SAP系统企业内部安全审计介绍

引言

     SAP ERP系统安全审计，对于企业来说，主要分为内部审计和外部审计两部分。而SAP内部审计分为用户安全审计和系统安全两大类，本文主要就SAP内部安全的审计方法给予浅析。

     关键字：SAP 安全、SAP 日志、SAP 监控、SAP 权限审计

一、用户权限

     SAP系统主要通过ROLE，PROFILE两种方式来进行权限的管理控制，其中系统在安装初始阶段就已经包括了一些已经被系统定义好的重要的角色与参数文件，这些角色与参数文件一旦被分配，所持有者就可以对系统内部作出相应的管理操作，当然就会对整个系统产生非常大危险性，所以我们一定要在开始就得慎用，并且设定符合自身的管理规则。

     首先列出应注意使用的参数文件：

SAP_ALL	整个SAP系统的所有权限（不包含新生成的）
SAP_NEW	整个SAP系统所有新产生的对象权限
S_A.ADMIN	SAP系统操作权限
S_A.CUSTOMIZ	所有后台配置权限
S_A.DEVELOP	无限制级别开发权限
S_A.SYSTEM	SAP系统管理权限（超级用户）
S_A.USER	SAP系统所有业务应用操作权限

     对于以上的参数文件请按照以下控制策略进行恰当的使用：

1. 尽量少的减少管理员与超级用户个数。
2. 参照想要实现的权限功能尽可能的复制新的参数文件，进行控制调整，避免使用原始参数文件所带来的控制漏洞。
3. 对管理员，业务人员，开发人员进行权限分类，避免混用权限角色与参数文件，必须遵守由业务部门跟审计部门共同制定的权限制度，避免冗余的CCA（职责不相容）出现。

     在SAP安装完毕后，也会有几个特殊的用户，在系统安装设置阶段，都要完成特殊的功用，那么我们在设置阶段结束后，一定要妥善的管理者几个用户：

SAP*	系统初始用户，拥有系统所有权限
DDIC	系统初始化进行配置使用的用户，拥有系统所有权限
SAPCPIC	系统通讯用途的超级用户
EarlyWatch	用来做系统分析的超级用户

     控制策略：

1. 通过设定参数login/no_automatic_usr_sapstar =0，此时运用SE38 运行程序RSUSR003查看上述用户的初始密码，更改所有密码。
2. 通过SUIM审核是否CCA存在，去掉不必要的职责不相容，严格遵从权限分离制度。
3. 设置一定的密码规则，对于简单通用密码可以使用SE16运行表USR40查看，通知用户及时更改。

     通过以下参数设置可以制定用户密码策略：(表名：TPFYPROPTY)

login/min_password_lng	定义密码最小允许长度
login/password_expiration_time	定义密码过期时间
login/fails_to_user_lock	密码登陆错误次数
login/failed_user_auto_unlock	晚上密码自动解锁
login/fails_to_session_end	超过制定错误登陆数后，结束所有用户进程
login/disable_multiple_gui_login	拒绝多用户使用单一用户名登陆
login/multi_login_users	允许多用户使用相同用户名登陆
login/min_password_diff	定义新旧密码重复使用次数
login/password_max_new_valid	定义对新建用户的密码有效期
login/password_max_reset_valid	定义密码重置有效期
login/min_password_digits/_letters/_specials	定义特殊字符密码规则
login/disable_password_logon and login/password_logon_usergroup	控制被撤销密码的登陆
login/disable_cpic	拒绝cpic通讯接入
login/no_automatic_user_sapstar	控制sap系统用户
rdisp/gui_auto_logout	定义系统自动空置时间

二、系统安全

     在企业SAP运作中，SAP生产系统是整个企业的根本，任何数据的更改、后台设置的更改、系统参数的更改，都会对整个企业的数据流、业务流产生很大的影响，因此对于生产系统在上线以后数据出口一定要有严格的策略进行管控。

1. 在SAP生产系统内，更新所有的公司代码为“生产”类型，通过执行OBr3，来检查并且保障设置正确。
2. SAP生产系统内，集团设定一定要标记为不允许作程序与配置更改，通过执行SCC4 与SE06进行设定。
3. SAP生产系统内，所有的更改策略都要围绕系统传输机制来完成，执行STMS控制上传请求号码。

     SAP审计功能主要包括：

1. 用户登陆及进程监控
2. 文件类型已经文件变更纪录
3. 开发纪录
4. 系统日志文件审计

     从CCA安全意义来讲，由于SAP将AUDIT LOG以文件形式存储在SAP服务器上，所以原则上更应该将SAP管理员与OS管理员真正意义上分开来控制。

     因此为了配合系统安全控制，SAP严谨的采用了自身的AUDIT 工具，系统内TRACE工具，可控制型TRACE工具，通过这些来进一步完善和加强系统安全。

三、控制策略

     系统安全控制策略如下：

1. 通过ST03，ST03N来设置系统内TRACE的时间小于等于3天。
2. 手工用SM19设置TRACE内容与时间段，将系统的每一步操作都控制起来。

     基本监控策略如下：

1. 每天作一次日常检查，通过ST22，SM21，OY18，ST02，ST04查看系统内的动作，控制每日的运行状态。
2. 系统管理员通过STAD 监控每三天用户的系统动作，配合以SM20监控更详细的内容，并且对于用户的一些不恰当的操作可以通过SUIM来完成监控。
3. 对于系统管理员的任何动作SM20也能够详细地反馈出来，每两周可以列出系统管理员的动作列表。

