Política de contraseña de SAP: ¿Cómo administrarlo de forma segura?

El sistema* SAP* es un software de automatización de negocios. Sus módulos reflejan todos los procesos internos de la empresa: contabilidad, comercio, producción, finanzas, gestión de personal, etc. SAP consultores participan en proyectos para la implementación y mantenimiento de los módulos SAP.

La confidencialidad es importante en todo y SAP no es una excepción. Proteja su cuenta de contraseña*SAP **, realice un acceso seguro y luego puede evitar muchos problemas.

¿Cómo establecer requisitos para la contraseña de SAP? ¿Cómo protegerse de ser hackeado? ¿Qué necesita saber sobre la política de contraseña de SAP? Aprenda a todos los elementos esenciales sobre la política de contraseña de SAP y las opciones para administrarlo de manera efectiva en este artículo.

Política de contraseña de SAP

La política de contraseña SAP se puede administrar a través de la configuración. La Política de contraseña se instala y se configura de forma predeterminada cuando se crea una nueva base de datos SAP. La configuración predeterminada ya es lo suficientemente buena como para garantizar una protección de contraseña satisfactoria. * La configuración de la política de contraseña SAP* se puede cambiar a un nivel diferente de protección. Sin embargo, algunos usuarios requerirán una protección alternativa diferente. Las contraseñas técnicas de los usuarios son las más vulnerables, ya que algunas restricciones están deshabilitadas para mantener todo el sistema en funcionamiento.

¿Cuál es la longitud de la contraseña de SAP?

De forma predeterminada, la longitud mínima de la contraseña es de 8 caracteres. Se define como la configuración de la política de contraseña maximum_password_length. Para aplicar una contraseña más larga, puede aumentar el valor mínimo a un valor más alto en la configuración del sistema.

¿Cómo forzar el usuario de SAP para cambiar una contraseña débil?

De forma predeterminada, un nuevo usuario deberá cambiar la contraseña la primera vez que inicien sesión. Si este no es el caso, el administrador puede actualizar la configuración de la conexión del usuario para que tenga que cambiar su contraseña la próxima vez que inicie sesión. Esta operación de actualización de contraseña está disponible solo una vez al nivel de usuario.

La política de contraseña se establece en: Cambiar contraseña en la primera conexión a la base de datos. Este predeterminado se puede cambiar a deshabilitado. En este caso, de forma predeterminada, ninguno de los usuarios se le pedirá que cambien su contraseña. No se recomienda desactivar el valor predeterminado. Esto significa que alguien tendrá que administrar cada contraseña existente, que a su vez crea problemas de contraseña olvidados para todos los usuarios personales. La persona es más probable que recuerde su propia contraseña personal. Por qué tratar de empeorar las cosas dando a cada usuario una contraseña extraña y diferente para recordar. En lo que respecta al usuario técnico, este es el otro lado del problema. La contraseña debe permanecer como se ingresó originalmente y solo debe actualizarse después de una decisión del administrador del sistema.

¿Cómo actualizar la fecha de vencimiento de la contraseña de SAP?

La fecha de vencimiento de la contraseña de usuario predeterminada de SAP se puede cambiar a más o menos tiempo. Este es un cambio global para todos los usuarios interesados ​​en esta opción de caducidad. Para controlar el período de validez de la conexión para un usuario o grupo individual de usuarios, consulte el período de validez de la conexión. La fecha de vencimiento de la contraseña no se aplica al tiempo de ejecución predefinido del proyecto.

La caducidad de la contraseña se establece en 182 días de forma predeterminada en las bases de datos de SystemDB y Client. El valor del parámetro es el número de días. En un contexto normal, SystemDB no debe tener un usuario estándar personal. En SystemDB, puede crear un usuario técnico personal con un administrador o un perfil de copia de seguridad. Sin embargo, estos usuarios no deben restringirse debido a su alto perfil a menos que fueron creados para el acceso temporal. La limitación estará a nivel de la fecha de vencimiento de la conexión, no en el nivel de contraseña.

