SAP系統(tǒng)安全機制及應(yīng)用

劉金才

摘要：該文介紹了安全性對于SAP系統(tǒng)的重要性，并通過對長客股份公司SAP系統(tǒng)安全管理策略的總結(jié)，詳細(xì)闡述了SAP系統(tǒng)的安全機制，涉及SAP系統(tǒng)安全管理、數(shù)據(jù)安全管理、傳輸安全管理、權(quán)限控制、系統(tǒng)審計等多方面內(nèi)容。

關(guān)鍵詞：SAP；安全；權(quán)限

中圖分類號：TP393 文獻(xiàn)標(biāo)識碼：A 文章編號：1009-3044（2014）33-8025-02

SAP是世界上最大的企業(yè)解決方案提供商和ERP產(chǎn)品生產(chǎn)商，SAP系統(tǒng)是SAP公司旗下的ERP產(chǎn)品，是全球領(lǐng)先的ERP軟件，為越來越多的大中型企業(yè)提供全面的業(yè)務(wù)解決方案，其范圍可完全覆蓋整個企業(yè)的經(jīng)營管理，使企業(yè)的所有業(yè)務(wù)運作在一個高效且可控的應(yīng)用平臺上。將企業(yè)的整個價值鏈高度集成。因此，SAP系統(tǒng)中有企業(yè)的核心業(yè)務(wù)流程和高度敏感而機密的信息，這些信息一旦被破壞或者竊取，將使企業(yè)蒙受巨大的損失，因此，如何實現(xiàn)SAP系統(tǒng)的安全控制及數(shù)據(jù)安全管理是企業(yè)的重要任務(wù)，也是企業(yè)所面臨的巨大挑戰(zhàn)。

1 SAP系統(tǒng)安全機制

SAP系統(tǒng)有非常健全的安全性方面的設(shè)計，為我們提供了比較完善的安全性管理手段，其安全性主要包括如下幾個部分：

1.1 數(shù)據(jù)傳送安全

SAP系統(tǒng)在數(shù)據(jù)的傳輸與分發(fā)方面為用戶提供了非?？煽康陌踩Ｕ?， SAP專門研發(fā)了獨特的網(wǎng)絡(luò)接口層NI（Network Interface），用來保證數(shù)據(jù)在各個層次上的安全的傳輸。NI在多個SAP系統(tǒng)之間相互通信中扮演非常重要的角色，是整個網(wǎng)絡(luò)通信協(xié)議的核心，該網(wǎng)絡(luò)通信協(xié)議是SAP所獨有的，被稱為SAP PROTOCAL（SAP協(xié)議）。SAP的網(wǎng)絡(luò)安全傳輸可以通過兩種方式實現(xiàn)，第一種是基于HTTP（超文本傳輸協(xié)議）協(xié)議的網(wǎng)絡(luò)傳輸，是通過SSL（安全套接層協(xié)議）實現(xiàn)的；第二種是基于SAP協(xié)議的網(wǎng)絡(luò)傳輸，是通過SNC（安全網(wǎng)絡(luò)通訊） 實現(xiàn)的。SAP SNC提供了對數(shù)據(jù)的多層次的安全保護(hù)，第一層為身份認(rèn)證層，提供系統(tǒng)之間的的相互認(rèn)證功能，第二層為集成保護(hù)層，負(fù)責(zé)檢測對數(shù)據(jù)的操作及數(shù)據(jù)的變化，第三層為加密保護(hù)層，對相互傳輸?shù)臄?shù)據(jù)進(jìn)行安全加密。有了SNC，SAP系統(tǒng)之間可以實很多種形式的安全通訊。

1.2 操作系統(tǒng)及數(shù)據(jù)庫安全

SAP系統(tǒng)必須運行在C2以上級別操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)之上，高安全級別操作系統(tǒng)可以有效的保證SAP系統(tǒng)的安全性，另外SAP系統(tǒng)自身也提供很健全的安全措施，比如系統(tǒng)自檢功能、防病毒攻擊、登錄口令驗證、授權(quán)管理等。

1.3 集成單點登錄

SAP系統(tǒng)中提供了標(biāo)準(zhǔn)的GSS（Generic Security Services）API接口，利用該接口SAP系統(tǒng)可以和其它第三方安全軟件產(chǎn)品集成，實現(xiàn)單點登錄功能。

1.4 系統(tǒng)審計功能

SAP系統(tǒng)中還為我們提供了非常強大的審計功能。該功能可以實現(xiàn)記錄所有用戶在SAP系統(tǒng)中的各種活動，比如用戶登錄監(jiān)控、數(shù)據(jù)操作與變更記錄、SAP系統(tǒng)參數(shù)修改記錄、操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)參數(shù)修改記錄、系統(tǒng)日志文件審計等。利用該功能就可以監(jiān)控和跟蹤用戶的活動以及業(yè)務(wù)對象的變化，并可以追溯數(shù)據(jù)破壞的過程。

