Überprüfen Sie die Einhaltung Ihrer SAP-Sicherheitskontrollen mit der Arbeitsmappe „SAP – Security Audit Controls“

In diesem Artikel wird beschrieben, wie Sie die Arbeitsmappe SAP - Sicherheitsüberwachungskontrollen verwenden können, um die Einhaltung des Sicherheitskontrollframeworks in Ihren SAP-Systemen zu überwachen und nachzuverfolgen, einschließlich der folgenden Funktionen:

• Sehen Sie sich Empfehlungen an, welche Analyseregeln aktiviert werden sollen, und aktivieren Sie sie mit der richtigen voreingestellten Konfiguration.
• Ordnen Sie Ihre Analyseregeln dem SOX- oder NIST-Steuerungsframework zu, oder wenden Sie Ihr eigenes benutzerdefiniertes Steuerelementframework an.
• Überprüfen Sie die nach Kontrollen zusammengefassten Vorfälle und Warnungen entsprechend dem ausgewählten Kontrollrahmen.
• Exportieren Sie relevante Vorfälle zur weiteren Analyse, zu Überwachungs- und Berichterstellungszwecken.

Zum Beispiel:

Die Inhalte in diesem Artikel sind für Ihr Sicherheitsteam bestimmt.

Voraussetzungen

Bevor Sie mit der Verwendung des SAP - Sicherheitsüberwachungsprotokolls und der Arbeitsmappe "Erstzugriff" beginnen können, benötigen Sie Folgendes:

• Eine Microsoft Sentinel Lösung für SAP installiert und ein Datenconnector konfiguriert. Weitere Informationen finden Sie unter Bereitstellen Microsoft Sentinel Lösung für SAP-Anwendungen.

• Die Arbeitsmappe SAP-Überwachungssteuerelemente, die in Ihrem Log Analytics-Arbeitsbereich installiert ist und für Microsoft Sentinel aktiviert ist. Weitere Informationen finden Sie unter und Visualisieren und überwachen Sie Ihre Daten mithilfe von Arbeitsmappen in Microsoft Sentinel.

• Mindestens ein Incident in Ihrem Arbeitsbereich, wobei mindestens ein Eintrag in der SecurityIncident Tabelle verfügbar ist. Dies muss kein SAP-Incident sein, und Sie können einen Demovorfall mithilfe einer grundlegenden Analyseregel generieren, wenn Sie nicht über eine andere verfügen.

Es wird empfohlen, die Überwachung für alle Nachrichten aus dem Überwachungsprotokoll anstatt nur für bestimmte Protokolle zu konfigurieren. Die Kostenunterschiede bei der Erfassung sind im Allgemeinen minimal, die Daten sind aber nützlich für Microsoft Sentinel-Erkennungen und der Untersuchung und dem Hunting nach einer Kompromittierung. Weitere Informationen finden Sie unter Konfigurieren der SAP-Überwachung.

Demo anzeigen

Sehen Sie sich eine Demo dieser Arbeitsmappe an:

Weitere Informationen finden Sie im YouTube-Kanal der Microsoft Security Community:

Unterstützte Filter

In der Arbeitsmappe SAP Audit Controls stehen die folgenden Filter zur Verfügung, damit Sie sich auf die relevanten Daten konzentrieren können:

Empfehlungen zur Datenaufbewahrung

Die Sap Audit Controls-Dashboards bieten eine aggregierte Ansicht von Vorfällen und Warnungen basierend auf den Tabellen SecurityAlert und SecurityIncident , die standardmäßig Daten für 30 Tage aufbewahren.

Erwägen Sie, den Aufbewahrungszeitraum für diese Tabellen zu verlängern, um die Complianceanforderungen Ihrer organization zu erfüllen. Unabhängig von der Auswahl, die Sie für die Aufbewahrungsrichtlinie dieser Tabellen treffen, werden die Incidentdaten nie gelöscht, obwohl sie hier möglicherweise nicht angezeigt werden. Alarmdaten werden entsprechend den Aufbewahrungsrichtlinien der Tabelle gespeichert.

