SAP Code Vulnerability Analyzer (SAP CVA)

Name: leverX Company
Brand: LeverX
Rating: 4.9 (114 reviews)

Обеспечьте безопасность и совместимость ABAP-кода на ранних стадиях разработки.

Как SAP Gold Partner, мы предоставляем доступ к ресурсам и специалистам, опыт которых гарантирует надежность вашего проекта и помогает адаптировать решения SAP к вашим уникальным потребностям, обеспечивая окупаемость инвестиций и эффективность.

Партнерство c LeverX в качестве стратегического поставщика SAP выходит за рамки взаимодействия “покупатель-продавец”. Мы предоставляем критически важные решения для глобальных операций, сотрудничаем с вами в разработке продуктов и помогаем продвигать стратегические инициативы.

LeverX — сертифицированный партнер SAP Center of Expertise, который гарантирует соответствие самым современным стандартам SAP. Мы обеспечиваем высокий уровень обслуживания и помогаем клиентам успешно достигать своих целей. Наша цель — поддержать ваш бизнес, создавая надежные и эффективные решения на базе SAP.

Будучи членом сети SAP AppHaus, мы помогаем компаниям обеспечить исключительный пользовательский опыт и стимулировать цифровую трансформацию, используя дизайн-мышление, инновации и лучшие практики и передовые инструменты SAP для создания ориентированных на пользователя решений.

Индивидуальная разработка ABAP-кода открывает уникальные возможности модернизации вашей SAP-системы. Но без тщательной проверки безопасности даже качественный код может обернуться серьезными рисками: утечкой данных, уязвимостями, финансовыми потерями и оттоком клиентов. Все это делает проверку кода жизненно необходимой для бесперебойной работы и успеха бизнеса в целом.

SAP Code Vulnerability Analyzer (SAP CVA) — это инструмент для статического анализа кода, который проверяет клиентский код на наличие уязвимостей. SAP CVA сканирует поток ABAP-кода без его выполнения и подсвечивает потенциально опасные конструкции. Это дает IT-командам возможность своевременно исправить ошибки и устранить уязвимости задолго до релиза готовой версии.

LeverX — стратегический поставщик решений SAP и SAP Gold Partner — предлагает профессиональные услуги по внедрению SAP CVA. Наши эксперты адаптируют решение под особенности вашего проекта, обеспечив защиту данных и плавную работу ABAP-приложений.

Раннее распознавание уязвимостей

SAP CVA распознает уязвимости кода на ранних этапах разработки, снижая риски сбоев и нарушений безопасности в будущем.

Уменьшение ложных срабатываний

Своевременное обнаружение уязвимостей снижает количество ложных срабатываний и помогает предотвратить риски мошенничества и связанных с ним проблем.

Соответствие и безопасность

SAP Code Vulnerability Analyzer помогает соблюдать как общие стандарты безопасности разработки, так и отраслевые.

Снижение расходов

SAP CVA позволяет устранять уязвимости еще на стадии разработки, что снижает расходы на доработку готового продукта и восстановление после утечек данных.

Отчетность и прозрачность

SAP CVA генерирует отчеты о выявленных проблемах, классифицируя их по типу и серьезности, что упрощает проверки безопасности.

Интеграция с решениями SAP

SAP CVA интегрируется с ABAP Test Cockpit, позволяя разработчикам выполнять проверки на уязвимости в рамках существующих процессов разработки без использования сторонних инструментов.

Исходный ABAP-код

Пользовательские программы, разработанные на ABAP
Функциональные модули, классы и методы
Отчеты и include-файлы

Приложения ABAP Web Dynpro

UI-компоненты и обработчики событий
Логика валидации ввода

Бизнес-дополнения (BAdI) и пользовательские расширения (user exits)

Пользовательские улучшения и расширения
Код, написанный в рамках SAP Enhancement Frameworks

Формы и скрипты

Логика в Smart Forms и SAPscript
Обработка динамических данных и операций ввода/вывода

Код доступа к данным

Операторы SELECT, INSERT, UPDATE и DELETE
Динамический SQL и команды Open SQL

Логика авторизации

Операторы authority-check
Проверка ролей и прав доступа

Удаленные вызовы функций (RFC)

Взаимодействие кода с внешними системами
Валидация параметров и обработка данных в функциях с поддержкой RFC

Конструкции динамического программирования

Операторы EXECUTE, ASSIGN и CALL METHOD
Код с динамическим выполнением или манипуляцией переменными

