SAPセキュリティ-ネットワーク通信

Secure Network Communication (SNC)安全な認証方法を使用してアプリケーションサーバーにログインするためにも使用できます。SNCは、SAP GUI forWindowsまたはRFC接続を使用したユーザー認証に使用できます。

SNCは、外部セキュリティ製品を使用して、通信パートナー間の認証を実行します。公開鍵インフラストラクチャPKIや手順などのセキュリティ対策を使用して、鍵ペアを生成および配布できます。

脅威を排除し、ネットワーク攻撃を防ぐことができるネットワークトポロジを定義する必要があります。ユーザーがアプリケーションまたはデータベース層にログインできない場合、攻撃者はSAPシステムまたはデータベースシステムにアクセスして重要な情報にアクセスすることはできません。

明確に定義されたネットワークトポロジでは、侵入者が会社のLANに接続できないため、ネットワークサービスまたはSAPシステムのセキュリティの抜け穴にアクセスできません。

SAPシステムのネットワークトポロジ

物理ネットワークアーキテクチャは、SAPシステムのサイズに完全に依存します。SAPシステムは通常、クライアントサーバーアーキテクチャで実装され、各システムは通常、次の3つの層に分割されます。

データベースレイヤー
アプリケーション層
プレゼンテーション層

SAPシステムが小さい場合、個別のアプリケーションとデータベースサーバーがない場合があります。ただし、大規模なシステムでは、多くのアプリケーションサーバーがデータベースサーバーおよびいくつかのフロントエンドと通信します。これにより、システムのネットワークトポロジが単純なものから複雑なものまで定義され、ネットワークトポロジを編成するときにさまざまなシナリオを検討する必要があります。

大規模な組織では、アプリケーションとデータベースサーバーを別のマシンにインストールし、フロントエンドシステムとは別のLANに配置することをお勧めします。

次の画像では、SAPシステムの優先ネットワークトポロジを確認できます-

データベースとアプリケーションサーバーをフロントエンドVLANとは別のVLANに配置すると、アクセス制御システムを改善できるため、SAPシステムのセキュリティが向上します。フロントエンドシステムは異なるVLANにあるため、サーバーVLANに入るのは簡単ではなく、SAPシステムのセキュリティをバイパスします。

SAPネットワークサービス

SAPシステムには、有効になっているさまざまなサービスがありますが、SAPシステムを実行するために必要なサービスはごくわずかです。SAPシステムでは、Landscape、 Database そして Application Serversネットワーク攻撃の最も一般的なターゲットです。これらのサーバーへのアクセスを許可する多くのネットワークサービスがランドスケープで実行されているため、これらのサービスを注意深く監視する必要があります。

Window / UNIXマシンでは、これらのサービスは /etc/services。次のパスに移動すると、Windowsマシンでこのファイルを開くことができます-

system32/drivers/etc/services