SAP系统企业内部安全审计介绍

引言

     SAP ERP系统安全审计，对于企业来说，主要分为内部审计和外部审计两部分。而SAP内部审计分为用户安全审计和系统安全两大类，本文主要就SAP内部安全的审计方法给予浅析。

     关键字：SAP 安全、SAP 日志、SAP 监控、SAP 权限审计

一、用户权限

     SAP系统主要通过ROLE，PROFILE两种方式来进行权限的管理控制，其中系统在安装初始阶段就已经包括了一些已经被系统定义好的重要的角色与参数文件，这些角色与参数文件一旦被分配，所持有者就可以对系统内部作出相应的管理操作，当然就会对整个系统产生非常大危险性，所以我们一定要在开始就得慎用，并且设定符合自身的管理规则。

     首先列出应注意使用的参数文件：

SAP_ALL	整个SAP系统的所有权限（不包含新生成的）
SAP_NEW	整个SAP系统所有新产生的对象权限
S_A.ADMIN	SAP系统操作权限
S_A.CUSTOMIZ	所有后台配置权限
S_A.DEVELOP	无限制级别开发权限
S_A.SYSTEM	SAP系统管理权限（超级用户）
S_A.USER	SAP系统所有业务应用操作权限

     对于以上的参数文件请按照以下控制策略进行恰当的使用：

1. 尽量少的减少管理员与超级用户个数。
2. 参照想要实现的权限功能尽可能的复制新的参数文件，进行控制调整，避免使用原始参数文件所带来的控制漏洞。
3. 对管理员，业务人员，开发人员进行权限分类，避免混用权限角色与参数文件，必须遵守由业务部门跟审计部门共同制定的权限制度，避免冗余的CCA（职责不相容）出现。

     在SAP安装完毕后，也会有几个特殊的用户，在系统安装设置阶段，都要完成特殊的功用，那么我们在设置阶段结束后，一定要妥善的管理者几个用户：

SAP*	系统初始用户，拥有系统所有权限
DDIC	系统初始化进行配置使用的用户，拥有系统所有权限
SAPCPIC	系统通讯用途的超级用户
EarlyWatch	用来做系统分析的超级用户

     控制策略：

1. 通过设定参数login/no_automatic_usr_sapstar =0，此时运用SE38 运行程序RSUSR003查看上述用户的初始密码，更改所有密码。
2. 通过SUIM审核是否CCA存在，去掉不必要的职责不相容，严格遵从权限分离制度。
3. 设置一定的密码规则，对于简单通用密码可以使用SE16运行表USR40查看，通知用户及时更改。

     通过以下参数设置可以制定用户密码策略：(表名：TPFYPROPTY)

login/min_password_lng	定义密码最小允许长度
login/password_expiration_time	定义密码过期时间
login/fails_to_user_lock	密码登陆错误次数
login/failed_user_auto_unlock	晚上密码自动解锁
login/fails_to_session_end	超过制定错误登陆数后，结束所有用户进程
login/disable_multiple_gui_login	拒绝多用户使用单一用户名登陆
login/multi_login_users	允许多用户使用相同用户名登陆
login/min_password_diff	定义新旧密码重复使用次数
login/password_max_new_valid	定义对新建用户的密码有效期
login/password_max_reset_valid	定义密码重置有效期
login/min_password_digits/_letters/_specials	定义特殊字符密码规则
login/disable_password_logon and login/password_logon_usergroup	控制被撤销密码的登陆
login/disable_cpic	拒绝cpic通讯接入
login/no_automatic_user_sapstar	控制sap系统用户
rdisp/gui_auto_logout	定义系统自动空置时间

二、系统安全

     在企业SAP运作中，SAP生产系统是整个企业的根本，任何数据的更改、后台设置的更改、系统参数的更改，都会对整个企业的数据流、业务流产生很大的影响，因此对于生产系统在上线以后数据出口一定要有严格的策略进行管控。

1. 在SAP生产系统内，更新所有的公司代码为“生产”类型，通过执行OBr3，来检查并且保障设置正确。
2. SAP生产系统内，集团设定一定要标记为不允许作程序与配置更改，通过执行SCC4 与SE06进行设定。
3. SAP生产系统内，所有的更改策略都要围绕系统传输机制来完成，执行STMS控制上传请求号码。

     SAP审计功能主要包括：

1. 用户登陆及进程监控
2. 文件类型已经文件变更纪录
3. 开发纪录
4. 系统日志文件审计

     从CCA安全意义来讲，由于SAP将AUDIT LOG以文件形式存储在SAP服务器上，所以原则上更应该将SAP管理员与OS管理员真正意义上分开来控制。

     因此为了配合系统安全控制，SAP严谨的采用了自身的AUDIT 工具，系统内TRACE工具，可控制型TRACE工具，通过这些来进一步完善和加强系统安全。

三、控制策略

     系统安全控制策略如下：

1. 通过ST03，ST03N来设置系统内TRACE的时间小于等于3天。
2. 手工用SM19设置TRACE内容与时间段，将系统的每一步操作都控制起来。

     基本监控策略如下：

1. 每天作一次日常检查，通过ST22，SM21，OY18，ST02，ST04查看系统内的动作，控制每日的运行状态。
2. 系统管理员通过STAD 监控每三天用户的系统动作，配合以SM20监控更详细的内容，并且对于用户的一些不恰当的操作可以通过SUIM来完成监控。
3. 对于系统管理员的任何动作SM20也能够详细地反馈出来，每两周可以列出系统管理员的动作列表。

