SAP系统安全机制及应用

刘金才

摘要：该文介绍了安全性对于SAP系统的重要性，并通过对长客股份公司SAP系统安全管理策略的总结，详细阐述了SAP系统的安全机制，涉及SAP系统安全管理、数据安全管理、传输安全管理、权限控制、系统审计等多方面内容。

关键词：SAP；安全；权限

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）33-8025-02

SAP是世界上最大的企业解决方案提供商和ERP产品生产商，SAP系统是SAP公司旗下的ERP产品，是全球领先的ERP软件，为越来越多的大中型企业提供全面的业务解决方案，其范围可完全覆盖整个企业的经营管理，使企业的所有业务运作在一个高效且可控的应用平台上。将企业的整个价值链高度集成。因此，SAP系统中有企业的核心业务流程和高度敏感而机密的信息，这些信息一旦被破坏或者窃取，将使企业蒙受巨大的损失，因此，如何实现SAP系统的安全控制及数据安全管理是企业的重要任务，也是企业所面临的巨大挑战。

1 SAP系统安全机制

SAP系统有非常健全的安全性方面的设计，为我们提供了比较完善的安全性管理手段，其安全性主要包括如下几个部分：

1.1 数据传送安全

SAP系统在数据的传输与分发方面为用户提供了非常可靠的安全保障， SAP专门研发了独特的网络接口层NI（Network Interface），用来保证数据在各个层次上的安全的传输。NI在多个SAP系统之间相互通信中扮演非常重要的角色，是整个网络通信协议的核心，该网络通信协议是SAP所独有的，被称为SAP PROTOCAL（SAP协议）。SAP的网络安全传输可以通过两种方式实现，第一种是基于HTTP（超文本传输协议）协议的网络传输，是通过SSL（安全套接层协议）实现的；第二种是基于SAP协议的网络传输，是通过SNC（安全网络通讯） 实现的。SAP SNC提供了对数据的多层次的安全保护，第一层为身份认证层，提供系统之间的的相互认证功能，第二层为集成保护层，负责检测对数据的操作及数据的变化，第三层为加密保护层，对相互传输的数据进行安全加密。有了SNC，SAP系统之间可以实很多种形式的安全通讯。

1.2 操作系统及数据库安全

SAP系统必须运行在C2以上级别操作系统和数据库系统之上，高安全级别操作系统可以有效的保证SAP系统的安全性，另外SAP系统自身也提供很健全的安全措施，比如系统自检功能、防病毒攻击、登录口令验证、授权管理等。

1.3 集成单点登录

SAP系统中提供了标准的GSS（Generic Security Services）API接口，利用该接口SAP系统可以和其它第三方安全软件产品集成，实现单点登录功能。

1.4 系统审计功能

SAP系统中还为我们提供了非常强大的审计功能。该功能可以实现记录所有用户在SAP系统中的各种活动，比如用户登录监控、数据操作与变更记录、SAP系统参数修改记录、操作系统和数据库系统参数修改记录、系统日志文件审计等。利用该功能就可以监控和跟踪用户的活动以及业务对象的变化，并可以追溯数据破坏的过程。

1.5 密码控制策略

SAP系统提供了非常强大的用户登录及密码控制策略功能，以降低密码被盗用的可能性，提高用户口令的安全性。这可以通过SAP提供的用户密码策略系统参数实现，常用的系统参数有：login/fails_to_user_lock （ 密码登陆错误次数 ）、login/password_expiration_time （ 定义密码过期时间 ） login/password_max_reset_valid （ 定义密码重置有效期 ）、、login/min_password_lng （ 定义密码最小允许长度 ）、login/min_password_digits/_letters/_specials （ 定义特殊字符密码规则 ）等。

1.6 权限控制

SAP系统提供了一整套非常灵活的基于权限对象、角色、权限参数文件及用户的授权机制。SAP系统即提供了预定义的权限，还允许自定义权限，权限可以控制在事务代码、活动或域值级别。为满足多样复杂的权限控制要求，SAP系统引进了权限对象的概念。若干个相关的权限通过域值组合成一个权限对象，它代表一个权限。同时，为了方便用户权限管理，SAP系统还引入了基于角色授权的机制。若干权限对象可以被组合到一个角色，再将角色授予用户，这些用户就获得了角色中包含的所有权限对象对应的权限。另外角色也有单一角色和复合角色两种，实际授权给用户时，利用的又是参数文件。而且角色的授权还能定义有效期，这都极大地增加了权限控制管理的灵活性。

2 企业SAP系统安全管理策略

长客股份公司实施并应用SAP已经多年，SAP系统经过不断的升级和优化，现在已经覆盖企业全部的主营业务。主要的业务流程都被移植到SAP系统中，为企业各领域业务提供强有力的支持。另外随着系统的持续应用，其中也已经积累了大量的业务数据。任何系统参数、后台配置以及业务数据的更改，都可能会对整个企业的数据流、业务流产生很大的影响，机密数据信息一旦被竞争对手窃取，甚至影响到公司的生死存亡，因此对于SAP系统的安全管理一直是企业运维中最终要的事情，从流程、制度以及策略等多方面提供保障。

2.1 业务流程和制度

伴随着SAP系统的实施和应用，企业形成了完整的系统运维管理体系，其中包括系统维护管理、系统应用支持管理、程序开发与配置管理、系统业务监控与考核管理、系统权限申请及用户管理、系统用户应用培训管理等流程，通过这些流程把系统的安全管理制度化，流程化、规范化。大到系统参数维护、功能修改，小到业务数据的查看，都有完善的流程和规范的支撑，确保系统安全管理无死角、无缝隙。一旦出了系统安全事故，责任明晰没有争议，处罚有依据有标准。依靠健全的安全管理的体系，保证了系统的稳定性和安全性。

