Microsoft Sentinel ソリューションは、SAPアプリケーション向けソリューションで、ビジネスロジック、アプリケーション、データベース、オペレーティングシステムの各層における脅威を監視します。 この記事では、ソリューションの内容について解説します。SAPデータの収集方法、提供されるセキュリティコンテンツ、そして検出対象についてです。
SIEMおよびSOARの機能、調査ガイダンス、認証、価格設定については、SAPの広範なMicrosoft Sentinelソリューションに適用されるものについては、「Microsoft Sentinel solutions for SAP」の概要をご覧ください。
ソリューション コンポーネント
解決策には主に3つの要素が含まれています。
- エージェントレスデータコネクター:オンボーディングされたSAPシステムからSAPアプリケーションログを収集し、Microsoft Sentinelワークスペースに送信します。 このコネクタはSAPクラウド統合をミドルウェアとして使用しているため、SAP環境に専用のデータコレクターVMやコンテナは必要ありません。
- SAP Integration Suiteソリューションパッケージ:SAPインテグレーションスイートテナントにデプロイする既成パッケージです。 SAP Cloud Connectorを通じて、SAPログを充実させ、Microsoft Sentinel Solution for SAPへルーティングする統合フローと設定を提供します。
- セキュリティコンテンツ:標準化された分析ルール、ワークブック、プレイブック、ウォッチリスト、SAPログを実行可能なインサイトに変換する機能。
各コンポーネントの詳細な説明とそれらの連携については、「 デプロイメント概要」をご覧ください。
SAP データ ソース
エージェントレスデータコネクタは、以下のようなセキュリティ関連ログを取り込みます:
- SAPセキュリティ監査ログ。
- 文書ログの変更(CDHDR、CDPOS)。
- ユーザーマスターデータ(役割や認可を含む)。
ログおよびテーブルの全リストについては、 SAPソリューションのログおよびテーブル参照を参照してください。
追加の情報源は、ABAPの申請ログの核心を超えて全体像を広げています。
- SAP HANAデータベース監査ログは、HANAデータベースコネクタを通じて、特権アクセス、スキーマ変更、機密クエリなどのデータベースレベルの活動をカバーします。
- SAP LogServ(RISE with SAP)は、インフラおよびプラットフォームログ(SAP Cloud Connector、AS Java、Web Dispatcher、HANA、オペレーティングシステム、ネットワークなど)をSAP Enterprise Cloud Servicesによって収集・転送されます。 SAP LogServの概要をご覧ください。
- Microsoft Entra ID、Microsoft Defender for Cloud、Microsoft Defender for Endpoint など、SAP エステートに隣接する信号用の他のMicrosoft Sentinelコネクタファイアウォールやプロキシログも含めて、SAPの活動をアイデンティティ、エンドポイント、ネットワークイベントと相関させることができます。 これらのコネクタが高度 セキュリティ情報モデル(ASIM)に正規化されたデータを出力する場合、SAPソリューションの分析ルールはそれらを直接再利用できます。 ASIMに適合したコンテンツの一覧については、 ASIMセキュリティコンテンツをご覧ください。
脅威検出範囲
このソリューションは、以下のような脅威検出やその他もサポートしています。
- 特権ユーザーの作成やブレイクグラスユーザーの利用など、疑わしい特権操作。
- 監査ログの無効化や機密機能モジュールの実行など、SAPのセキュリティメカニズムを回避しようとする試み。
- バックドア作成(永続性)は、新しいインターネット対応インターフェース(ICF)の作成や、リモート関数呼び出しによる機密テーブルへの直接アクセスなどです。
- 複数のファイルダウンロードなどのデータ流出。
- 初回アクセス、例えばブルートフォースや同じIPからの複数回サインインなどです。
詳細については、「 組み込みの分析ルール」を参照してください。
監視されたSAP構成
アクティビティ監視に加え、このソリューションは敏感なSAPセキュリティパラメータやシステムの健全性の変更を追跡し、ドリフや設定ミスを検出するのに役立ちます。 詳細については、以下を参照してください:
ソリューションの価格
Microsoft Sentinel SAP アプリケーション ソリューションは無料でインストールできますが、運用システムでソリューションをアクティブ化して使用する場合は、1 時間ごとに追加料金がかかります。
- 追加の時間課金は接続されたアクティブな 生産システムにのみ適用されます。 非アクティブなシステムは料金の対象になりません。 アクセス許可の問題など、システムの状態がMicrosoft Sentinelに不明な場合は、運用システムとしてカウントされます。
- Microsoft Sentinelは、SAP システムの構成を調べることで、運用システムを識別します。
Microsoft Sentinelインジェスト コストは異なる場合があり、取り込まれた SAP ログの量によって影響を受けることがあります。 詳細については、以下を参照してください:
- コストを計画し、Microsoft Sentinel の価格と課金について理解する
- Microsoft Sentinelのコストを削減する
- Microsoft Sentinelのコストを管理および監視する
- SAP アプリケーション用のMicrosoft Sentinel ソリューション。