1.5 密碼控制策略

SAP系統(tǒng)提供了非常強大的用戶登錄及密碼控制策略功能，以降低密碼被盜用的可能性，提高用戶口令的安全性。這可以通過SAP提供的用戶密碼策略系統(tǒng)參數(shù)實現(xiàn)，常用的系統(tǒng)參數(shù)有：login/fails_to_user_lock （ 密碼登陸錯誤次數(shù) ）、login/password_expiration_time （ 定義密碼過期時間 ） login/password_max_reset_valid （ 定義密碼重置有效期 ）、、login/min_password_lng （ 定義密碼最小允許長度 ）、login/min_password_digits/_letters/_specials （ 定義特殊字符密碼規(guī)則 ）等。

1.6 權(quán)限控制

SAP系統(tǒng)提供了一整套非常靈活的基于權(quán)限對象、角色、權(quán)限參數(shù)文件及用戶的授權(quán)機制。SAP系統(tǒng)即提供了預(yù)定義的權(quán)限，還允許自定義權(quán)限，權(quán)限可以控制在事務(wù)代碼、活動或域值級別。為滿足多樣復(fù)雜的權(quán)限控制要求，SAP系統(tǒng)引進(jìn)了權(quán)限對象的概念。若干個相關(guān)的權(quán)限通過域值組合成一個權(quán)限對象，它代表一個權(quán)限。同時，為了方便用戶權(quán)限管理，SAP系統(tǒng)還引入了基于角色授權(quán)的機制。若干權(quán)限對象可以被組合到一個角色，再將角色授予用戶，這些用戶就獲得了角色中包含的所有權(quán)限對象對應(yīng)的權(quán)限。另外角色也有單一角色和復(fù)合角色兩種，實際授權(quán)給用戶時，利用的又是參數(shù)文件。而且角色的授權(quán)還能定義有效期，這都極大地增加了權(quán)限控制管理的靈活性。

2 企業(yè)SAP系統(tǒng)安全管理策略

長客股份公司實施并應(yīng)用SAP已經(jīng)多年，SAP系統(tǒng)經(jīng)過不斷的升級和優(yōu)化，現(xiàn)在已經(jīng)覆蓋企業(yè)全部的主營業(yè)務(wù)。主要的業(yè)務(wù)流程都被移植到SAP系統(tǒng)中，為企業(yè)各領(lǐng)域業(yè)務(wù)提供強有力的支持。另外隨著系統(tǒng)的持續(xù)應(yīng)用，其中也已經(jīng)積累了大量的業(yè)務(wù)數(shù)據(jù)。任何系統(tǒng)參數(shù)、后臺配置以及業(yè)務(wù)數(shù)據(jù)的更改，都可能會對整個企業(yè)的數(shù)據(jù)流、業(yè)務(wù)流產(chǎn)生很大的影響，機密數(shù)據(jù)信息一旦被競爭對手竊取，甚至影響到公司的生死存亡，因此對于SAP系統(tǒng)的安全管理一直是企業(yè)運維中最終要的事情，從流程、制度以及策略等多方面提供保障。

2.1 業(yè)務(wù)流程和制度

伴隨著SAP系統(tǒng)的實施和應(yīng)用，企業(yè)形成了完整的系統(tǒng)運維管理體系，其中包括系統(tǒng)維護(hù)管理、系統(tǒng)應(yīng)用支持管理、程序開發(fā)與配置管理、系統(tǒng)業(yè)務(wù)監(jiān)控與考核管理、系統(tǒng)權(quán)限申請及用戶管理、系統(tǒng)用戶應(yīng)用培訓(xùn)管理等流程，通過這些流程把系統(tǒng)的安全管理制度化，流程化、規(guī)范化。大到系統(tǒng)參數(shù)維護(hù)、功能修改，小到業(yè)務(wù)數(shù)據(jù)的查看，都有完善的流程和規(guī)范的支撐，確保系統(tǒng)安全管理無死角、無縫隙。一旦出了系統(tǒng)安全事故，責(zé)任明晰沒有爭議，處罰有依據(jù)有標(biāo)準(zhǔn)。依靠健全的安全管理的體系，保證了系統(tǒng)的穩(wěn)定性和安全性。

