في المقال السابق قلنا الكثير عن أمن نظم تخطيط موارد المؤسسات. الآن نريد أن نتحدث عن طرق لحمايتهم.
حماية نظم تخطيط موارد المؤسسات هو التحدي. قد يستغرق إكمال المشروع الشامل الجيد سنوات ، خاصة عند التعامل مع المناظر الطبيعية الكبيرة. ومع ذلك ، فإنه يستحق الاستثمارات. فيما يلي بعض الخطوات الأساسية التي ستساعدك على تصميم تطبيق SAP بشكل آمن عندما تكون في مرحلة التخطيط. يمكنك أيضًا تطبيق هذه المنهجية لحماية أنظمتك من أكثر الهجمات شيوعًا.
1. الحماية من الهجمات الخارجية ، وتعطيل الخدمات غير الآمنة
يحتوي أي تطبيق أكثر أو أقل تعقيدًا على وظيفة كبيرة مطلوبة بشكل عام ، ولكنها غير ضرورية في حالات معينة. يتم تمكين كل هذه الوظائف تقريبًا في نظام تخطيط موارد المؤسسات بشكل افتراضي.
كالعادة ، يتضمن تثبيت SAP حوالي 1500 من خدمات الويب المختلفة ، والتي تتوفر عن بعد نيابة عن أي مستخدم مسجل ، إذا تم تمكين الخدمة بشكل افتراضي. إلى جانب ذلك ، هناك حوالي 40 خدمة يمكن الوصول إليها حتى للمستخدمين المجهولين. أشارت بعض الأبحاث إلى 13 خدمة مهمة. كما ذكر أعلاه ، هذه هي الخدمات الأساسية فقط.
نوصي بتطبيق التوصيات الواردة في الإرشادات المذكورة أعلاه في أقرب وقت ممكن - تعطيل جميع الخدمات التي يمكن للمستخدمين المجهولين الوصول إليها ، وتحليل أي من الخدمات المثبتة ضرورية ، وتقييد الوصول بالإضافة إلى ذلك عن طريق تنفيذ عمليات التحقق من التخويل.
يجب أن تشتمل بنية نظام SAP على وكيل يستند إلى الويب (SAP Web Dispatcher) يقيد الوصول إلى جميع الخدمات غير الضرورية من الخارج ويسمح بالوصول إلى الخدمات الضرورية فقط.
يقع مرسل SAP Web بين الإنترنت ونظام SAP. إنها نقطة إدخال طلبات HTTP (عناوين) في نظامك ، والتي تتكون من واحد أو أكثر من خوادم تطبيق SAP NetWeaver. وبالتالي ، يساهم SAP Web Dispatcher في توفير الأمان وموازنة الحمل في نظام SAP.
يمكنك العثور هنا على معلومات إضافية حول SAP Web Dispatcher.
2. تطبيق مبادئ SoD
تتمتع حلول SAP بفرص وظيفية متنوعة ، يتم تنفيذها من خلال البرامج والمعاملات والتقارير. يجب أن يكون الوصول إلى هذه الكائنات منظمًا وفقًا لقيم التفويض التي تحدد المستخدمين والأساليب والكائنات المسموح لهم بالوصول إليها. يمكّن الوصول إلى الإجراءات الحرجة (مثل حقوق الوصول إلى تعديل المعاملات أو قراءة أي جداول) المستخدمين من تنفيذ هجمات على أنظمة SAP أو تصعيد امتيازاتهم أو سرقة البيانات الهامة.
الفصل بين الواجبات (SoD) هو طريقة أمنية لمنع تضارب المصالح ، أي لتجنب اثنين من حقوق الوصول الأخرى التي - تمنح معًا - قد تؤدي إلى خطر حدوث أعمال احتيالية (على سبيل المثال ، الحق في إنشاء والموافقة أمر الدفع).
تتمثل الخطوة الأولى في تقليل عدد المستخدمين الذين لديهم ملف تعريف SAP_ALL أو أولئك الذين لديهم إمكانية الوصول إلى المعاملات الهامة مثل SE16 و SM59 و SE38. كخطوة تالية ، قم بتطبيق عناصر تحكم SoD ، على الأقل تلك المذكورة في إرشادات ISACA .
