• 1. Управление обновлениями
• 2. Учетные записи и пароли по умолчанию
• 3. Неиспользуемый функционал и сервисы
• 4. Открытые интерфейсы и администрирование
• 5. Параметры профиля и конфигурации безопасности
• 6. Шифрование и защита каналов связи
• 7. Контроль доступа и разделение полномочий
• 8. Логирование и аудит
• 9. Безопасность данных в SAP-системах
• 10. Безопасность процесса безопасной разработки в SAP-системах
• Заключение
• Таблица: Перечень параметров, ролей, сервисов и учётных записей, подлежащих контролю

Федеральная служба по техническому и экспортному контролю (ФСТЭК) опубликовала «Рекомендации по предотвращению реализации угроз безопасности информации при применении SAP-систем в условиях прекращения их технической поддержки и распространения обновлений на территории Российской Федерации».

После официального прекращения поддержки SAP на территории Российской Федерации компании-пользователи столкнулись с беспрецедентной дилеммой. С одной стороны — требование регулятора (ФСТЭК России) обеспечить актуальность, защищённость и управляемость критически важных ERP-систем. С другой — техническая невозможность получать официальные обновления и консультации вендора, что создаёт растущее множество неисправленных уязвимостей и неконтролируемых рисков. Ручная инвентаризация тысяч объектов, поиск патчей и аудит конфигураций становятся колоссальной, почти невыполнимой задачей для внутренних ИБ-команд.

Как в этих условиях выполнять «Рекомендации по предотвращению реализации угроз безопасности информации при применении SAP-систем»? Решение есть — это автоматизация процессов кибербезопасности с помощью отечественных технологий.

SafeERP — это многофункциональный модульный комплекс для контроля безопасности сложных ERP-систем, работающих на платформах SAP и 1С. Это полностью российская разработка, зарегистрированная в Едином реестре российских программ.

Продукт имеет модульную архитектуру, что позволяет гибко выстраивать защиту. Ключевым для задач ФСТЭК является модуль SafeERP Security Suite, который напрямую встраивается в инфраструктуру SAP заказчика и обеспечивает глубокий анализ платформы и кода.

Рассмотрим, как SafeERP решает конкретные задачи, поставленные в методических рекомендациях.

1. Управление обновлениями

Ручной анализ состояния компонентов и поиск отсутствующих патчей — трудоёмкий и неточный процесс. SafeERP значительно автоматизирует этот механизм:

— Непрерывный анализ установленных компонентов SAP. Система предоставляет полную и актуальную картину ландшафта.
— Автоматическая проверка и загрузка SAP Security Notes. SafeERP Security Suite умеет автоматически находить и получать неустановленные SAP Security ноты, что критически важно в условиях отсутствия прямой поддержки от вендора. Это напрямую закрывает рекомендацию ФСТЭК о проверке наличия неустановленных корректур безопасности.
— Централизованное управление и отчётность. Все данные о версиях, установленных и недостающих патчах агрегируются в наглядных дашбордах и отчётах.
— В комплексе реализованы проверки наличия в системах более 4000 SAP нот.

2. Учётные записи и пароли по умолчанию

Продукт проводит полную инвентаризацию всех учётных записей, включая системные (SAP*, DDIC), технические и пользовательские, с последующей автоматической оценкой их активности и критичности. На основе этой инвентаризации SafeERP позволяет централизованно обеспечивать и проверять соответствие парольной политики (длина, сложность и т.д.), а также автоматически выявлять и помечать для блокировки неиспользуемые или долго неактивные учётные записи.

Ключевая возможность — непрерывный мониторинг и контроль привилегий. SafeERP в реальном времени отслеживает изменения статуса критических учётных записей (например, SAP* через мониторинг параметра login/no_automatic_user_sapstar в таблице RZ10), контролирует пользователей с профилями SAP_ALL/SAP_NEW и обеспечивает детальное журналирование операций, выполняемых техническими учётными записями. Это позволяет не только выполнить формальные рекомендации, но и создать действующую систему оперативного предотвращения инсайдерских угроз и несанкционированного доступа. Таким образом, SafeERP превращает рекомендации ФСТЭК из сложного перечня действий в управляемый и наглядный процесс безопасности.

3. Неиспользуемый функционал и сервисы

Избыточно открытые сервисы SAP NetWeaver, SAP S/4HANA и других компонентов — одна из главных точек входа для злоумышленников.