La fecha de vencimiento de la contraseña del usuario de SAP se restablece automáticamente a 182 días cada vez que se actualiza la contraseña para un usuario, a menos que la fecha de vencimiento haya sido desactivada para ese usuario.

¿Cómo mantener la contraseña de SAP segura?

Hay una serie de reglas que deben seguirse para garantizar la seguridad de la contraseña de SAP. Estas reglas dificultarán que un atacante obtenga una contraseña válida. ¿Cuáles son las posibles amenazas para la contraseña de SAP?

Muchos empleados mantienen sus contraseñas por escrito en algún lugar. Esto no es bueno, pero es un hecho normal cuando hay demasiadas conexiones de usuario para recordar y no hay autenticación automática. Por lo tanto, se recomienda que actualice su contraseña de SAP con frecuencia en este caso. Ahora se debe alcanzar un saldo entre dos límites: el número de contraseñas anteriores que no se pueden reutilizar, y la frecuencia con la que se actualiza la contraseña. Solución: las contraseñas SAP deben cambiarse regularmente, preferiblemente con caracteres muy diferentes. Los parámetros técnicos considerados son last_used_passwordswords y maximum_password_lifetime.

Las contraseñas personales SAP son más fáciles de agrietarse que las contraseñas aleatorias (generadas por el sistema). Lo más probable es que la contraseña de alguien contenga un nombre significativo con una fecha de nacimiento que sea más fácil de recordar. El cracker aprende la contraseña muy rápidamente. Solución: use caracteres especiales, minúsculas, mayúsculas y valores numéricos en el contenido de la contraseña, pero también aumente la longitud mínima de la contraseña. Los parámetros técnicos considerados son contraseña_layout y minimal_password_length.

Amenaza técnica para los usuarios: los usuarios están en gran riesgo si algunos administradores están deshabilitados por un administrador. Solo proporcione contraseñas a los administradores. Asegúrese de que la clave personalizada esté en su lugar. Solución: Horario de actualización de contraseña y contraseña fuerte con un procedimiento que cubre todos los escenarios posibles. Parámetros técnicos considerados: contraseña_layout.

¿Cómo detener demasiados intentos de conexión de SAP?

Demasiados intentos de conexión bloquearán la contraseña predeterminada del usuario. Esto puede ser doloroso en algunos casos. Los usuarios técnicos también pueden sufrir las consecuencias. Cualquier trabajo fallará debido al usuario técnico bloqueado. Debe comunicarse con el administrador de su base de datos para desbloquear su cuenta. Esta es una función ideal contra el acceso no autorizado. El valor predeterminado para este parámetro es 6.

NOTA IMPORTANTE: la actualización del valor del parámetro maximum_invalid_connect_attempt no desbloqueará al usuario.

Configuración de la política de contraseña de SAP con M_PASSWORD_POLICY

Si bien la herramienta SAP es muy útil, las consultas SQL tienen algunas ventajas cuando se trata de recuperar los valores de la política de contraseña de SAP. Además del hecho de que el resultado se obtiene sin el peligro de cambiar erróneamente los valores, los valores de los resultados de una consulta SQL también se pueden usar como parte de un script o programa.

¿Cómo realiza una contraseña sólida y resuelve su política de seguridad?

Para crear una fuerte política de contraseña de SAP, debe dedicar tiempo a crear su propia configuración de seguridad de contraseña. La política de contraseña de SAP predeterminada ya es un buen punto de partida desde el cual puede modificar la configuración de seguridad según sus requisitos. Es probable que las preocupaciones de seguridad sean diferentes dependiendo de si es un entorno de desarrollo de bases de datos o un sistema de producción.

Básicamente, debe pensar un poco más de lo que sugiere la política de contraseña de SAP estándar. Por ejemplo, los usuarios técnicos requieren una contraseña segura. No quiere que su contraseña caduque para los usuarios de tecnología valiosa. En una etapa, esto significaría problemas para el procesamiento de lotes y las copias de seguridad. Es posible detener la caducidad de la contraseña. Esto es genial, sí, pero la seguridad no está completa sobre la base de que alguien se encuentra en la contraseña. Por lo tanto, la contraseña técnica del usuario aún debe actualizarse para mantener un alto nivel de seguridad. Esta no es una operación de actualización simple. Esto debe planearse para cubrir escenarios y programas utilizando usuarios técnicos. La contraseña no debe tener codificación dura en ningún script, pero la clave de conexión del usuario debe estar disponible en todo momento. Por lo tanto, todas las claves relevantes deberán restaurarse con una nueva contraseña y la conexión verificada.