2.2 權(quán)限管理策略

企業(yè)的SAP系統(tǒng)在權(quán)限管理方面做得非常細(xì)，整個權(quán)限結(jié)構(gòu)分為操作系統(tǒng)管理員、數(shù)據(jù)庫管理員、SAP系統(tǒng)管理員、系統(tǒng)開發(fā)組長、系統(tǒng)開發(fā)人員、關(guān)鍵用戶、最終用戶。其中操作系統(tǒng)管理員擁有操作系統(tǒng)層面的權(quán)限，負(fù)責(zé)操作系統(tǒng)層面的系統(tǒng)管理工作，但是沒有SAP系統(tǒng)管理員和數(shù)據(jù)庫管理員權(quán)限；數(shù)據(jù)庫管理員擁有數(shù)據(jù)庫管理員的權(quán)限，負(fù)責(zé)數(shù)據(jù)庫層面的管理工作，但是沒有操作系統(tǒng)和SAP系統(tǒng)管理員的權(quán)限；SAP系統(tǒng)管理員負(fù)責(zé)SAP系統(tǒng)的管理工作，但是沒有操作系統(tǒng)管理和數(shù)據(jù)庫管理的權(quán)限，也沒有業(yè)務(wù)操作的權(quán)限，主要擁有系統(tǒng)參數(shù)調(diào)整、系統(tǒng)開發(fā)請求傳輸、系統(tǒng)運行狀態(tài)監(jiān)控等權(quán)限，管理員級別權(quán)限分立對于控制系統(tǒng)級別的安全至關(guān)重要；系統(tǒng)開發(fā)組長擁有系統(tǒng)開發(fā)與配置、非高度敏感數(shù)據(jù)查詢、異常數(shù)據(jù)修復(fù)、程序調(diào)試跟蹤等權(quán)限；系統(tǒng)開發(fā)人員擁有系統(tǒng)開發(fā)與配置、非高度敏感數(shù)據(jù)查詢，他們比開發(fā)組長少了異常數(shù)據(jù)修復(fù)權(quán)限和程序調(diào)試跟蹤，這樣的權(quán)限設(shè)置既能保證開發(fā)人員日常的開發(fā)和應(yīng)用支持工作，同時也能限制開發(fā)人員私自修改系統(tǒng)后臺數(shù)據(jù)，使得系統(tǒng)數(shù)據(jù)被無意或者惡意篡改和破壞的風(fēng)險降到了最低；關(guān)鍵用戶擁有本領(lǐng)域相關(guān)系統(tǒng)數(shù)據(jù)查詢權(quán)限和特殊系統(tǒng)業(yè)務(wù)操作權(quán)限，確保滿足對本部門最終用戶日常的業(yè)務(wù)操作指導(dǎo)、數(shù)據(jù)狀態(tài)分析、基本業(yè)務(wù)主數(shù)據(jù)申請或維護(hù)及特殊情況下業(yè)務(wù)處理的權(quán)限要求；最終用戶具有本崗位要求的業(yè)務(wù)處理權(quán)限和查詢權(quán)限，最終用戶是SAP系統(tǒng)的核心使用者，他們的崗位差別也很大，所以權(quán)限設(shè)置也是非常的復(fù)雜和嚴(yán)謹(jǐn)，既要滿足本崗位的要求，同時又不允許超越本崗位的權(quán)限范圍。

最終用戶的權(quán)限設(shè)計采用崗位權(quán)限制，首先定義崗位，然后定義最小粒度的角色，為每個角色分配合適的事務(wù)代碼和權(quán)限對象值，在授權(quán)的時候，只要再將符合該崗位的角色組合分配該崗位對應(yīng)的最終用戶即可。如果有些業(yè)務(wù)對象的權(quán)限控制更加嚴(yán)格，需要控制到業(yè)務(wù)數(shù)據(jù)級別，則針對每一個崗位還會進(jìn)行更加詳細(xì)的劃分，比如項目結(jié)構(gòu)的維護(hù)和查詢權(quán)限會按照項目甚至WBS元素來控制，采購憑證的處理權(quán)限會按照憑證類型、采購組織、采購組等控制。依靠詳細(xì)的權(quán)限設(shè)計，確保每個用戶只能做他該做的業(yè)務(wù)，只能查看允許他查看的數(shù)據(jù)，極大地保證了系統(tǒng)的安全性。不過日常權(quán)限管理工作也是非常繁重的。

最終用戶如果需要申請權(quán)限要按照流程先提交權(quán)限申請表，相關(guān)部門對該用戶的資質(zhì)進(jìn)行評定，評定項目主要包括該用戶是否通過了所申請權(quán)限的業(yè)務(wù)考核、所申請權(quán)限是否與本崗位相匹配，如果評定通過才能對該用戶進(jìn)行授權(quán)。用戶長時間不登錄或者調(diào)離本崗位，該用戶將被鎖定，相應(yīng)權(quán)限都會被收回。經(jīng)再次申請之后才被重新解鎖，用戶需要根據(jù)新的崗位要求重新申請權(quán)限。

