Connettere il sistema SAP a Microsoft Sentinel

Affinché la soluzione Microsoft Sentinel per le applicazioni SAP funzioni correttamente, è prima necessario importare i dati SAP in Microsoft Sentinel. Fallo collegando il connettore dati senza agente Microsoft Sentinel per SAP.

Prima di seguire questo articolo, assicurarsi di aver completato i passaggi di distribuzione precedenti: installazione della soluzione SAP nell'area di lavoro e preparazione del sistema SAP. Per l'elenco completo dei prerequisiti, vedere la sezione Prerequisiti .

Il contenuto di questo articolo è rilevante per il team di sicurezza .

Prerequisiti

Prima di connettere il sistema SAP a Microsoft Sentinel:

• Assicurarsi che siano presenti tutti i prerequisiti per la distribuzione. Per altre informazioni, vedere Prerequisiti per la distribuzione della soluzione Microsoft Sentinel per le applicazioni SAP.

  Importante

  Serve il ruolo di Application Developer Entra ID o superiore per distribuire con successo le risorse Azure rilevanti. Se non si dispone di questa autorizzazione, rivolgersi a un collega che dispone dell'autorizzazione per completare il processo. Per la procedura completa, vedere la sezione Connettere il connettore dati senza agente .

• Assicurarsi di avere la soluzione Microsoft Sentinel per le applicazioni SAPdistribuite nell'area di lavoro Microsoft Sentinel. Per altre informazioni, vedere Distribuire la soluzione Microsoft Sentinel per le applicazioni SAP

• Assicurarsi che il sistema SAP sia completamente preparato. Per altre informazioni, vedere Preparare il sistema SAP per la soluzione Microsoft Sentinel.

Guarda il video introduttivo del connettore

Usare il video di onboarding per supportare la distribuzione e la configurazione della soluzione Microsoft Sentinel per SAP - connettore dati senza agente descritto in questa documentazione.

Connettere il connettore dati senza agente

1. In Microsoft Sentinel, vai alla pagina Configurazione > Connettori dati e individua il connettore dati Microsoft Sentinel per SAP - agentless.

2. Nell'area Configurazione espandere il passaggio 1. Attivare la distribuzione automatica delle risorse Azure necessarie/SOC Engineer e selezionare Distribuire le risorse Azure necessarie.

   Importante

   Se non si dispone del ruolo Entra ID Application Developer o superiore e si seleziona distribuire le risorse Azure richieste, viene visualizzato un messaggio di errore, ad esempio: "Deploy required Azure resources" (gli errori possono variare). Ciò significa che sono state create la regola di raccolta dati (DCR) e l'endpoint di raccolta dati (DCE), ma è necessario assicurarsi che la registrazione dell'app Entra ID sia autorizzata. Continuare a configurare l'autorizzazione corretta.

   Note

   Quando si distribuiscono le risorse Azure necessarie per la soluzione Microsoft Sentinel per le applicazioni SAP (senza agente), Azure Resource Manager (ARM) potrebbe richiedere fino a 45 secondi per completare le operazioni del provider di risorse. Durante questo periodo, la distribuzione potrebbe risultare ritardata. Questo comportamento è previsto. Attendere il completamento dell'operazione prima di riprovare o ridistribuire.

3. Esegui una delle operazioni seguenti:

   • Se si ha il ruolo di sviluppatore di applicazioni Entra ID o superiore, continuare con il passaggio successivo.
   • Se non si dispone del ruolo Sviluppatore di applicazioni Entra ID o superiore:
     • Condividere l'ID DCR con l'amministratore o il collega dell'ID Entra con le autorizzazioni necessarie.
     • Assicurarsi che il ruolo Monitoring Metrics Publisher sia assegnato nel DCR, con l'assegnazione del service principal, usando l'ID client dalla registrazione dell'app Entra ID.
     • Recuperare l'ID client e il segreto client dalla registrazione dell'app Entra ID da usare per l'autorizzazione su DCR. L'amministratore SAP usa l'ID client e il secret del client per inviare dati al DCR.

