Migration zum Microsoft Sentinel agentlosen SAP-Datenkonnektor

Folgen Sie diesem Leitfaden, um vom containerisierten SAP-Agenten auf den agentenlosen Datenconnector für die Microsoft Sentinel-Lösung für SAP-Anwendungen zu migrieren.

Der containerisierte Data Connector Agent für SAP wurde am 14. September 2026 eingestellt und wird weder unterstützt noch gewartet. Bestehende TLS-konforme Agenten könnten weiterhin Logs über die eingestellte HTTP Data Collector API senden. Am 14. Oktober 2026 werden Container-Images entfernt, was neue Pulls, Installation, Wiedereinführung, Skalierung, Ersatz und Disaster Recovery verhindert. Kunden müssen auf den unterstützten SAP-agentenlosen Connector migrieren. Kunden, die den agentenlosen Datenkonnektor nutzen, sind nicht betroffen.

Gründe für die Umstellung auf den Datenconnector ohne Agent?

Der agentenlose Connector bietet folgende Vorteile:

• Vereinfachte Bereitstellung ohne Speicherbedarf in SAP NetWeaver.
• Weniger Wartungsaufwand ohne Containermanagement und standardmäßige SAP-Updates.
• Zukunftssichere Architektur basierend auf SAP Integration Suite und SAP Cloud Connector.
• Verbesserte Skalierbarkeit.

Der Migrationsprozess beinhaltet die Bereitstellung des agentenlosen Connectors Seite an Seite mit dem bestehenden containerisierten Agenten, die Validierung der Logabruf vom agentenlosen Connector und anschließend die Deaktivierung des containerisierten Agenten.

Bestehende Analyseregeln, Arbeitsbücher und Playbooks für die Microsoft Sentinel-Lösung für SAP-Anwendungen bleiben mit dem agentenlosen Datenkonnektor weiterhin funktionsfähig. Verbesserungen der KQL-Funktionen unterstützen beide Datenaufnahmemethoden nebeneinander. Die Funktionen verwenden den Fuzzy-Union-Operator, um Daten aus beiden Quellen zu kombinieren, wenn verfügbar.

Migrationspfad

Die Erstellung neuer containerisierter Agenten ist deaktiviert. Nutze den agentlosen Daten-Connector, wenn du neue SAP-Systeme einbaust, und migriere bestehende containerisierte Agenten so schnell wie möglich. Vollständige Migration vor der Entfernung von Containerbildern am 14. Oktober 2026.

1. Bewerten: Überprüfen Sie Ihre vorhandene Bereitstellung des SAP-Agents in Containern, um überwachte SAP-Systeme, gesammelte Protokolltypen und benutzerdefinierte Konfigurationen zu identifizieren.
2. Review: Vergleichen Sie die Konfigurationsoptionen und Fähigkeiten des containerisierten Agenten und des agentenlosen Datenconnectors.
3. Bereitstellen: Richten Sie den agentlosen Datenconnector ein, indem Sie die Anleitung Bereitstellen der Microsoft Sentinel-Lösung für SAP-Anwendungen befolgen.
4. Validieren: Bestätigen Sie, dass alle erforderlichen SAP-Tabellen und Protokolltypen korrekt von Ihren SAP-Systemen vom agentenlosen Datenkonnektor erfasst werden. Verwenden Sie KQL-Abfragen, um die Protokollaufnahme zu überprüfen.

   let startTime = ago(1h);
   let endTime = now();
   ABAPAuditLog
   | where TimeGenerated between (startTime .. endTime)
   | summarize Count = count() by SourceSystem, bin(TimeGenerated, 5m)
   | order by TimeGenerated desc
   

5. Überwachen: Führen Sie sowohl den containerisierten Agenten als auch den agentenlosen Datenkonnektor parallel für einen definierten Zeitraum aus, um eine stabile und vollständige Logsammlung sicherzustellen. Vergewissern Sie sich, dass Analyseregeln, Arbeitsmappen, Hunting-Abfragen und Playbooks die erwarteten Ergebnisse mit Protokollen zurückgeben, die vom Connector ohne Agent erfasst wurden.
6. Außerbetriebnahme: Nachdem Sie den agentlosen Datenkonnektor validiert haben, nehmen Sie den containerisierten SAP-Agenten außer Betrieb, indem Sie die Schritte unter SAP-Datenerfassung beenden ausführen.

Featureparität

Der agentenlose Datenkonnektor bietet für die meisten wichtigen Anwendungsfälle bei Analyseregeln und Arbeitsmappen denselben integrierten Funktionsumfang wie der containerisierte SAP-Agent. Ausführliche Informationen finden Sie in der Inhaltsreferenz .

Alle Analyseregeln und Arbeitsbücher , die auf den zugrundeliegenden SAP-Quellen basieren, die in der Tabellenreferenz genannt werden, bleiben funktionsfähig ohne jegliche Änderungen.

Diese Quellen umfassen, sind aber nicht beschränkt auf, folgende Protokolle:

• Sicherheitsprüfungsprotokoll (ABAPAuditLog_CL vs. ABAPAuditLog)

• Dokumentenprotokoll ändern (ABAPChangeDocsLog_CL vs. ABAPChangeDocsLog)

• Benutzer- und Benutzerautorisierungsdetails (mehrere ABAPUser-Tabellen vs. ABAPUserDetails und ABAPAuthorizationDetails)

Der Lösungsbereich kann durch Erweiterungsmuster erweitert werden, die für den Datenconnector ohne Agent verfügbar sind. Watchlists und Playbooks bleiben ohne Änderungen voll funktionsfähig.

Das Präfix "SAPCon" stammt aus analytischen Regeln, die zur besseren Verständlichkeit weggelassen wurden.

Erkennungen auf SAP HANA-Datenbank- oder Betriebssystemebene liegen außerhalb des Bereichs für den Vergleich, da sie von ihren eigenen Connectors in Microsoft Sentinel abgedeckt werden.

Nächste Schritte

• Entdecken Sie die Video-Playlist zur agentenlosen Migration

• Erfahren Sie mehr über Microsoft Sentinel Solution für SAP-Anwendungen.

• Erfahren Sie mehr über Microsoft Sentinel Solution for SAP BTP.

• Erfahren Sie mehr über Microsoft Sentinel Lösung für SAP-Partner-Add-Ons.