2.3 系統(tǒng)數(shù)據(jù)修改策略

可能修改的系統(tǒng)數(shù)據(jù)主要包括系統(tǒng)參數(shù)、系統(tǒng)程序和配置、錯誤業(yè)務(wù)數(shù)據(jù)。系統(tǒng)參數(shù)定義域調(diào)整前需要編制參數(shù)修改說明書，并經(jīng)系統(tǒng)管理員、操作系統(tǒng)管理員、數(shù)據(jù)庫管理員和開發(fā)組長共同確認(rèn)后才可以進(jìn)行修改；系統(tǒng)程序和配置的修改需要有需求的驅(qū)動，修改需求經(jīng)審批之后，才能開始做開發(fā)的修改，修改必須在開發(fā)機進(jìn)行，經(jīng)應(yīng)用支持測試之后，傳輸?shù)綔y試機進(jìn)行關(guān)鍵用戶測試，最終測試通過以后再經(jīng)開發(fā)組長審核，則才能由系統(tǒng)管理員將系統(tǒng)開發(fā)與配置傳輸?shù)缴a(chǎn)機。錯誤業(yè)務(wù)數(shù)據(jù)是由于系統(tǒng)運行不正常、業(yè)務(wù)方案有漏洞、用戶操作不規(guī)范導(dǎo)致，有些錯誤數(shù)據(jù)業(yè)務(wù)用戶無法修正，需提申請由系統(tǒng)運維團(tuán)隊修改，該申請需要業(yè)務(wù)部門及所有相關(guān)業(yè)務(wù)部門領(lǐng)導(dǎo)會簽后才允許執(zhí)行。所有的修改都必須有齊全的手續(xù)和完整的記錄。且只有系統(tǒng)開發(fā)組長才有權(quán)對數(shù)據(jù)進(jìn)行修改。

2.4 其它系統(tǒng)安全策略實施

我們還充分利用系統(tǒng)提供的一些安全策略來提高系統(tǒng)的的安全性。

1） 盡量減少系統(tǒng)管理員用戶個數(shù)，并妥善管理SAP*、DDIC、SAPCPIC、EarlyWatch等超級用戶，且明確系統(tǒng)管理員的分工；有的管理員負(fù)責(zé)管理和監(jiān)控系統(tǒng)，有的管理員負(fù)責(zé)傳輸請求，有的管理員負(fù)責(zé)管理權(quán)限。

2） 設(shè)置生產(chǎn)系統(tǒng)中任何程序和配置的修改都必須由傳輸機制來完成，保證對生產(chǎn)系統(tǒng)的修改都受控，而且也能保證開發(fā)機、測試機以及生產(chǎn)機中程序版本和系統(tǒng)配置的一致性。

3） 定義嚴(yán)格的密碼策略，保證密碼的復(fù)雜度和更換頻率能夠滿足安全要求，我們定義密碼的長度必須大于8位，密碼中必須包含數(shù)字、字母以及特殊字符，而且密碼每月必須進(jìn)行修改，且連續(xù)5次修改的密碼不能相同。

4） 定期檢測系統(tǒng)運行狀況和日志，了解系統(tǒng)運行狀況。通過ST03，ST03N來設(shè)置系統(tǒng)內(nèi)TRACE的時間小于等于3天；用SM19設(shè)置TRACE內(nèi)容與時間段，將系統(tǒng)的每一步操作都控制起來；每日通過ST22， SM21，OY18， ST02， ST04查看系統(tǒng)內(nèi)的動作；通過STAT、SM20監(jiān)控每三天用戶的系統(tǒng)動作；通過SUIM來監(jiān)控用戶的一些不恰當(dāng)?shù)牟僮?；用SM20監(jiān)控每兩周系統(tǒng)管理員的動作列表。

3 結(jié)束語

SAP作為業(yè)界資深的ERP軟件，在系統(tǒng)設(shè)計中采用了比較完善的安全機制，如果能夠有效的利用這些安全機制可以極大地提高信息系統(tǒng)的安全性。

參考文獻(xiàn)：

[1] 西格里德哈格曼.SAP R/3系統(tǒng)管理[M]. 董兆森，譯.北京：東方出版社，2006.

[2] 魏嘉瑋.SAP系統(tǒng)安全機制研究[J].計算機安全，2011（8）.

[3] 李偉忠.SAP實施顧問寶典[M]. 北京：人民郵電出版社，2008.