Risoluzione dei problemi della soluzione Microsoft Sentinel per la distribuzione di applicazioni SAP

Questo articolo include i passaggi per la risoluzione dei problemi che consentono di garantire l'inserimento e il monitoraggio accurati e tempestivi dei dati per l'ambiente SAP con Microsoft Sentinel.

Quando si usa il connettore dati senza agente, la maggior parte della risoluzione dei problemi viene eseguita direttamente in SAP Integration Suite, dove nel log dei messaggi vengono visualizzati errori che indicano la natura del problema riscontrato.

Per iniziare, esaminare i log di elaborazione dei messaggi. Per altre informazioni, vedere la documentazione di SAP. I messaggi di errore possono aiutare a diagnosticare i problemi di autorizzazioni mancanti, errori di connettività e altre configurazioni errate.

Se non viene visualizzato un errore correlato al problema, attivare la registrazione delle tracce per una risoluzione dei problemi più approfondita. Per altre informazioni, vedere la documentazione di SAP.

Verificare la presenza di prerequisiti

Il pacchetto del connettore dati senza agente, distribuito durante l'esecuzione della configurazione iniziale del connettore, include uno strumento che consente agli amministratori SAP di diagnosticare e risolvere i problemi relativi alla configurazione dell'ambiente SAP.

Per configurare e distribuire lo strumento:

1. Apri il pacchetto di integrazione, passa alla scheda Artefatti e seleziona l'iFlow Controllo prerequisiti>Configura.
2. Impostare il nome di destinazione della chiamata di funzione remota (RFC) sul sistema SAP da controllare. Ad esempio, A4H-100-Sentinel-RFC.
3. Distribuisci l'iflow come faresti normalmente per i tuoi sistemi SAP.
4. Per ottenere risultati ottimali, eseguire il controllo per 24 ore con frequenza di 1min per rilevare eventuali anomalie, ad esempio processi batch notturni non autorizzati o picchi di utilizzo sconosciuti.

Per verificare lo stato del controllo:

1. In SAP Cloud Integration, aprire Monitor>Integrazioni e individuare le esecuzioni dell'iflow Controllo prerequisiti in base al periodo di osservazione impostato (ad esempio 24 ore). Verificare che le esecuzioni siano state completate con stato Completato (HTTP 200) e che il payload della risposta non contenga avvisi o errori. L'utilità di pianificazione può generare messaggi con stato "Scartato" a causa del funzionamento interno di SAP Cloud Integration. Questi messaggi possono essere ignorati e contenere testo come "L'elaborazione dei messaggi è stata eliminata perché l'evento timer di attivazione era già gestito da un altro processo".
2. Esaminare gli allegati e le proprietà del log di elaborazione dei messaggi (MPL) per i risultati per ogni controllo. Aprire il file collegato alla voce MPL.

Usare la tabella seguente per interpretare i risultati:

Se rimangono risultati, consultare i dettagli della risposta per indicazioni sui passaggi di correzione. I sistemi SAP legacy spesso richiedono note SAP aggiuntive. Vedere inoltre la sezione relativa alla risoluzione dei problemi per problemi e soluzioni comuni.

Dopo il completamento:

Annullare il deployment dell'iFlow pianificato Prerequisite checker una volta completato con successo il controllo del sistema SAP. Ripetere questa sequenza per ogni nuovo sistema SAP di cui verrà eseguito l'onboarding.

Funzionalità mancanti nei sistemi SAP legacy

Alcuni sistemi SAP legacy potrebbero non disporre della funzionalità necessaria per il modulo di funzione RFC_READ_TABLE . Assicurarsi che l'amministratore SAP abbia esaminato le note SAP 3390051 e 382318 e che il sistema sia stato patchato di conseguenza.

Per altre informazioni, vedere Configurare le impostazioni di SAP Cloud Connector.

Errore "Deploy required Azure resources" (Distribuire le risorse Azure necessarie) durante la configurazione del connettore dati

Quando si configura il Microsoft Sentinel per SAP - connettore dati senza agente, nel passaggio 1 della configurazione > iniziale del connettore: Attivare la distribuzione automatica delle risorse Azure necessarie o del tecnico SOC, dopo aver selezionato Distribuisci risorse necessarie, potrebbe essere visualizzato l'errore "Distribuire le risorse Azure necessarie" o simili (gli errori possono variare). Questo errore potrebbe indicare che mancano le autorizzazioni necessarie per la registrazione dell'app id Entra.

Se non si ha il ruolo di sviluppatore di applicazioni id Entra o superiore, è necessario collaborare con un collega con questa autorizzazione per completare la configurazione delle risorse Azure. Per ulteriori informazioni, segui la procedura nel passaggio di connessione del connettore dati senza agente .

