Aracılığıyla paylaş

Şüpheli yapılandırma değişikliklerini algılamak için izlenen SAP güvenlik parametreleri

  • Makale

Bu makalede, SAP uygulamaları için Microsoft Sentinel çözümünün "SAP - (Önizleme) Hassas Statik Parametre Değişti" analiz kuralının bir parçası olarak izlediği SAP® sistemindeki güvenlik parametreleri ayrıntılı olarak açıklanmaktadır.

SAP uygulamaları için Microsoft Sentinel çözümü, SAP® en iyi uygulama değişikliklerine göre bu içerik için güncelleştirmeler sağlar. ayrıca watch için parametreler ekleyebilir, değerleri kuruluşunuzun gereksinimlerine göre değiştirebilir ve SAPSystemParameters izleme listesinde belirli parametreleri devre dışı bırakabilirsiniz.

Not

SAP® uygulamalarına yönelik Microsoft Sentinel çözümünün SAP güvenlik parametrelerini başarıyla izlemesi için, çözümün SAP PAHI tablosunu düzenli aralıklarla başarıyla izlemesi gerekir. Çözümün PAHI tablosunu başarıyla izleyebildiğini doğrulayın.

İzlenen statik SAP güvenlik parametreleri

Bu liste, SAP uygulamaları için Microsoft Sentinel çözümünün SAP sisteminizi korumak için izlediği statik SAP® güvenlik parametrelerini içerir. Liste, bu parametreleri yapılandırmaya yönelik bir öneri değildir. Yapılandırmayla ilgili dikkat edilmesi gerekenler için SAP yöneticilerinize başvurun.

Parametre Açıklama Güvenlik değeri/dikkat edilmesi gerekenler
gw/accept_remote_trace_level Merkezi İşlem Tümleştirmesi (CPI) ve Uzak İşlev Çağrısı (RFC) alt sistemlerinin uzak izleme düzeyini benimseyıp benimsemediğini denetler. Bu parametre olarak 1ayarlandığında, CPI ve RFC alt sistemleri uzak izleme düzeylerini kabul eder ve benimser. olarak ayarlandığında 0, uzak izleme düzeyleri kabul edilir ve bunun yerine yerel izleme düzeyi kullanılır.

