usdag/sncscanSAP Secure Network Communications (SNC) を分析するためのツール。
SAP Secure Network Communications (SNC) を分析するためのツール。
現在の状態では、sncscan を使用して、SAP Router および DIAG (SAP GUI) 接続の SNC 設定を読み取ることができます。SAP RFC プロトコルの実装は現在開発中です。
SAP Router は SNC をサポートするかしないかのどちらかであり、SNC パラメータのより詳細な設定はできません。
それでも、sncscan は有効化されているかどうかを調べます。
sncscan -H 10.3.161.4 -S 3299 -p router
SAP GUI で使用される DIAG 接続の SNC 設定は、ルーター設定よりも多様な設定が可能です。
sncscan で読み取ることができ、接続のセキュリティに影響を与えるシステムパラメータの詳細な概要については、背景 セクションを参照してください。
sncscan -H 10.3.161.3 -S 3200 -p diag
複数のターゲットを一度にスキャンできます。
sncscan -L /H/192.168.56.101/S/3200,/H/192.168.56.102/S/3206
sncscan --route-string /H/10.3.161.5/S/3299/H/10.3.161.3/S/3200 -p diag
要件: 現在、sncscan は弊社フォークの pysap ライブラリでのみ動作します。
python3 -m pip install -r requirements.txt
または
python3 setup.py test
python3 setup.py install
DIAG や RFC などの SAP プロトコル自体は高いセキュリティを提供しません。セキュリティを高め、認証、完全性、暗号化を確保するには、SNC (Secure Network Communications) の使用が必要です。 SNC は、既知の暗号アルゴリズムをデータに適用してセキュリティを向上させることで、RFC、DIAG、またはルータプロトコルを使用する SAP システムのさまざまなクライアントおよびサーバコンポーネント間のデータ通信経路を保護します。 SNC で保護された接続には、3 つの異なるデータ保護レベルを適用できます。
各 SAP システムは、通信セキュリティのために SNC パラメータを設定できます。 SNC 接続のレベルは、Quality of Protection (保護品質) パラメータによって決まります。
snc/data_protection/min: SNC 接続に必要な最低セキュリティレベル。snc/data_protection/max: SAP システムが開始する最高セキュリティレベル。snc/data_protection/use: SAP システムが開始するデフォルトのセキュリティレベル。追加の SNC パラメータを使用して、システム固有の設定オプションをさらに構成できます。これには、暗号化された SAPGUI 接続を強制する snc/only_encrypted_gui パラメータが含まれます。
SNC メッセージを送信できる SAP システムに対してアドレス指定する限り、SNC に指定された IP、ポート、CN に関係なく、有効な SNC 要求にも応答します。 この応答には、SAP システムが SNC 接続に求める要件が含まれており、これを使用して SNC パラメータを取得できます。 これにより、SAP システムで SNC が有効になっているかどうか、有効になっている場合はどの SNC パラメータが設定されているかを調べることができます。