Konfigurieren Ihres SAP-Systems für die Microsoft Sentinel-Lösung

In diesem Artikel wird beschrieben, wie Sie Ihre SAP-Umgebung für die Verbindung mit dem SAP-Datenconnector vorbereiten. Bevor Sie beginnen, stellen Sie sicher, dass Sie die Voraussetzungen für die Bereitstellung der Microsoft Sentinel Lösung für SAP-Anwendungen überprüft haben.

Dieser Artikel ist Teil des zweiten Schritts bei der Bereitstellung der Microsoft Sentinel-Lösung für SAP-Anwendungen. Während die Schritte, die in Microsoft Sentinel ausgeführt werden, erfordern, dass die Lösung zuerst installiert sein muss, können andere Vorbereitungen in der SAP-Umgebung parallel erfolgen.

Viele der Verfahren in diesem Artikel werden in der Regel von Ihrem SAP BASIS-Team ausgeführt. Einige Schritte beziehen auch Ihr Sicherheitsteam mit ein.

Voraussetzungen

• Bevor Sie beginnen, überprüfen Sie unbedingt die Voraussetzungen für die Bereitstellung der Microsoft Sentinel-Lösung für SAP-Anwendungen.
• Einige Schritte werden in Microsoft Sentinel ausgeführt und erfordern, dass Sie zuerst die Microsoft Sentinel-Lösung für SAP-Anwendungen bereitstellen.

Konfigurieren Sie die Microsoft Sentinel-Rolle

Damit der SAP-Datenconnector eine Verbindung mit Ihrem SAP-System herstellen kann, müssen Sie eine SAP-Systemrolle speziell für diesen Zweck erstellen.

Erstellen Sie eine Rolle mithilfe der vorlage MSFTSEN_SENTINEL_READER , die alle grundlegenden Berechtigungen für den Betrieb des Datenconnectors enthält.

Weitere Informationen finden Sie in der SAP-Dokumentation zum Erstellen von Rollen.

Erstellen Sie einen SAP-Benutzer für die Rolle Microsoft Sentinel

Die Microsoft Sentinel Lösung für SAP-Anwendungen erfordert ein Benutzerkonto, um eine Verbindung mit Ihrem SAP-System herzustellen. Wenn Sie Ihren Benutzer erstellen:

• Stellen Sie sicher, dass Sie einen Systembenutzer erstellen.
• Weisen Sie dem Benutzer die MSFTSEN_SENTINEL_READER Rolle zu, die Sie beim Konfigurieren der Microsoft Sentinel Rolle erstellt haben.

Weitere Informationen finden Sie in der SAP-Dokumentation zur Erstellung von Benutzerkonten.

Konfigurieren der SAP-Überwachung

Bei einigen Installationen von SAP-Systemen ist die Überwachungsprotokollierung möglicherweise nicht standardmäßig aktiviert. Um optimale Ergebnisse bei der Bewertung der Leistung und Wirksamkeit der Microsoft Sentinel Lösung für SAP-Anwendungen zu erzielen, aktivieren Sie die Überwachung Ihres SAP-Systems, und konfigurieren Sie die Überwachungsparameter.

Es wird empfohlen, die Überwachung für alle Nachrichten aus dem Überwachungsprotokoll anstatt nur für bestimmte Protokolle zu konfigurieren. Die Kostenunterschiede bei der Erfassung sind im Allgemeinen minimal, die Daten sind aber nützlich für Microsoft Sentinel-Erkennungen und der Untersuchung und dem Hunting nach einer Kompromittierung.

Für eine lückenlose Überwachung mit dem agentenlosen Datenconnector empfehlen wir, die Überwachung für alle Mandanten-IDs Ihrer überwachten SAP-Systeme zu aktivieren, einschließlich der Mandanten 000 und 066.

Weitere Informationen finden Sie unter Analyse und empfohlene Einstellungen des Sicherheitsüberwachungsprotokolls (SM19/RSAU).

Konfigurieren Ihres Systems für die Verwendung von SNC für sichere Verbindungen

Standardmäßig verwenden die SAP-Datenconnectoren eine Remote Function Call (RFC)-Verbindung sowie einen Benutzernamen und ein Passwort zur Authentifizierung beim SAP-System.

