Distribuire la soluzione Microsoft Sentinel per SAP BTP

Implementa la soluzione Microsoft Sentinel per SAP Business Technology Platform (BTP) per raccogliere audit e log di attività dall'infrastruttura e dalle app BTP, rilevare attività sospette e indagare sulle minacce. Per una panoramica, vedi Microsoft Sentinel Solution for SAP BTP.

Prerequisiti

Prima di iniziare, verificare che:

• La soluzione Microsoft Sentinel è abilitata.
• Si dispone di un'area di lavoro Microsoft Sentinel definita e si dispone delle autorizzazioni di lettura e scrittura per l'area di lavoro.
• L'organizzazione usa SAP BTP (in un ambiente Cloud Foundry) per semplificare le interazioni con le applicazioni SAP e altre applicazioni aziendali.
• Si dispone di un account secondario SAP BTP (che supporta gli account secondari BTP nell'ambiente Cloud Foundry). È anche possibile usare un account di valutazione SAP BTP.
• Si dispone del servizio SAP BTP auditlog-management e della chiave del servizio (vedere Configurare il sottoconto BTP e la soluzione).
• Per acquisire le rilevazioni delle vulnerabilità applicative, devi avere abilitato il SAP Application Vulnerability Report Service e disporre della relativa chiave di servizio. Questo connettore utilizza credenziali separate dal connettore di audit log SAP BTP.
• L'utente dispone del ruolo Microsoft Sentinel Contributor nell'area di lavoro di Microsoft Sentinel di destinazione.

Configurare il subaccount BTP e la soluzione

Per configurare manualmente il subaccount BTP e la soluzione dal cockpit SAP BTP e dal portale di Azure, attenersi alla procedura seguente:

1. Dopo aver eseguito l'accesso all'account secondario BTP (vedere i prerequisiti di distribuzione), seguire la procedura di recupero del log di controllo nel sistema SAP BTP.

2. Nel pannello di controllo SAP BTP selezionare Servizio di gestione log di controllo.

   

3. Creare un'istanza del servizio di gestione dei log di controllo nell'account secondario BTP.

   

4. Creare una chiave del servizio e registrare i valori per url, uaa.clientid, uaa.clientsecrete uaa.url. Questi valori sono necessari per distribuire il connettore dati.

   Ecco alcuni esempi di questi valori di campo:

   • URL: https://auditlog-management.cfapps.us10.hana.ondemand.com
   • uaa.clientid: 00001111-aaaa-2222-bbbb-3333cccc4444|auditlog-management!b1237
   • uaa.clientsecret: aaaaaaaa-0b0b-1c1c-2d2d-333333333333
   • uaa.url: https://trial.authentication.us10.hana.ondemand.com

5. Accedere al portale di Azure.

6. Passare al servizio Microsoft Sentinel.

7. Selezionare Hub dei contenuti e, nella barra di ricerca, cercare BTP.

8. Selezionare SAP BTP.

9. Selezionare Installa.

   Per altre informazioni su come gestire i componenti della soluzione, vedi Scoprire e distribuire il contenuto predefinito di Microsoft Sentinel.

10. Selezionare Crea.

    

11. Selezionare il gruppo di risorse e l'area di lavoro Microsoft Sentinel in cui distribuire la soluzione.

12. Selezionare Avanti fino a passare la convalida e quindi selezionare Crea.

13. Al termine della distribuzione della soluzione, tornare all'area di lavoro Microsoft Sentinel e selezionare Connettori dati.

14. Nella barra di ricerca immettere BTP e quindi selezionare SAP BTP.

15. Selezionare Apri la pagina del connettore.

16. Nella pagina del connettore assicurarsi di soddisfare i prerequisiti richiesti elencati e completare i passaggi di configurazione. Quando si è pronti, selezionare Aggiungi account.

17. Specificare i parametri definiti in precedenza durante la configurazione. Il nome dell'account secondario specificato viene proiettato come colonna nella SAPBTPAuditLog_CL tabella e può essere usato per filtrare i log quando sono presenti più account secondari.

    Prendere in considerazione le opzioni avanzate, se necessario:

    • Frequenza di polling: frequenza con cui il connettore verifica la presenza di nuovi dati. Il valore predefinito è 1 minuto.
    • Ritardo di acquisizione dei log: ritardo stimato tra il momento in cui l'evento viene generato in SAP BTP e il momento in cui diventa disponibile nel servizio Audit Log di SAP BTP per l'acquisizione in Microsoft Sentinel. L'impostazione predefinita è 20 minuti.

    Nota

    Il recupero dei controlli per l'account globale non recupera automaticamente i controlli per l'account secondario. Seguire i passaggi di configurazione del connettore per ognuno degli account secondari da monitorare e seguire anche questi passaggi per l'account globale. Esaminare queste considerazioni sulla configurazione di controllo dell'account SAP BTP.

