Problembehandlung ihrer Microsoft Sentinel-Lösung für die Bereitstellung von SAP-Anwendungen

Dieser Artikel enthält Schritte zur Problembehandlung, mit denen Sie eine genaue und rechtzeitige Datenerfassung und -überwachung für Ihre SAP-Umgebung mit Microsoft Sentinel sicherstellen können.

Bei der Arbeit mit dem Datenconnector ohne Agent erfolgt die Problembehandlung größtenteils direkt in der SAP Integration Suite, wo im Meldungsprotokoll Fehler angezeigt werden, die die Art des aufgetretenen Problems angeben.

Beginnen Sie mit der Untersuchung der Nachrichtenverarbeitungsprotokolle. Weitere Informationen finden Sie in der SAP-Dokumentation. Die dort angezeigten Fehlermeldungen können Ihnen helfen, Probleme mit fehlenden Berechtigungen, Konnektivitätsfehlern und anderen Fehlkonfigurationen zu diagnostizieren.

Wenn keine zugehörige Fehlermeldung zu Ihrem Problem angezeigt wird, aktivieren Sie die Trace-Protokollierung, um eine eingehendere Fehlerbehebung durchzuführen. Weitere Informationen finden Sie in der SAP-Dokumentation.

Voraussetzungen prüfen

Das Datenconnectorpaket ohne Agent, das beim Ausführen der anfänglichen Connectorkonfiguration bereitgestellt wurde, enthält ein Tool, das SAP-Administratoren bei der Diagnose und Behebung von Problemen im Zusammenhang mit der KONFIGURATION der SAP-Umgebung unterstützt.

So konfigurieren und stellen Sie das Tool bereit:

1. Öffnen Sie das Integrationspaket, navigieren Sie zur Registerkarte Artefakte , und wählen Sie die Voraussetzungsprüfung iflow >Konfigurieren aus.
2. Legen Sie den Zielnamen für den Remotefunktionsaufruf (RFC) auf das SAP-System fest, das Sie überprüfen möchten. Beispiel: A4H-100-Sentinel-RFC.
3. Stellen Sie den iflow wie sonst für Ihre SAP-Systeme bereit.
4. Um optimale Ergebnisse zu erzielen, führen Sie die Überprüfung 24 Stunden lang mit einer Häufigkeit von 1 Minuten aus, um Anomalien wie nicht autorisierte Batchaufträge über Nacht oder unbekannte Nutzungsspitzen abzufangen.

So prüfen Sie den Überprüfungsstatus:

1. Öffnen Sie in SAP Cloud Integration Monitor>Integrations, und suchen Sie die Ausführungen des iFlows Prerequisite checker gemäß Ihrem Überwachungszeitraum (z. B. 24h). Vergewissern Sie sich, dass die Ausführung mit status Abgeschlossen (HTTP 200) abgeschlossen wurde und dass die Antwortnutzlast keine Warnungen oder Fehler enthält. Der Scheduler erzeugt möglicherweise Nachrichten mit dem Status "Verworfen" aufgrund der internen Funktionsweise von SAP Cloud Integration. Diese Nachrichten können ignoriert werden und enthalten Text wie "Die Nachrichtenverarbeitung wurde verworfen, da das auslösende Timerereignis bereits von einem anderen Prozess verarbeitet wurde.".
2. Überprüfen Sie im Nachrichtenverarbeitungsprotokoll (Message Processing Log, MPL) die Attachments und Eigenschaften auf die Ergebnisse der einzelnen Überprüfungen. Öffnen Sie die Datei, die an den MPL-Eintrag angefügt ist.

Verwenden Sie die folgende Tabelle, um die Ergebnisse zu interpretieren:

Wenn noch Ergebnisse vorliegen, lesen Sie die Antwortdetails, um anleitungen zu den Korrekturschritten zu erhalten. Ältere SAP-Systeme erfordern häufig zusätzliche SAP-Hinweise. Weitere Informationen zu häufigen Problemen und Lösungen finden Sie im Abschnitt zur Problembehandlung .

Nach Abschluss:

Heben Sie die Bereitstellung des geplanten iFlows Prerequisite checker auf, sobald die SAP-Systemüberprüfung erfolgreich abgeschlossen wurde. Wiederholen Sie diese Sequenz für jedes neue SAP-System, das integriert werden soll.

Fehlende Funktionalität in älteren SAP-Systemen

Bei einigen älteren SAP-Systemen fehlt möglicherweise die erforderliche Funktionalität für das Funktionsmodul RFC_READ_TABLE. Stellen Sie sicher, dass Ihr SAP-Administrator die SAP-Hinweise 3390051 und 382318 überprüft und das System entsprechend gepatcht hat.