İzleme düzeyi, belirli bir program veya işlem için sistem günlüğüne kaydedilen ayrıntı düzeyini belirleyen bir ayardır. Alt sistemler izleme düzeylerini benimsediğinde, yalnızca yerel sistemden değil, uzak bir sistemden bir program veya işlem için izleme düzeyini ayarlayabilirsiniz. Bu ayar, uzaktan hata ayıklamanın veya sorun gidermenin gerekli olduğu durumlarda yararlı olabilir.		 parametresi, dış sistemlerden kabul edilen izleme düzeyini kısıtlanacak şekilde yapılandırılabilir. Daha düşük bir izleme düzeyi ayarlamak, dış sistemlerin SAP sisteminin iç çalışmaları hakkında edinebileceği bilgi miktarını azaltabilir.
oturum açma/password_change_for_SSO Çoklu oturum açma durumlarında parola değişikliklerinin nasıl zorunlu kılınmasını denetler. Yüksek, parola değişikliklerini zorunlu tutma, kimlik avı veya başka yollarla geçerli kimlik bilgileri edinmiş olabilecek saldırganlar tarafından sisteme yetkisiz erişimin önlenmesine yardımcı olabilir.
icm/accept_remote_trace_level Internet Communication Manager'ın (ICM) dış sistemlerden uzak izleme düzeyi değişikliklerini kabul edip etmediğini belirler. Orta, uzaktan izleme düzeyinde değişikliklere izin vermek saldırganlara değerli tanılama bilgileri sağlayabilir ve sistem güvenliğini tehlikeye atabilir.
rdisp/gui_auto_logout Kullanıcının oturumunu otomatik olarak kapatmadan önce SAP GUI bağlantıları için en uzun boşta kalma süresini belirtir. Yüksek, etkin olmayan kullanıcıların otomatik olarak oturumunu kapatma, kullanıcının iş istasyonuna erişim sağlamış olabilecek saldırganlar tarafından sisteme yetkisiz erişimin önlenmesine yardımcı olabilir.
rsau/enable Güvenlik Denetimi günlüğünün etkinleştirilip etkinleştirilmediğini denetler. Yüksek, çünkü Güvenlik Denetimi günlüğü güvenlik olaylarını algılamak ve araştırmak için değerli bilgiler sağlayabilir.
oturum açma/min_password_diff Kullanıcılar parolalarını değiştirdiğinde eski ve yeni parola arasında farklılık göstermeleri gereken en az karakter sayısını belirtir. Yüksek, çünkü en az sayıda karakter farkı gerektirmek, kullanıcıların kolayca tahmin edilebilecek zayıf parolalar seçmesini önlemeye yardımcı olabilir.
oturum açma/min_password_digits Bir kullanıcı için parolada gereken minimum basamak sayısını ayarlar. Yüksek, çünkü parametresi parolaların karmaşıklığını artırır ve tahmin etmelerini veya çatlamalarını zorlaştırır.
oturum açma/ticket_only_by_https Bu parametre, kimlik doğrulama biletlerinin yalnızca HTTPS aracılığıyla mı yoksa HTTP üzerinden mi gönderileceğini denetler. Yüksek, çünkü anahtar iletimi için HTTPS kullanılması aktarımdaki verileri şifreleyerek daha güvenli hale getirir.
kimlik doğrulaması/rfc_authority_check RFC'ler için yetkili denetimleri yapılıp yapılmayacağını denetler. Yüksek, çünkü bu parametrenin etkinleştirilmesi RFC'ler aracılığıyla hassas verilere ve işlevlere yetkisiz erişimi önlemeye yardımcı olur.
gw/acl_mode SAP ağ geçidi tarafından kullanılan erişim denetim listesi (ACL) dosyasının modunu ayarlar. Yüksek, çünkü parametre ağ geçidine erişimi denetler ve SAP sistemine yetkisiz erişimi önlemeye yardımcı olur.
gw/günlüğe kaydetme SAP ağ geçidi için günlük ayarlarını denetler. Yüksek, çünkü bu parametre şüpheli etkinlikleri veya olası güvenlik ihlallerini izlemek ve algılamak için kullanılabilir.
oturum açma/fails_to_session_end Kullanıcının oturumu sonlandırilmeden önce izin verilen geçersiz oturum açma denemelerinin sayısını ayarlar. Yüksek, çünkü parametresi kullanıcı hesaplarında deneme yanılma saldırılarını önlemeye yardımcı olur.