Um die RFC-Verbindung zu verschlüsseln oder zertifikatsbasierte Authentifizierung zu verwenden, konfigurieren Sie SAP Smart Network Communications (SNC). Arbeiten Sie mit Ihren SAP-Administratoren und dem Public Key Infrastructure (PKI)-Team Ihrer Organisation zusammen, um die SNC-Konfiguration zu planen. Befolgen Sie die SAP-Richtlinien für die SAP-Komponenten, Zertifikate und Vertrauensbeziehungen in Ihrer Umgebung.

Bevor Sie die Microsoft Sentinel-Verbindung konfigurieren:

• Konfigurieren Sie SNC für SAP NetWeaver Application Server für ABAP (AS ABAP). Ein Beispiel, das CommonCryptoLib verwendet, findet sich in SAP Note 2979858: Beispiel SNC-Konfiguration für AS ABAP mit COMMONCRYPTOLIB.
• Entscheiden Sie, ob Sie Zertifikate verwenden, die von der Zertifizierungsstelle Ihrer Organisation (CA) signiert sind, oder selbstsignierte Zertifikate. Stellen Sie Vertrauen zwischen dem SAP-System und der Komponente her, die die RFC-Verbindung initiiert. Für SAP-Zertifikatsrichtlinien siehe SAP Note 2970934: Wie man das CSR erstellt und wie man die Zertifikatsantwort für das ABAP-System importiert.
• Überprüfen Sie die SNC-Verbindung gemäß den SAP-Anleitungen, bevor Sie Microsoft Sentinel verbinden.

Für den agentenlosen Data Connector konfigurieren Sie SNC im SAP Cloud Connector. Weitere Informationen finden Sie unter SAP KBA 3536285: SAP Cloud Connector – Wie man allgemeine SNC-Einstellungen für SAP Cloud Connector einrichtet.

Wenn du SAP Cloud Connector High Availability verwendest, validiere auch SNC nach dem Wechsel zur Shadow-Instanz.

Weitere Informationen finden Sie in der SAP-Dokumentation zur Konfiguration von SNC und zum Einstieg mit SAP SNC für RFC-Integrationen.

Konfigurieren von SAP BTP-Einstellungen

Um SAP Business Technology Platform (BTP) für den agentlosen Datenkonnektor vorzubereiten, konfigurieren Sie die folgenden Dienste und Rollen in Ihrem SAP BTP-Unterkonto.

1. Fügen Sie in Ihrem SAP BTP-Unterkonto Berechtigungen für die folgenden Dienste hinzu:

   • SAP Integration Suite
   • SAP-Prozessintegrationslaufzeit
   • Cloud Foundry Ausführungsumgebung

   Hinweis

   Diese Lösung berücksichtigt nur die SAP-Cloudintegration in der Cloud Foundry-Umgebung.

2. Erstellen Sie eine instance von Cloud Foundry Runtime, und erstellen Sie dann auch einen Cloud Foundry-Bereich.

3. Erstellen Sie eine instance der SAP Integration Suite.

4. Weisen Sie Ihrem SAP-BTP-Unterkontobenutzerkonto die Rolle SAP BTP Integration_Provisioner zu.

5. Fügen Sie in der SAP Integration Suite die Cloudintegrationsfunktion hinzu.

6. Weisen Sie Ihrem Benutzerkonto die folgenden Prozessintegrationsrollen zu:

   • PI_Administrator
   • PI_Integration_Developer
   • PI_Business_Expert

   Die Rollen PI_Administrator, PI_Integration_Developer und PI_Business_Expert sind erst verfügbar, nachdem Sie die Cloudintegrationsfunktion aktiviert haben.

7. Erstellen Sie in Ihrem Unterkonto eine Instanz der SAP Process Integration Runtime unter Verwendung des Serviceplans integration-flow (nicht API!).

8. Nachdem überprüft wurde, dass die Cloud-Integrationsfunktion aktiviert ist, erstellen Sie einen Serviceschlüssel für die SAP Process Integration Runtime und speichern Sie den JSON-Inhalt an einem sicheren Ort.