Weitere Informationen finden Sie unter Konfigurieren von SAP Cloud Connector-Einstellungen.

Fehler "Erforderliche Azure-Ressourcen bereitstellen" beim Einrichten des Datenconnectors

Wenn Sie den agentlosen Datenconnector Microsoft Sentinel für SAP einrichten, wird unter Erstkonfiguration des Connectors > Schritt 1: Automatische Bereitstellung der erforderlichen Azure-Ressourcen auslösen / SOC-Techniker nach Auswahl von Erforderliche Ressourcen bereitstellen möglicherweise der Fehler „Erforderliche Azure-Ressourcen bereitstellen“ oder ein ähnlicher Fehler angezeigt (Fehler können variieren). Dieser Fehler kann darauf hindeuten, dass Ihnen die erforderlichen Berechtigungen für die Entra-ID-App-Registrierung fehlen.

Wenn Sie nicht über die Rolle anwendungsentwickler Entra ID oder höher verfügen, müssen Sie mit einem Kollegen zusammenarbeiten, der über diese Berechtigung verfügt, um die Einrichtung der Azure-Ressourcen abzuschließen. Für weitere Informationen folgen Sie dem Verfahren im agentlosen Datenanschlussschritt .

„Zuletzt weitergeleitete Adresse“ fehlt

Wenn im Sicherheitsüberwachungsprotokoll ein Fehler angezeigt wird, wonach die letzte weitergeleitete Adresse (eine IP-Adresse) fehlt, befolgen Sie die Anweisungen im SAP-Hinweis 3566290.

Unvollständige SAP-Benutzerstammdaten

Wenn eine Fehlermeldung angezeigt wird, dass Ihre SAP-Benutzerstammdaten unvollständig sind oder dass in der Microsoft Sentinel-Tabelle ABAPAuthorizationDetails keine Daten vorhanden sind, gehen Sie wie folgt vor:

1. Vergewissern Sie sich, dass das SIAG_ROLE_GET_AUTH SAP-Funktionsmodul im SAP-Quellsystem vorhanden ist.
2. Befolgen Sie die Anleitung im SAP-Hinweis 3088309 für die relevante Lösung.

Statuscode 500 bei SAP-Systemverbindung auf Sentinel

Wenn während des Verbindungsvorgangs von Sentinel zu SAP Cloud Integration ein Fehler mit status Code 500 angezeigt wird, wenden Sie sich an Ihren SAP-Kollegen, der den Integrationsfluss "Datensammler" für die SAP-Cloudintegration überwacht. Die Details der Fehlermeldung sind von Natur aus nur im Nachrichtenverarbeitungsprotokoll von SAP verfügbar.

Lange Nachrichtenverarbeitungszeiten oder Anomalien des Nachrichtenvolumens bei der SAP-Cloudintegration

Wenn Sie in SAP Cloud Integration plötzliche Spitzen bei Nachrichtenvolumen und Verarbeitungszeiten feststellen, sollten Sie die verantwortlichen Quellen auf der NetWeaver-Seite filtern. Es stehen zwei Optionen zur Verfügung.

1. Verwenden Sie die Transaktion SM19 und die Best Practices von SAP, um Filtereinstellungen auf Benutzer und Nachrichtenklassen anzuwenden, die den Anstieg verursachen
2. Verwenden Sie die Filterfunktionen des Sentinel-Pakets für die SAP-Cloudintegration, um Filter beim Lesen von Protokollen anzuwenden. Der Parameter max-rows ist standardmäßig vorbelegt, um den Integrationsfluss systembedingt vor einer Nachrichtenflut zu schützen.

Beachten Sie, dass Protokollfilter für NetWeaver sich darauf auswirken, was in das Überwachungsprotokoll für die Quelle geschrieben wird, während ein Filter nach SAP Cloud Integration nur die problematischen Einträge nicht liest.

Timeouts während der Connectorregistrierung oder des Protokollabrufs

Der agentenlose Microsoft Sentinel-Poller erzwingt zwei Timeouts beim Aufrufen des iFlows Data Collector in SAP Cloud Integration. Das Überschreiten eines der beiden Grenzwerte führt zu einer unvollständigen Erfassung oder zu ständigen Wiederholungen. Fehlermeldungen bei SAP Cloud Integration können variieren, je nachdem, welcher Teil der Datenextraktions-Pipeline zuerst fehlschlägt.

