Déployer la solution Microsoft Sentinel pour SAP BTP

Cet article explique comment déployer la solution Microsoft Sentinel pour le système SAP Business Technology Platform (BTP). La solution Microsoft Sentinel pour SAP BTP surveille et protège votre système SAP BTP. Il collecte les journaux d’audit et les journaux d’activité à partir de l’infrastructure BTP et des applications BTP, puis détecte les menaces, les activités suspectes, les activités illégitimes, etc. Vue d’ensemble de la solution SAP BTP.

Prérequis

Avant de commencer, vérifiez que :

• La solution Microsoft Sentinel est activée.
• Vous disposez d’un espace de travail Microsoft Sentinel défini et vous disposez d’autorisations de lecture et d’écriture sur l’espace de travail.
• Votre organization utilise SAP BTP (dans un environnement Cloud Foundry) pour simplifier les interactions avec les applications SAP et d’autres applications métier.
• Vous disposez d’un sous-compte SAP BTP (qui prend en charge les sous-comptes BTP dans l’environnement Cloud Foundry). Vous pouvez également utiliser un compte d’évaluation SAP BTP.
• Vous disposez du service sap BTP auditlog-management et de la clé de service (consultez Configurer le sous-compte et la solution BTP).
• Vous disposez du rôle Contributeur Microsoft Sentinel sur l’espace de travail Microsoft Sentinel cible.

Configurer le sous-compte et la solution BTP

Pour configurer manuellement le sous-compte BTP et la solution à partir du cockpit SAP BTP et du portail Azure, procédez comme suit :

1. Une fois que vous pouvez vous connecter à votre sous-compte BTP (consultez les conditions préalables au déploiement), suivez les étapes de récupération du journal d’audit sur le système SAP BTP.

2. Dans le cockpit SAP BTP, sélectionnez le service de gestion des journaux d’audit.

   

3. Créez un instance du service de gestion des journaux d’audit dans le sous-compte BTP.

   

4. Créez une clé de service et enregistrez les valeurs de url, uaa.clientid, uaa.clientsecretet uaa.url. Ces valeurs sont requises pour déployer le connecteur de données.

   Voici des exemples de ces valeurs de champ :

   • url : https://auditlog-management.cfapps.us10.hana.ondemand.com
   • uaa.clientid : 00001111-aaaa-2222-bbbb-3333cccc4444|auditlog-management!b1237
   • uaa.clientsecret : aaaaaaaa-0b0b-1c1c-2d2d-333333333333
   • uaa.url : https://trial.authentication.us10.hana.ondemand.com

5. Connectez-vous au Portail Azure.

6. Accédez au service Microsoft Sentinel.

7. Sélectionnez Hub de contenu, puis, dans la barre de recherche, recherchez BTP.

8. Sélectionnez SAP BTP.

9. Sélectionnez Installer.

   Pour plus d’informations sur la façon de gérer les composants de la solution, consultez Découvrir et déployer le contenu prêt à l’emploi de Microsoft Sentinel.

10. Sélectionnez Créer.

    

11. Sélectionnez le groupe de ressources et l’espace de travail Microsoft Sentinel dans lequel déployer la solution.

12. Sélectionnez Suivant jusqu’à ce que vous réussissiez la validation, puis sélectionnez Créer.

13. Une fois le déploiement de la solution terminé, revenez à votre espace de travail Microsoft Sentinel et sélectionnez Connecteurs de données.

14. Dans la barre de recherche, entrez BTP, puis sélectionnez SAP BTP.

15. Sélectionnez Ouvrir la page du connecteur.

16. Dans la page du connecteur, assurez-vous que vous remplissez les conditions préalables requises répertoriées et effectuez les étapes de configuration. Lorsque vous êtes prêt, sélectionnez Ajouter un compte.

17. Spécifiez les paramètres que vous avez définis précédemment pendant la configuration. Le nom du sous-compte spécifié est projeté sous forme de colonne dans la table SAPBTPAuditLog_CL et peut être utilisé pour filtrer les journaux lorsque vous disposez de plusieurs sous-comptes.