Estos son algunos de los aspectos de seguridad que es posible que desee buscar los requisitos de su empresa:

En primer lugar, para cualquier usuario personal nuevo y antiguo, querrá que personalicen sus contraseñas. Force a los usuarios a cambiar su contraseña la próxima vez que se conecten. Es más fácil que darle diferentes contraseñas de cada persona y administrarlas todas una vez en un momento determinado.

Asegúrese de que la contraseña anterior no se pueda reutilizar para cualquier usuario al ingresar una nueva contraseña. De forma predeterminada, estas son las últimas 5 contraseñas. Puede cambiar el valor límite de acuerdo con sus requisitos de seguridad.

Establezca la fecha de vencimiento de la contraseña a un número específico de días. De forma predeterminada, todos los usuarios se establecen en 182 días, pero nada evita que el administrador configure una fecha diferente para el parámetro. Esta limitación debe ser deshabilitada para usuarios técnicos. Para estos usuarios, se programarán las actualizaciones de la contraseña para cumplir con los requisitos comerciales, pero no deben desactivarse de forma predeterminada después de una fecha específica.

Establezca la longitud mínima de la contraseña. El valor predeterminado es de 8 caracteres. El agrietamiento de una contraseña larga tardará más que agrietarse uno corto. Así que aumente el número mínimo de caracteres si la seguridad de la contraseña es de hecho un problema. Sin embargo, tenga en cuenta que los usuarios regulares pueden encontrarle molesto para ingresar una contraseña larga cada vez que inicie sesión.

Establecer la complejidad de contraseña requerida. Una estructura de contraseña compleja también es más difícil de romper que una palabra o nombre común estándar. El uso de un estándar está bien, pero cambiar el valor predeterminado puede dificultar que sea difícil adivinar las contraseñas y dificultar que cualquier programa inteligente encuentre el significado. Entonces, si desea hacer que sus contraseñas sean más seguras, aquí hay una guía:

• Aumente la longitud mínima de la contraseña a 10 caracteres.
• Agregue caracteres especiales como subrayado para ser parte de los valores de la contraseña.
• LOQUEAR CUENTAS DE USUARIOS PERSONALES DESPUÉS DE 5 INTENTOS DE INICIO consecutivos.
• Tener un procedimiento de administración de usuarios técnicos con los siguientes criterios: cambie la contraseña del usuario técnico regularmente al actualizar la tecla del almacén de usuarios. Asegúrese de que todas las conexiones sean válidas para el lote y la copia de seguridad.

¿Cómo actualizo la configuración de la política de contraseña de SAP?

Hay varias formas de actualizar la política de contraseña de SAP. La forma más fácil es usar herramientas como Hana Studio o SAP Cockpit. Es seguro y se detectará un error al escribir. Por otro lado, es fácil obtener mal y la política diferirá de una base de datos SAP a otra.

También puede usar el comando SQL. El uso del script SQL asegura que la misma política de contraseña se aplique estrictamente para cada SAP base de datos del cliente .

Preguntas Frecuentes

¿Cuándo es la expiración de contraseña de usuario SAP del usuario?

El vencimiento de contraseña predeterminado se establece en 182 días en SystemDB y bases de datos del cliente. Puede cambiar el tiempo de caducidad de contraseña predeterminado a un tiempo más largo o más corto. Este es un cambio global para todos los usuarios interesados ​​en esta opción de vencimiento.

¿Cómo se pueden alinear las políticas de contraseña SAP con las prácticas de ciberseguridad estándar de la industria?

Alinear las políticas de contraseña SAP con prácticas de seguridad cibernética implica la implementación de requisitos de contraseña complejos, cambios regulares y autenticación multifactor.