Weitere Informationen finden Sie in der SAP-Dokumentation zur Ersteinrichtung von SAP Integration Suite.

Konfigurieren des Connectors in Microsoft Sentinel und in Ihrem SAP-System

Dieses Verfahren umfasst Schritte sowohl in Microsoft Sentinel als auch in Ihrem SAP-System und erfordert eine Koordination mit dem SAP-Administrator.

1. Navigieren Sie in Microsoft Sentinel zur Seite Konfiguration > Datenconnectors, und suchen Sie den Datenconnector Microsoft Sentinel für SAP – ohne Agent.

2. Erweitern Sie den Abschnitt Konfiguration und befolgen Sie die Anweisungen im Abschnitt Anfängliche Konfiguration des Connectors – Führen Sie die folgenden Schritte einmal aus:. Diese Schritte erfordern sowohl Ihren SecuritySOC-Techniker als auch den SAP-Administrator.

   1. Auslösen der automatischen Bereitstellung von Azure-Ressourcen (SOC Engineer). Wenn nach der Bereitstellung der Azure Ressourcen die Werte in den Schritten 2 und 3 nicht automatisch aufgefüllt werden, schließen Sie Schritt 1, und erweitern Sie sie erneut, um die Werte in Den Schritten 2 und 3 zu aktualisieren.

   2. Stellen Sie ein OAuth2-Client-Anmeldedaten-Artefakt in SAP Integration (SAP Admin) bereit.

   3. Stellen Sie das Paket für den agentenlosen SAP-Datenconnector für die SAP Integration Suite (SAP Admin) bereit. Dieses Verfahren wird über das SAP Integration Suite-Portal (SAP Cloud Integration Web UI) ausgeführt.

      1. Öffnen Sie den Abschnitt Entdecken .
      2. Suchen Sie nach Microsoft Sentinel-Lösung und öffnen Sie sie.
      3. Klicken Sie auf Kopieren , um das Integrationspaket in Ihren Cloudintegrationsmandanten zu importieren.
      4. Öffnen Sie das Paket, und wechseln Sie zur Registerkarte Artefakte . Wählen Sie dann die Datensammlerkonfiguration aus. Weitere Informationen finden Sie in der SAP-Dokumentation zum Importieren von Integrationspaketen.
      5. Konfigurieren Sie den Integrationsflow mit LogIngestionURL und DCRImmutableID.
      6. Stellen Sie den iflow mithilfe von SAP Cloud Integration als Laufzeitdienst bereit.

Konfigurieren von SAP Cloud Connector-Einstellungen

Konfigurieren Sie SAP Cloud Connector, um die Kommunikation zwischen Ihrem SAP-Back-End-System und SAP BTP zu ermöglichen. Bevor Sie beginnen, stellen Sie sicher, dass Sie über die erforderlichen Anmeldeinformationen verfügen, um Ihr SAP BTP-Unterkonto in SAP Cloud Connector hinzuzufügen.

1. Installieren Sie den SAP Cloud Connector. Weitere Informationen finden Sie unter Installation von SAP Cloud Connector.

2. Melden Sie sich an der Benutzeroberfläche des Cloudconnectors an, und fügen Sie das Unterkonto mit den entsprechenden Anmeldeinformationen hinzu. Weitere Informationen finden Sie in der SAP-Dokumentation zum Verwalten von Unterkonten in SAP Cloud Connector.

3. Fügen Sie in Ihrem Cloudconnector-Unterkonto dem Back-End-System eine neue Systemzuordnung hinzu, um das ABAP-System dem RFC-Protokoll zuzuordnen.

4. Definieren Sie Optionen für den Lastenausgleich, und geben Sie Details ihres Back-End-ABAP-Servers ein. Kopieren Sie den Namen des virtuellen Hosts an einen sicheren Speicherort, der beim Erstellen des SAP BTP-Ziels verwendet werden soll.

