Configurare il sistema SAP per la soluzione Microsoft Sentinel

Questo articolo descrive come preparare l'ambiente SAP per la connessione al connettore dati SAP. Prima di iniziare, assicurarsi di aver esaminato i prerequisiti per la distribuzione della soluzione Microsoft Sentinel per le applicazioni SAP.

Questo articolo fa parte del secondo passaggio della distribuzione della soluzione Microsoft Sentinel per le applicazioni SAP. Anche se i passaggi eseguiti in Microsoft Sentinel richiedono che la soluzione venga installata per prima, altri preparativi nell'ambiente SAP possono essere eseguiti in parallelo.

Molte delle procedure descritte in questo articolo vengono in genere eseguite dal team SAP BASIS . Alcuni passaggi coinvolgono anche il team di sicurezza.

Prerequisiti

• Prima di iniziare, verificare di esaminare i prerequisiti per la distribuzione della soluzione Microsoft Sentinel per le applicazioni SAP.
• Alcuni passaggi vengono eseguiti in Microsoft Sentinel e richiedono di distribuire prima la soluzione Microsoft Sentinel per applicazioni SAP.

Configurare il ruolo Microsoft Sentinel

Per consentire al connettore dati SAP di connettersi al sistema SAP, è necessario creare un ruolo di sistema SAP specifico per questo scopo.

Creare un ruolo usando il modello MSFTSEN_SENTINEL_READER , che include tutte le autorizzazioni di base per il funzionamento del connettore dati.

Per altre informazioni, vedere la documentazione sap sulla creazione di ruoli.

Crea un utente SAP per il ruolo Microsoft Sentinel

La soluzione Microsoft Sentinel per le applicazioni SAP richiede un account utente per connettersi al sistema SAP. Quando si crea l'utente:

• Assicurarsi di creare un utente di sistema.
• Assegnare il ruolo MSFTSEN_SENTINEL_READER all'utente creato durante la configurazione del ruolo Microsoft Sentinel.

Per maggiori informazioni, consulta la documentazione SAP sulla creazione di account utente.

Configurare il controllo SAP

Alcune installazioni di sistemi SAP potrebbero non avere la registrazione di controllo abilitata per impostazione predefinita. Per ottenere risultati ottimali nella valutazione delle prestazioni e dell'efficacia della soluzione Microsoft Sentinel per le applicazioni SAP, abilitare il controllo del sistema SAP e configurare i parametri di controllo.

È consigliabile configurare il controllo per tutti i messaggi del log di controllo, anziché solo per i log specifici. Le differenze nei costi di inserimento sono in genere minime e i dati sono utili per i rilevamenti di Microsoft Sentinel e nelle indagini e nella ricerca successive alla compromissione.

Per una copertura di monitoraggio completa con il connettore dati senza agente, è consigliabile abilitare il monitoraggio su tutti gli ID client dei sistemi SAP monitorati, inclusi i client 000 e 066.

Per altre informazioni, vedere Analisi e impostazioni consigliate del log di controllo della sicurezza (SM19/RSAU).

Configurare il sistema per l'uso di SNC per connessioni sicure

Di default, i connettori dati SAP utilizzano una connessione remote function call (RFC) e un nome utente e una password per autenticarsi al sistema SAP.

Per criptare la connessione RFC o utilizzare l'autenticazione basata su certificato, configurare SAP Smart Network Communications (SNC). Collabora con gli amministratori SAP e il team di infrastruttura a chiave pubblica (PKI) della tua organizzazione per pianificare la configurazione SNC. Segui le indicazioni SAP per i componenti SAP, i certificati e le relazioni di fiducia nel tuo ambiente.

Prima di configurare la connessione Microsoft Sentinel:

• Configura SNC per SAP NetWeaver Application Server per ABAP (AS ABAP). Per un esempio che utilizza CommonCryptoLib, vedi SAP Note 2979858: Esempio di configurazione SNC per AS ABAP con COMMONCRYPTOLIB.
• Decidi se utilizzare certificati firmati dall'autorità di certificazione (CA) della tua organizzazione o certificati autofirmati. Stabilire fiducia tra il sistema SAP e il componente che avvia la connessione RFC. Per indicazioni sui certificati SAP, vedi SAP Nota 2970934: Come creare il CSR e come importare la risposta al certificato per il sistema ABAP.
• Valida la connessione SNC secondo le indicazioni SAP prima di collegare Microsoft Sentinel.