    Envisagez les options avancées, si nécessaire :

    • Fréquence d’interrogation : fréquence à laquelle le connecteur interroge les nouvelles données. La valeur par défaut est 1 minute.
    • Délai d'ingestion des journaux : délai estimé entre le moment où l'événement est généré dans SAP BTP et celui où il est disponible dans le service de journaux d'audit SAP BTP pour être ingéré dans Microsoft Sentinel. La valeur par défaut est 20 minutes.

    Remarque

    La récupération des audits pour le compte global ne récupère pas automatiquement les audits du sous-compte. Suivez les étapes de configuration du connecteur pour chacun des sous-comptes que vous souhaitez surveiller, et suivez également ces étapes pour le compte global. Passez en revue ces considérations relatives à la configuration de l’audit de compte SAP BTP.

18. Vérifiez que les journaux BTP circulent dans l’espace de travail Microsoft Sentinel :

    1. Connectez-vous à votre sous-compte BTP et exécutez quelques activités qui génèrent des journaux, telles que les connexions, l’ajout d’utilisateurs, la modification des autorisations et la modification des paramètres.
    2. Patientez 20 à 30 minutes avant que les journaux commencent à être transmis.
    3. Dans la page du connecteur SAP BTP, vérifiez que Microsoft Sentinel reçoit les données BTP ou interrogez directement la table SAPBTPAuditLog_CL.

19. Activez le classeur SAP BTP et les règles d’analytique intégrées SAP BTP fournies dans le cadre de la solution en suivant les instructions pour le déploiement de règles d’analyse Microsoft Sentinel.

Tenez compte des configurations d’audit de votre compte

Dans le cadre du déploiement, tenez compte de vos configurations globales d’audit de compte et de sous-compte.

Configuration de l’audit de compte global

Lorsque vous activez la récupération des journaux d’audit dans le cockpit BTP pour le compte global : si le sous-compte pour lequel vous souhaitez donner droit au service de gestion des journaux d’audit se trouve sous un répertoire, vous devez d’abord autoriser le service au niveau de l’annuaire. Ce n’est qu’à ce moment-là que vous pouvez autoriser le service au niveau du sous-compte.

Configuration de l’audit de sous-compte

Pour activer l’audit d’un sous-compte, suivez les étapes décrites dans la documentation de l’API d’audit des sous-comptes SAP.

La documentation de l’API explique comment activer la récupération du journal d’audit à l’aide de l’interface de ligne de commande Cloud Foundry (CLI).

Vous pouvez également récupérer les journaux via l'interface utilisateur :

1. Dans votre sous-compte dans SAP Service Marketplace, créez une instance de Service de gestion des journaux d’audit.
2. Dans la nouvelle instance, créez une clé de service.
3. Affichez la clé de service et récupérez les paramètres requis à l’étape 4 des instructions de configuration dans l’interface utilisateur du connecteur de données (url, uaa.url, uaa.clientid et uaa.clientsecret).

Intégration en masse des sous-comptes SAP BTP à grande échelle

Pour intégrer des sous-comptes SAP BTP à grande échelle, des approches basées sur l’API et l’interface CLI sont recommandées. Commencez avec la bibliothèque de scripts de prise en main SAP BTP.

Faire pivoter la clé secrète client BTP

Nous vous recommandons d'effectuer régulièrement une rotation des secrets client des sous-comptes BTP. Pour une approche automatisée basée sur la plateforme, consultez notre renouvellement automatique des certificats du magasin d’approbation SAP BTP avec Azure Key Vault ou comment arrêter de penser aux dates d’expiration une fois pour toutes (blog SAP).

La bibliothèque de scripts de rotation des clés SAP BTP illustre le processus automatique de mise à jour d'un connecteur de données existant avec un nouveau secret.

Contenu connexe

• Découvrez comment activer le contenu de sécurité
• Passer en revue le contenu de sécurité de la solution