, indem Sie die folgende Syntax verwenden:

   <mime-type>=;<extension1>;<extension2>;…

   Beispiel:

   application/x-custom=;cst;custom;
   		application/vnd.company=;comp;
   			text/x-specialformat=;spc;special;

   Die Datei muss den folgenden Formatvorgaben entsprechen:
   • Eine Zuordnung pro Zeile, ohne Abschnittsüberschriften. Das Dateiformat unterscheidet sich von dt.ini.
   • Ein Semikolon am Anfang der Erweiterungsliste, zwischen aufeinanderfolgenden Erweiterungen und am Ende der Liste.
   • Erweiterungen ohne führende Punkte angegeben. Erweiterungen werden ohne Berücksichtigung der Groß- und Kleinschreibung abgeglichen.
3. Speichern Sie die Datei. Der Agent wendet die neuen Einträge beim nächsten Empfang einer Durchsuchungsanfrage an. Ein Neustart des Agents ist nicht erforderlich.

Wichtig Wenn derselbe MIME-Typ sowohl in der lokalen INI-Datei als auch in der Richtlinie definiert ist, ersetzt der lokale INI-Eintrag den Richtlinieneintrag auf diesem Server. Alle anderen richtliniendefinierten Einträge bleiben wirksam.

1. Der Scanner konsultiert zuerst die integrierte Zuordnungstabelle. Wenn der MIME-Typ der Datei in der integrierten Tabelle vorhanden ist und die Dateierweiterung für diesen MIME-Typ aufgeführt ist, darf die Datei zur nächsten DURCHSUCHEN-Stufe übergehen.
2. Wenn der MIME-Typ der Datei nicht in der eingebauten Tabelle vorhanden ist, konsultiert der Scanner die benutzerdefinierten Zuordnungen: zuerst die lokale INI-Datei, dann die Richtlinie. Wenn die Dateierweiterung für den erkannten MIME-Typ in einer der Quellen aufgeführt ist, wird die Datei zum Übergehen zugelassen.
3. Wenn keine Quelle die Kombination aus MIME-Typ und Erweiterung erkennt, blockiert der Scanner die Datei.

• Um zu überprüfen, ob der Agent die durch die Richtlinie definierten Einträge erhalten hat, untersuchen Sie /var/opt/ds_agent/guests/0000-0000-0000/amvmcfg.xml auf dem SAP-Server. Die Datei sollte ein <CustomMimeMappings>-Element enthalten, das jeden Ihrer Einträge auflistet.
• Um zu überprüfen, ob die lokale INI-Datei gelesen wird, suchen Sie in /var/opt/ds_agent/diag/ds_am.log nach Einträgen, die sich auf custom_mime.ini beziehen.
• Wenn eine Datei weiterhin gesperrt bleibt, nachdem Sie eine benutzerdefinierte Zuordnung dafür hinzugefügt haben, führen Sie die SAP-Transaktion VSCANTEST aus und überprüfen Sie die Ausgabe von Content Information. Der vom Scanner erkannte MIME-Typ muss exakt mit dem Wert mimeType in Ihrer Zuordnung übereinstimmen. Der Scanner normalisiert weder die Groß- und Kleinschreibung noch entfernt er umgebende Leerzeichen, sodass jede Abweichung verhindert, dass der Eintrag wirksam wird.

Testen Sie die Virensuche-Schnittstelle

1. Führen Sie im SAP WinGUI die Transaktion VSCANTEST aus.
   
   Jeder VSI-fähige SAP-Anwendungsserver verfügt auch über einen eingebauten Test, um zu überprüfen, ob die Konfigurationsschritte korrekt durchgeführt wurden. Dazu wird ein EICAR-Testvirus (www.eicar.org) in eine Transaktion gepackt, die einen bestimmten Scanner aufrufen kann.
2. Wenn Sie nichts ausfüllen, wird das Standardprofil aufgerufen, das im letzten Schritt konfiguriert wurde, also füllen Sie nichts aus.
3. Klicken Sie auf Ausführen.
   Es erscheint eine Benachrichtigung, die erklärt, was ein EICAR-Testviren ist.
4. Bestätigen Sie die Benachrichtigung.
   Die Transaktion wird abgefangen:
   

1. Die Transaktion hat das Standard-Virensuche-Profil aufgerufen, welches das Virensuche-Profil Z_TMPROFILE ist.
2. Das Virensuche-Profil Z_TMPROFILE ist so konfiguriert, dass es einen Adapter aus der Virensuche-Gruppe Z_TMGROUP aufruft.
3. Die Virensuche-Gruppe Z_TMGROUP hat mehrere Adapter konfiguriert und ruft einen davon auf (in diesem Fall VSA_NPLHOST).
4. Der Virensuche-Adapter gibt den Wert 2- zurück, was bedeutet, dass ein Virus gefunden wurde.
5. Informationen über die erkannte Malware werden angezeigt, indem Eicar_test_1 und das Dateiobjekt /tmp/zUeEbZZ_TMPROFILE angezeigt werden.
6. Das aufgerufene Standard-Virensuche-Profil Z_TMPROFILE schlägt fehl, da Schritt 00 (die Virensuche-Gruppe) nicht erfolgreich war und daher die Dateitransaktion von der weiteren Verarbeitung gestoppt wird.

Unterstützte MIME-Typen

• Agent-Version 9.6 verwendet VSAPI 9.85
• Agent-Version 10.0 verwendet ATSE 9.861
• Agent-Version 10.1 verwendet ATSE 9.862
• Agent-Version 10.2, 10.3, 11.0, 11.1 und 11.2 verwendet ATSE 10.000
• Agent-Version 11.3 und höher verwendet ATSE 11.0.000