Seguridad SAP - Plataforma Unix
Debe tomar varias medidas de seguridad al usar ciertas Propiedades, Archivos o Servicios de Unix, Proteger los Archivos de Contraseña y Desactivar los Servicios Remotos de BSD para rlogin y remsh.
Protección de contraseña
En una plataforma Unix, un atacante puede usar un programa de ataque de diccionario para descubrir información de contraseña almacenada en el sistema operativo Unix. Puede almacenar las contraseñas en un archivo de contraseñas ocultas y solo un usuario root puede tener acceso a este archivo para mejorar la seguridad en un sistema.
Desactivación de servicios remotos
Los servicios BSD Remote permiten el acceso remoto a los sistemas Unix. Cuando se inicia una conexión remota/etc/host.equiv y $HOME/.rhosts se utilizan y, en caso de que estos archivos contengan información sobre el nombre de host y la dirección IP de la fuente de conexión o cualquier carácter comodín, no es necesario introducir la contraseña al iniciar sesión.
Los servicios remotos rlogin y remsh son una amenaza para la seguridad en este escenario y debe desactivar estos servicios. Puede desactivar estos servicios yendo ainetd.conf archivo en el sistema Unix.
En un sistema Unix, rlogin es un cliente de shell remoto (como SSH), que está diseñado para ser rápido y pequeño. No está encriptado, lo que puede tener algunos pequeños inconvenientes en entornos de alta seguridad, pero puede funcionar a velocidades muy altas. Tanto el servidor como el cliente no utilizan mucha memoria.
Protección del sistema de archivos de red en UNIX
En una plataforma UNIX, se utiliza un sistema de archivos de red para acceder a los directorios de transporte y trabajo a través de la red desde un sistema SAP. Para acceder a los directorios de trabajo, el proceso de autenticación involucra direcciones de red. Es posible que los atacantes puedan obtener acceso no autorizado a través del Sistema de archivos de red mediante la suplantación de IP.
Para que el sistema sea seguro, no debe distribuir el directorio de inicio a través del Sistema de archivos de red y la autorización de escritura a estos directorios debe asignarse cuidadosamente.
Acceso al directorio del sistema SAP para el sistema SAP en UNIX
Debe establecer los siguientes derechos de acceso para los directorios del sistema SAP en UNIX:
| Directorio de SAP | Privilegio de acceso de formulario octal | Propietario | Grupo |
|---|---|---|---|
| / sapmnt / <SID> / exe | 775 | <sid> adm | sapsys |
| / sapmnt / <SID> / exe / saposcol | 4755 | raíz | sapsys |
| / sapmnt / <SID> / global | 700 | <sid> adm | sapsys |
| / sapmnt / <SID> / perfil | 755 | <sid> adm | sapsys |
| / usr / sap / <SID> | 751 | <sid> adm | sapsys |
| / usr / sap / <SID> / <ID de instancia> | 755 | <sid> adm | sapsys |
| / usr / sap / <SID> / <ID de instancia> / * | 750 | <sid> adm | sapsys |
| / usr / sap / <SID> / <ID de instancia> / seg | 700 | <sid> adm | sapsys |
| / usr / sap / <SID> / SYS | 755 | <sid> adm | sapsys |
| / usr / sap / <SID> / SYS / * | 755 | <sid> adm | sapsys |
| / usr / sap / trans | 775 | <sid> adm | sapsys |
| / usr / sap / trans / * | 770 | <sid> adm | sapsys |
| /usr/sap/trans/.sapconf | 775 | <sid> adm | sapsys |
| <directorio de inicio de <sid> adm> | 700 | <sid> adm | sapsys |
| <directorio de inicio de <sid> adm> / * | 700 | <sid> adm | sapsys |