5. Fügen Sie der Systemzuordnung für jeden der folgenden Funktionsnamen neue Ressourcen hinzu:

   • RSAU_API_GET_LOG_DATA, um SAP-Sicherheitsüberwachungsprotokolldaten abzurufen

   • BAPI_USER_GET_DETAIL, um SAP-Benutzerdetails abzurufen

   • RFC_READ_TABLE, um Daten aus erforderlichen Tabellen zu lesen

   • SIAG_ROLE_GET_AUTH, um Autorisierungen von Sicherheitsrollen abzurufen

   • /OSP/SYSTEM_TIMEZONE, um Details zur SAP-Systemzeitzone abzurufen

   Hinweis

   Die unter "Konfigurieren der rolle Microsoft Sentinel"beschriebene MSFTSEN_SENTINEL_READER Rolle ist für den geringsten Berechtigungszugriff konfiguriert. Dadurch wird sichergestellt, dass Funktionsmodule wie RFC_READ_TABLE nur bei Bedarf verwendet werden. Berücksichtigen Sie die bewährten Methoden von SAP für RFC-Zugriff und SAP Unified Connectivity (UCON), um den Zugriff auf Funktionsmodule über die Steuerung von SAP Cloud Connector und der SAP-Rolle hinaus zu steuern.

6. Fügen Sie in SAP BTP ein neues Ziel hinzu, das auf den virtuellen Host verweist, den Sie zuvor erstellt haben. Verwenden Sie die folgenden Details, um die neue SAP BTP RFC-Destination für Microsoft Sentinel auszufüllen:

   • Name: Geben Sie den Namen ein, den Sie für die Microsoft Sentinel Verbindung verwenden möchten.

   • Typ: RFC

   • Proxytyp: On-Premise

   • Benutzer: Geben Sie das zuvor erstellte ABAP-Benutzerkonto für Microsoft Sentinel ein

   • Autorisierungstyp: CONFIGURED USER

   • Zusätzliche Eigenschaften:

     • jco.client.ashost = <virtual host name>

     • jco.client.client = <client e.g. 001>

     • jco.client.sysnr = <system number = 00>

     • jco.client.lang = EN

   • Standort: Nur erforderlich, wenn Sie mehrere Cloudconnectors mit demselben BTP-Unterkonto verbinden. Weitere Informationen finden Sie in der SAP-Dokumentation zu Parametern, die das Kommunikationsverhalten beeinflussen.

Optimieren Sie die Größe, den Durchsatz und die Isolierung des SAP Cloud Connector

Die Standardeinstellungen des SAP Cloud Connector passen für die meisten Umgebungen. Passen Sie es ab, bevor Sie live gehen, wenn die Microsoft Sentinel-Aufnahme ein hohes Volumen hat, bursty ist oder einen SAP Cloud Connector mit anderen Integrationen teilt.

1. Bestätigen Sie die Größe für die Cloud Connector Master-Instanz: Größenanpassung für die Master-Instanz.
2. Wenn SAP Cloud Integration (CPI) berichtet IOError on tunnel socket during connect attempt, verwenden Sie SAP Note 3403815 , um Durchsatz- und Anfragelimits abzustimmen.
3. Aktivieren Sie Laufzeitüberwachung: Cloud Connector-Überwachung.
4. Beheben Sie veraltete oder festgefahrene SAP Cloud Connector-Sitzungen, indem Sie die SAP-Notiz 2485510 befolgen.

Führen Sie den Voraussetzungsprüfer aus

Führen Sie die Voraussetzungsprüfung aus, um zu überprüfen, ob Ihr SAP-System für die Integration mit Microsoft Sentinel bereit ist.

1. Der iFlow „Prerequisite checker“ ist im Integrationspaket der Microsoft Sentinel-Lösung enthalten. Konfigurieren und bereitstellen Sie diesen iflow, bevor Sie mit dem nächsten Schritt fortfahren, damit Ihr SAP-System die Systemvoraussetzungen vor der Integration in Microsoft Sentinel erfüllt. Nach der Bereitstellung wird der iFlow in SAP Cloud Integration gemäß Zeitplan ausgeführt. Überprüfen Sie den Status der letzten Ausführung, um den erfolgreichen Abschluss zu bestätigen.