wdisp/ssl_encrypt HTTP isteklerinin SSL yeniden şifrelenmesinin modunu ayarlar. Yüksek, çünkü bu parametre HTTP üzerinden iletilen verilerin şifrelenmesini sağlar ve bu da dinleme ve veri kurcalamasını önlemeye yardımcı olur.
oturum açma/no_automatic_user_sapstar SAP* kullanıcısının otomatik oturum açmasını denetler. Yüksek, çünkü bu parametre varsayılan SAP* hesabı aracılığıyla SAP sistemine yetkisiz erişimi önlemeye yardımcı olur.
rsau/max_diskspace/local Denetim günlüklerinin yerel olarak depolanması için kullanılabilecek maksimum disk alanı miktarını tanımlar. Bu güvenlik parametresi disk alanının dolmasını önlemeye yardımcı olur ve denetim günlüklerinin araştırılabilmesini sağlar. Bu parametre için uygun bir değer ayarlamak, yerel denetim günlüklerinin çok fazla disk alanı tüketmesini önlemeye yardımcı olur ve bu da sistem performansı sorunlarına ve hatta hizmet reddi saldırılarına yol açabilir. Öte yandan, çok düşük bir değer ayarlamak, uyumluluk ve denetim için gerekli olabilecek denetim günlüğü verilerinin kaybolmasına neden olabilir.
snc/extid_login_diag Güvenli Ağ İletişimi (SNC) oturum açma hatalarında dış kimliğin günlüğe kaydedilmesini etkinleştirir veya devre dışı bırakır. Bu güvenlik parametresi sisteme yetkisiz erişim girişimlerini tanımlamaya yardımcı olabilir. Bu parametrenin etkinleştirilmesi, ek tanılama bilgileri sağladığından SNC ile ilgili sorunları gidermek için yararlı olabilir. Ancak parametresi, sistem tarafından kullanılan dış güvenlik ürünleriyle ilgili hassas bilgileri de kullanıma sunabilir ve bu da bilgilerin yanlış ellere düşmesi durumunda olası bir güvenlik riski olabilir.
oturum açma/password_change_waittime Kullanıcının parolasını yeniden değiştirmeden önce beklemesi gereken gün sayısını tanımlar. Bu güvenlik parametresi parola ilkelerini zorunlu kılmaya ve kullanıcıların parolalarını düzenli aralıklarla değiştirmelerine yardımcı olur. Bu parametre için uygun bir değer ayarlamak, kullanıcıların PAROLAlarını SAP sisteminin güvenliğini korumak için yeterince düzenli olarak değiştirmelerine yardımcı olabilir. Aynı zamanda, kullanıcıların parolaları yeniden kullanma veya hatırlaması daha kolay zayıf parolalar seçme olasılığı daha yüksek olabileceğinden, bekleme süresini çok kısa ayarlamak ters etki edebilir.
snc/accept_insecure_cpic Sistemin CPIC protokolunu kullanarak güvenli olmayan SNC bağlantılarını kabul edip etmediğini belirler. Bu güvenlik parametresi SNC bağlantıları için güvenlik düzeyini denetler. Bu parametrenin etkinleştirilmesi, minimum güvenlik standartlarına uymayen SNC korumalı bağlantıları kabul ettiğinden veri kesme veya işleme riskini artırabilir. Bu nedenle, bu parametre için önerilen güvenlik değeri olarak ayarlamaktır 0. Bu, yalnızca en düşük güvenlik gereksinimlerini karşılayan SNC bağlantılarının kabul edildiği anlamına gelir.
snc/accept_insecure_r3int_rfc Sistemin R/3 ve RFC protokolleri için güvenli olmayan SNC bağlantılarını kabul edip etmediğini belirler. Bu güvenlik parametresi SNC bağlantıları için güvenlik düzeyini denetler. Bu parametrenin etkinleştirilmesi, minimum güvenlik standartlarına uymayen SNC korumalı bağlantıları kabul ettiğinden veri kesme veya işleme riskini artırabilir. Bu nedenle, bu parametre için önerilen güvenlik değeri olarak ayarlamaktır 0. Bu, yalnızca en düşük güvenlik gereksinimlerini karşılayan SNC bağlantılarının kabul edildiği anlamına gelir.