Erstverbindung (45-Sekunden-Grenzwert): Teildaten und fehlgeschlagene Connectorregistrierung

Wenn Sie ein neues SAP-System in Microsoft Sentinel verbinden, muss der erste Handshake für den Datensammler-iflow innerhalb von 45 Sekunden abgeschlossen werden. Wenn die Antwort der SAP-Integration länger dauert, erfasst der Connector Teildaten, und die Connectorregistrierung schlägt fehl.

Zur Problembehebung:

1. Führen Sie den iFlow Prerequisite checker aus, und überprüfen Sie dessen Laufzeitmessungen, um den langsamen Downstreamaufruf (RFC-Ziel, Lesen des Überwachungsprotokolls, Lesen des Benutzerstamms) zu identifizieren.
2. Optimieren Sie die SAP-Integration nach der SAP-Cloudintegration, um die Antwortzeit unter 45 Sekunden zu bringen. Zu den gängigen Hebeln gehören Filtereinstellungen für Überwachungsprotokolle (Bewährte Methoden für SM19/RSAU), Außerkraftsetzungen von Datenconnectorparametern wie max-rows und offset-in-seconds (siehe Anpassen des Verhaltens des Datenconnectors) sowie die Dimensionierung von SAP Cloud Connector/RFC.
3. Wenn die Antwortzeit immer noch nicht reduziert werden kann, wechseln Sie zum SAP CPI-internen Scheduler-Ansatz, indem Sie den Datensammlerplaner iflow aus dem Microsoft Sentinel für SAP-Communityrepository bereitstellen. Mit dem Scheduler iflow ruft Microsoft Sentinel den Connector nicht ab oder registriert ihn nicht. Er empfängt nur Daten, die von SAP Cloud Integration gepusht wurden. Dieser Ansatz tauscht Bedrohungsschutz in Echtzeit gegen eine höhere Toleranz gegenüber lang laufenden SAP-Antworten ein.

Eine umfassende Erläuterung der Kompromisse finden Sie im Blogbeitrag Führen Sie den Agentlosen SAP-Connector kosteneffizient aus.

Lang andauernder iFlow (Limit von 180 Sekunden) – Status PROCESSING/ABANDONED und Schneeballeffekt bei Wiederholungen

Für laufende Protokollabfragen muss der Datensammler-iflow innerhalb von 180 Sekunden eine einzelne Nachricht abschließen. Wenn der iflow diesen Grenzwert überschreitet, werden in der Regel Protokollzustände der Nachrichtenverarbeitung wie PROCESSING oder ABANDONED in DER SAP Cloud Integration angezeigt. Da der Microsoft Sentinel-Poller keine erfolgreiche Antwort erhält, versucht er wiederholt, dieselbe Zeitscheibe erneut abzurufen, was dazu führen kann, dass sich lang laufende iFlow-Ausführungen überlappen und das SAP-System dadurch weiter verlangsamt wird.

So stellen Sie den ursprünglichen Zustand wieder her und verhindern ein erneutes Auftreten:

1. Löschen Sie den Konnektor in Microsoft Sentinel, und warten Sie, bis die geplanten Anfragen von Sentinel nachlassen. Dadurch wird der Schneeballeffekt bei Wiederholungen unterbrochen.
2. Führen Sie den iFlow Prerequisite checker aus, um die Grundursache für die langsamen Antwortzeiten beim Lesen des Überwachungsprotokolls in SAP zu ermitteln (z. B. fehlende Indizes, zu großes Überwachungsprotokoll, ressourcenintensive Lesevorgänge im Benutzerstamm bei Legacyversionen).
3. Wenden Sie die entsprechenden Abhilfemaßnahmen an – Optimierung der Auditprotokollfilter (Best Practices für SM19/RSAU), Parameterüberschreibungen für den Datensammler wie max-rows, offset-in-seconds und force-sal-filesystem (siehe Verhalten des Datenconnectors anpassen) – bevor Sie den Datenkonnektor in Microsoft Sentinel erneut verbinden.
4. Wenn die Antwortzeiten immer noch nicht unter den Grenzwert von 180 Sekunden reduziert werden können, stellen Sie den Data Collector Scheduler iflow aus dem Microsoft Sentinel für SAP-Communityrepository bereit. Der Wechsel zum internen SAP-CPI-Planer gefährdet den Echtzeitbedrohungsschutz, vermeidet jedoch das vom Microsoft Sentinel-Poller erzwungene Wiederholungsmuster.