"Ultimo indirizzo inoltrato" mancante"

Se nel log di controllo di sicurezza viene visualizzato un errore che indica che manca l'ultimo indirizzo indirizzato (un indirizzo IP), seguire le indicazioni nella nota SAP 3566290.

Dati anagrafici utente SAP incompleti

Se viene visualizzato un errore che indica che i dati master utente SAP sono incompleti o che non sono presenti dati nella tabella ABAPAuthorizationDetails Microsoft Sentinel, eseguire le operazioni seguenti:

1. Verificare che il modulo funzione SAP SIAG_ROLE_GET_AUTH esista nel sistema SAP di origine.
2. Seguire le indicazioni riportate nella nota SAP 3088309 per la soluzione pertinente.

Codice di stato 500 durante la connessione al sistema SAP in Sentinel

Se viene visualizzato un errore con il codice di stato 500 durante il processo di connessione da Sentinel a SAP Cloud Integration, contattare il collega SAP che monitora il flusso di integrazione "Agente di raccolta dati" in SAP Cloud Integration. Per natura, i dettagli del messaggio di errore sono disponibili solo nel log di elaborazione messaggi di SAP.

Tempi di elaborazione dei messaggi lunghi o anomalie del volume dei messaggi in SAP Cloud Integration

Se si verificano picchi improvvisi nei volumi dei messaggi e nei tempi di elaborazione in SAP Cloud Integration, è consigliabile filtrare le origini responsabili sul lato NetWeaver. Sono disponibili due opzioni.

1. Usare la transazione SM19 e le procedure consigliate di SAP per applicare le impostazioni di filtro agli utenti e alle classi di messaggi che causano il picco
2. Utilizzare le funzionalità di filtraggio del pacchetto Sentinel su SAP Cloud Integration per applicare il filtraggio durante la lettura dei log. Il parametro max-rows è preimpostato per proteggere il flusso di integrazione dal sovraccarico di messaggi per impostazione predefinita.

Si noti che i filtri di log in NetWeaver influiscono su ciò che viene scritto nel log di controllo nell'origine, mentre un filtro in SAP Cloud Integration sceglie solo di non leggere le voci problematiche.

Timeout durante la registrazione del connettore o l'interrogazione dei log

Il poller agentless di Microsoft Sentinel applica due timeout quando richiama l'iflow Data Collector di SAP Cloud Integration. Il superamento di uno dei due limiti provoca un'acquisizione incompleta o ripetuti tentativi. I messaggi di errore su SAP Cloud Integration possono variare in base a quale parte della pipeline di estrazione dati fallisce per prima.

Connessione iniziale (limite di 45 secondi): dati parziali e registrazione del connettore non riuscita

Quando si collega un nuovo sistema SAP in Microsoft Sentinel, l'handshake iniziale con l'iFlow del Data Collector deve completarsi entro 45 secondi. Se l'integrazione SAP richiede più tempo per rispondere, il connettore inserisce dati parziali e la registrazione del connettore ha esito negativo.

Per correggere:

1. Eseguire l'iFlow Prerequisite checker ed esaminare le relative misurazioni dei tempi di esecuzione per identificare la chiamata lenta a valle (destinazione RFC, lettura dell'audit log, lettura dei dati anagrafici utente).
2. Ottimizzare l'integrazione SAP downstream di SAP Cloud Integration per portare il tempo di risposta inferiore a 45 secondi. Le leve comuni includono le impostazioni del filtro del log di controllo (procedure consigliate SM19/RSAU), le sostituzioni dei parametri del connettore dati come max-rows e offset-in-seconds (vedere Personalizzare il comportamento del connettore dati) e il ridimensionamento di SAP Cloud Connector/RFC.
3. Se non è ancora possibile ridurre il tempo di risposta, passare all'approccio dell'utilità di pianificazione interna di SAP CPI distribuendo l'iflow Data Collector Scheduler dal repository della community Microsoft Sentinel per SAP. Con l'iFlow di pianificazione, Microsoft Sentinel non esegue il polling del connettore né lo registra, ma riceve solo i dati inviati da SAP Cloud Integration. Questo approccio consente di scambiare la protezione dalle minacce in tempo reale per una maggiore tolleranza alle risposte SAP a esecuzione prolungata.

Per una discussione completa sui compromessi, consultare l'articolo del blog Eseguire il connettore SAP senza agente in modo conveniente.