snc/accept_insecure_rfc Sistemin RFC protokollerini kullanarak güvenli olmayan SNC bağlantılarını kabul edip etmediğini belirler. Bu güvenlik parametresi SNC bağlantıları için güvenlik düzeyini denetler. Bu parametrenin etkinleştirilmesi, minimum güvenlik standartlarına uymayen SNC korumalı bağlantıları kabul ettiğinden veri kesme veya işleme riskini artırabilir. Bu nedenle, bu parametre için önerilen güvenlik değeri olarak ayarlamaktır 0. Bu, yalnızca en düşük güvenlik gereksinimlerini karşılayan SNC bağlantılarının kabul edildiği anlamına gelir.
snc/data_protection/max SNC bağlantıları için en yüksek veri koruma düzeyini tanımlar. Bu güvenlik parametresi SNC bağlantıları için kullanılan şifreleme düzeyini denetler. Bu parametre için yüksek bir değer ayarlamak, veri koruma düzeyini artırabilir ve veri kesme veya işleme riskini azaltabilir. Bu parametre için önerilen güvenlik değeri, kuruluşun belirli güvenlik gereksinimlerine ve risk yönetimi stratejisine bağlıdır.
rspo/auth/pagelimit Kullanıcının aynı anda görüntüleyebileceği veya silebileceği en fazla biriktirici isteği sayısını tanımlar. Bu güvenlik parametresi, biriktirici sisteminde hizmet reddi saldırılarını önlemeye yardımcı olur. Bu parametre SAP sisteminin güvenliğini doğrudan etkilemez, ancak hassas yetkilendirme verilerine yetkisiz erişimi önlemeye yardımcı olabilir. Sayfa başına görüntülenen girdi sayısını sınırlayarak, yetkisiz kişilerin hassas yetkilendirme bilgilerini görüntüleme riskini azaltabilir.
snc/accept_insecure_gui Sistemin GUI kullanarak güvenli olmayan SNC bağlantılarını kabul edip etmediğini belirler. Bu güvenlik parametresi SNC bağlantıları için güvenlik düzeyini denetler. SAP GUI aracılığıyla yapılan SNC bağlantılarının güvenli olduğundan emin olmak ve hassas verilere yetkisiz erişim veya kesme riskini azaltmak için bu parametrenin 0 değerini olarak ayarlamak önerilir. Güvenli olmayan SNC bağlantılarına izin vermek, hassas bilgilere yetkisiz erişim veya veri kesme riskini artırabilir ve yalnızca belirli bir ihtiyaç olduğunda ve riskler düzgün bir şekilde değerlendirildiğinde yapılmalıdır.
oturum açma/accept_sso2_ticket Oturum açmak için SSO2 biletlerinin kabul edilmesini etkinleştirir veya devre dışı bırakır. Bu güvenlik parametresi, sistemde oturum açmak için güvenlik düzeyini denetler. SSO2'nin etkinleştirilmesi daha kolay ve kullanışlı bir kullanıcı deneyimi sağlayabilir, ancak ek güvenlik riskleri de getirir. Bir saldırgan geçerli bir SSO2 biletine erişim elde ederse, meşru bir kullanıcının kimliğine bürünebilir ve hassas verilere yetkisiz erişim elde edebilir veya kötü amaçlı eylemler gerçekleştirebilir.
oturum açma/multi_login_users Aynı kullanıcı için birden çok oturum açma oturumuna izin verilip verilmeyeceğini tanımlar. Bu güvenlik parametresi, kullanıcı oturumları için güvenlik düzeyini denetler ve yetkisiz erişimin önlenmesine yardımcı olur. Bu parametrenin etkinleştirilmesi, tek bir kullanıcı için eşzamanlı oturum açma sayısını sınırlayarak SAP sistemlerine yetkisiz erişimi önlemeye yardımcı olabilir. Bu parametre olarak 0ayarlandığında, kullanıcı başına yalnızca bir oturum açma oturumuna izin verilir ve ek oturum açma girişimleri reddedilir. Bu, kullanıcının oturum açma kimlik bilgilerinin tehlikeye atıldığı veya başkalarıyla paylaşıldığı durumlarda SAP sistemlerine yetkisiz erişimi önlemeye yardımcı olabilir.
oturum açma/password_expiration_time Parolanın geçerli olduğu gün cinsinden en uzun zaman aralığını belirtir. Bu süre geçtikten sonra kullanıcıdan parolasını değiştirmesi istenir. Bu parametreyi daha düşük bir değere ayarlamak, parolaların sık sık değiştirilmesini sağlayarak güvenliği artırabilir.
