Protecciones de inicios de sesión sin autorización
Para implementar la seguridad en un sistema SAP, es necesario monitorear el inicio de sesión fallido en un entorno SAP. Cuando alguien intenta iniciar sesión en un sistema con una contraseña incorrecta, el sistema debe bloquear el nombre de usuario durante algún tiempo o esa sesión debe terminarse después de un número definido de intentos.
Se pueden configurar varios parámetros de seguridad para intentos de inicio de sesión no autorizados:
- Terminar una sesión
- Usuario de bloqueo
- Activar protectores de pantalla
- Supervisión de intentos de inicio de sesión fallidos
- Registro de intentos de inicio de sesión
Analicemos ahora cada uno de estos en detalle.
Terminar una sesión
Cuando hay varios intentos fallidos de inicio de sesión realizados en una única identificación de usuario, el sistema finaliza la sesión para ese usuario. Esto debe enviarse utilizando un parámetro de perfil:login/fails_to_session_end.
Para cambiar el valor del parámetro, ejecute Transacción RZ10y seleccione el perfil como se muestra en la siguiente captura de pantalla. Seleccione Mantenimiento extendido y haga clic enDisplay.
Seleccione el parámetro que desea cambiar y haga clic en el Parameter en la parte superior como se muestra a continuación.
Al hacer clic en la pestaña Parámetro, puede cambiar el valor del parámetro en una nueva ventana. También puede crear el nuevo parámetro haciendo clic en elCreate (F5) botón.
Para ver los detalles de este parámetro, ejecute Transaction Code: RZ11 e ingrese el nombre del perfil - login/fails_to_session_end y el clic en Display Document.
Parameter - iniciar sesión / fail_to_session_end
Short text - Número de intentos de inicio de sesión no válidos hasta que finaliza la sesión.
Parameter Description - Número de intentos de inicio de sesión no válidos que se pueden realizar con un registro maestro de usuario hasta que finalice el procedimiento de inicio de sesión.
Application Area - Iniciar sesión
Default Value - 3
Who is permitted to make changes? - cliente
Operating System Restrictions - Ninguno
Database System Restrictions - Ninguno
Are other parameters affected or dependent? - Ninguno
Values allowed - 1 - 99
En la captura de pantalla anterior, puede ver que el valor de este parámetro está establecido en 3, es decir, el valor predeterminado también. Después de 3 intentos de inicio de sesión fallidos, la sesión se terminará para un solo usuario.
Usuario de bloqueo
También puede marcar una identificación de usuario específica, si se excede un número establecido de intentos fallidos consecutivos de inicio de sesión con una sola identificación de usuario. Establezca el número de intentos de inicio de sesión no válidos que se permiten en el parámetro de perfil:login/fails_to_user_lock.
Es posible establecer un bloqueo en ID de usuario específicos.
Los bloqueos se aplican a una identificación de usuario hasta la medianoche. Sin embargo, un administrador del sistema también puede eliminarlo manualmente en cualquier momento.
En un sistema SAP, también puede establecer un valor de parámetro que permita colocar un bloqueo en la identificación de usuario hasta que se eliminen manualmente. Nombre del parámetro:login/failed_user_auto_unlock.
Profile parameter: login/fails_to_user_lock
Cada vez que se ingresa una contraseña de inicio de sesión incorrecta, se incrementa el contador de inicios de sesión fallidos para el registro maestro de usuario relevante. Los intentos de inicio de sesión se pueden registrar en el Registro de auditoría de seguridad. Si se excede el límite especificado por este parámetro, el usuario relevante se bloquea. Este proceso también se registra en Syslog.
El candado ya no es válido una vez finalizado el día actual. (Otra condición −login / failed_user_auto_unlock)
El contador de inicios de sesión fallidos se restablece una vez que el usuario inicia sesión con la contraseña correcta. Los inicios de sesión que no se basan en contraseña no tienen ningún efecto en el contador de inicios de sesión fallidos. Sin embargo, los bloqueos de inicio de sesión activos se comprueban para cada inicio de sesión.
