RISE With SAP 乘云而上 | SAP S/4HANA Cloud 私有云安全体系总览

创建日期:2022-02-24
浏览:0

面对当前日益复杂和瞬息万变的业务环境,掌控不确定性成了新的竞争优势。敏捷性和前瞻性是未来成功的秘诀,只有智慧企业才能实现长足发展。 RISE with SAP 乘云而上是一款全新的、综合的数字化转型加速包,帮助企业实现加速上云,向数字化智慧企业转型。 本文将带您全面了解 SAP 如何构建多层次的网络安全及数据隐私保护体系,确保客户云端数据的机密性、完整性、可用性;确保云服务网络访问的安全性;确保 SAP 运维服务的安全合规性。

SAP S/4HANA Cloud, Private Edition(私有云版本)作为 RISE with SAP 解决方案包中的数字化核心组件,拥有 On Premise 本地版本的全部功能,覆盖25个行业、 64个国家和地区及39种语言;支持客制化开发和专家配置,具备足够的扩展性和灵活性,满足企业的个性化需求。


SAP S/4HANA Cloud, Private Edition(私有云版本)采用单租户模式,部署在 Hyper ScalerIaaS 服务商,国内使用 Azure 中国的数据中心)提供的公有云基础设施上,由 SAP 提供一站式服务,用云运营快速实现价值、保障业务连续性,确保安全与合规的优势的同时,帮助企业以轻资产、低成本的模式发展和创新。




SAP 安全政策及安全标准:SAP 制定了跨组织跨业务线,全球统一的安全政策和标准,覆盖安全的方方面面,这些政策和可落地的安全标准构成了安全体系的“基石”。SAP 以最高的隐私和数据安全标准构建全方位,多层次的安全防护体系,为企业上云保驾护航。


01

数据安全


SAP S/4HANA Cloud, Private Edition(私有云版本)具备以下数据安全特性:


  • 单租户架构:每个租户使用独立的 IaaS 订阅号,独立的虚拟机,独立的应用服务器和数据库,独立的虚拟网络,确保应用和数据完全隔离,这也是 SAP S/4HANA Cloud 称之为私有云版本的重要原因。同时每个客户会默认配置独立的开发环境,测试环境,生产环境三套系统环境,也可以按需增购额外的系统环境。

  • 数据加密:SAP HANA 数据库加密使用 AES-256-CBC 算法(256 位密钥长度)。各种加密根密钥(数据卷、日志卷、备份、应用程序)存储在 HANA 数据库实例内的实例安全存储文件系统 (SSFS) 中。加密使用的 SAP Cryptolib 加密库通过 FIPS 140-2 认证。SSFS 的内容受 SSFS 主密钥保护。

  • 密钥管理:在 HANA 初始安装和版本更新期间生成唯一的加密根密钥和主密钥。主钥匙也可以根据要求定期更换。密钥管理遵循 SOD 权责分离原则。
  • 传输加密:所有 HTTP 流量都受到 TLS 1.2传输层加密和 AES-256-GCM 加密保护。

  • 数据备份:生产环境每天进行全备份,备份数据保留30天,每隔10分钟还进行日志备份。备份数据以加密的方式复制到异地数据中心,即便主数据中心完全损毁,也同样能保证数据安全。同时运维团队定期开展数据备份恢复演练,确保数据的可恢复性。SAP 业务连续性管理通过 ISO22301 体系认证。

02

应用安全


SAP S/4HANA Cloud, Private Edition(私有云版本)应用安全特性:


  • 通过 WAF 防火墙,应用网关,负载均衡器保护来自 Internet 的入站访问流量。
  • 数据传输端到端的加密(TLS1.2 或 SNC 加密)。
  • 提供 SAP Cloud Connector 云连接器,将 SAP S/4HANA 系统与其他 SAP SaaS 应用安全的集成在一起(所有传输通过 SSL 安全隧道)。
  • 使用 SAP Web Dispatcher 反向代理保护后端应用,避免直接访问后端系统。
  • 支持通过 SAML、Kerberos/SPNEGO、X.509 证书进行身份验证,支持多因素访问认证。

SAP 应用设计,原生就具备“多租户”的特点,使用过 SAP 的用户都知道,在登录 SAP 的时候有个入口选择即 Client 集团。


在 SAP 系统内部,每个 Client 的用户账号和权限,业务规则及流程配置,业务数据都是相互隔离的。不同的 Client 的用户完全看不到另外 Client 的信息。而底层和业务无关的技术配置,程序代码等信息则是跨 Client 共享的。这样的设计机制,就使得 SAP 运维人员,只需要登录 000 Client 就可以做运维支持,而看不到客户其他 Cleint 的任何业务数据。