关于赛锐信息

作为SAP的资深合作伙伴，赛锐信息是一家专业提供SAP行业化管理软件解决方案的顾问公司，致力于为企业提供SAP ERP系统咨询服务、IT规划、业务流程优化、信息系统实施、行业信息系统方案开发，运营外包及售后维护等全面的服务方案。已服务1000+家不同行业、规模的大中小型企业客户。在电子高科技、汽车零部件、印刷包装、医疗器械、快消品、专业服务等行业信息化管理领域具有领导性地位。

相关新闻

• 

  SAP License：SAP软件作用是什么

  世界五百强的各大企业，都统一使用了一种管理软件，那就是SAP软件，这是世界最顶级、长年排名第一的企业管理解决方案，它拥有超强的逻辑处理系统，能够有效地为大型企业的资源管理做出十分精细的方案。那么，SAP软件作用是什么? 第一，SAP软件拥有强大的智能处理功能，我们可以在这个软件当中打造许多的人性化设置，每一个企业都可以根据自己的具体情况来针对SAP软件进行调整，这样也可以说是使用它为每家企业都量身打造一个管理解决方案，智能度非常地高。第二，客户体验是现在所有企业最为关心的一个核心竞争力关键，SA…

  行业动态 2022/04/25
• 

  SAP License：我所理解的SAP顾问

  每一个想要转入SAP行业的学习者都和我一样想尽快的掌握SAP软件的学习方法。究其最根本的原因在于掌握了SAP软件之后可以将它实实在在的转换为生产力。再通俗一点来讲如果掌握了SAP软件的实施技术就能换得更多的财富。其财富的获得程度要高于社会的平均水平。但是，在实践中看来要想跨入SAP顾问的行业不是一件容易的事情。如果我们仔细的思考就会发现如下的一些原因。一是由于SAP的高端定位，其培训课程非常昂贵，普通爱好者承受不起；二是SAP资料大都是英文资料，中文资料太少而且没有系统性和组织性，其中能够适合初…

  行业动态 2021/06/29
• 

  ERP系统用得好好的，直到有一天…

  1、别人家的故事 前两天受邀去参加区里数字化建锋会，参会的都是在一些企业信息部担任要职的人员，一些嘉宾上台分享了他们对企业数字化建设的看法和建议。 不可否认的是现在ERP在企业数字化领域里面依旧是核心中的核心系统，基本上对数字化有要求有规划的企业都在本地建造了属于自己的数据中心和私有云平台。 不过其中有一个数字化主管分享的一个故事，倒是一个非常典型的案例。姑且叫他W总，他所分享的故事就是他上东家的事情。 2、ERP的蜜月期 最早的时候用的是国产的ERP系统，随着企业规模的扩大，业务线不断剧增，现…

  行业动态 2024/11/02
• 

  SAP License：大陆SAP用户清单

  索尼精密仪器有限公司 东莞生益敷铜股份有限公司 索尼精密仪器有限公司 东莞生益敷铜股份有限公司 东莞开力木业 美时家具 珠海励致洋行家私有限公司 深圳三星电管有限公司 广东今日集团有限公司 广州豪雅光学有限公司 珠海华丰食品工业（Group)股份有限公司 联想电子有限公司–惠州联想 欧文斯科宁（广州）有限公司 比亚桥-佛山摩托车企业有限公司 广州宝洁有限公司 深圳华为 广州高士线业 广州创信鞋业 广州伊林变压器 深圳长科国际电子有限公司 珠海九川物流 芭田复合肥 广州美晨股份有限公司…

  行业动态 2021/04/27
• 

  SAP License：2021年度最新FICO面试题目

  SAP的FICO顾问可以按能力分为5阶，第一阶：基本会点第三阶：在有限的帮忙下能解决大部分问题第五阶：高级顾问。如果下面的题目你全会做了，基本能达到第三阶啦。 FI 1.请简述会计科目分为哪两个阶层，这两个阶层各代表什么意思分别为何？针对这两个阶层试举例三个栏位，而这三个栏位各代表的意思与控制目的为何？ 2.系统中有哪两个地方的设定可控制栏位的过账属性？ 3.资产分类的功用为何？ 4.有哪些交易会影响客户的信贷范围，请试举三个例子说明之？ 5.应收帐款部份冲账有哪两种？请说明其差别为何？ 6.供…

  行业动态 2021/04/23
• 

  SAP License：SAP五大主流ERP一览

  说起企业内部管理最重要系统之一的ERP，大家首先在脑海浮现出来的名字恐怕就是Oracle和SAP了，但人们通堂并不十分了解这两家巨头的ERP产品，因为它们自身功能和特性都一分地复杂。 近日，市场研究公司TransworldData总裁MaryEShacklett在国外科技媒体Tech Target发表了一篇文章，详细介绍了SAP的各类ERP产品，我们不妨就来一窥究竟。(注:本文原作者所梳理的SAPERP依据的是SAP在欧美市场推出的各类产品，若研究SAP在国内推出的ERP情况，本文仅作参考)。 …

  行业动态 2022/02/08