   So konfigurieren und stellen Sie das Tool bereit:

   1. Öffnen Sie das Integrationspaket, navigieren Sie zur Registerkarte Artefakte , und wählen Sie die Voraussetzungsprüfung iflow >Konfigurieren aus.
   2. Legen Sie den Zielnamen für den Remotefunktionsaufruf (RFC) auf das SAP-System fest, das Sie überprüfen möchten. Beispiel: A4H-100-Sentinel-RFC.
   3. Stellen Sie den iflow wie sonst für Ihre SAP-Systeme bereit.
   4. Um optimale Ergebnisse zu erzielen, führen Sie die Überprüfung 24 Stunden lang mit einer Häufigkeit von 1 Minuten aus, um Anomalien wie nicht autorisierte Batchaufträge über Nacht oder unbekannte Nutzungsspitzen abzufangen.

   So prüfen Sie den Überprüfungsstatus:

   1. Öffnen Sie in SAP Cloud Integration Monitor>Integrations, und suchen Sie die Ausführungen des iFlows Prerequisite checker gemäß Ihrem Überwachungszeitraum (z. B. 24h). Vergewissern Sie sich, dass die Ausführung mit status Abgeschlossen (HTTP 200) abgeschlossen wurde und dass die Antwortnutzlast keine Warnungen oder Fehler enthält. Der Scheduler erzeugt möglicherweise Nachrichten mit dem Status "Verworfen" aufgrund der internen Funktionsweise von SAP Cloud Integration. Diese Nachrichten können ignoriert werden und enthalten Text wie "Die Nachrichtenverarbeitung wurde verworfen, da das auslösende Timerereignis bereits von einem anderen Prozess verarbeitet wurde.".
   2. Überprüfen Sie im Nachrichtenverarbeitungsprotokoll (Message Processing Log, MPL) die Attachments und Eigenschaften auf die Ergebnisse der einzelnen Überprüfungen. Öffnen Sie die Datei, die an den MPL-Eintrag angefügt ist.

   

   Verwenden Sie die folgende Tabelle, um die Ergebnisse zu interpretieren:

   Status	Bedeutung	Nächster Schritt
   Abgeschlossen, keine Warnungen	Alle Voraussetzungen sind erfüllt.	Setzen Sie die Verbindung Ihres SAP-Systems mit Microsoft Sentinel fort.
   Abgeschlossen, mit Warnungen	Die Voraussetzungen sind teilweise erfüllt.	Überprüfen Sie die Antwortdetails, und korrigieren Sie sie, bevor Sie eine Verbindung herstellen.
   Fehlgeschlagen oder kein 200-Status	Die Überprüfung konnte das SAP-Zielsystem nicht erreichen oder hat einen Konfigurationsfehler ausgelöst.	Überprüfen Sie das RFC-Ziel und die Anmeldeinformationen, stellen Sie dann den iflow erneut bereit, und führen Sie ihn erneut aus.

   Wenn noch Ergebnisse vorliegen, lesen Sie die Antwortdetails, um anleitungen zu den Korrekturschritten zu erhalten. Ältere SAP-Systeme erfordern häufig zusätzliche SAP-Hinweise. Weitere Informationen zu häufigen Problemen und Lösungen finden Sie im Abschnitt zur Problembehandlung .

   Nach Abschluss:

   Heben Sie die Bereitstellung des geplanten iFlows Prerequisite checker auf, sobald die SAP-Systemüberprüfung erfolgreich abgeschlossen wurde. Wiederholen Sie diese Sequenz für jedes neue SAP-System, das integriert werden soll.

2. Scrollen Sie im Sentinel-Portal im Bereich Konfiguration weiter nach unten, und erweitern Sie den Bereich Überwachte SAP-Systeme hinzufügen – Führen Sie die folgenden Schritte für jedes überwachte SAP-System aus: und befolgen Sie die dortigen Anweisungen für jedes SAP-System, das Sie überwachen möchten.

   Fahren Sie im Assistenten Überwachte SAP-Systeme hinzufügen in Microsoft Sentinel im Schritt SAP-System mit Microsoft Sentinel verbinden / SOC-Techniker mit Verbinden Ihres SAP-Systems mit Microsoft Sentinel fort.

Nächster Schritt