sncscan

Инструмент для анализа SAP Secure Network Communications (SNC).

Как использовать?

В текущем состоянии sncscan может использоваться для чтения конфигураций SNC для соединений SAP Router и DIAG (SAP GUI). Реализация для протокола SAP RFC находится в разработке.

SAP Router

SAP Router может поддерживать SNC или нет, более детальная настройка параметров SNC невозможна. Тем не менее, sncscan позволяет узнать, активирован ли SNC:

sncscan -H 10.3.161.4 -S 3299 -p router

DIAG / SAP GUI

Конфигурация SNC для соединения DIAG, используемого SAP GUI, может иметь более разнообразные настройки, чем конфигурация роутера. Детальный обзор системных параметров, которые можно прочитать с помощью sncscan и которые влияют на безопасность соединения, приведён в разделе Фон.

sncscan -H 10.3.161.3 -S 3200 -p diag

Несколько целей можно сканировать одной командой:

sncscan -L /H/192.168.56.101/S/3200,/H/192.168.56.102/S/3206 

Через SAP Router

sncscan --route-string /H/10.3.161.5/S/3299/H/10.3.161.3/S/3200 -p diag

Установка

Требования: в настоящее время sncscan работает только с библиотекой pysap из нашего форка.

python3 -m pip install -r requirements.txt

или

python3 setup.py test

python3 setup.py install

Фон: системные параметры SNC

Основы SNC

Протоколы SAP, такие как DIAG или RFC, сами по себе не обеспечивают высокую безопасность. Для повышения безопасности и обеспечения аутентификации, целостности и шифрования необходимо использовать SNC (Secure Network Communications). SNC защищает пути передачи данных между различными клиентскими и серверными компонентами SAP-системы, использующими протоколы RFC, DIAG или роутера, применяя к данным известные криптографические алгоритмы для повышения их безопасности. Существует три различных уровня защиты данных, которые могут быть применены для SNC-защищённого соединения:

1. Только аутентификация: Проверяет подлинность партнёров по связи
2. Защита целостности: Защита от манипуляции данными
3. Защита конфиденциальности: Шифрует передаваемые сообщения

Параметры SNC

Каждая SAP-система может быть настроена с помощью параметров SNC для безопасности связи. Уровень SNC-соединения определяется параметрами Quality of Protection:

• snc/data_protection/min: Минимальный уровень безопасности, необходимый для SNC-соединений.
• snc/data_protection/max: Максимальный уровень безопасности, инициируемый SAP-системой.
• snc/data_protection/use: Уровень безопасности по умолчанию, инициируемый SAP-системой.

Дополнительные параметры SNC могут использоваться для дальнейших системно-специфичных опций конфигурации, включая параметр snc/only_encrypted_gui, который обеспечивает принудительное использование шифрованных соединений SAPGUI.

Считывание параметров SNC

Пока SAP-система, способная отправлять SNC-сообщения, запрашивается, она также отвечает на корректные SNC-запросы, независимо от того, какие IP, порт и CN были указаны для SNC. Этот ответ содержит требования, которые SAP-система предъявляет к SNC-соединению, которые затем можно использовать для получения параметров SNC. Это можно использовать для выяснения того, включён ли SNC в SAP-системе, и если да, то какие параметры SNC были установлены.