Per il connettore dati senza agente, configura SNC in SAP Cloud Connector. Per maggiori informazioni, consulta SAP KBA 3536285: SAP Cloud Connector - Come configurare le impostazioni SNC generali per SAP Cloud Connector.

Se usi l'alta disponibilità di SAP Cloud Connector, valida anche SNC dopo essere passato all'istanza shadow.

Per maggiori informazioni, consulta la documentazione SAP su configurazione di SNC e Iniziare con SAP SNC per le integrazioni RFC.

Configurare le impostazioni di SAP BTP

Per preparare SAP Business Technology Platform (BTP) per il connettore dati senza agente, configurare i servizi e i ruoli seguenti nel sottoaccount SAP BTP.

1. Nell'account secondario SAP BTP aggiungere i diritti per i servizi seguenti:

   • Suite di integrazione SAP
   • SAP Runtime di integrazione dei processi
   • Runtime Cloud Foundry

   Nota

   Questa soluzione considera solo SAP Cloud Integration nell'ambiente Cloud Foundry.

2. Creare un'istanza di Cloud Foundry Runtime e quindi creare anche uno spazio Cloud Foundry.

3. Creare un'istanza di SAP Integration Suite.

4. Assegna il ruolo SAP BTP Integration_Provisioner all'account utente del tuo subaccount SAP BTP.

5. In SAP Integration Suite aggiungere la funzionalità di integrazione cloud.

6. Assegna i seguenti ruoli di integrazione del processo al tuo account utente:

   • PI_Administrator
   • PI_Integration_Developer
   • PI_Business_Expert

   I ruoli PI_Administrator, PI_Integration_Developer e PI_Business_Expert sono disponibili solo dopo aver attivato la funzionalità di integrazione cloud.

7. Creare un'istanza del processo SAP Integration Runtime nell'account secondario usando il flusso di integrazione del piano di servizio (non l'API).Create an instance of the SAP Process Integration Runtime in your subaccount using service plan integration-flow (not API!).

8. Dopo aver verificato che la capacità di integrazione cloud sia attivata, crea una chiave di servizio per il SAP Process Integration Runtime e salva il contenuto JSON in una posizione sicura.

Per altre informazioni, vedere la documentazione di SAP sull'installazione iniziale di SAP Integration Suite.

Configurare il connettore in Microsoft Sentinel e nel sistema SAP

Questa procedura include passaggi sia in Microsoft Sentinel che nel sistema SAP e richiede il coordinamento con l'amministratore SAP.

1. In Microsoft Sentinel passare alla pagina Connettori dati di configurazione > e individuare il Microsoft Sentinel per SAP - Connettore dati senza agente.

2. Nella sezione Configurazione espandere e seguire le istruzioni nella sezione Configurazione iniziale del connettore: eseguire i passaggi seguenti una volta: Questi passaggi richiederanno sia il tecnico securitySOC che l'amministratore SAP.

   1. Attivare la distribuzione automatica delle risorse Azure (tecnico SOC). Se, dopo aver distribuito le risorse Azure, i valori nei passaggi 2 e 3 non vengono popolati automaticamente, chiudere ed espandere nuovamente il passaggio 1 per aggiornare i valori nei passaggi 2 e 3.

   2. Distribuire un artefatto delle credenziali client OAuth2 in SAP Integration (amministratore SAP).

   3. Distribuisci il pacchetto del connettore dati SAP senza agente in SAP Integration Suite (SAP Admin). Questa procedura viene eseguita dal portale di SAP Integration Suite (interfaccia utente Web di SAP Cloud Integration).

      1. Apri la sezione Scopri.
      2. Cercare Soluzione Microsoft Sentinel e aprirla.
      3. Fare clic su Copia per importare il pacchetto di integrazione nel tenant di Integrazione cloud.
      4. Aprire il pacchetto e passare alla scheda Artefatti . Selezionare quindi la configurazione dell'agente di raccolta dati . Per altre informazioni, vedere la documentazione di SAP sull'importazione di pacchetti di integrazione.
      5. Configurare il flusso di integrazione con LogIngestionURL e DCRImmutableID.
      6. Distribuire l'iflow usando SAP Cloud Integration come servizio di runtime.