SafeERP Security Suite обеспечивает инвентаризацию и управление сотнями веб-сервисов SAP. Продукт выполняет глубокое сканирование всей инфраструктуры, автоматически обнаруживая и классифицируя каждый активный ICF-сервис, включая часто упускаемые из виду интерфейсы для мобильных устройств, ITS, WebDynpro и вспомогательные веб-интерфейсы.

Основное преимущество SafeERP заключается в переходе от ручного аудита к автоматическому анализу. На основании этого анализа специалисты получают точные рекомендации для безопасного отключения ненужных точек доступа. Важно, что SafeERP поддерживает непрерывный контроль, предотвращая несанкционированную повторную активацию сервисов и предоставляя доказательную базу для аудита о проведённых мероприятиях по минимизации поверхности атаки.

4. Открытые интерфейсы и администрирование

SafeERP Security Suite покрывает эти рекомендации ФСТЭК за счёт автоматизированной проверки и управления списками контроля доступа (ACL). Решение выполняет сквозной аудит конфигураций ACL для критических административных интерфейсов, включая SAPControl, Message Server, Gateway и SAPRouter.

Преимущество продукта — автоматически выявить и устранить слабые места в настройках, такие как использование символа «*» (звёздочка), который разрешает подключения с любых хостов и грубо нарушает принцип минимальных привилегий. SafeERP проверяет наличие, корректность и содержание ACL-файлов, обеспечивая, что доступ к управляющим сервисам разрешён только для узкого круга доверенных IP-адресов или хостов. Это позволяет не формально, а фактически минимизировать поверхность атаки, исключая возможность несанкционированных подключений из недоверенных сетевых сегментов.

5. Параметры профиля и конфигурации безопасности

SafeERP Security Suite обеспечивает полное и автоматизированное соответствие рекомендациям ФСТЭК по анализу конфигурации безопасности SAP. Решение проводит глубокий аудит всех критических параметров профиля системы (RZ10), автоматически сверяя их с эталонными безопасными значениями и рекомендациями регулятора. Это позволяет не только выявить, но и системно устранить уязвимые настройки, такие как слабые парольные политики, избыточное количество неудачных попыток входа или параметры, допускающие обход аутентификации. В SafeERP реализовано более 1300 сценариев для проверки критичных настроек.

Важнейшее преимущество SafeERP заключается в комплексном подходе: продукт не ограничивается диагностикой, а предоставляет механизмы для централизованного мониторинга конфигураций, что упрощает процесс приведения параметров к безопасному состоянию. Это включает установку корректных значения для сетевого взаимодействия, контроля доступа к интерфейсам и ограничения регистрации внешних программ. Благодаря постоянному мониторингу и журналированию любых изменений конфигурации SafeERP гарантирует, что система остаётся в защищённом состоянии, а все корректировки соответствуют утверждённой политике безопасности. Таким образом, продукт превращает сложный ручной процесс анализа в управляемый и верифицируемый автоматизированный цикл.

6. Шифрование и защита каналов связи

SafeERP Security Suite обеспечивает соответствие рекомендациям ФСТЭК по криптографической защите за счёт целенаправленного контроля критических параметров конфигурации. Продукт автоматически проверяет и анализирует ключевые настройки SSL/TLS, такие как icm/HTTPS/cipher_suite и ssl/client_ciphersuites, что позволяет гарантировать использование только современных и разрешённых алгоритмов шифрования и корректную активацию протоколов для HTTP(S), RFC и других соединений. Таким образом, фокусируясь на проверке и контроле именно этих системных параметров, SafeERP предоставляет верифицируемый механизм для выполнения рекомендаций регулятора по защите всех каналов передачи данных в SAP.

7. Контроль доступа и разделение полномочий

SafeERP Security Suite обеспечивает полное соответствие данной рекомендации ФСТЭК за счёт непрерывного и целевого мониторинга критичных административных полномочий. Продукт осуществляет глубокий контроль над ключевыми точками привилегий во всей экосистеме SAP, включая роли администраторов в SAP BusinessObjects (CMC), прямые привилегии в базе данных HANA (такие как SELECT и ADMIN), права в административных группах сервера приложений Java (J2EE), а также отслеживание присвоения и использования сверхпривилегированных профилей SAP_ALL и SAP_NEW.