Verbindungs-Reset-Fehler

Wenn der Data Collector iFlow mit einem Fehler wie java.lang.Exception: Connection resetausfällt, wurde die Verbindung zum SAP-Backend unerwartet geschlossen, bevor die Verarbeitung abgeschlossen war. Dies wird typischerweise durch Netzwerkunterbrechungen in der Log-Extraktionskette zwischen SAP Cloud Integration <–> SAP Cloud Connector <–> SAP-Backend, Verbindungsproblemen, Timeouts oder SAP-Backend-Problemen verursacht.

Lösung:

• Der Sentinel-Log-Poller bewältigt kleine Unterbrechungen problemlos mittels begrenzter Wiederholungsversuche – kein Eingreifen erforderlich. Längere Ausfallzeiten führen zu abgebrochenen Zeitschnitten zugunsten stabiler Operationen.
• Bestätigen Sie die Größe für die SAP Cloud Connector Master-Instanz: Größenanpassung für die Master-Instanz.
• Seien Sie sich der Verbindungsgrenzen des SAP Cloud Connector bewusst. Verwenden Sie den SAP-Hinweis 3403815, um Grenzwerte anzupassen.
• Nutzen Sie die Anwendungsgesundheitsmonitore von SAP, um die Verbindung zwischen SAP Cloud Integration, SAP Cloud Connector und SAP-System zu überprüfen, falls eine Untersuchung erforderlich ist.
• Aktivieren Sie Laufzeitüberwachung: Cloud Connector-Überwachung.
• Isolieren Sie den problematischen SID-Logdatenfluss und konsultieren Sie die anderen Timeout-bezogenen Leitlinien in diesem Abschnitt.

"Speichererschöpfungen" gemeldet von SAP Cloud Integration

DieSystemspeichernutzungskachel>> in SAP Cloud Integration kann Speichererschöpfungen melden, wobei der Datensammler iflow über mehrere Intervalle als Hauptbeitragender dient. Für einen protokolllesenden Integrationsfluss für mehrere SIDs ist eine erhebliche Grundlastverteilung zu erwarten und gilt nicht automatisch als Fehler. Untersuchen Sie, wann die Speichererschöpfung dazugezählt wird, wann die Nachrichtenbearbeitungszeiten länger werden, ein neuer System-Onboarding-Versuch oder ein kürzliches SAP-Update stattfindet.

Zwei Muster verursachen dies typischerweise:

• Wachsender Rückstau an Anfragen für ein einzelnes SAP-System (SID). Das SAP-System reagiert langsamer, als es das angeforderte Protokollierungsintervall erlaubt, sodass sich Anfragen ansammeln und jede nachfolgende Abfrage zusätzlich Last erzeugt, während die vorherige noch nicht abgeschlossen ist. Dies ist üblicherweise eine Folge des im Abschnitt Timeouts während der Steckverbinderregistrierung oder der Protokollabfrage beschriebenen Retry-Musters oder von Konfigurationen mit zu großen Abfrageintervallen. Es wird empfohlen, die Standardeinstellung von 1 Minuten für stark genutzte SAP-Systeme beizubehalten.
• Ressourcensättigung auf einem gemeinsamen Tenant. Hohe parallele Lasten aus anderen Integrationsflüssen oder SAP-Systemen auf demselben SAP Cloud Integration Tenant reduzieren die verfügbaren Ressourcen des Data Collector iflow und verlängern die Verarbeitungszeiten über alle Flüsse hinweg.

Um das Problem zu beheben, wenden Sie zunächst die Abhilfemaßnahme im Abschnitt zu Timeouts an, um das Muster der Wiederholungsversuche zu durchbrechen und das pro Nachricht zurückgegebene Datenvolumen zu reduzieren. Wenn die Speichererschöpfung anhält, verwenden Sie SAP Cloud Integration Monitoring, um festzustellen, ob der Druck von einem SAP-System oder von der Gesamtlast des Mieters stammt. Eine anhaltende Sättigung kann zusätzliche SAP-Cloud-Integrationskapazität erfordern oder die Verteilung von SAP-Systemen auf mehrere Cloud-Integrationsinstanzen.

Zeitüberschreitungen bei dateisystemgestützten SAP-Sicherheitsauditprotokollen

Wenn die Microsoft Sentinel-Integration während des Connector-Onboardings oder laufenden Log-Reads eine Auszeit anfordert, überprüfen Sie, wie Ihr SAP Security Audit Log aufgezeichnet und abgerufen wird, insbesondere wenn die Aufzeichnung als Dateisystem und Datenbank konfiguriert ist.