4. Scorrere verso il basso e selezionare Aggiungi client SAP.

5. Nel riquadro laterale Connetti a un client SAP, immettere i dettagli seguenti:

   Campo	Description
   Nome di destinazione RFC	Nome della destinazione RFC, ricavato dalla destinazione BTP.
   ID del client SAP privo di agente	Valore clientid ricavato dal file JSON della chiave del servizio Process Integration Runtime.
   Segreto del client SAP senza agente	Il valore clientsecret ricavato dal file JSON della chiave di servizio Process Integration Runtime.
   URL del server di autorizzazione	Valore tokenurl tratto dal file JSON della chiave del servizio Process Integration Runtime. Ad esempio: https://your-tenant.authentication.region.hana.ondemand.com/oauth/token
   Endpoint della suite di integrazione	Valore url ricavato dal file JSON della chiave del servizio Process Integration Runtime. Ad esempio: https://your-tenant.it-account-rt.cfapps.region.hana.ondemand.com

6. Selezionare Connetti.

Implementazione massiva di sistemi SAP su vasta scala

Per eseguire l'onboarding dei sistemi SAP nella soluzione Sentinel per le applicazioni SAP su larga scala, sono consigliati approcci basati su API e interfaccia della riga di comando. Introduzione agli strumenti di SAP Integration Suite per Microsoft Sentinel.

Ruotare il segreto client BTP

Si consiglia di cambiare periodicamente le credenziali client del sottoaccount BTP utilizzate dal connettore del dato. Per un approccio automatizzato basato sulla piattaforma, vedere il nostro Rinnovo automatico del certificato del trust store SAP BTP con Azure Key Vault – oppure come smettere di preoccuparsi delle date di scadenza una volta per tutte (blog di SAP).

Gli strumenti di SAP Integration Suite per Microsoft Sentinel illustrano il processo automatico di aggiornamento di un connettore dati esistente con un nuovo segreto.

Personalizzare il comportamento del connettore dati (facoltativo)

Se si dispone di un connettore dati senza agente SAP per Microsoft Sentinel, è possibile usare SAP Integration Suite per personalizzare il modo in cui il connettore dati senza agente inserisce i dati dal sistema SAP in Microsoft Sentinel.

Questa procedura è rilevante solo quando si vuole personalizzare il comportamento del connettore dati senza agente SAP. Ignorare questa procedura se si è soddisfatti della funzionalità predefinita. Ad esempio, se si usa Sybase, è consigliabile disattivare l'inserimento per i log di Change Docs nel flusso di integrazione di SAP Integration Suite configurando il parametro collect-changedocs-logs . A causa di problemi di prestazioni del database, l'inserimento dei log di Change Docs Sybase non è supportato.

Prerequisiti per la personalizzazione del comportamento del connettore dati

Prima di personalizzare il comportamento del connettore dati, assicurarsi che siano soddisfatti i prerequisiti seguenti:

• È necessario avere accesso a SAP Integration Suite, con le autorizzazioni per creare e modificare i mapping dei valori.
• Un pacchetto di integrazione SAP separato, esistente o nuovo, dedicato a ospitare l'artefatto di mapping dei valori. Il pacchetto di integrazione Microsoft Sentinel per SAP installato da Marketplace è in modalità di sola configurazione, quindi non puoi aggiungerlo lì.

Creare l'artefatto della mappatura dei valori e personalizzare le impostazioni

Crea un artefatto di mappatura dei valori nel tenant SAP Integration Suite e aggiungi solo i parametri che desideri sovrascrivere. Qualsiasi parametro non definito mantiene il valore predefinito.