8. Логирование и аудит

SafeERP Security Suite полностью закрывает рекомендацию ФСТЭК по журналированию и аудиту, предоставляя не просто инструмент сбора логов, а комплексную платформу управления информационной безопасностью. Продукт автоматизирует ключевые процессы: централизованно контролирует необходимые параметры журналирования, включая Security Audit Log, Read Access Logging, а также сбор журналов HTTP-запросов, шлюза и событий СУБД.

9. Безопасность данных в SAP-системах

SafeERP Security Suite полностью и принудительно закрывает эти рекомендации ФСТЭК за счёт автоматизированного контроля авторизаций. Решение не просто проверяет, а активно обеспечивает соблюдение политики безопасности, централизованно управляя правами доступа к транзакциям и данным. Модуль контроля безопасных настроек и анализа полномочий автоматически сканирует и выявляет любые нарушения, такие как назначение чрезмерных прав на объекты S_TABU_DIS или S_TABU_NAM со значениями *, а также некорректный доступ к транзакциям прямого изменения данных (SE16N) или выполнения кода (SE38, SA38).

10. Безопасность процесса безопасной разработки в SAP-системах

SafeERP Security Suite полностью обеспечивает соответствие рекомендации ФСТЭК к безопасности разработки в SAP за счёт комплексного контроля над всем жизненным циклом изменений. Решение принудительно ограничивает использование опасного режима отладки DEBUG в продуктивной среде, блокируя возможность подмены переменных, что является ключевым вектором атак. Параллельно продукт интегрируется в транспортную систему SAP (STMS), обеспечивая, что все изменения в промышленные системы попадают исключительно через утверждённый и контролируемый конвейер (DevOps/DevSecOps), а не путём прямого доступа.

Наиболее значимый вклад SafeERP заключается в автоматизации статического анализа кода (SAST). Модуль SafeERP Code Security проводит глубокую проверку программного кода ABAP, выявляя уязвимости, скрытые бэкдоры и нарушения стандартов безопасной разработки до момента попадания изменений в продуктив. Реализовано более 300 сценариев для проверки ABAP-кода. Это превращает рутинные рекомендации ФСТЭК в постоянный, встроенный в процесс разработки контроль, существенно повышая общую устойчивость SAP-ландшафта к целевым атакам.

Заключение

Проблема безопасности SAP-систем в России после прекращения официальной поддержки перестала быть сугубо технической. Она трансформировалась в стратегический вызов, требующий принципиально нового подхода. В условиях отсутствия легальных обновлений и растущего вороха уязвимостей, рекомендации ФСТЭК стали не набором формальных предписаний, а прагматичной дорожной картой для выживания критической ИТ-инфраструктуры.

Как показал анализ, суть этих рекомендаций сводится к переходу от модели проактивного обновления к модели активной обороны, основанной на четырёх столпах: жёсткой изоляции, минимализации привилегий, непрерывном мониторинге и глубоком аудите. Однако их практическая реализация в масштабах сложного SAP-ландшафта силами только внутренних команд почти невыполнима из-за трудоёмкости и дефицита экспертизы.

Именно здесь на первый план выходят специализированные решения, такие как SafeERP. Этот продукт не просто автоматизирует отдельные проверки, а трансформирует регуляторные рекомендации в действующие, управляемые и верифицируемые процессы. От анализа кода и конфигураций до контроля привилегий и криптографических настроек — SafeERP обеспечивает сквозное покрытие ключевых пунктов рекомендаций ФСТЭК, переводя безопасность SAP из состояния постоянного риска в режим контролируемого и документированного соответствия.

Таким образом, выход из сложившегося кризиса лежит не в пассивном ожидании, а в активном внедрении комплексных решений, которые позволяют бизнесу выиграть драгоценное время. Это время необходимо для реализации единственной долгосрочной стратегии — управляемого перехода с неподдерживаемых платформ на суверенные технологические основы, обеспечивающие как безопасность, так и устойчивость бизнес-процессов в новой реальности.

Перечень параметров, ролей, сервисов и учётных записей, подлежащих контролю и приведению к безопасным значениям в SAP-системах

Подробнее о продукте www.gaz-is.ru/safeerp

Материал подготовлен ведущим инженером компании «Газинформсервис», экспертом SafeERP Тимуром Цыбденовым.

Закажите демонстрацию продукта SafeERP