SQL Server keamanan database untuk SAP di Azure

  • Artikel

Artikel ini adalah bagian dari seri artikel "SAP extend and innovate security: Best practices".

Artikel ini menyediakan pertimbangan dan rekomendasi keamanan untuk SAP di Azure yang berjalan pada database SQL Server.

Mengamankan data tidak aktif

Enkripsi data transparan (TDE) SQL Server mengenkripsi data dan file log untuk database pengguna dan database sistem SQL Server. Setelah dienkripsi, salinan data dan file log atau file cadangan tidak dapat dipulihkan dan digunakan tanpa sertifikat terkait. Proses ini disebut mengamankan data tidak aktif. Ini adalah teknologi transparan untuk sistem SAP, sehingga didukung oleh catatan SAP 1380493 - SQL Server TDE. Untuk informasi tentang prosedur TDE, lihat enkripsi SQL Server.

Semua halaman data yang dibaca atau ditulis ke disk harus dienkripsi atau didekripsi, sehingga TDE memiliki penalti CPU. Ketika TDE diterapkan ke database pengguna, penggunaan CPU meningkat antara 3% dan 8%. Aplikasi yang sangat menggunakan TempDB SQL Server atau melakukan pemindaian besar pada tabel besar lebih terpengaruh. Ketika setidaknya satu database pengguna pada instans SQL Server dienkripsi dengan TDE, database sistem, seperti TempDB, juga dienkripsi. SAP Business Warehouse (SAP BW) adalah contoh jenis aplikasi ini.

Catatan

Jika kunci atau sertifikat enkripsi hilang, data dalam database terenkripsi akan hilang. Penting untuk menetapkan proses dan langkah-langkah ekstensif untuk mengamankan cadangan sertifikat.

Implementasi TDE yang sukses membutuhkan pengujian yang baik dan menyeluruh serta proses yang dirancang dengan baik untuk menangani sertifikat dan cadangan sertifikat.

Fitur SQL Server yang tidak didukung

SQL Server juga menawarkan fitur lain untuk perlindungan data. Metode ini memungkinkan enkripsi parsial atau masking pada granularitas kolom database:

Berdasarkan pembatasan ketiga metode ini dan perubahan yang mereka butuhkan pada banyak area komponen SAP NetWeaver, fungsi ini tidak didukung oleh SAP.

Replikasi real time antara database berkemampuan TDE di SQL Server dan SAP Hana tidak didukung. Untuk informasi selengkapnya, lihat catatan SAP OSS 2812637 - Replikasi real time tidak didukung untuk database MSSQL Server yang mendukung TDE.

Enkripsi cadangan

Enkripsi cadangan adalah ketika Anda mengenkripsi file cadangan saat cadangan diambil. Ini mengenkripsi semua halaman data dalam file cadangan dan membuat sertifikat atau persyaratan kunci asimetris untuk memulihkan file cadangan, yang mencegah pemulihan yang tidak sah.

Jika database tidak dienkripsi dengan TDE sebelum cadangan terenkripsi diambil, database masih belum dienkripsi setelah pemulihan. Hanya file cadangan yang dienkripsi. File database dan kontennya tidak diubah.

Anda dapat menggunakan enkripsi cadangan dengan TDE, tetapi tidak bermanfaat karena data sudah dienkripsi dalam file database dan dalam file cadangan. Saat Anda menggunakan enkripsi cadangan dan TDE bersama-sama, database terenkripsi dengan sertifikat TDE atau halaman data terenkripsi kunci dienkripsi lagi dengan sertifikat atau kunci cadangan. Metode ini memperpanjang proses pencadangan dan menambahkan beban CPU tambahan ke sistem saat proses pencadangan berjalan.

Mengamankan SQL Server dan sistem SAP

Pengerasan tingkat server dan sistem operasi sangat penting untuk sistem yang berjalan dengan aman.

Patuhi rekomendasi berikut untuk mengamankan SQL Server dan sistem SAP Anda. Untuk informasi selengkapnya, lihat 2417205 catatan SAP OSS.

SQL Server didasarkan pada implementasi Windows dari protokol Keamanan Lapisan Transportasi (TLS) dan protokol Secure Sockets Layer (SSL) melalui Penyedia Dukungan Keamanan (SSP) SCHANNEL.

Anda dapat menonaktifkan protokol SSL karena TLS banyak digunakan dan didukung. Sebagian besar dukungan produk SQL Server dan SAP menggunakan protokol TLS 1.2.

Anda dapat mengontrol sebagian besar pengaturan keamanan untuk SCHANNEL SSP melalui perubahan registri di cabang SCHANNEL yang sesuai. Dengan pengaturan ini, Anda dapat mengontrol:

  • Protokol mana, seperti SSL dan TLS, diaktifkan untuk klien dan bagian server dari dialog.
  • Cipher, misalnya RC2, RC4, Triple DES, dan AES, yang diaktifkan dan urutan diaktifkan.
  • Algoritma hash, misalnya MD5 dan SHA.
  • Algoritma pertukaran kunci, misalnya Diffie-Hellman dan ECDH.