Die Auswahl von Audit-Logs aus der SAP HANA-Datenbank liefert oft die beste Leistung. Andere Datenbanken und Dateisystem-gestützte Auswahl erfordern möglicherweise Anpassungen.

Zur Problembehebung:

1. Bestätigen Sie mit Ihrem SAP-Administrator, ob die Ziele der Security Audit Log-Aufzeichnung Dateisystemspeicher umfassen.
2. Implementiere die folgenden SAP-Notizen mit SNOTE oder importiere das referenzierte Support-Paket (gilt für SAP_BASIS 750+):
   • 3726943 - RSAU_API_GET_LOG_DATA | Datenauswahl nur anhand Dateisystemdetails
   • 3407647 - RSAU_READ_LOG | Optimierung des Lesens von Audit-Logdateien
3. Nach der Implementierung der Korrektur verwenden Sie die Dateisystem-Auswahl mit den erforderlichen Parametern ID_FILESYSTEM_SEL_ONLY und ID_FILE_SEL_SIMPLE für eine schnellere Abruf. Für Verhaltensdetails und Erklärungen siehe SAP-Notiz 3500090.
4. Verbinder-Validierung erneut durchführen.

Die Anwendung dieser SAP-Notizen verbessert oft die Abrufleistung erheblich. Wenn die Verzögerungen anhalten, hängen sie typischerweise mit SAP-seitigen Faktoren wie Log-Shipping zwischen Anwendungsservern und Netzwerklatenz zusammen.

Leitfaden zur Dimensionierung, zum Durchsatz und zur Isolation des SAP Cloud Connector

Wenn Timeout- oder Durchsatzprobleme weiterhin bestehen, überprüfen Sie die Dimensionierung und den Laufzeitstatus des SAP Cloud Connector mithilfe von Dimensionierung, Durchsatz und Isolation des SAP Cloud Connector optimieren.

Verwenden Sie das folgende Symptom-zu-SAP-Notiz-Mapping für die Incident-Triage:

Ungültige Anmeldedaten oder Anmeldedaten, z. B. ein OAuth2-Zugriffstoken, können nicht abgerufen werden.

Neben normalen Fehlkonfigurationen der Zugangsdaten während der Registrierung des SAP RFC-Ziels im Data Connector-Bereich von Microsoft Sentinel könnte dies ein Symptom für den Versuch einer Integration mit nicht unterstützter SAP Cloud Platform Integration in der NEO-Umgebung sein. Siehe SAP Note 3351844 für Einzelheiten zum End-of-Life von Services in der NEO-Umgebung. Die Microsoft Sentinel Lösung für SAP unterstützt offiziell die SAP Cloud Integration in der Cloud Foundry-Umgebung. Siehe die Referenz im SAP-Vorbereitungsleitfaden.

Kunden, die ihre SAP-Landschaft mit Cloud Platform Integration in der NEO-Umgebung vor ihrer Migration zur SAP Cloud Integration in der Cloud Foundry-Umgebung (Integration Suite) schützen möchten, können dies durch die Nutzung des bereitgestellten "Data Collector Scheduler" iflow tun.

Es verwendet einen vereinfachten Scheduler. Der Umfang des SAP-Bedrohungsschutzes bleibt unverändert. Der von Sentinel gehostete Scheduler wird aus dem Setup entfernt, um den erwähnten Handshake-Fehler zu vermeiden, wobei der Nachteil ist, dass das Sentinel-Team keine Einsicht in die Gesundheit der Cloud-Integrations-Endpunkte hat, außer der Ankunft der SAP-Logdaten. Oft ist das kein Problem, da der Umfang der Überwachung ohnehin beim SAP Cloud Platform Integration Team liegt.

Verwandte Inhalte

Erfahren Sie mehr über die Microsoft Sentinel-Lösung für SAP-Anwendungen:

• Bereitstellen Microsoft Sentinel Lösung für SAP-Anwendungen
• Voraussetzungen für die Bereitstellung Microsoft Sentinel Lösung für SAP-Anwendungen
• Konfigurieren Ihres SAP-Systems für die Microsoft Sentinel-Lösung
• Bereitstellen des Lösungsinhalts über den Inhaltshub

Referenzdateien:

• Microsoft Sentinel Lösung für SAP-Anwendungen – Datenreferenz
• Microsoft Sentinel Lösung für SAP-Anwendungen: Referenz zu Sicherheitsinhalten

Weitere Informationen finden Sie unter Microsoft Sentinel Lösungen.