SAPMAP: SAP Sistemleri Arasındaki Saldırı Yollarını Savunma İçin Görünür Kılmak

Bir SAP sisteminin güvenli görünmesi, bütün SAP ortamının güvenli olduğu anlamına gelmez. Geliştirme, test, üretim ve yönetim sistemleri arasındaki bağlantılar, tek tek küçük görünen zayıflıkları aynı saldırı yolunda birleştirebilir. Özellikle RFC hedefleri ve bu bağlantılarda kullanılan kimlik bilgileri, sınırları yalnızca ağ segmentleriyle tarif etmeyi güçleştirir.

SecurityBridge’in 16 Eylül 2026 tarihli duyurusuna göre SAPMAP — SAP Landscape Attack Path Mapper, OWASP Core Business Application Security (CBAS) çatısı altında, GPL v3 lisansıyla açık kaynak olarak yayımlandı. Projenin amacı, SAP sistemlerini ve aralarındaki ilişkileri etkileşimli bir haritada bir araya getirerek tek bir başlangıç noktasından hangi sistemlere ulaşılabileceğini görünür kılmak.

Zafiyet listesinden ilişki haritasına

Klasik bir rapor, bir sunucudaki eksik yamayı veya fazla yetkili hesabı gösterebilir. Saldırı yolu analizi ise başka bir soru sorar: Bu zayıflık, ortamın geri kalanına erişmek için nasıl kullanılabilir?

Örneğin düşük güvenli bir test sistemiyle üretim arasında tanımlanmış bir RFC bağlantısı bulunması, tek başına başarılı bir saldırı kanıtı değildir. Buna rağmen bağlantının hangi hesapla çalıştığı, hesabın yetkileri ve güven ilişkisinin yönü, olası etkinin büyüklüğünü belirler. Bu örnek, belirli bir kurumdaki tespit değil; bağlantı bağlamının neden gerekli olduğunu açıklayan bir senaryodur.

SAPMAP’in proje açıklaması sistem keşfi, RFC bağlantı haritalama, zayıf yapılandırmaların incelenmesi ve yatay hareket yollarının görselleştirilmesini aynı araçta topluyor. Böylece “hangi sistemde bulgu var?” sorusuna “bu bulgu başka hangi sistemleri etkileyebilir?” sorusu ekleniyor.

Haritanın savunma ekibine sağlayabileceği üç çıktı

Birincisi, düzeltme önceliği. Kritik iş sistemlerine erişimi etkileyen bir güven ilişkisi, aynı teknik bulgunun izole bir sistemdeki örneğinden farklı ele alınmalıdır. Öncelik yalnızca zafiyet puanı değil, iş etkisi ve bağlantı bağlamıyla belirlenir.

İkincisi, ekipler arası ortak görünüm. Basis ekibi bağlantının teknik gerekliliğini, iş birimi üretim etkisini, SOC ise tespit kapasitesini değerlendirebilir. Harita, bu değerlendirmeleri aynı sistem ve bağlantı üzerinde buluşturur.

Üçüncüsü, düzeltme sonrası karşılaştırma. Duyuruda tarayıcı tabanlı harita, ortam görüntülerini içeren raporlar ve değerlendirmeler arasındaki farkları gösteren özellikler anlatılıyor. Böyle bir karşılaştırma, yalnızca yamanın kurulduğunu değil, riskli yolun gerçekten kapandığını sorgulamak için kullanılabilir.

Bunlar aracın her ortamda eksiksiz görünürlük sağlayacağı anlamına gelmez. Görülen ilişkiler; ağ erişimi, yetkiler, kapsam ve seçilen test yöntemleriyle sınırlıdır. Haritada görünmeyen bir yolun bulunmadığı sonucuna otomatik olarak varılmamalıdır.

Sıradan bir envanter aracı değil

Proje deposundaki uyarı açıktır: SAPMAP gerçek istismar işlevleri içerir. Kullanım; veri kaybına, hesap kilitlenmesine, kesintiye ve denetim bulgularına yol açabilir. Bu nedenle her kullanım öncesinde açık ve yazılı yetkilendirme gerekir.

Duyuruda anlatılan otomatik keşif ve ilerleme yetenekleri, üretim ortamında kontrolsüz biçimde etkinleştirilecek kolaylıklar olarak görülmemeli. Bir güvenlik testinin meşru olması, operasyonel bakımdan risksiz olduğu anlamına gelmez. Proje belgesi ayrıca test sırasında oluşan kullanıcı ve diğer kalıntıların temizlenmesi sorumluluğunu kullanıcıya bırakıyor.

Bu yazı kurulum veya istismar tarifi sunmuyor. Amaç, savunma ekiplerinin aracı hangi yönetişim koşullarıyla değerlendirmesi gerektiğini ortaya koymak.

Kontrollü bir değerlendirme nasıl tasarlanmalı?

Aşağıdaki çerçeve editoryal bir uygulama önerisidir:

• Kapsamı yazılı belirleyin: Sistemler, izin verilen test türleri, test penceresi ve kapsam dışı işlemler net olsun.
• Önce güvenli ortamda doğrulayın: Üretim öncesi ortamın üretim kimlik bilgilerini veya bağlantılarını taşımadığını da kontrol edin.
• Basis ve SOC’u birlikte hazırlayın: Beklenen loglar, alarm sahipleri, durdurma koşulları ve olay iletişimi önceden tanımlansın.
• Çıktıları hassas veri sayın: Sistem adları, güven ilişkileri ve erişim yollarını içeren raporlar sınırlı erişimle saklansın.
• Düzeltmeyi yeniden değerlendirin: Bir bağlantıyı kaldırmak veya yetkiyi daraltmak iş akışını etkileyebilir. Hem güvenlik sonucu hem işlevsellik test edilsin.

SecurityBridge’in savunma odaklı açıklaması, secinfo/reginfo için varsayılan reddetme yaklaşımını, Message Server erişim listelerini ve RFC hedeflerinde en az ayrıcalığı özellikle öne çıkarıyor. Bu alanlar kurumun mimarisi ve güncel SAP rehberliğiyle birlikte incelenmelidir; bütün ortamlara aynı ayarı kopyalamak doğru değildir.

Başarı ölçütü daha çok bulgu değil, kapanan yollar

SAPMAP’in editoryal açıdan en değerli yanı, güvenlik tartışmasını tek sunucudan sistemler arası ilişkilere taşıması. Savunma ekibi için sonuç, renkli bir harita üretmekten ibaret olmamalı: Gereksiz güven ilişkileri azaltılmalı, kritik yollar için sorumlular atanmalı ve düzeltmelerin etkisi yeniden gösterilmelidir.

Kaynaklar

• SecurityBridge: SAPMAP ve OWASP CBAS duyurusu
• SAPMAP: proje deposu, README ve kullanım uyarıları