2.2 权限管理策略

企业的SAP系统在权限管理方面做得非常细，整个权限结构分为操作系统管理员、数据库管理员、SAP系统管理员、系统开发组长、系统开发人员、关键用户、最终用户。其中操作系统管理员拥有操作系统层面的权限，负责操作系统层面的系统管理工作，但是没有SAP系统管理员和数据库管理员权限；数据库管理员拥有数据库管理员的权限，负责数据库层面的管理工作，但是没有操作系统和SAP系统管理员的权限；SAP系统管理员负责SAP系统的管理工作，但是没有操作系统管理和数据库管理的权限，也没有业务操作的权限，主要拥有系统参数调整、系统开发请求传输、系统运行状态监控等权限，管理员级别权限分立对于控制系统级别的安全至关重要；系统开发组长拥有系统开发与配置、非高度敏感数据查询、异常数据修复、程序调试跟踪等权限；系统开发人员拥有系统开发与配置、非高度敏感数据查询，他们比开发组长少了异常数据修复权限和程序调试跟踪，这样的权限设置既能保证开发人员日常的开发和应用支持工作，同时也能限制开发人员私自修改系统后台数据，使得系统数据被无意或者恶意篡改和破坏的风险降到了最低；关键用户拥有本领域相关系统数据查询权限和特殊系统业务操作权限，确保满足对本部门最终用户日常的业务操作指导、数据状态分析、基本业务主数据申请或维护及特殊情况下业务处理的权限要求；最终用户具有本岗位要求的业务处理权限和查询权限，最终用户是SAP系统的核心使用者，他们的岗位差别也很大，所以权限设置也是非常的复杂和严谨，既要满足本岗位的要求，同时又不允许超越本岗位的权限范围。

最终用户的权限设计采用岗位权限制，首先定义岗位，然后定义最小粒度的角色，为每个角色分配合适的事务代码和权限对象值，在授权的时候，只要再将符合该岗位的角色组合分配该岗位对应的最终用户即可。如果有些业务对象的权限控制更加严格，需要控制到业务数据级别，则针对每一个岗位还会进行更加详细的划分，比如项目结构的维护和查询权限会按照项目甚至WBS元素来控制，采购凭证的处理权限会按照凭证类型、采购组织、采购组等控制。依靠详细的权限设计，确保每个用户只能做他该做的业务，只能查看允许他查看的数据，极大地保证了系统的安全性。不过日常权限管理工作也是非常繁重的。

最终用户如果需要申请权限要按照流程先提交权限申请表，相关部门对该用户的资质进行评定，评定项目主要包括该用户是否通过了所申请权限的业务考核、所申请权限是否与本岗位相匹配，如果评定通过才能对该用户进行授权。用户长时间不登录或者调离本岗位，该用户将被锁定，相应权限都会被收回。经再次申请之后才被重新解锁，用户需要根据新的岗位要求重新申请权限。

2.3 系统数据修改策略

可能修改的系统数据主要包括系统参数、系统程序和配置、错误业务数据。系统参数定义域调整前需要编制参数修改说明书，并经系统管理员、操作系统管理员、数据库管理员和开发组长共同确认后才可以进行修改；系统程序和配置的修改需要有需求的驱动，修改需求经审批之后，才能开始做开发的修改，修改必须在开发机进行，经应用支持测试之后，传输到测试机进行关键用户测试，最终测试通过以后再经开发组长审核，则才能由系统管理员将系统开发与配置传输到生产机。错误业务数据是由于系统运行不正常、业务方案有漏洞、用户操作不规范导致，有些错误数据业务用户无法修正，需提申请由系统运维团队修改，该申请需要业务部门及所有相关业务部门领导会签后才允许执行。所有的修改都必须有齐全的手续和完整的记录。且只有系统开发组长才有权对数据进行修改。

2.4 其它系统安全策略实施

我们还充分利用系统提供的一些安全策略来提高系统的的安全性。

1） 尽量减少系统管理员用户个数，并妥善管理SAP*、DDIC、SAPCPIC、EarlyWatch等超级用户，且明确系统管理员的分工；有的管理员负责管理和监控系统，有的管理员负责传输请求，有的管理员负责管理权限。

2） 设置生产系统中任何程序和配置的修改都必须由传输机制来完成，保证对生产系统的修改都受控，而且也能保证开发机、测试机以及生产机中程序版本和系统配置的一致性。

3） 定义严格的密码策略，保证密码的复杂度和更换频率能够满足安全要求，我们定义密码的长度必须大于8位，密码中必须包含数字、字母以及特殊字符，而且密码每月必须进行修改，且连续5次修改的密码不能相同。

4） 定期检测系统运行状况和日志，了解系统运行状况。通过ST03，ST03N来设置系统内TRACE的时间小于等于3天；用SM19设置TRACE内容与时间段，将系统的每一步操作都控制起来；每日通过ST22， SM21，OY18， ST02， ST04查看系统内的动作；通过STAT、SM20监控每三天用户的系统动作；通过SUIM来监控用户的一些不恰当的操作；用SM20监控每两周系统管理员的动作列表。

3 结束语

SAP作为业界资深的ERP软件，在系统设计中采用了比较完善的安全机制，如果能够有效的利用这些安全机制可以极大地提高信息系统的安全性。

参考文献：

[1] 西格里德哈格曼.SAP R/3系统管理[M]. 董兆森，译.北京：东方出版社，2006.

[2] 魏嘉玮.SAP系统安全机制研究[J].计算机安全，2011（8）.

[3] 李伟忠.SAP实施顾问宝典[M]. 北京：人民邮电出版社，2008.