Die tatsächliche Aufbewahrungsrichtlinie der Tabellen SecurityAlert und SecurityIncident kann durchaus als etwas anderes als die Standardmäßigen 30 Tage definiert werden. Sehen Sie sich den Hinweis auf dem blau schattierten Hintergrund in der Arbeitsmappe an, in dem der tatsächliche Zeitbereich der Daten in den Tabellen gemäß ihrer aktuellen Aufbewahrungsrichtlinie angezeigt wird.

Weitere Informationen finden Sie unter Konfigurieren einer Datenaufbewahrungsrichtlinie für eine Tabelle in einem Log Analytics-Arbeitsbereich.

Registerkarte "Konfigurieren": Erstellen von Analyseregeln aus noch nicht verwendeten Vorlagen

Die Tabelle Vorlagen können verwendet werden auf der Registerkarte Konfigurieren zeigt die Analyseregelvorlagen aus der Microsoft Sentinel Lösung für SAP-Anwendungen, die noch nicht als aktive Regeln implementiert wurden. Möglicherweise müssen Sie diese Regeln erstellen, um Die Konformität zu erreichen. Zum Beispiel:

Standardmäßig wird diese Tabelle nach SAP gefiltert, wobei SAP in der Dropdownliste Zu konfigurierende Lösungsvorlagen ausgewählt ist. Wählen Sie eine oder alle anderen Lösungen aus dieser Dropdownliste aus, um die Tabelle Einsatzbereite Vorlagen weiter zu füllen.

Wählen Sie für jede Zeile in der Tabelle Ansicht aus, um weitere schreibgeschützte Details zur Regelkonfiguration anzuzeigen.

In der Spalte Empfohlene Konfiguration wird der Zweck der Regel angezeigt: Soll sie Incidents zu Untersuchungszwecken erstellen? Oder nur, um Warnungen zu erstellen, die beiseitegehalten und zu anderen Vorfällen hinzugefügt werden, um sie als Beweis für ihre Untersuchungen zu verwenden?

Wählen Sie im Seitenbereich Regel aktivieren aus, um eine Analyseregel aus der Vorlage zu erstellen, wobei die empfohlene Konfiguration bereits integriert ist. Diese Funktionalität ersparen Ihnen die Mühe, die richtige Konfiguration zu erraten und manuell zu definieren.

Registerkarte "Konfigurieren": Anzeigen oder Ändern von Sicherheitskontrollzuweisungen Ihrer Analyseregeln

In der Tabelle Select a rule to configure (Regel zum Konfigurieren auswählen ) auf der Registerkarte Konfigurieren wird eine Liste der aktivierten Analyseregeln angezeigt, die für SAP relevant sind. Zum Beispiel:

Überprüfen Sie in der Tabelle Folgendes:

• Die von jeder Regel in den Spalten Incidents und Alerts erzeugten Anzahl- und Grafikzeilen. Identische Anzahlen deuten darauf hin, dass die Warnungsgruppierung deaktiviert ist.

• Die Spaltenwerte Incidents und Source , um zu verstehen, ob die Regel auf die Erstellung von Incidents festgelegt ist.

• Gibt an, ob die empfohlene Konfiguration für eine Regel nur als Warnung lautet. Wenn dies der Fall ist, sollten Sie die Einstellung für die Incidenterstellung in der Regel deaktivieren.

Wählen Sie eine Regel aus, um einen Detailbereich mit weiteren Informationen anzuzeigen. Zum Beispiel:

• Im oberen Teil dieser Seitenleiste finden Sie Empfehlungen zum Aktivieren oder Deaktivieren der Erstellung von Incidents in der Konfiguration der Analyseregel.

• Der nächste Abschnitt des Seitenbereichs zeigt, mit welchen Sicherheitskontrollen und Steuerelementfamilien die Regel für jedes der verfügbaren Frameworks identifiziert wird.

