امنیت در مدیریت منابع سازمانی

**امنیت در مدیریت منابع سازمانی،** گستره وسیعی از تمهیداتی است که به منظور حفاظت از سامانه‌های مدیریت منابع سازمانی (به اختصار: ای آر پی)، در مقابل دسترسی غیرمجاز، به کار گرفته می‌شوند؛ تا از تمامیت و در دسترس بودن داده‌های سامانه اطمینان حاصل کنند. سامانه مدیریت منابع سازمانی یک نرم‌افزار کامپیوتری است که به جهت یکپارچه کردن اطلاعات کاربردی برای مدیریت یک سازمان از جمله تولید، مدیریت زنجیره تأمین، مدیریت مالی، مدیریت منابع انسانی، مدیریت ارتباط با مشتری و مدیریت کارایی کسب و کار، به کار برده می‌شود.

## چکیده
سامانه ای آر پی فرایندهای کسب و کار را با یکدیگر ادغام می‌کند که این فرایندها مواردی همچون تدارکات، حمل و نقل، مدیریت منابع انسانی، مدیریت تولید و برنامه‌ریزی مالی را ممکن می‌سازند. از آنجایی که این سامانه اطلاعات محرمانه را ذخیره می‌کند، انجمن حسابرسی و کنترل سامانه‌های اطلاعاتی (به اختصار: آیساکا) توصیه می‌کند به‌طور منظم یک ارزیابی جامع از امنیت سامانه ای آر پی انجام شود تا آسیب‌پذیری‌های نرم‌افزاری، خطاهای پیکربندی، تداخلات در تفکیک وظایف، پیروی از استانداردها و توصیه‌های مربوط و همچنین توصیه‌های عرضه‌کنندگان، در سرویس دهنده‌های سامانه ای آر پی وارسی شود.

## علل ایجاد آسیب‌پذیری در سامانه‌های ای آر پی
### پیچیدگی
سامانه‌های ای آر پی تراکنش‌هایی را پردازش می‌کنند و رویه‌هایی را به کار می‌بندند تا مطمئن شوند کاربران مجوزهای دسترسی متفاوتی دارند. صدها شیء مجوز دهنده در سامانه شرکت اس آ پی (به انگلیسی: SAP) وجود دارد که به کاربران اجازه انجام عملیات‌های مختلف را می‌دهند. به عنوان مثال، در صورتی که شرکت ۲۰۰ کاربر داشته باشد، به‌طور تقریبی ۸۰۰٬۰۰۰ (۱۰۰*۲*۲۰*۲۰۰) روش برای شخصی‌سازی تنظیمات امنیتی سامانه‌های ای آر پی وجود دارد. با افزایش پیچیدگی، احتمال بروز خطا و تداخل در تفکیک وظایف نیز افزایش می‌یابد.

### به خصوص بودن
عرضه‌کنندگان، آسیب‌پذیری‌ها را به‌طور منظم برطرف می‌کنند زیرا هکرها برنامه‌های تجاری را رصد می‌کنند تا مشکلات امنیتی را بیابند و از آن‌ها سوء استفاده کنند. شرکت اس آ پی به‌طور ماهانه پچ‌های خود را در روز Patch Tuesday (به فارسی: سه شنبه مخصوص پچ) منتشر می‌کند، اوراکل (به انگلیسی: Oracle) نیز هر سه ماه تعمیرات امنیتی را در Oracle Critical Patch Update (به فارسی: بروز رسانی‌های مهم پچ اوراکل) منتشر می‌کند. هر چه می‌گذرد، برنامه‌های تجاری بیشتر در معرض اینترنت و مهاجرت به فضای ابری قرار می‌گیرند.

### فقدان متخصصان شایسته و کاربلد
مطالعه ای در زمینه امنیت سایبری سامانه ای آر پی نشان داد سازمان‌هایی که از سامانه‌های ای آر پی استفاده می‌کنند، «با فقدان یا کمبود در هر دو زمینه آگاهی و کنش‌های انجام گرفته در راستای تأمین امنیت این سامانه، مواجه هستند». آیساکا اظهار دارد «با کمبود کارکنان تعلیم دیده در زمینه امنیت ای آر پی مواجه هستیم». مضاف بر آن، سرویس‌های امنیتی درک ناکافی از خطرات و تهدیدات مربوط به سامانه‌های ای آر پی دارند. در نتیجه انجام تعهداتی از قبیل کشف، و به دنبال آن، برطرف کردن آسیب‌پذیری‌های امنیتی، پیچیده و دشوار می‌شود.

### فقدان ابزارهای وارسی کننده امنیت
وارسی امنیتی سامانه ای آر پی به‌طور دستی انجام می‌شود، چراکه ابزارهای متعدد همراه با بسته‌های نرم‌افزاری ای آر پی، روش یا وسیله ای برای وارسی امنیتی سامانه فراهم نمی‌کنند. وارسی دستی یک فرایند پیچیده و زمانبر است که احتمال بروز خطا را افزایش می‌دهد.