包含业务数据的 Client100,由客户掌管超级管理员账号,并负责应用相关的用户及权限管理。客户管理员用户可以通过事物代码 SM20 查看 SAP 审计信息,可以查看包括终端用户以及 SAP 管理员账号何时从哪个终端登录系统,执行了何种操作。通过这样的职责分工,使得客户可以监督 SAP 的运维行为,进一步保障应用安全。


03

网络安全


  • SAP 在 IaaS 环境为客户部署系统时候,为每个客户创建多个独立的 IaaS 订阅号,用于部署专属的 SAP 实例。在每个订阅号内创建客户特定的虚拟私有云 (VPC) 或虚拟网络 (VNET),以满足系统/数据隔离的要求。在每个 VPC/VNET 中,将创建多个子网来隔离环境。
  • 每个子网都配置有安全组或防火墙,并通过规则控制网络流量。
  • 客户对 VPC 或 VNET 的访问只能通过专用的连接进行(Site to Site VPN 或 MPLS 专线)。默认不允许从 Internet 访问。
  • VNET/VPC 和 SAP 管理网络之间的网络流量始终通过加密的 VPN 隧道传输,所有管理数据交换都通过 TLS 1.2 标准进行加密。

从客户网络环境访问 SAP S/4HANA 私有云环境,默认只能通过安全的专用私有连接进行。专用连接可以是 Azure Express Route 专线连接,或者 Site to Site  IPsec VPN 连接。如果确有需要从 Internet 访问,由客户主动申请之后,SAP 可以启用 HTTPS 公网访问,所有入站流量经过 WAF 防火墙保护,并通过反向代理,确保后端应用和数据库不直接暴露到公网,保障网络安全性。


04

运维安全


为了应对内外部安全威胁,SAP 构建了多层次的网络防御体系。Internet 接入区部署了入侵检测系统,配合 WAF 防火墙,网络安全组,访问控制列表,以及 DDOS 清洗措施,可以有效抵御外部的黑客入侵。


SAP 所有对客户环境的运维管理活动,必须通过统一集中的账号管理系统 Central Cloud Access Manager(CAM)审批,并遵循最小化权限原则。


运维账号强制使用多因素认证,确保访问安全。运维行为都要经过特定的安全堡垒机,并与 SAP 企业网络隔离,运维活动会留下完整的访问操作日志。独立于运维团队之外的专职安全审计团队,对运维行为开展独立的审计检查,以确保运维安全合规。


SAP 内部安全团队定期对系统进行漏洞扫描,同时 SAP 还聘请了第三方安全团队,定期进行渗透测试,排除安全隐患。SAP 制定了严谨的安全补丁管理流程,并在实施补丁前和客户进一步沟通确认,保证系统安全可控。


安全体系和安全架构是基础,持续专业的安全运维和监控是云安全的重要保障。


SAP 拥有专职的安全监控团队,7*24小时不间断运行。SAP 搭建了统一的中央安全日志系统,该系统可以实时收集各类系统日志,安全日志,以及运维人员的管理活动日志。安全监控系统具备预设的模式匹配和识别能力,并基于历史数据进行持续不断的机器学习,能够关联分析不同系统的安全日志,并自动化的识别攻击场景,一旦确认攻击场景,立即发出警报。


对于一些系统不能自动判断的可疑行为,将会执行人工扩展分析,以识别一些特别复杂的攻击场景。收到报警之后,监控团队通过评估和分析,按需触发相应的安全任务,例如通知安全运维团队,对攻击行为采取针对性的防护措施,比如说冻结受攻击的账号,临时停止部分服务等措施,从而保障系统安全。

05合规审计

在 SAP,我们根据行业标准以及合规性监管要求建立安全体系,从而紧跟不断增长的安全需求。SAP S/4HANA Cloud, Private Edition(私有云版本)通过了多项安全认证, 您可以访问 SAP 信任中心网站,了解我们最新的安全认证和报告。

06

总结

SAP S/4HANA Cloud, Private Edition(私有云版本)为客户提供单租户环境,具备高度的扩展性和灵活性。由 SAP 负责安全架构,在机密性、完整性和安全性方面保护客户核心信息资产。SAP 一站式服务确保了系统端到端的可用性。


SAP 负责各层级的补丁及技术升级,确保了版本持续升级迭代,使得客户能够快速享受版本更新带来的创新成果。许多安全任务,例如,安全监控、安全事件管理、独立的第三方安全审计、24×7网络防护等,都交给了专业的 SAP 运营管理人员。从而使客户能更专注于他们的核心业务流程,更快速的支持业务创新,在转型为“智慧企业”的同时,降低总拥有成本。

      资料来源于SAP官方,侵删。