oturum açma/password_max_idle_initial Bir kullanıcının herhangi bir etkinlik gerçekleştirmeden oturum açmış olarak kalabileceği en uzun zaman aralığını dakika cinsinden belirtir. Bu süre geçtikten sonra kullanıcı otomatik olarak oturumu kapatılır. Bu parametre için daha düşük bir değer ayarlamak, boşta kalan oturumların uzun süre açık bırakılmamasını sağlayarak güvenliği artırabilir.
oturum açma/password_history_size Kullanıcının yeniden kullanmasına izin verilmeyen önceki parola sayısını belirtir. Bu parametre kullanıcıların aynı parolaları tekrar tekrar kullanmasını engeller ve bu da güvenliği artırabilir.
snc/data_protection/use SNC veri korumasının kullanımını etkinleştirir. SNC etkinleştirildiğinde SAP sistemleri arasında iletilen tüm verilerin şifrelenmesini ve güvenli olmasını sağlar.
rsau/max_diskspace/per_day Günlük denetim günlükleri için kullanılabilecek maksimum disk alanı miktarını MB cinsinden belirtir. Bu parametre için daha düşük bir değer ayarlamak, denetim günlüklerinin çok fazla disk alanı kullanmamasını ve etkili bir şekilde yönetilebilmesini sağlamaya yardımcı olabilir.
snc/enable SAP sistemleri arasında iletişim için SNC'ye olanak tanır. Etkinleştirildiğinde, SNC sistemler arasında iletilen verileri şifreleyerek ek bir güvenlik katmanı sağlar.
kimlik doğrulaması/no_check_in_some_cases Belirli durumlarda yetkilendirme denetimlerini devre dışı bırakır. Bu parametre performansı geliştirse de, kullanıcıların izin verilmeyen eylemler gerçekleştirmesine izin vererek de güvenlik riski oluşturabilir.
auth/object_disabling_active Belirli bir süre boyunca etkin olmayan kullanıcı hesapları için belirli yetkilendirme nesnelerini devre dışı bırakır. Gereksiz izinlere sahip etkin olmayan hesapların sayısını azaltarak güvenliği artırmaya yardımcı olabilir.
oturum açma/disable_multi_gui_login Kullanıcının aynı anda birden çok GUI oturumunda oturum açmasını engeller. Bu parametre, kullanıcıların aynı anda yalnızca bir oturumda oturum açtıklarından emin olarak güvenliği artırmaya yardımcı olabilir.
oturum açma/min_password_lng Parolanın olabileceği en düşük uzunluğu belirtir. Bu parametre için daha yüksek bir değer ayarlamak, parolaların kolayca tahmin edilmesini sağlayarak güvenliği artırabilir.
rfc/reject_expired_passwd Kullanıcı parolasının süresi dolduğunda RFC'lerin yürütülmesini engeller. Bu parametreyi etkinleştirmek, parola ilkelerini zorunlu kılarken ve SAP sistemlerine yetkisiz erişimi engellerken yararlı olabilir. Bu parametre olarak 1ayarlandığında, kullanıcının parolasının süresi dolduysa RFC bağlantıları reddedilir ve kullanıcıdan bağlanabilmesi için önce parolasını değiştirmesi istenir. Bu, sisteme yalnızca geçerli parolaları olan yetkili kullanıcıların erişebilmesini sağlamaya yardımcı olur.
rsau/max_diskspace/per_file SAP sistem denetiminin oluşturabileceği en büyük denetim dosyasının boyutunu ayarlar. Daha düşük bir değer ayarlamak, denetim dosyalarının aşırı büyümesini önlemeye yardımcı olur ve böylece yeterli disk alanı sağlamaya yardımcı olur. Uygun bir değer ayarlamak, denetim dosyalarının boyutunu yönetmeye ve depolama sorunlarını önlemeye yardımcı olur.
oturum açma/min_password_letters Kullanıcının parolasına eklenmesi gereken en az harf sayısını belirtir. Daha yüksek bir değer ayarlamak, parola gücünü ve güvenliği artırmaya yardımcı olur. Uygun bir değer ayarlamak, parola ilkelerini zorunlu kılmaya ve parola güvenliğini iyileştirmeye yardımcı olur.