关于赛锐信息

作为SAP的资深合作伙伴，赛锐信息是一家专业提供SAP行业化管理软件解决方案的顾问公司，致力于为企业提供SAP ERP系统咨询服务、IT规划、业务流程优化、信息系统实施、行业信息系统方案开发，运营外包及售后维护等全面的服务方案。已服务1000+家不同行业、规模的大中小型企业客户。在电子高科技、汽车零部件、印刷包装、医疗器械、快消品、专业服务等行业信息化管理领域具有领导性地位。

相关新闻

• 

  揭秘 SAP S/4HANA 1709 版本全新亮点

  继SAP S/4HANA 1610版本成功发布之后，SAP于2017年9月15日发布了SAP S/4HANA 1709版本。在这篇文章中，您将直观的了解该新发布版本的架构革新，SAP S/ 4HANA部署和使用的最新工具，以及功能创新和增强功能。 架构演化 SAP S/4HANA 1709版本现已可供使用。该版本运行于第二代SAP的内存数据库平台SAP HANA 2上运行，支持扩展和使用双活来增加性能。这使客户能够从数据库系统的最新创新中获益。 核心扩展 在SAP S/4HANA 1709中，我…

  行业动态 2023/12/05
• 

  SAP License：对煤化工行业的几点思考

  煤化工是以煤为原料，经过化学反应生成化工、能源产品的工业，是煤炭的深加工产业。       近几年来，我国煤化工发展逐步升温，呈现无序、过热的态势。各产煤省(地)纷纷抛出了庞大的煤化工发展规划，不仅以合成氨、甲醇、PVC等为代表的传统煤化工产品的产能急剧膨胀，而在建和规划中的产品主要定位在煤制油、甲醇/二甲醚和甲醇制烯烃等方面。各类企业、各种资金纷纷进入煤化工产业，包括煤炭企业、电力企业、化工企业，国有资金、民间资金、国内资金、国际资金等。投资之…

  行业动态 2021/05/18
• 

  SAP License：SAP工业4.0 创新解决方案：智能物流

  这一届两会中，“中国制造2025”无疑是两会热词之一。如何在中国制造2025大潮中实现智造转型? 也成为中国制造业2016“必考题”。SAP作为德国工业4.0/智能服务发起组织中唯一软件厂商，承担了相关管理软件的开发和推广工作。从生产、物料寻源、供应链、仓储以、成品销售以及商业模式创新帮助企业实现卓越运营。想知道SAP在工业4.0领域中都有哪些创新解决方案? 白皮书节选 SAP智能物流解决方案 借助SAP Connected Logistics解决方案，企业可以驾驭物联网，重塑供应链，将实时数据…

  行业动态 2022/03/22
• 

  SAP帮你开拓你的想象力

  贫穷限制了你的想象力？呵呵，赛锐来帮你…… 马云又双叒火了，不是因为演讲，也不是因为天猫总交易额达到1682亿元，日常刷新单日交易额纪录，而是一部电影——《功守道》！ 在这部云集了李连杰、甄子丹、吴京等国内一线功夫巨星的22分钟短片中，马云单挑叶问，吊打战狼，横扫对手，一帅到底，让观众不禁感叹：演员才是他的人生目标，阿里只是铺路，为青年演员马云打call！ 我不打女人，因为女人成就了我的天下 电影一出，众网友纷纷一边调侃“天下武功，唯钱不破”，一边又在悲鸣： 贫穷限制了我的想象力！ 不过这难道真…

  行业动态 2023/10/18
• 

  包装印刷行业为什么要上SAP ERP系统？

  一、了解包装行业分类 1、按包装材料分类，包装行业可分为纸包装、金属包装、塑料包装、玻璃包装等细分子行业； 2、从产业链来看，包装印刷行业的上游主要是造纸、设备制造业，下游衔接卷烟、IT电子、食品饮料等行业； 3、上游原料以塑料、设备、废纸和木浆为主，而下游行业中卷烟、IT电子、食品饮料产品需求较大。 二、包装印刷行业面临的问题 1、包装行业业务部门与生产部门信息不共享、信息传递滞后，易导致车间生产计划调整滞后或生产混乱。 2、缺少历史数据、市场需求分析数据作为决策依据，导致生产无法适应市场需求…

  行业动态 2021/01/07
• 

  SAP License：我的生活之SAP开篇

  看到好多人私信问我各种有关SAP的问题，由于本人无法做到及时一一回复，可能让有需要的人错过我本可以告诉他们的信息，索性在这里简单写一篇文章。涉及公司薪酬的敏感一类问题就不再作答了，职场老手基本上不用说都心知肚明，刚毕业的学生们只能说你们不要期望太高，跟互联网公司比当然还是差个段位的。 题图是办公室（长泰广场）楼下健身完回来之后拍的，基本上下班6点之后大家就陆续走光了，除非个别同事可能是偶尔有工作写到兴头上而不想做一半。那个带有A4座右铭的座位就是鄙人的了。 2014年元旦入职之后到现在6年多，中…

  行业动态 2021/03/19