### تعداد زیاد تنظیمات شخصی‌سازی شده
سامانه یادشده، شامل هزاران پارامتر و تنظیمات ریز و جزئی از جمله تفکیک وظایف برای تراکنش‌ها و جداول می‌شود و پارامترهای امنیتی برای هر سامانه به‌طور مجزا تنظیم شده‌است. تنظیمات سامانه ای آر پی مطابق نیازهای مشتریان شخصی‌سازی می‌شود.

## مشکلات امنیتی در سامانه‌های ای آر پی
مشکلات امنیتی در سامانه‌های ای آر پی در سطوح مختلفی رخ می‌دهد.

### لایه شبکه
**شنود و دستکاری جریان اطلاعات**
* نبود رمزنگاری داده

در سال ۲۰۱۱ میلادی، متخصصین سنسپوست (به انگلیسی: Sensepost) پروتکل یا قرارداد دیاگ (به انگلیسی: DIAG) مورد استفاده برای انتقال داده از سرویس گیرنده (یا کلاینت) به سرویس دهنده (یا سرور) اس آ پی در سامانه ای آر پی این شرکت را، مورد بررسی و تحلیل قرار دادند. دو قطعه نرم‌افزاری کشف و اعلام شدند که اجازه شنود، رمزگشایی و دستکاری درخواست‌های سرویس دهنده-سرویس گیرنده شامل اطلاعات مهم و حیاتی را می‌دادند. این امر حملات مختلف از جمله حمله مرد میانی را ممکن می‌ساخت. دومین قطعه نرم‌افزاری مانند یک پروکسی (یا پیشکار) عمل می‌کند و برای تشخیص آسیب‌پذیری‌های جدید به وجود آورده شده بود. این قطعه اجازه دستکاری درخواست‌های واصله به سرویس دهنده و سرویس گیرنده را می‌داد.
* ارسال رمزعبور به صورت رمزنگاری نشده

در سامانه ای آر پی اس آ پی، این امکان وجود دارد که عملیات‌های مدیریتی را از طریق پروتکل تلنت (به انگلیسی: Telnet) اجرا کرد؛ که رمزهای عبور را رمزنگاری می‌کند.

*آسیب‌پذیری‌ها در رمزنگاری یا پروتکل‌های احراز هویت*
* رمزنگاری به وسیله هش
* رمزنگاری رمزعبورها به شیوه اکس اور (در دیاگ اس آ پی)
* اصرار بر استفاده از پروتکل‌های اصالت سنجی منسوخ شده
* پروتکل‌های اصالت سنجی نادرست

**آسیب‌پذیری‌ها در پروتکل‌ها**

پروتکل آر اف سی (به انگلیسی: RFC) به منظور اتصال دو سامانه از طریق پروتکل کنترل انتقال (به اختصار: تی سی پی) در ای آر پی شرکت اس آ پی به کار می‌رود. فراخوانی آر اف سی تابعی است که فراخوانی و اجرای یک ماژول (یا پودمان) کارکردی قرار گرفته در یک سامانه را ممکن می‌سازد. زبان برنامه‌نویسی آباپ (به انگلیسی: ABAP) که به منظور نوشتن برنامه‌های تجاری برای شرکت اس آ پی استفاده می‌شود، دارای توابعی برای ایجاد فراخوانی‌های آر فی سی است. چندین آسیب‌پذیری مهم در کتابخانه آر اف سی اس آ پی در نسخه‌های ۶ و ۷ کشف شده بود:
* تابع آر اف سی "RFC_SET_REG_SERVER_PROPERTY" اجازه تعیین یک استفاده انحصاری از سرویس دهنده آر اف سی را می‌دهد. اکسپلویت‌ها یا سوء استفاده از آسیب‌پذیری‌ها باعث قطع دسترسی کاربران مجاز می‌شوند. در نتیجه، امکان حمله منع سرویس فراهم می‌شود.
* خطا در تابع آر اف سی "SYSTEM_CREATE_INSTANCE". سوء استفاده از این آسیب‌پذیری اجازه اجرای هر کد یا دستور دلخواهی را می‌دهد.
* خطا در تابع آر اف سی "RFC_START_GUI". سوء استفاده از این آسیب‌پذیری نیز اجازه اجرای کد دلخواه را می‌دهد.
* خطا در تابع آر اف سی "RFC_START_PROGRAM". سوء استفاده از این آسیب‌پذیری اجازه اجرای کد دلخواه یا به دست آوردن اطلاعات دربارهٔ پیکربندی سرویس دهنده آر اف سی را می‌دهد.
* خطا در تابع آر اف سی "TRUSTED_SYSTEM_SECURITY". سوء استفاده از این آسیب‌پذیری اجازه جمع‌آوری اطلاعات درمورد کاربران و گروه‌های موجود در سرویس دهنده آر اف سی را می‌دهد.

## یادداشت


## پانویس
* 

## منابع

## پیوند به بیرون
* Oracle Critical Patch Update
* Sensepost Ethical Hacking Team
* DIAG Protocol
* RFC Protocol

رده:امنیت رایانه‌ای
رده:برنامه‌ریزی منابع سازمانی