Интерфейсы и вызовы API

Взаимодействие кода с API SAP или сторонних систем
Проверка входных и выходных данных в интерфейсах

Работа с постоянными и временными данными

Логика работы с файлами (например, OPEN DATASET и др.)
Использование временных таблиц и управление памятью

Статический анализ кода

Анализирует исходный код без его выполнения
Выявляет уязвимости, такие как SQL-инъекции, XSS и захардкоженные учетные данные

Анализ потока данных

Отслеживает, как данные проходят через код
Обнаруживает небезопасную обработку пользовательского ввода или конфиденциальных данных
Помогает выявлять точки инъекций и «загрязненные» пути данных

Анализ потока управления

Анализирует пути выполнения кода
Выявляет логические ошибки или обходы проверок авторизации

Сопоставление с шаблонами

Использует заранее заданные шаблоны уязвимостей (например, рискованные вызовы функций)
Отмечает код, соответствующий известным небезопасным практикам программирования

Контекстно-чувствительный анализ

Учитывает контекст использования оператора
Позволяет избежать ложных срабатываний, понимая логику окружающего кода

Межпроцедурный анализ

Анализирует код между методами, функциями и программами
Выявляет уязвимости, охватывающие несколько модулей кода

Семантический анализ

Понимает смысл и намерение операторов кода
Проверяет, насколько логично реализованы проверки авторизации и ввода

Анализ проверок авторизации

Проверяет наличие и корректность операторов AUTHORITY-CHECK
Обеспечивает реализацию надлежащего ролевого контроля доступа

Анализ на основе правил

Использует предопределенные SAP и пользовательские правила безопасности
Может быть расширен или адаптирован под внутренние политики безопасности

Интеграция с ATC (ABAP Test Cockpit)

Использует инфраструктуру ATC для проверки кода
Обеспечивает стандартизированную и централизованную валидацию безопасности в проектах

Как мы можем помочь

Мы предоставляем весь спектр услуг по работе с SAP Code Vulnerability Analyzer.

Внедрение и конфигурация

Эксперты LeverX помогут настроить и активировать SAP CVA в SAP NetWeaver или SAP BTP ABAP Environment, а также интегрировать CVA с ABAP Test Cockpit или пользовательскими решениями.

Сканирование кода и оценка уязвимостей

Мы поможем интерпретировать технические и исполнительные отчеты по оценке рисков и улучшить защиту бизнес-процессов, обеспечив соответствие стандартам.

Круглосуточная служба поддержки

Наша служба поддержки поможет с решением любых вопросов, связанных с CVA, будь то пояснение к терминологии или устранение ошибок.

Обучение и тренинг команды разработки

LeverX проводит семинары для ABAP-разработчиков и архитекторов, а также организует тренинги по Security by Design в SAP-разработке.

Интеграция с SAP Security

Мы интегрируем SAP CVA в SAP GRC, SAP Enterprise Threat Detection и Converged Cloud Security, обеспечивая проведение проверок в соответствии со стандартами SAP Security Baseline.

Узнайте больше о наших услугах в области решений SAP

Детали

Почему LeverX

Обширный опыт

У нас за плечами — более 20 лет опыта работы и 950+ успешных проектов в области SAP для 800+ клиентов, включая компании из списка Fortune 500.

Отраслевые эксперты

Команда LeverX — это специалисты с практическими знаниями в 30+ областях, включая производство, логистику, нефтегазовую промышленность и другие.

Партнерство с SAP

Мы не только внедряем проекты в области SAP под ключ, но и участвуем в разработке и улучшении решений SAP вместе с вендором.

Качество и безопасность

LeverX работает в соответствии с международными стандартами ISO 9001, ISO 27001, ISO 22301 и ISO 55001, что гарантирует надежность и качество реализуемых проектов.

Инвестиции в инновации

Мы активно внедряем передовые технологии, такие как Data Science, IoT, AI, Big Data и Blockchain, чтобы помочь клиентам эффективно решать их бизнес-задачи.

Гибкость разработки

Наша команда на связи 24/7, что позволяет нам быстро развертывать проекты, обеспечивать прозрачность процессов и адаптировать каждый этап разработки под ваши требования.

Карта внедрения SAP CVA

При внедрении SAP Code Vulnerability LeverX придерживается модели Secure Software Development Lifecycle (Secure SDLC). Такой подход включает пять стадий:

Конфигурация → Сканирование → Анализ → Исправление ошибок → Повторное сканирование

Этот цикл повторяется в каждой стадии разработки, обеспечивая непрерывную безопасность кода.