Per mettere l'artefatto in posizione, sono disponibili due opzioni:

• Opzione 1 (consigliata): Importa la mappa chiave-valore predefinita dal repository della community di Microsoft Sentinel per SAP. Il repository include un modello precompilato Personalizzazione di Raccolta dati (mappa chiave-valore) da usare per la personalizzazione. Scaricare il pacchetto di base più recente dalla pagina delle versioni e importarlo nel tenant di SAP Integration Suite. Continuare quindi con i passaggi di personalizzazione riportati di seguito.

  Tip

  Il Microsoft Sentinel per il repository della community SAP ospita anche altre ricette di integrazione fornite da Microsoft che è possibile adottare insieme al connettore dati senza agente, ad esempio SAP Ariba, SAP S/4HANA Cloud public edition (GROW), blocco utenti SAP e lettore di tabelle SAP. Sfoglia la cartella integration-artifacts per visualizzare l'elenco completo e aggiornato. I contributi della comunità sono benvenuti.

• Opzione 2: creare manualmente l'artefatto. Nel pacchetto dedicato, crea un nuovo artefatto Value Mapping. Per ulteriori informazioni, vedi la documentazione SAP sulla creazione di una mappatura dei valori.

Dopo aver creato l'artefatto di mapping dei valori, personalizzarlo e attivarlo:

1. Aggiungi le voci per personalizzare il comportamento del connettore dati. Usare uno degli approcci seguenti:

   • Per personalizzare le impostazioni in tutti i sistemi SAP, aggiungi mappature di valori nell'agenzia di mappatura bidirezionale globale, usando il nome del parametro come chiave di origine e il valore di override come valore di destinazione.
   • Per personalizzare le impostazioni per sistemi SAP specifici, creare un'agenzia di mapping bidirezionale separata per ogni sistema SAP. Assegnare un nome a ogni agenzia in modo che corrisponda esattamente al nome della destinazione RFC che si desidera personalizzare , ad esempio , myRfc, key, myRfc, valuee aggiungere le voci di parametro in tale agenzia.

   Per ulteriori informazioni, consultare la documentazione SAP sulla configurazione della mappatura dei valori.

2. Salvate e distribuite l'artefatto di mappatura dei valori per attivare le impostazioni aggiornate.

Utilizzare la tabella seguente come guida per sapere cosa immettere nell'artefatto di mappatura dei valori. Aggiungere solo le righe per i parametri di cui si vuole eseguire l'override:

La tabella seguente elenca i parametri personalizzabili per il connettore dati senza agente SAP per Microsoft Sentinel:

Controlli generali della raccolta

I parametri seguenti controllano il comportamento complessivo della raccolta dati per il connettore senza agente.

Parametri del log di controllo

I parametri seguenti controllano il comportamento della raccolta dei log di controllo.

Modificare i parametri di Docs

I seguenti parametri controllano la raccolta dei log di Change Docs.

Parametri dei dettagli utente

I parametri seguenti regolano la raccolta dei dettagli utente.

Parametri di autorizzazione del ruolo

I parametri seguenti controllano la raccolta dei dati di autorizzazione del ruolo.

Comportamento di troncamento delle misure di sicurezza

Quando viene raggiunto uno dei due limiti, viene scritto un record marcatore nell'output con un messaggio descrittivo che indica il limite raggiunto, il conteggio effettivo dei record e l'intervallo di tempo della raccolta. I due limiti producono marcatori distinti (TRUNCATED_HEADERS e TRUNCATED_DETAILS) in modo che possano essere distinti in Sentinel.

Controllare la connettività e lo stato

Dopo aver distribuito il connettore dati SAP, controlla la salute e la connettività del connettore. Per altre informazioni, vedere Monitorare l'integrità e il ruolo dei sistemi SAP.

Dopo aver distribuito il connettore, procedere con la configurazione della soluzione Microsoft Sentinel per il contenuto delle applicazioni SAP. In particolare, la configurazione dei dettagli negli elenchi di controllo è un passaggio essenziale per abilitare i rilevamenti e la protezione dalle minacce.

Passo successivo