Configurare le impostazioni di SAP Cloud Connector

Configurare SAP Cloud Connector per abilitare la comunicazione tra il sistema back-end SAP e SAP BTP. Prima di iniziare, assicurarsi di avere le credenziali necessarie per aggiungere il sottoaccount SAP BTP in SAP Cloud Connector.

1. Installare SAP Cloud Connector. Per altre informazioni, vedere Installazione di SAP Cloud Connector.

2. Accedere all'interfaccia del connettore cloud e aggiungere l'account secondario usando le credenziali pertinenti. Per altre informazioni, vedere la documentazione sap sulla gestione dei sottoaccount in SAP Cloud Connector.

3. Nel sottoaccount del connettore cloud, aggiungi una nuova mappatura di sistema per il sistema backend per associare il sistema ABAP al protocollo RFC.

4. Definire le opzioni di bilanciamento del carico e immettere i dettagli del server ABAP back-end. Copiare il nome dell'host virtuale in una posizione sicura da usare quando si crea la destinazione SAP BTP.

5. Aggiungere nuove risorse al mapping di sistema per ognuno dei nomi di funzione seguenti:

   • RSAU_API_GET_LOG_DATA per recuperare i dati del log di controllo di sicurezza SAP

   • BAPI_USER_GET_DETAIL, per recuperare i dettagli dell'utente SAP

   • RFC_READ_TABLE, per leggere i dati dalle tabelle necessarie

   • SIAG_ROLE_GET_AUTH, per recuperare le autorizzazioni del ruolo di sicurezza

   • /OSP/SYSTEM_TIMEZONE, per recuperare i dettagli del fuso orario del sistema SAP

   Nota

   Il ruolo MSFTSEN_SENTINEL_READER descritto in Configurare il ruolo Microsoft Sentinel è configurato per l'accesso con privilegi minimi. In questo modo, i moduli di funzione, ad esempio RFC_READ_TABLE, vengono usati solo in base alle esigenze. Prendere in considerazione le procedure consigliate di SAP per l'accesso RFC e le impostazioni della connettività unificata SAP (UCON) per controllare l'accesso ai moduli di funzione oltre i controlli di SAP Cloud Connector e del ruolo SAP.

6. Aggiungi una nuova destinazione in SAP BTP che punti all'host virtuale creato in precedenza. Usare i dettagli seguenti per popolare la nuova destinazione RFC SAP BTP per Microsoft Sentinel:

   • Nome: immettere il nome da usare per la connessione Microsoft Sentinel

   • Tipo: RFC

   • Tipo di proxy: On-Premise

   • Utente: immettere l'account utente ABAP creato in precedenza per Microsoft Sentinel

   • Tipo di autorizzazione: CONFIGURED USER

   • Proprietà aggiuntive:

     • jco.client.ashost = <virtual host name>

     • jco.client.client = <client e.g. 001>

     • jco.client.sysnr = <system number = 00>

     • jco.client.lang = EN

   • Posizione: obbligatorio solo quando si connettono più connettori cloud allo stesso account secondario BTP. Per altre informazioni, vedere la documentazione sap sui parametri che influenzano il comportamento delle comunicazioni.

Ottimizza la dimensione, la velocità di produzione e l'isolamento di SAP Cloud Connector

Le impostazioni predefinite di SAP Cloud Connector si adattano alla maggior parte degli ambienti. Ottimizzalo prima di partire quando l'ingestione di Microsoft Sentinel è ad alto volume, a scatto rapido o condivide un SAP Cloud Connector con altre integrazioni.

1. Conferma la dimensionazione per l'istanza master Cloud Connector: dimensionamento per l'istanza master.
2. Se SAP Cloud Integration (CPI) segnala, IOError on tunnel socket during connect attemptusa SAP note 3403815 per regolare i limiti di throughput e richieste.
3. Abilita il monitoraggio runtime: monitoraggio Cloud Connector.
4. Recupera sessioni obsolete o bloccate con SAP Cloud Connector seguendo le note SAP 2485510.

