**امنیت در مدیریت منابع سازمانی،** گستره وسیعی از تمهیداتی است که به منظور حفاظت از سامانه‌های مدیریت منابع سازمانی (به اختصار: ای آر پی)، در مقابل دسترسی غیرمجاز، به کار گرفته می‌شوند؛ تا از تمامیت و در دسترس بودن داده‌های سامانه اطمینان حاصل کنند. سامانه مدیریت منابع سازمانی یک نرم‌افزار کامپیوتری است که به جهت یکپارچه کردن اطلاعات کاربردی برای مدیریت یک سازمان از جمله تولید، مدیریت زنجیره تأمین، مدیریت مالی، مدیریت منابع انسانی، مدیریت ارتباط با مشتری و مدیریت کارایی کسب و کار، به کار برده می‌شود.

چکیده
-----

سامانه ای آر پی فرایندهای کسب و کار را با یکدیگر ادغام می‌کند که این فرایندها مواردی همچون تدارکات، حمل و نقل، مدیریت منابع انسانی، مدیریت تولید و برنامه‌ریزی مالی را ممکن می‌سازند. از آنجایی که این سامانه اطلاعات محرمانه را ذخیره می‌کند، انجمن حسابرسی و کنترل سامانه‌های اطلاعاتی (به اختصار: آیساکا) توصیه می‌کند به‌طور منظم یک ارزیابی جامع از امنیت سامانه ای آر پی انجام شود تا آسیب‌پذیری‌های نرم‌افزاری، خطاهای پیکربندی، تداخلات در تفکیک وظایف، پیروی از استانداردها و توصیه‌های مربوط و همچنین توصیه‌های عرضه‌کنندگان، در سرویس دهنده‌های سامانه ای آر پی وارسی شود.

علل ایجاد آسیب‌پذیری در سامانه‌های ای آر پی
-------------------------------------------

### پیچیدگی

سامانه‌های ای آر پی تراکنش‌هایی را پردازش می‌کنند و رویه‌هایی را به کار می‌بندند تا مطمئن شوند کاربران مجوزهای دسترسی متفاوتی دارند. صدها شیء مجوز دهنده در سامانه شرکت اس آ پی (به انگلیسی: SAP) وجود دارد که به کاربران اجازه انجام عملیات‌های مختلف را می‌دهند. به عنوان مثال، در صورتی که شرکت ۲۰۰ کاربر داشته باشد، به‌طور تقریبی ۸۰۰٬۰۰۰ (۱۰۰\*۲\*۲۰\*۲۰۰) روش برای شخصی‌سازی تنظیمات امنیتی سامانه‌های ای آر پی وجود دارد. با افزایش پیچیدگی، احتمال بروز خطا و تداخل در تفکیک وظایف نیز افزایش می‌یابد.

### به خصوص بودن

عرضه‌کنندگان، آسیب‌پذیری‌ها را به‌طور منظم برطرف می‌کنند زیرا هکرها برنامه‌های تجاری را رصد می‌کنند تا مشکلات امنیتی را بیابند و از آن‌ها سوء استفاده کنند. شرکت اس آ پی به‌طور ماهانه پچ‌های خود را در روز Patch Tuesday (به فارسی: سه شنبه مخصوص پچ) منتشر می‌کند، اوراکل (به انگلیسی: Oracle) نیز هر سه ماه تعمیرات امنیتی را در Oracle Critical Patch Update (به فارسی: بروز رسانی‌های مهم پچ اوراکل) منتشر می‌کند. هر چه می‌گذرد، برنامه‌های تجاری بیشتر در معرض اینترنت و مهاجرت به فضای ابری قرار می‌گیرند.

### فقدان متخصصان شایسته و کاربلد

مطالعه ای در زمینه امنیت سایبری سامانه ای آر پی نشان داد سازمان‌هایی که از سامانه‌های ای آر پی استفاده می‌کنند، «با فقدان یا کمبود در هر دو زمینه آگاهی و کنش‌های انجام گرفته در راستای تأمین امنیت این سامانه، مواجه هستند». آیساکا اظهار دارد «با کمبود کارکنان تعلیم دیده در زمینه امنیت ای آر پی مواجه هستیم». مضاف بر آن، سرویس‌های امنیتی درک ناکافی از خطرات و تهدیدات مربوط به سامانه‌های ای آر پی دارند. در نتیجه انجام تعهداتی از قبیل کشف، و به دنبال آن، برطرف کردن آسیب‌پذیری‌های امنیتی، پیچیده و دشوار می‌شود.