rsau/selection_slots Denetim dosyaları için kullanılabilecek seçim yuvası sayısını ayarlar. Daha yüksek bir değer ayarlamak, eski denetim dosyalarının üzerine yazılmasını önlemeye yardımcı olabilir. Güvenlik ihlalinde yararlı olabilecek denetim dosyalarının daha uzun süre saklanmasını sağlamaya yardımcı olur.
gw/sim_mode Bu parametre, ağ geçidinin simülasyon modunu ayarlar. Ağ geçidi etkinleştirildiğinde yalnızca hedef sistemle iletişim simülasyonu gerçekleştirir ve gerçek bir iletişim gerçekleşmez. Bu parametrenin etkinleştirilmesi test amacıyla yararlı olabilir ve hedef sistemde istenmeyen değişikliklerin önlenmesine yardımcı olabilir.
oturum açma/fails_to_user_lock Kullanıcı hesabının kilitlendiği başarısız oturum açma girişimlerinin sayısını ayarlar. Daha düşük bir değer ayarlamak deneme yanılma saldırılarını önlemeye yardımcı olur. Sisteme yetkisiz erişimi önlemeye ve kullanıcı hesaplarının gizliliğinin tehlikeye girmesini önlemeye yardımcı olur.
oturum açma/password_compliance_to_current_policy Yeni parolaların sistemin geçerli parola ilkesiyle uyumluluğunu zorlar. Bu özelliği etkinleştirmek için değeri olarak ayarlanmalıdır 1 . Yüksek. Bu parametrenin etkinleştirilmesi, kullanıcıların parolaları değiştirirken geçerli parola ilkesine uymasını sağlamaya yardımcı olabilir ve bu da SAP sistemlerine yetkisiz erişim riskini azaltır. Bu parametre olarak 1ayarlandığında, kullanıcılardan parolalarını değiştirirken geçerli parola ilkesine uymaları istenir.
rfc/ext_debugging Dış RFC çağrıları için RFC hata ayıklama modunu etkinleştirir. Bu özelliği devre dışı bırakmak için değeri olarak ayarlanmalıdır 0 .
gw/monitör Ağ geçidi bağlantılarının izlenmesini sağlar. Bu özelliği etkinleştirmek için değeri olarak ayarlanmalıdır 1 .
oturum açma/create_sso2_ticket Kullanıcılar için SSO2 biletlerinin oluşturulmasını sağlar. Bu özelliği etkinleştirmek için değeri olarak ayarlanmalıdır 1 .
oturum açma/failed_user_auto_unlock Başarısız bir oturum açma girişiminden sonra kullanıcı hesaplarının otomatik olarak kilidinin açılmasını sağlar. Bu özelliği etkinleştirmek için değeri olarak ayarlanmalıdır 1 .
oturum açma/min_password_uppercase Yeni parolalarda gereken en az büyük harf sayısını ayarlar. Değeri pozitif bir tamsayıya ayarlanmalıdır.
oturum açma/min_password_specials Yeni parolalarda gereken en az özel karakter sayısını ayarlar. Değeri pozitif bir tamsayıya ayarlanmalıdır.
snc/extid_login_rfc Dış RFC çağrıları için SNC kullanımını etkinleştirir. Bu özelliği etkinleştirmek için değeri olarak ayarlanmalıdır 1 .
oturum açma/min_password_lowercase Yeni parolalarda gereken en az küçük harf sayısını ayarlar. Değeri pozitif bir tamsayıya ayarlanmalıdır.
oturum açma/password_downwards_compatibility Eski sistemlerle geriye dönük uyumluluk için eski karma algoritmaları kullanılarak parolaların ayarlanmasına izin verir. Bu özelliği devre dışı bırakmak için değeri olarak ayarlanmalıdır 0 .
snc/data_protection/dk SNC korumalı bağlantılar için kullanılması gereken en düşük veri koruma düzeyini ayarlar. Değeri pozitif bir tamsayıya ayarlanmalıdır. Bu parametre için uygun bir değer ayarlamak, SNC korumalı bağlantıların en düşük düzeyde veri koruması sağlamasına yardımcı olur. Bu ayar, hassas bilgilerin saldırganlar tarafından ele geçirilmesini veya manipüle edilmesini önlemeye yardımcı olur. Bu parametrenin değeri SAP sisteminin güvenlik gereksinimlerine ve SNC korumalı bağlantılar üzerinden iletilen verilerin duyarlılığına göre ayarlanmalıdır.

Sonraki adımlar

Daha fazla bilgi için bkz.