  • Passen Sie für die SOX- und NIST-Frameworks die Steuerelementzuweisung an, indem Sie in den entsprechenden Dropdownlisten ein anderes Steuerelement oder eine andere Steuerelementfamilie auswählen.
  • Für benutzerdefinierte Frameworks geben Sie Steuerelemente und Steuerelementfamilien Ihrer Wahl in den MyOrg-Textfeldern ein. Wenn Sie Änderungen vornehmen, wählen Sie Änderungen speichern aus.

  Wenn einer bestimmten Analyseregel keine Sicherheitskontrolle oder Steuerungsfamilie für ein bestimmtes Framework zugewiesen wurde, werden Sie aufgefordert, die Steuerelemente manuell festzulegen. Nachdem Sie die Steuerelemente ausgewählt haben, wählen Sie Änderungen speichern aus.

  Um die restlichen Details der ausgewählten Regel wie derzeit definiert anzuzeigen, wählen Sie Regelübersicht aus.

Registerkarte „Überwachen“

Die Registerkarte Überwachen enthält mehrere grafische Darstellungen verschiedener Gruppierungen der Incidents in Ihrer Umgebung, die mit den Filtern oben in der Arbeitsmappe übereinstimmen:

• Ein Trendliniendiagramm mit der Bezeichnung Incidents-Trend zeigt die Anzahl der Vorfälle im Zeitverlauf an. Diese Vorfälle werden gruppiert und durch unterschiedliche farbige Linien und Schattierungen dargestellt, standardmäßig entsprechend der Steuerelementfamilie, die durch die Regel dargestellt wird, die sie generiert hat. Wählen Sie alternative Gruppierungen für diese Vorfälle in der Dropdownliste Detail incidents by aus. Zum Beispiel:

  

• Das Diagramm Incidents-Struktur zeigt die Anzahl von Incidents, die auf zwei Arten gruppiert sind. Die Standardwerte für das SOX-Framework erfolgen zunächst nach der SOX-Kontrollfamilie, also der wabenförmigen Zellanordnung, und dann nach der System-ID, wobei jede Zelle in der Wabenstruktur einer System-ID entspricht. Wählen Sie unterschiedliche Kriterien aus, nach denen die Gruppierungen angezeigt werden sollen, und verwenden Sie dazu die Auswahlfelder Drill by und And then by.

Vergrößern Sie das Hive-Diagramm, um den Text so groß zu machen, dass er deutlich gelesen werden kann, und verkleinern Sie, um alle Gruppierungen zusammen zu sehen. Ziehen Sie das gesamte Diagramm, um verschiedene Teile davon anzuzeigen. Zum Beispiel:

Bericht-Registerkarte

Die Registerkarte Bericht enthält eine Liste aller Incidents in Ihrer Umgebung, die mit den Filtern oben in der Arbeitsmappe übereinstimmen.

• Die Vorfälle werden nach Kontrollfamilie und Kontroll-ID gruppiert.

• Über den Link in der Spalte Incident-URL wird ein neues Browserfenster geöffnet, in dem die Seite zur Untersuchung des Incidents für diesen Vorfall geöffnet wird. Dieser Link ist persistent und funktioniert unabhängig von der Aufbewahrungsrichtlinie für die SecurityIncident-Tabelle .

• Scrollen Sie nach unten bis zum Ende des Fensters (der äußeren Scrollleiste), um die horizontale Scrollleiste anzuzeigen, die Sie verwenden können, um die restlichen Spalten im Bericht anzuzeigen.

• Exportieren Sie diesen Bericht in eine Excel-Tabelle, indem Sie die drei Punkte in der oberen rechten Ecke des Berichts auswählen und dann In Excel exportieren.

  

  

Verwandte Inhalte

Weitere Informationen finden Sie unter Bereitstellen der Microsoft Sentinel-Lösung für SAP-Anwendungen über den Content Hub und Microsoft Sentinel Lösung für SAP-Anwendungen: Referenz zu Sicherheitsinhalten.