3. فصل التنمية من الاختبار والتحقق من نقاط الضعف
للحماية من المطورين الضارين ، أولاً ، قم بفصل التصميم بين تطوير الاختبار والبنية الأساسية للإنتاج ثم التحكم في جميع طلبات النقل من التطوير إلى الإنتاج. يبدو سهلا. ومع ذلك ، فإن المسألة هي بالضبط ما ينبغي السيطرة عليها. لفصل المهندس بشكل آمن بين تطوير الاختبار وأنظمة الإنتاج ، يجب أن تتأكد من عدم وجود اتصالات بأوراق اعتماد مخزنة من أنظمة ذات أولوية عالية (أنظمة إنتاج) للأنظمة ذات الأولوية المنخفضة (أنظمة التطوير). يُسمح لهذه الاتصالات فقط بتخزين تكوين الاتصال التقني ومصادقة المستخدم لكل وصول.
كما تعلمون ، يوفر OWASP (مشروع أمان تطبيق الويب المفتوح ، والذي يركز على تحسين الوعي بأمان تطبيقات الويب) قائمته العشرة الأولى من أكثر مواطن الضعف خطورة التي تؤثر على تطبيقات الويب. عندما نتعامل مع تطبيقات المؤسسات ، فليس مهمة تافهة فهم المشكلات التي نحتاج إلى التحقق منها. لحسن الحظ ، هناك EAS-SEC (eas-sec.org) - منظمة غير ربحية تهدف إلى زيادة الوعي في مجال أمان تطبيقات المؤسسات. يتكون EAS-SEC من مشاريع منفصلة يغطي أحدها أمان التعليمات البرمجية. يطلق عليه دليل تطوير تطبيقات نظم تطبيقات المؤسسات ، أو EASAD. يصف هذا الدليل 9 فئات عامة لقضايا الكود المصدري للغات الأعمال.
فئات:
- الحقن (كود ، SQL ، OS)
- مكالمات حرجة (إلى DB ، إلى OS)
- اختبارات التحكم في الوصول المفقودة أو السيئة (المصادقة المفقودة ، الأخطاء)
- اجتياز الدليل (الكتابة ، القراءة ، SMBRelay)
- تعديل المحتوى المعروض (XSS ، CSRF)
- الخلفية (بيانات اعتماد hardcoded)
- قنوات سرية (مآخذ مفتوحة ، مكالمات HTTP ، SSRFs)
- الكشف عن المعلومات (المستخدمون المشفرون وكلمات المرور)
- عبارات قديمة (اقرأ الجدول ، طرق النواة)
هذه الفئات عالمية وهي نفسها بالنسبة لمعظم تطبيقات الأعمال مثل SAP و Oracle و Microsoft Dynamics و Infor ولغاتهم المخصصة.
يجب أن تتضمن عملية التطوير الآمنة التحقق على الأقل من نقاط الضعف في التعليمات البرمجية لهذه الفئات التسعة.
4. اتصالات آمنة
نظرًا لأن كل نظام مرتبط بأجهزة أخرى ، فهم أي نظام يمكن مهاجمته ، وكيفية اتصال SAP بتطبيقات المؤسسة الأخرى ، وكيف يمكن للمهاجم تصعيد الامتيازات والأصول التي يجب أن تحميها في البداية أمر ضروري. يجب أن نحلل أي نظام هو الأكثر أهمية وأن نبدأ في حل المشكلات المتعلقة بهذا النظام بعينه.