Eseguire il controllo dei prerequisiti

Eseguire il controllo dei prerequisiti per verificare che il sistema SAP sia pronto per l'integrazione con Microsoft Sentinel.

1. L'iflow di verifica dei prerequisiti è incluso nel pacchetto di integrazione della soluzione Microsoft Sentinel. Configurare e distribuire questo iflow prima di continuare con il passaggio successivo, in modo che il sistema SAP soddisfi i prerequisiti del sistema prima dell'integrazione con Microsoft Sentinel. Dopo la distribuzione, iflow viene eseguito in base a una pianificazione in SAP Cloud Integration; esaminare lo stato di esecuzione più recente per confermare l'esito positivo.

   Per configurare e distribuire lo strumento:

   1. Apri il pacchetto di integrazione, passa alla scheda Artefatti e seleziona l'iFlow Controllo prerequisiti>Configura.
   2. Impostare il nome di destinazione della chiamata di funzione remota (RFC) sul sistema SAP da controllare. Ad esempio, A4H-100-Sentinel-RFC.
   3. Distribuisci l'iflow come faresti normalmente per i tuoi sistemi SAP.
   4. Per ottenere risultati ottimali, eseguire il controllo per 24 ore con frequenza di 1min per rilevare eventuali anomalie, ad esempio processi batch notturni non autorizzati o picchi di utilizzo sconosciuti.

   Per verificare lo stato del controllo:

   1. In SAP Cloud Integration, aprire Monitor>Integrazioni e individuare le esecuzioni dell'iflow Controllo prerequisiti in base al periodo di osservazione impostato (ad esempio 24 ore). Verificare che le esecuzioni siano state completate con stato Completato (HTTP 200) e che il payload della risposta non contenga avvisi o errori. L'utilità di pianificazione può generare messaggi con stato "Scartato" a causa del funzionamento interno di SAP Cloud Integration. Questi messaggi possono essere ignorati e contenere testo come "L'elaborazione dei messaggi è stata eliminata perché l'evento timer di attivazione era già gestito da un altro processo".
   2. Esaminare gli allegati e le proprietà del log di elaborazione dei messaggi (MPL) per i risultati per ogni controllo. Aprire il file collegato alla voce MPL.

   

   Usare la tabella seguente per interpretare i risultati:

   Stato	Che cosa significa	Passaggio successivo
   Completato, nessun avviso	Vengono soddisfatti tutti i prerequisiti.	Continuare a connettere il sistema SAP a Microsoft Sentinel.
   Completato, con avvisi	I prerequisiti sono parzialmente soddisfatti.	Esaminare i dettagli della risposta e correggere prima di connettersi.
   Non riuscito o stato diverso da 200	Il controllo non è riuscito a raggiungere il sistema SAP di destinazione o ha rilevato un errore di configurazione.	Verificare la destinazione RFC e le credenziali, quindi ridistribuire ed eseguire nuovamente l'iflow.

   Se rimangono risultati, consultare i dettagli della risposta per indicazioni sui passaggi di correzione. I sistemi SAP legacy spesso richiedono note SAP aggiuntive. Vedere inoltre la sezione relativa alla risoluzione dei problemi per problemi e soluzioni comuni.

   Dopo il completamento:

   Annullare la distribuzione dell'iFlow pianificato Prerequisite checker una volta completato con successo il controllo del sistema SAP. Ripetere questa sequenza per ogni nuovo sistema SAP di cui verrà eseguito l'onboarding.

2. Nel portale di Sentinel scorrere più in basso nell'area Configurazione, espandere e seguire le istruzioni in Aggiungere sistemi SAP monitorati - Eseguire i passaggi seguenti per ogni sistema SAP monitorato: area per ogni sistema SAP che si vuole monitorare.

   Nella procedura guidata Aggiungi sistemi SAP monitorati in Microsoft Sentinel, nel passaggio denominato Connect SAP System to Microsoft Sentinel/SOC Engineer (Connettere il sistema SAP a Microsoft Sentinel/SOC Engineer) continuare con Connettere il sistema SAP a Microsoft Sentinel.

Passaggio successivo