18. Assicurarsi che i log BTP vengano trasmessi nell'area di lavoro Microsoft Sentinel:

    1. Accedere all'account secondario BTP ed eseguire alcune attività che generano log, ad esempio accessi, aggiunta di utenti, modifica delle autorizzazioni e modifica delle impostazioni.
    2. Attendere 20-30 minuti che inizi la trasmissione dei log.
    3. Nella pagina del connettore SAP BTP verificare che Microsoft Sentinel riceva i dati BTP oppure eseguire direttamente una query sulla tabella SAPBTPAuditLog_CL.

19. Abilitare la cartella di lavoro sap BTP e le regole di analisi predefinite di SAP BTP fornite come parte della soluzione seguendo le linee guida per la distribuzione di regole di analisi Microsoft Sentinel.

Configura il connettore Application Vulnerability Report (Anteprima)

Usa questo connettore per acquisire le segnalazioni dal SAP Application Vulnerability Report Service. Può monitorare le app SAP BTP in più sottoaccount tra regioni. Non condivide la chiave di servizio o le credenziali utilizzate dal connettore di audit log SAP BTP.

1. In SAP BTP, configura il Application Vulnerability Report Service e crea una chiave di servizio dedicata. Per ulteriori informazioni, consulta l'API SAP Finding Provider Service.

2. Dalla chiave di servizio, registra l'URL dell'API Finding Provider (url), l'URL del server di autorizzazione (uaa.url), l'ID client (uaa.clientid) e il secret client (uaa.clientsecret). Registra anche l'ID del sottoaccount.

3. Nel tuo workspace Microsoft Sentinel, seleziona Connettori dati e cerca Application Vulnerability Report for SAP BTP.

4. Apri la pagina del connettore, seleziona Aggiungi account e inserisci il nome e l'ID del sottoaccount, l'ID e il segreto del client, l'URL del server di autorizzazione e l'URL dell'API Finding Provider.

5. Configura le opzioni avanzate se necessario:

   • Frequenza di sondaggio: Il connettore esegue il polling ogni 60-120 minuti. Il valore predefinito è 60 minuti.
   • Ritardo nell'ingestione dei log: Il ritardo, in minuti, viene utilizzato per tenere conto dei risultati pubblicati in ritardo da SAP BTP. L'intervallo supportato è di 120-300 minuti. Il valore predefinito è 300 minuti.

6. Invia la configurazione dell'account per salvare la connessione.

7. Verifica che i risultati arrivino nella SAPBTPAVL_CL tabella. Tieni conto del ritardo configurato di acquisizione dei log prima di aspettarti rilevamenti recenti.

8. Abilita la regola di analisi SAP BTP - Uso di app personalizzate con vulnerabilità alta o critica e utilizza la scheda Vulnerabilità dell'applicazione nel workbook SAP BTP. Per maggiori informazioni, vedi i contenuti di sicurezza SAP BTP.

Scopri di più sull'integrazione del SAP Application Vulnerability Report Service con Microsoft Sentinel for SAP nel post del blog della comunità SAP.

Considera le configurazioni di verifica dell'account

Nell'ambito della distribuzione, considerare le configurazioni di audit dell'account globale e del account secondario.

Configurazione del controllo dell'account globale

Quando si abilita il recupero del log di controllo nel pannello di controllo BTP per l'account globale: se l'account secondario per cui si vuole autorizzare il servizio di gestione dei log di controllo si trova in una directory, è necessario autorizzare prima il servizio a livello di directory. Solo in questo caso è possibile assegnare il diritto al servizio a livello di account secondario.

Configurazione del controllo degli account secondari

Per abilitare il controllo per un account secondario, completare i passaggi nella documentazione dell'API di recupero dei controlli degli account secondari SAP.

La documentazione dell'API descrive come abilitare il recupero del log di controllo usando l'interfaccia della riga di comando di Cloud Foundry.

È anche possibile recuperare i log tramite l'interfaccia utente:

1. Nell'account secondario in SAP Service Marketplace creare un'istanza di Audit Log Management Service.
2. Nella nuova istanza creare una chiave del servizio.
3. Visualizzare la chiave del servizio e recuperare i parametri necessari dal passaggio 4 delle istruzioni di configurazione nell'interfaccia utente del connettore dati (url, uaa.url, uaa.clientid e uaa.clientsecret).

Eseguire l'onboarding in massa dei subaccount SAP BTP su larga scala

Per eseguire l'onboarding di account secondari SAP BTP su larga scala, sono consigliati approcci basati su API e interfaccia della riga di comando. Inizia con la libreria di script per l'onboarding di SAP BTP.

Ruotare il segreto client BTP

Si consiglia di rinnovare periodicamente i segreti del client del subaccount BTP. Per un approccio automatizzato basato sulla piattaforma, vedere il rinnovo automatico del certificato dell'archivio attendibilità SAP BTP con Azure Key Vault o come smettere di pensare una volta per tutte alle date di scadenza (blog SAP).

La libreria di script di rotazione delle chiavi SAP BTP illustra il processo automatico di aggiornamento di un connettore dati esistente con un nuovo segreto.

Contenuto correlato

• Informazioni su come abilitare il contenuto di sicurezza
• Esaminare il contenuto di sicurezza della soluzione