sncscan

Outil pour analyser les communications réseau sécurisées SAP (SNC).

Comment l'utiliser ?

Dans son état actuel, sncscan peut être utilisé pour lire les configurations SNC pour les connexions SAP Router et DIAG (SAP GUI). L'implémentation pour le protocole SAP RFC est actuellement en développement.

SAP Router

Les routeurs SAP peuvent prendre en charge SNC ou non, une configuration plus granulaire des paramètres SNC n'est pas possible. Néanmoins, sncscan permet de savoir s'il est activé :

sncscan -H 10.3.161.4 -S 3299 -p router

DIAG / SAP GUI

La configuration SNC d'une connexion DIAG utilisée par une SAP GUI peut avoir des paramètres plus polyvalents que la configuration du routeur. Un aperçu détaillé des paramètres système qui peuvent être lus avec sncscan et qui impactent la sécurité des connexions se trouve dans la section Contexte.

sncscan -H 10.3.161.3 -S 3200 -p diag

Plusieurs cibles peuvent être scannées avec une seule commande :

sncscan -L /H/192.168.56.101/S/3200,/H/192.168.56.102/S/3206 

Via le routeur SAP

sncscan --route-string /H/10.3.161.5/S/3299/H/10.3.161.3/S/3200 -p diag

Installation

Prérequis : Actuellement, sncscan fonctionne uniquement avec la bibliothèque pysap de notre fork.

python3 -m pip install -r requirements.txt

ou

python3 setup.py test

python3 setup.py install

Contexte : Paramètres système SNC

Bases de SNC

Les protocoles SAP, tels que DIAG ou RFC, n'offrent pas eux-mêmes une sécurité élevée. Pour augmenter la sécurité et garantir l'authentification, l'intégrité et le chiffrement, l'utilisation de SNC (Secure Network Communications) est requise. SNC protège les chemins de communication de données entre divers composants client et serveur du système SAP qui utilisent le protocole RFC, DIAG ou routeur en appliquant des algorithmes cryptographiques connus aux données afin d'augmenter leur sécurité. Il existe trois niveaux différents de protection des données, qui peuvent être appliqués pour une connexion sécurisée SNC :

1. Authentification uniquement : Vérifie l'identité des partenaires de communication
2. Protection de l'intégrité : Protection contre la manipulation des données
3. Protection de la confidentialité : Chiffre les messages transmis

Paramètres SNC

Chaque système SAP peut être configuré avec des paramètres SNC pour la sécurité des communications. Le niveau de la connexion SNC est déterminé par les paramètres de qualité de protection :

• snc/data_protection/min : Niveau de sécurité minimum requis pour les connexions SNC.
• snc/data_protection/max : Niveau de sécurité le plus élevé, initié par le système SAP
• snc/data_protection/use : Niveau de sécurité par défaut, initié par le système SAP

Des paramètres SNC supplémentaires peuvent être utilisés pour des options de configuration système supplémentaires, y compris le paramètre snc/only_encrypted_gui, qui garantit que les connexions SAPGUI chiffrées sont appliquées.

Lecture des paramètres SNC

Tant qu'un système SAP est adressé qui est capable d'envoyer des messages SNC, il répond également aux demandes SNC valides, indépendamment de l'IP, du port et du CN spécifiés pour SNC. Cette réponse contient les exigences que le système SAP a pour la connexion SNC, qui peuvent ensuite être utilisées pour obtenir les paramètres SNC. Cela peut être utilisé pour savoir si un système SAP a activé SNC et, le cas échéant, quels paramètres SNC ont été définis.