当代SAP踪迹的复杂和普遍的安全性常见故障使很多机构曝露在可避免出现的风险性中。
配置不正确和别的不正确(在其中很多是十几年来大家都知道的)持续毁坏公司SAP环境的安全系数。SAP踪迹的快速多元性提高是导致这种现象的一个关键缘故。很多年来，SAP应用软件一直在改变和发展趋势，如今早已联接到成千上万别的系统和应用软件。
典型性的SAP环境由很多自定编码和订制部件构成，这种部件互相通讯，并利用各种各样API和端口与外界系统开展通讯。ERP行业的安全性经销商Onapsis的CTO Juan Perez-Etchegoyen说，新的源代码和协议书与与传统式环境相互影响，并承继他们的安全性漏洞和缺点。
他强调，不断对概述文档、主要参数和配置开展变更，以满足新的工作流程，但非常少掌握潜在性的安全风险。这种环境的多元性使她们充满了安全性漏洞。
2022年稍早，伴随着对于2个关键SAP部件中已经知道配置不正确的一组漏洞的公布发布，这个问题变成了大家重视的聚焦点。这种漏洞被简称为10KBlaze，为攻击者给予了一种得到对SAP环境的彻底远程管理操纵的方式，并促进US-CERT传出了警示。
下边是公司SAP环境中最多见的一些配置不正确和安全性常见故障。
1. 配置ACL
访问控制列表(ACL)操纵不一样SAP系统中间,及其SAP和非SAP环境中间的联接和通讯。他们还影响客户对SAP系统的浏览。
Perez-Etchegoyen说，操纵SAP系统和外界系统中间,或SAP系统之间衔接的ACL通常配置很差，漏洞许多，容许一个系统上的人轻轻松松地浏览另一个系统。他说道，在网站渗透测试中，配置不正确的ACL几乎一直表明为攻击者给予了在SAP环境中横着挪动的方式。
例如，Onapsis在5月份公布的10KBlaze漏洞便是为了更好地运用SAP网关和SAP信息网络服务器中配置欠佳的ACL。这种漏洞使攻击者可以良好控制SAP环境，便于查询、删掉或改动数据信息、关掉系统和实施别的故意实际操作。
Onapsis 的CTO表明，SAP环境中常常配置不安全ACL的别的部件包含SAP Internet Communication Manager(ICM)，SAP Dispatcher，用以远程控制和管控的SAP Management Console及其用以OS监管的SAP Host Agent ACL。
SAP自身一直以来一直警示机构留意配置不合理ACL的风险。在这方面，最新版本的应用软件要比旧版安全性得多，默认设置状况下ACL的设定也需要严苛得多，Perez-Etchegoyen说。即便如此，不安全的ACL依然是SAP全球中最高的可避免出现的漏洞之一。
2. 弱客户密钥管理
大部分SAP手机软件都是有一个或好几个具备相对高度权利和管理人员等级访问限制的默认设置客户账号。浏览该类账号的故意客户很有可能导致明显危害。致力于SAP系统的咨询管理公司Enowa LLC的高級执行董事Jonathan Haun说，这类帐户的事例包含SAP*和DDIC，及其SAP HANA中的系统用户账户。
Haun说:“网络黑客了解这种帐户的存有，她们会最先进攻这种帐户。”他表明:“公司要不在有必要时禁止使用这种帐户，要不应用比较复杂、随机生成的登陆密码，而这种登陆密码没法被猜中。”在某种情形下，乃至有软件项目容许管理人员安全性地临时应用这种账号。
Perez- Etchegoyen说，SAP环境，尤其是这些伴随着時间的变化而快速发展下去的环境，在其中有很多账号，非常容易被乱用，进而给故意客户给予充分的管理权限，乃至超级用户浏览环境中的任何內容。“这也是SAP食品卫生安全的一个行业，许多机构毫无疑问要改善。”
3. 不安全的自定编码
SAP Global security承担安全性通讯的高级副总裁Gert Schroeter觉得，机构紧紧围绕其SAP环境搭建的自定编码和作用经常存有bug，而且包括安全性漏洞。“在开发软件生命期层面，大家的确看到了许多问题，”Schroeter说。
在迅速发布软件的工作压力下，开发设计机构在创建和布署手机软件时，经常非常少关心安全性基本，例如编码漏洞剖析、编码扫描仪和bug检索。Schroeter表明:“大家讨论的是设计方案上的安全性，及其默认设置状况下的安全性。”在很多有SAP踪迹的结构中，“最后状况并不是这样”。