### فقدان ابزارهای وارسی کننده امنیت

وارسی امنیتی سامانه ای آر پی به‌طور دستی انجام می‌شود، چراکه ابزارهای متعدد همراه با بسته‌های نرم‌افزاری ای آر پی، روش یا وسیله ای برای وارسی امنیتی سامانه فراهم نمی‌کنند. وارسی دستی یک فرایند پیچیده و زمانبر است که احتمال بروز خطا را افزایش می‌دهد.

### تعداد زیاد تنظیمات شخصی‌سازی شده

سامانه یادشده، شامل هزاران پارامتر و تنظیمات ریز و جزئی از جمله تفکیک وظایف برای تراکنش‌ها و جداول می‌شود و پارامترهای امنیتی برای هر سامانه به‌طور مجزا تنظیم شده‌است. تنظیمات سامانه ای آر پی مطابق نیازهای مشتریان شخصی‌سازی می‌شود.

مشکلات امنیتی در سامانه‌های ای آر پی
------------------------------------

مشکلات امنیتی در سامانه‌های ای آر پی در سطوح مختلفی رخ می‌دهد.

### لایه شبکه

**شنود و دستکاری جریان اطلاعات**

* نبود رمزنگاری داده

در سال ۲۰۱۱ میلادی، متخصصین سنسپوست (به انگلیسی: Sensepost) پروتکل یا قرارداد دیاگ (به انگلیسی: DIAG) مورد استفاده برای انتقال داده از سرویس گیرنده (یا کلاینت) به سرویس دهنده (یا سرور) اس آ پی در سامانه ای آر پی این شرکت را، مورد بررسی و تحلیل قرار دادند. دو قطعه نرم‌افزاری کشف و اعلام شدند که اجازه شنود، رمزگشایی و دستکاری درخواست‌های سرویس دهنده-سرویس گیرنده شامل اطلاعات مهم و حیاتی را می‌دادند. این امر حملات مختلف از جمله حمله مرد میانی را ممکن می‌ساخت. دومین قطعه نرم‌افزاری مانند یک پروکسی (یا پیشکار) عمل می‌کند و برای تشخیص آسیب‌پذیری‌های جدید به وجود آورده شده بود. این قطعه اجازه دستکاری درخواست‌های واصله به سرویس دهنده و سرویس گیرنده را می‌داد.

* ارسال رمزعبور به صورت رمزنگاری نشده

در سامانه ای آر پی اس آ پی، این امکان وجود دارد که عملیات‌های مدیریتی را از طریق پروتکل تلنت (به انگلیسی: Telnet) اجرا کرد؛ که رمزهای عبور را رمزنگاری می‌کند.

*آسیب‌پذیری‌ها در رمزنگاری یا پروتکل‌های احراز هویت*

* رمزنگاری به وسیله هش
* رمزنگاری رمزعبورها به شیوه اکس اور (در دیاگ اس آ پی)
* اصرار بر استفاده از پروتکل‌های اصالت سنجی منسوخ شده
* پروتکل‌های اصالت سنجی نادرست

**آسیب‌پذیری‌ها در پروتکل‌ها**

پروتکل آر اف سی (به انگلیسی: RFC) به منظور اتصال دو سامانه از طریق پروتکل کنترل انتقال (به اختصار: تی سی پی) در ای آر پی شرکت اس آ پی به کار می‌رود. فراخوانی آر اف سی تابعی است که فراخوانی و اجرای یک ماژول (یا پودمان) کارکردی قرار گرفته در یک سامانه را ممکن می‌سازد. زبان برنامه‌نویسی آباپ (به انگلیسی: ABAP) که به منظور نوشتن برنامه‌های تجاری برای شرکت اس آ پی استفاده می‌شود، دارای توابعی برای ایجاد فراخوانی‌های آر فی سی است. چندین آسیب‌پذیری مهم در کتابخانه آر اف سی اس آ پی در نسخه‌های ۶ و ۷ کشف شده بود:

* تابع آر اف سی "RFC\_SET\_REG\_SERVER\_PROPERTY" اجازه تعیین یک استفاده انحصاری از سرویس دهنده آر اف سی را می‌دهد. اکسپلویت‌ها یا سوء استفاده از آسیب‌پذیری‌ها باعث قطع دسترسی کاربران مجاز می‌شوند. در نتیجه، امکان حمله منع سرویس فراهم می‌شود.
* خطا در تابع آر اف سی "SYSTEM\_CREATE\_INSTANCE". سوء استفاده از این آسیب‌پذیری اجازه اجرای هر کد یا دستور دلخواهی را می‌دهد.
* خطا در تابع آر اف سی "RFC\_START\_GUI". سوء استفاده از این آسیب‌پذیری نیز اجازه اجرای کد دلخواه را می‌دهد.
* خطا در تابع آر اف سی "RFC\_START\_PROGRAM". سوء استفاده از این آسیب‌پذیری اجازه اجرای کد دلخواه یا به دست آوردن اطلاعات دربارهٔ پیکربندی سرویس دهنده آر اف سی را می‌دهد.
* خطا در تابع آر اف سی "TRUSTED\_SYSTEM\_SECURITY". سوء استفاده از این آسیب‌پذیری اجازه جمع‌آوری اطلاعات درمورد کاربران و گروه‌های موجود در سرویس دهنده آر اف سی را می‌دهد.

یادداشت
-------

1. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16  ERP: Enterprise Resource Planning
2. 1 2  ISACA: the Information Systems Audit and Control Association
3. ↑  فرهنگستان زبان و ادب فارسی، در رشته‌های مهندسی مخابرات و رایانه و فناوری اطلاعات، واژهٔ «قرارداد» را برابر «پروتکل» نهاده‌است. از جمله: «قراردادهای دسترسی» برابر «access protocols» در رشتهٔ مهندسی مخابرات و «قرارداد اینترنت» برابر «access protocols» در رشتهٔ رایانه و فناوری اطلاعات
4. 1 2  DIAG: Dynamic Information and Action Gateway
5. ↑  *پیشکار* از واژه‌های مصوب فرهنگستان زبان و ادب فارسی به جای *proxy* یا *proxy server* در انگلیسی و در حوزهٔ رایانه است.
6. ↑  RFC: Remote Function Call
7. ↑  TCP: Transmission Control Protocol

پانویس
------

* مشارکت‌کنندگان ویکی‌پدیا. «ERP Security». در *دانشنامهٔ ویکی‌پدیای انگلیسی*، بازبینی‌شده در ۱۱ ژانویهٔ ۲۰۲۳.

منابع
-----

1. ↑  «What is ERP». دریافت‌شده در ۱۱ ژانویه ۲۰۲۳.
2. 1 2 3  Security issues in ERP  بایگانی‌شده در ۹ نوامبر ۲۰۱۵ توسط Wayback Machine
3. ↑  «Why security should be a priority for an ERP ecosystem». Information Age. ۳۱ آگوست ۲۰۱۷. دریافت‌شده در ۱۱ ژانویه ۲۰۲۳.
4. 1 2  «ERP Security and Segregation of Duties Audit: A Framework for Building an Automated Solution» (PDF).
5. 1 2  «ERP Security Deserves Our Attention Now More Than Ever». Forbes. ۷ ژوئیه ۲۰۱۷. دریافت‌شده در ۱۱ ژانویه ۲۰۲۳.
6. ↑  ERP Cybersecurity survey 2017
7. ↑  «Survey reveals the damage of fraud attacks against SAP system is estimated at $10m». CSO from IDG. ۲۷ ژوئن ۲۰۱۷. بایگانی‌شده از اصلی در ۷ مه ۲۰۱۸. دریافت‌شده در ۶ آوریل ۲۰۱۸.
8. ↑  «Six classic ERP system security problems – and how to avoid them». CloudTech. ۱۰ مه ۲۰۱۷. دریافت‌شده در ۶ آوریل ۲۰۱۸.
9. ↑  ERPScan warns about new vulnerabilities of DIAG protocol in SAP
10. ↑  SAP RFC Library Multiple Vulnerabilities

پیوند به بیرون
--------------

* Oracle Critical Patch Update
* Sensepost Ethical Hacking Team
* DIAG Protocol
* RFC Protocol