Values allowed - 1 - 99
Para ver el valor actual de este parámetro, use T-Code: RZ11.
Parameter name - login / fail_user_auto_unlock
Short text - Desactivar el desbloqueo automático del usuario bloqueado a la medianoche.
Parameter Description- Controla el desbloqueo de usuarios bloqueados al iniciar sesión incorrectamente. Si el parámetro se establece en 1, los bloqueos que se establecieron debido a intentos fallidos de inicio de sesión con contraseña solo se aplican el mismo día (que el bloqueo). Si el parámetro se establece en 0, los bloqueos permanecen en vigor.
Application Area - Iniciar sesión.
Default Value - 0.
Activar protectores de pantalla
Los administradores del sistema también pueden habilitar protectores de pantalla para proteger la pantalla de la interfaz de cualquier acceso no autorizado. Estos protectores de pantalla pueden protegerse con contraseña.
Supervisión de intentos de inicio de sesión fallidos y registro de intentos de inicio de sesión
En un sistema SAP, puede utilizar el informe RSUSR006para comprobar si hay usuarios que hayan intentado algún intento de inicio de sesión fallido en el sistema. Este informe contiene detalles sobre el número de intentos de inicio de sesión incorrectos por parte de un usuario y los bloqueos del usuario, y puede programar este informe según sus necesidades.
Ir ABAP Editor SE38 e ingrese el nombre del informe y luego haga clic en EXECUTE.
En este informe, tiene diferentes detalles como nombre de usuario, tipo, creado el, creador, contraseña, bloqueo y detalles de inicio de sesión incorrectos.
En un sistema SAP, también es posible que utilice el Registro de auditoría de seguridad (transacciones SM18, SM19 y SM20) para registrar todos los intentos de inicio de sesión exitosos y fallidos. Puede analizar los registros de auditoría de seguridad mediante la transacción SM20, pero la auditoría de seguridad debe estar activada en el sistema para monitorear los registros de auditoría de seguridad.
Cerrar sesión de usuarios inactivos
Cuando un usuario ya ha iniciado sesión en un sistema SAP y la sesión está inactiva durante un período específico, también puede configurarlo para que cierre la sesión para evitar cualquier acceso no autorizado.
Para habilitar esta configuración, debe especificar este valor en el parámetro de perfil: rdisp/gui_auto_logout.
Parameter Description- Puede definir que los usuarios inactivos de la GUI de SAP se desconecten automáticamente de un sistema SAP después de un período predefinido. El parámetro configura este tiempo. El cierre de sesión automático en el sistema SAP está desactivado por defecto (valor 0), es decir, los usuarios no se desconectan incluso si no ejecutan ninguna acción durante un período más largo.
Values allowed- n [unidad], donde n> = 0 y Unidad = S | M | H | re
Para ver el valor actual del parámetro, ejecute T-Code: RZ11.
La siguiente tabla muestra la lista de parámetros clave, su valor predeterminado y permitido en un sistema SAP:
| Parámetro | Descripción | Defecto | Valor permitido |
|---|---|---|---|
| Iniciar sesión / fail_to_session_end | Número de intentos de inicio de sesión no válidos hasta el final de la sesión | 3 | 1-99 |
| Iniciar sesión / fail_to_user_lock | Número de intentos de inicio de sesión no válidos hasta el bloqueo del usuario | 12 | 1-99 |
| Iniciar sesión / fail_user_auto_unlock | Cuando se establece t 1: los bloqueos se aplican el día en que se establecen y se eliminan al día siguiente cuando el usuario inicia sesión | 1 | 0 o 1 |
| rdisp / gui_auto_output | Tiempo máximo de inactividad para un usuario en segundos | 0 (sin límite) | irrestricto |