4. Sloppy补丁管理
因为大部分SAP环境的主要每日任务特性，管理人员经常犹豫不定或不愿意做一切很有可能毁坏易用性的事儿。一个結果是，安全更新和升级——即使是对于最重要的漏洞，通常非常少被迅速运用，有时候乃至压根不运用。
Perez-Etchegoyen说，在SAP环境中应用补丁包代表着根据开发设计，QA，预生产制造及其任何别的好几个层级来认识其危害。管理人员保证补丁包不容易影响目前步骤或插口需要的时长通常会造成需要的补丁包即使在初次可以用后多年也未执行。
Schroeter填补说，因为欠缺信息内容，很多机构难以在现场SAP系统上辨识和完成需要的补丁包。他强调，管理人员必须按时关心漏洞公布网站和数据库查询，并定阅資源，便于按时升级补丁包信息内容。
5. 不会受到维护的数据信息
现如今，SAP环境几乎可以接入到任何东西，而且几乎可以从任何地方立即或间接性浏览。很多SAP工作中负荷也逐渐迁移到云端。
殊不知，通常具体的数据信息自身(虽然每日任务很重要)并没获得维护。非常少有企业会在传送或歇息时对数据资料开展数据加密，并在加密全过程使得数据信息曝露于不合理浏览和乱用的风险性当中。Haun说:“针对云计算技术和代管环境，她们异常地觉得经销商已经完成互联网数据加密和别的检测标准。”
当您的SAP数据库查询由第三方(尤其是第三方)代管时，应当对其他数据信息开展数据加密，以避免不会受到信赖的客户浏览数据信息。他说道:“很多机构运用代管和IaaS云服务平台，因而强烈要求对数据信息、事务管理日志和备份数据开展数据加密。”
6. 账号管理不当
ERP系统和衔接到他们的应用软件包括重要信息内容，但通常遭受明文密码和账号管理实践活动的维护。应用默认设置登陆密码或跨账号采用同样密码设置的相对高度权利账号的浏览并不少见。明文密码自然是跨应用软件的一个问题，但在重要的SAP环境中特别是在有什么问题。
Haun说，一些机构不兼容登陆密码的主要规范，这将会造成账号被侵入，网络黑客应用合理的客户账号和登陆密码导致没法监测到的危害。他提议:“应当配置SAP系统，使客户账号登陆密码复杂化，而且每一年要调整几回。”
忠实用户和用户名和密码不应该给本地用户应用，并被锁住在数据保险柜。Schroeter提议，机构应当完成更强有力的操纵，包含SSO、双要素和根据前后文的身份认证，而不是取决于宏和根据文字的身份认证。
7. 无法制订应急处置方案
对很多机构而言，遭遇的一个问题是欠缺充分的危机处理方案。Schroeter说，非常少有些人有解决已经进行的进攻的程序流程，也极少有些人有解决灾难的指引系统。
他说道，SAP开展的一项数据调查报告，公司担忧内容丢失、灾祸恢复力及其ERP环境中的业务连续性，但极少有公司有解决灾难的方案。
8. 日志纪录和财务审计不够
日志纪录和财务审计针对完成跨SAP环境监控系统主题活动需要的由此可见性尤为重要。它可以协助管理人员密切关注权利客户，并监管对应用软件、数据信息和数据库系统的浏览及其对他们的一切真实身份变更。
殊不知，Haun说，大部分机构沒有给予充足的内部审计对策来追踪SAP系统中的主要实际操作。这包含网站服务器层和数据库查询层。他表明:“财务审计数据信息可以用以积极检验进攻，还可以在进攻后给予调查取证数据信息。”
Schroeter说，SAP自身早已为其商品加上了许多安全防护作用，而且很多年来一直以安全性默认设置配置给予这种作用。该企业带来了相关配置飘移等重要主题风格的具体指导，及其如何处理安全更新和为其手机软件加上安全性作用。他表明:“顾客必须逐渐解决这个问题，并逐渐以总体的方法处理网络安全现状。”
与SAP应用软件一样，处理安全隐患也很繁杂。Schroeter强调，机构必须完成一个安全计划，明确风险性的优先，并找到一个真正的办法来缓解对SAP环境的危害。
他说道，SAP上年与一家安全性经销商开展的一项分析表明，犯罪嫌疑人对SAP应用软件的兴趣爱好提高了。这些再次小看或忽略这类影响的企业已经做错事。“10KBLAZE就是我能寻找的较好的事例，表明了为何机构必须逐渐解决这个问题，”Schroeter说。