Активация CVA

Убедитесь, что ваша система SAP имеет нужную версию программного обеспечения и другие необходимые инструменты. Затем активируйте проверку безопасности в настройках системы и выберите, какие типы уязвимостей должны быть выявлены. После этого настройте CVA на выполнение проверок вручную или по расписанию.

Сканирование кода

Запустите сканирование нужных участков кода с помощью встроенных инструментов SAP или напрямую из вашей среды разработки. Для удобства сканирование можно автоматизировать: оно будет запускаться автоматически при каждом обновлении кода.

Интерпретация и анализ результатов

После сканирования результаты группируются по типам уязвимостей, например, XSS-атаки или захардкоженные пароли. Каждый результат показывает, где именно находится проблема, насколько она критична и как ее можно исправить.

Устранение уязвимостей

Следуйте рекомендациям SAP для устранения выявленных проблем:

Применяйте безопасные методы программирования;
Удаляйте захардкоженные учетные данные;
Используйте безопасные практики программирования на ранних этапах разработки;
Сделайте регулярные проверки безопасности частью процесса.

Повторное сканирование

После внесения исправлений повторно запустите проверку и сравните новые результаты с предыдущими, чтобы отследить прогресс. Ведите журнал обнаруженных проблем — это поможет выявлять повторяющиеся ошибки и повысить качество кода.

FAQ

Включен ли SAP CVA в лицензию SAP по умолчанию, или его нужно приобретать отдельно?

По умолчанию SAP CVA включен в SAP NetWeaver AS ABAP версии 7.02 и выше, и отдельная покупка лицензии не требуется. Но для использования некоторых расширенных функций может потребоваться дополнительная настройка или назначение ролей — зависит от конфигурации системы в каждом отдельном случае.

Какие типы уязвимостей обнаруживает SAP CVA?

SAP Code Vulnerability Analyzer выявляет широкий спектр уязвимостей в коде, включая:

SQL-инъекции;
Межсайтовый скриптинг (XSS);
Отсутствующие или некорректные проверки авторизации;
Опасный доступ к файловой системе;
Захардкоженные учетные данные и утечки конфиденциальной информации.

С какими системами SAP совместим CVA?

SAP CVA совместим со следующими системами:

SAP NetWeaver AS ABAP 7.02 и выше (локально);
SAP S/4HANA (все версии со встроенным NetWeaver);
SAP BTP ABAP Environment (для облачной разработки).

Можно ли интегрировать SAP CVA в DevOps или CI/CD-пайплайны?

Да, SAP CVA запускается как часть ABAP Test Cockpit, который может автоматически выполняться в CI/CD-пайплайнах. Это позволяет напрямую включить проверку безопасности ABAP-кода в жизненный цикл разработки.

1

An expert will reach out to you to discuss your specific migration needs and requirements.
2

We'll sign an NDA to ensure any sensitive information is kept secure and confidential.
3

We'll work with you to prepare a customized proposal based on the project's scope, timeline, and budget.

20+
years of expertise

950+
projects

1,800+
professionals

SAP Code Vulnerability Analyzer (SAP CVA)

Преимущества SAP CVA для вашего бизнеса

Ключевые особенности SAP Code Vulnerability Analyzer

Статический анализ кода

Технические возможности SAP Code Vulnerability Analyzer

Предмет сканирования

Исходный ABAP-код

Приложения ABAP Web Dynpro

Бизнес-дополнения (BAdI) и пользовательские расширения (user exits)

Формы и скрипты

Код доступа к данным

Логика авторизации

Удаленные вызовы функций (RFC)

Конструкции динамического программирования

Интерфейсы и вызовы API

Работа с постоянными и временными данными

Методики анализа

Статический анализ кода

Анализ потока данных

Анализ потока управления

Сопоставление с шаблонами

Контекстно-чувствительный анализ

Межпроцедурный анализ

Семантический анализ

Анализ проверок авторизации

Анализ на основе правил

Интеграция с ATC (ABAP Test Cockpit)

Как мы можем помочь

Отрасли, с которыми мы работаем

Почему LeverX

Обширный опыт

Отраслевые эксперты

Партнерство с SAP

Качество и безопасность

Инвестиции в инновации

Гибкость разработки

Карта внедрения SAP CVA

Активация CVA

Сканирование кода

Интерпретация и анализ результатов

Устранение уязвимостей

Повторное сканирование

FAQ

Contact Us