Iflow a esecuzione prolungata (limite di 180 secondi): Elaborazione/ABBANDONO degli stati e ripetizione dei tentativi di snowball

Per il polling continuo dei log, l'iflow di Data Collector deve completare un singolo messaggio entro 180 secondi. Quando l'iflow supera questo limite, in genere vengono visualizzati gli stati del log di elaborazione dei messaggi, ad esempio ELABORAZIONE o ABBANDONATO in SAP Cloud Integration. Poiché il poller di Microsoft Sentinel non riceve una risposta con esito positivo, ritenta ripetutamente lo stesso intervallo di tempo, il che può provocare esecuzioni iFlow di lunga durata sovrapposte e rallentare ulteriormente il sistema SAP.

Per ripristinare e impedire la ricorrenza:

1. Eliminare il connettore da Microsoft Sentinel e attendere che le richieste di Sentinel pianificate si calmino. Questo interrompe l'effetto valanga dei nuovi tentativi.
2. Esegui l'iflow Prerequisite checker per identificare la causa principale dei tempi di risposta lenti nella lettura dell'audit log in SAP (ad esempio, indici mancanti, audit log sovradimensionato, letture dispendiose dei dati anagrafici utente nelle versioni legacy).
3. Applica la misura correttiva appropriata — ottimizzazione del filtro del log di controllo (procedure consigliate SM19/RSAU), override dei parametri del Data Collector come max-rows, offset-in-seconds e force-sal-filesystem (vedi Personalizzare il comportamento del connettore dati) — prima di riconnettere il connettore dati in Microsoft Sentinel.
4. Se non è ancora possibile ridurre i tempi di risposta al di sotto del limite di 180 secondi, distribuisci l'iflow Data Collector Scheduler dal repository della community di Microsoft Sentinel per SAP. Il passaggio all'utilità di pianificazione interna di SAP CPI compromette la protezione dalle minacce in tempo reale, ma evita il modello di ripetizione dei tentativi applicato dal poller Microsoft Sentinel.

Errore di ripristino della connessione

Se il Data Collector iFlow fallisce con un errore come java.lang.Exception: Connection reset, la connessione al backend SAP è stata improvvisamente chiusa prima del completamento dell'elaborazione. Ciò è tipicamente causato da interruzioni di rete nella catena di estrazione dei log tra SAP Cloud Integration <-> SAP Cloud Connector <-> SAP backend, problemi di connettività, timeout o problemi di backend SAP.

Risoluzione:

• Il poller di Sentinel gestisce senza problemi piccole interruzioni mediante un numero limitato di tentativi - non è necessaria alcuna azione. Tempi di inattività più lunghi comportano l’abbandono delle fette temporali a favore di operazioni stabili.
• Conferma il dimensionamento per l'istanza master di SAP Cloud Connector: Il dimensionamento per l'istanza master.
• Fai attenzione ai limiti di connessione di SAP Cloud Connector. Utilizza la nota SAP 3403815 per regolare i limiti.
• Utilizzare i monitor di salute delle applicazioni SAP per verificare la connettività tra SAP Cloud Integration, SAP Cloud Connector e il sistema SAP, nel caso in cui sia necessaria un'indagine.
• Abilita il monitoraggio in fase di esecuzione: monitoraggio di Cloud Connector.
• Isola il flusso problematico di dati di log SID e consulta le altre linee guida relative al timeout in questa sezione.

"Esaurimenti di memoria" segnalati da SAP Cloud Integration

Il riquadro Sistema>Memoria>Utilizzo in SAP Cloud Integration può segnalare esaurimenti della memoria con l'iFlow Data collector come principale responsabile in diversi intervalli. Per un flusso di integrazione per la lettura dei log relativo a più SID, è prevista di per sé una considerevole allocazione del carico di base e ciò non costituisce un errore per impostazione predefinita. Indaga quando, insieme a ciò, vengono conteggiati gli esaurimenti della memoria, quando aumentano i tempi di elaborazione dei messaggi, quando è in corso un tentativo di onboarding di un nuovo sistema o quando è in corso un recente aggiornamento di SAP.

Due schemi tipicamente causano questo:

• Backlog di richieste in crescita per un singolo sistema SAP (SID). Il sistema SAP risponde più lentamente rispetto alla fetta di tempo del log richiesta, quindi le richieste si accumulano e ogni successivo poll aggiunge carico sopra quello incompleto. Questo è comunemente una conseguenza indiretta del modello di tentativi ripetuti descritto nella sezione Timeout durante la registrazione dei connettori o il polling dei log o di configurazioni con intervalli di polling troppo lunghi. Si consiglia di mantenere l'impostazione predefinita di 1 minuto per i sistemi SAP molto utilizzati.
• Saturazione delle risorse in un tenant condiviso. Carichi paralleli elevati da altri flussi di integrazione o sistemi SAP sullo stesso tenant di integrazione SAP Cloud riducono le risorse disponibili per l'iflow del Data Collector, estendendo i tempi di elaborazione su tutti i flow.