Berbagai kombinasi dari bagian-bagian ini, seperti protokol, sandi, dan algoritma pertukaran hash dan kunci, diwakili dalam suite sandi. Dengan menonaktifkan salah satu bagian ini, misalnya protokol SSL 2.0, semua cipher suite yang berisi bagian ini tidak dapat digunakan untuk sistem.

Catatan

Ketika Anda menggabungkan beberapa perubahan, klien, misalnya sistem SAP, dan server, misalnya SQL Server, mungkin tidak dapat menggunakan cipher suite untuk berkomunikasi, dan sistem SAP mungkin tidak dimulai.

Anda juga dapat mengontrol prioritas dan ketersediaan cipher suite pada sistem di editor kebijakan grup lokal.

  1. Buka Pengaturan Konfigurasi Komputer Kebijakan >> Komputer Lokal Pengaturan > Konfigurasi Administratif Jaringan > SSL.
  2. Tentukan urutan cipher suite SSL kustom.

Cuplikan layar yang memperlihatkan konfigurasi SSL.

Urutan daftar ini menentukan prioritas bahwa sistem menggunakan cipher suite. Jika Anda menghapus cipher suite dari daftar, cipher suite tidak lagi dapat digunakan dalam sistem. Pengaturan kebijakan grup memiliki prioritas atas pengaturan registri SCHANNEL. Departemen keamanan biasanya mengontrol pengaturan ini berdasarkan kebijakan grup. Tetapi SAP Basis atau grup administrasi database SQL Server menangani masalah koneksi yang dihasilkan.

Pertimbangkan untuk menggunakan alat SAP, SCoTT, untuk menganalisis masalah dengan protokol yang dinonaktifkan atau cipher suite. Alat ini dapat menganalisis masalah koneksi antara sistem SAP, seperti ABAP dan Java, dan SQL Server yang berjalan di Linux atau Windows. Untuk informasi selengkapnya, lihat catatan SAP 2846170.

Autentikasi

Berikut adalah beberapa pertimbangan untuk autentikasi dengan SAP di Azure.

  • SAP NetWeaver di SQL Server memiliki persyaratan khusus untuk akun startup SAP dan SQL Server, autentikasi ke instans SQL Server, database SAP, dan akses DBA. Untuk informasi selengkapnya, lihat catatan SAP 1645041 - SQL Server login dan penggunaannya di lingkungan SAP.

  • Sistem SAP ABAP NetWeaver tidak memerlukan SQL Server masuk karena semua koneksi menggunakan autentikasi Windows. Misalnya, untuk pengguna SAPService<SID> atau <SID>administrator, Anda dapat menonaktifkan fitur autentikasi SQL Server.

  • Sistem SAP JAVA NetWeaver memerlukan fitur autentikasi SQL Server karena menggunakan login SQL Server, seperti SAP<SID>DB, untuk koneksi.

  • Untuk SAP di SQL Server, Anda dapat menonaktifkan akun administrator sistem SQL Server karena sistem SAP di SQL Server tidak menggunakan akun. Pastikan bahwa pengguna lain dengan hak administrator sistem dapat mengakses server sebelum menonaktifkan akun administrator sistem asli.

  • Sistem ketersediaan tinggi yang menggunakan SQL Server AlwaysOn memiliki persyaratan khusus untuk login, pengguna, dan pekerjaan. Semua server yang terhubung ke sistem harus memiliki login dan pengguna yang sama persis, sehingga sistem SAP dapat terhubung bahkan jika failover ke node lain terjadi. Semua pekerjaan SQL Server terkait SAP harus memiliki pemilik yang sama di semua simpul AlwaysOn. Untuk informasi selengkapnya, lihat Menyinkronkan login, pekerjaan, dan objek SAP.

  • Injeksi SQL adalah ketika kode berbahaya bergabung ke dalam pernyataan SQL yang berjalan pada SQL Server. Ketika laporan berjalan dalam sistem SAP, laporan menghasilkan pernyataan SQL generik dari kode ABAP laporan. Pernyataan dikirim ke dan diubah oleh lapisan database SAP untuk SQL Server.

    Lapisan database ini diintegrasikan ke dalam proses kerja SAP dan tidak dapat diakses dari luar. Setelah transformasi menjadi pernyataan khusus SQL Server, mereka dikirim ke database dan dijalankan. Hasilnya dikembalikan ke laporan panggilan. Pernyataan-pernyataan ini hanya dapat dimanipulasi antara lapisan database sistem SAP dan instans SQL Server, yang disebut serangan man-in-the-middle.

    Dalam sistem SAP, gunakan koneksi terenkripsi antara proses kerja dan database SQL Server untuk mencegah serangan ini. Transaksi DBACockpit memiliki jendela perintah SQL dasar untuk menjalankan pernyataan SQL dasar. Untuk informasi selengkapnya, lihat catatan SAP 1027512 - MSSQL: Kokpit DBA untuk rilis dasar 7.00 dan yang lebih baru.

Audit

Langkah berikutnya