بادئ ذي بدء ، نحن بحاجة إلى تعيين شدة لكل الأصول. ثم قم بتحليل الاتصالات بين الأصول ، سواء كانت آمنة أم لا ، وأخيراً حدد أولوية الأصول من خلال تأثيرها الكلي على أمان المناظر الطبيعية بالكامل. على سبيل المثال ، لديك أصول منخفضة المخاطر ، على سبيل المثال ، نظام اختبار دون أي بيانات مهمة. هذا النظام له اتصال بنظام الإنتاج ، ونظام الإنتاج هذا ، بدوره ، لديه اتصال مع البنية التحتية ICS. مع الأخذ في الاعتبار جميع الاتصالات ، قد يكون لنظام الاختبار هذا تأثير كبير على جميع المناظر الطبيعية ويجب أن نهتم بأمانه.
بالإضافة إلى آليات خادم التطبيقات ، غالبًا ما تكون الخوادم متصلة بعدد من الآليات الأخرى. على سبيل المثال ، قد يتم تثبيت حلول SAP على خوادم Windows ، والتي تعد جزءًا من مجال واحد ويتم تشغيلها بامتيازات حساب مشترك. في هذه الحالة ، يعني الوصول إلى خادم واحد دائمًا الوصول إلى جميع الخوادم الأخرى ، بغض النظر عن مدى حمايتها على مستوى التطبيق. من الممكن أيضًا عند تنفيذ الارتباطات أو الاتصالات الموثوقة عبر قواعد بيانات قواعد البيانات . غالبًا ما يقوم نظام إدارة قواعد البيانات بتخزين الإشارات إلى قواعد البيانات الأخرى مع بيانات المصادقة المحددة مسبقًا ، مما يجعل الوصول إلى قواعد البيانات الأخرى. علاوة على ذلك ، يشمل نطاق هذه الآليات أي طرق أخرى ممكنة لاختراق نظام الجوار ، والذي يستخدمه المراجعون عادةً في اختبارات الاختراق ، أي محاولة تسجيل الدخول إلى نظام مجاور باستخدام نفس كلمات المرور أو كلمات المرور المماثلة في كل من مستويات OS و DBMS ومستوى التطبيق وكذلك جميع أنواع البحث عن كلمات المرور بنص عادي في نظام الملفات ؛ تحديث ، تكامل ، نصوص احتياطية ، إلخ. يجب فحص كل هذه الخيارات للتخلص من أي خطر للاختراق من خلال رابط ضعيف واحد لجميع الأنظمة.
خطر آخر من الاتصالات غير الآمنة هو تسرب البيانات. يجب أن تقوم SAP Systems بتشفير البيانات أثناء نقلها. من الواضح أنه يجب تأمين حركة مرور HTTP بواسطة SSL ، ولكن يتم نقل الجزء الأكبر من حركة المرور باستخدام بروتوكولات الملكية الخاصة بـ SAP والتي تكون غير آمنة بشكل افتراضي مثل بروتوكول RFC (بروتوكول للاتصال بأنظمة SAP) ، DIAG (بروتوكول للاتصال بعميل SAP بخادم SAP) و بروتوكول خادم الرسائل. لسوء الحظ ، لا توجد طريقة لتأمين حركة مرور خادم الرسائل ؛ لذلك ، سيكون وضع هذه الخدمة ببساطة تحت جدار الحماية هو الخيار الوحيد. بالنسبة لبروتوكولات DIAG و RFC ، يمكن تنفيذ التشفير عبر SNC.
يتوفر SNC دون إمكانية تسجيل الدخول الفردي لجميع عملاء SAP NetWeaver لـ SAP GUI باستخدام تشفير عميل SNC ولجميع اتصالات RFC بين خوادم SAP. تتوفر إمكانيات تسجيل الدخول الأحادي الأساسية في البيئات التي تقوم فيها خوادم SAP وعملاء SAP GUI بتشغيل Microsoft.
ملخص
أمان تخطيط موارد المؤسسات مهمة معقدة. ومع ذلك ، مجرد اتخاذ هذه الخطوات الرفيعة المستوى الأربعة يمكن أن يحسن بدرجة كبيرة مستوى الأمان لنظام ERP الخاص بك. فقط بعد تنفيذ البنية بشكل آمن ، من المنطقي اتخاذ المزيد من الخطوات مثل إدارة الثغرات الأمنية والاستجابة للحوادث.