Per ripristinare, applica innanzitutto la procedura di risoluzione nella sezione dei timeout per interrompere il ciclo di nuovi tentativi e ridurre il volume di dati restituito per messaggio. Se i problemi di memoria persistono, utilizzare il monitoraggio di integrazione SAP Cloud per determinare se la pressione proviene da un sistema SAP o dal carico complessivo del tenant. La saturazione sostenuta può richiedere una capacità aggiuntiva di integrazione SAP Cloud o la distribuzione dei sistemi SAP su più istanze di integrazione cloud.

Timeout quando i log di controllo di sicurezza SAP sono archiviati nel file system

Se l'integrazione Microsoft Sentinel richiede un timeout durante l'onboarding del connettore o durante le letture dei log in corso, ripassa come il tuo Log di Audit di Sicurezza SAP viene registrato e recuperato, specialmente quando la registrazione è configurata come file system e database.

Selezionare i log di audit dal database SAP HANA spesso offre le migliori prestazioni. Altri database e la selezione basata sul file system potrebbero richiedere un'ottimizzazione.

Per correggere:

1. Verifica con il tuo amministratore SAP se i target di registrazione del Security Audit Log includono la memoria del file system.
2. Implementa le seguenti note SAP usando SNOTE o importando il pacchetto di supporto riferito (applicabile a SAP_BASIS 750+):
   • 3726943 - RSAU_API_GET_LOG_DATA | Selezione dati solo dai dettagli del file system
   • 3407647 - RSAU_READ_LOG | Ottimizzazione della lettura dei file di log di audit
3. Dopo aver implementato la correzione, utilizza la selezione del solo filesystem con i parametri obbligatori ID_FILESYSTEM_SEL_ONLY e ID_FILE_SEL_SIMPLE per un recupero più rapido. Per dettagli e spiegazioni sul comportamento, vedi la nota SAP 3500090.
4. Riesegui la validazione del connettore.

L'applicazione di queste note SAP spesso migliora significativamente le prestazioni di recupero. Se i ritardi continuano, sono tipicamente legati a fattori lato SAP come il shipping di log tra server applicativi e la latenza di rete.

Indicazioni su dimensionamento, throughput e isolamento di SAP Cloud Connector

Se i problemi di timeout o di throughput persistono, verifica il dimensionamento e lo stato del runtime di SAP Cloud Connector utilizzando Optimize SAP Cloud Connector sizing, throughput, and isolation.

Usa la seguente mappatura sintomo-nota-SAP per il triage degli incidenti:

Credenziale non valido o impossibile ottenere la credenziale, ad esempio token di accesso OAuth2

Oltre alle normali configurazioni errate delle credenziali durante la registrazione della destinazione SAP RFC sul pannello dei connettori dati su Microsoft Sentinel, questo potrebbe essere un sintomo di tentativo di integrazione con SAP Cloud Platform Integration non supportata nell'ambiente NEO. Consulta la nota SAP 3351844 per i dettagli sulla fine della vita dei servizi nell'ambiente NEO. Microsoft Sentinel Solution for SAP supporta ufficialmente l'integrazione SAP Cloud nell'ambiente Cloud Foundry. Consulta il riferimento nella guida alla preparazione SAP.

I clienti che vogliono proteggere il proprio panorama SAP utilizzando l'integrazione con la piattaforma cloud nell'ambiente NEO prima della migrazione verso l'integrazione SAP Cloud sull'ambiente Cloud Foundry (Integration Suite), possono farlo adottando l'iflow fornito "Data Collector Scheduler".

Utilizza un scheduler semplificato. L'ambito di protezione delle minacce SAP rimane invariato. Lo scheduler ospitato da Sentinel viene eliminato dalla configurazione per evitare l'errore di handshake menzionato, con lo svantaggio che il team di Sentinel non ha alcuna conoscenza della salute degli endpoint di integrazione Cloud oltre all'arrivo dei dati di log SAP. Spesso questo non è un problema, poiché l'ambito del monitoraggio ricade comunque nel team SAP Cloud Platform Integration.

Contenuto correlato

Altre informazioni sulla soluzione Microsoft Sentinel per le applicazioni SAP:

• Distribuisci la soluzione Microsoft Sentinel per le applicazioni SAP
• Prerequisiti per la distribuzione di Microsoft Sentinel soluzione per le applicazioni SAP
• Configurare il sistema SAP per la soluzione Microsoft Sentinel
• Distribuire il contenuto della soluzione dall'hub del contenuto

File di riferimento:

• riferimento ai dati della soluzione Microsoft Sentinel per le applicazioni SAP
• soluzione Microsoft Sentinel per applicazioni SAP: informazioni di riferimento sul contenuto di sicurezza

Per altre informazioni, vedere soluzioni Microsoft Sentinel.