この記事では、SAP Business Technology Platform (BTP) システム用のMicrosoft Sentinel ソリューションをデプロイする方法について説明します。 SAP BTP のMicrosoft Sentinel ソリューションは、SAP BTP システムを監視および保護します。 BTP インフラストラクチャと BTP ベースのアプリから監査ログとアクティビティ ログを収集し、脅威、疑わしいアクティビティ、違法なアクティビティなどを検出します。 SAP BTP ソリューションの概要。
重要
遅延された SAP BTP ログに対応するためのデータ コネクタ v3.0.11 のアーキテクチャシフトでは、その変更の前に追加された SAP サブアカウントの再オンボードが必要です。 詳細については、 SAP BTP ソリューションのリリース ノート を参照してください。 利便性向上のため、SAP BTP 一括オンボーディングツールの利用をご検討ください。
前提条件
開始する前に、次のことを確認します。
- Microsoft Sentinel ソリューションが有効になっています。
- ワークスペースMicrosoft Sentinel定義されており、ワークスペースに対する読み取りおよび書き込みアクセス許可があります。
- organizationでは、SAP BTP (Cloud Foundry 環境) を使用して、SAP アプリケーションやその他のビジネス アプリケーションとの対話を合理化します。
- SAP BTP Subaccount があります (Cloud Foundry 環境で BTP サブアカウントをサポートします)。 SAP BTP 試用版アカウントを使用することもできます。
- SAP BTP 監査ログ管理サービスとサービス キーがあります ( BTP サブアカウントとソリューションの設定に関するページを参照してください)。
- 対象の Microsoft Sentinel ワークスペースに対する Microsoft Sentinel Contributor ロールを持っています。
BTP サブアカウントとソリューションを設定する
SAP BTP コックピットとAzure portalから BTP サブアカウントとソリューションを手動で設定するには、次の手順に従います。
BTP サブアカウントにサインインしたら ( デプロイの前提条件を参照)、SAP BTP システムの 監査ログ取得手順 に従います。
SAP BTP コックピットで、 監査ログ管理サービスを選択します。
BTP サブアカウントに監査ログ管理サービスのインスタンスを作成します。
サービス キーを作成し、
url、uaa.clientid、uaa.clientsecret、uaa.urlの値を記録します。 これらの値は、データ コネクタをデプロイするために必要です。これらのフィールド値の例を次に示します。
-
URL:
https://auditlog-management.cfapps.us10.hana.ondemand.com -
uaa.clientid:
00001111-aaaa-2222-bbbb-3333cccc4444|auditlog-management!b1237 -
uaa.clientsecret:
aaaaaaaa-0b0b-1c1c-2d2d-333333333333 -
uaa.url:
https://trial.authentication.us10.hana.ondemand.com
-
URL:
Azure portal にサインインし
Microsoft Sentinel サービスに移動します。
[コンテンツ ハブ] を選択し、検索バーで BTP を検索します。
[ SAP BTP] を選択します。
[インストール] を選択します。
ソリューション コンポーネントを管理する方法の詳細については、Microsoft Sentinel のすぐに使えるコンテンツの確認と展開を参照してください。
[作成] を選択します。
ソリューションをデプロイするリソース グループとMicrosoft Sentinel ワークスペースを選択します。
検証に合格するまで [ 次へ ] を選択し、[ 作成] を選択します。
ソリューションのデプロイが完了したら、Microsoft Sentinel ワークスペースに戻り、[データ コネクタ] を選択します。
検索バーに「 BTP」と入力し、[ SAP BTP] を選択します。
[コネクタ ページを開く] を選択します。
コネクタ ページで、一覧表示されている必須の前提条件を満たしていることを確認し、構成手順を完了します。 準備ができたら、[ アカウントの追加] を選択します。
構成中に前に定義したパラメーターを指定します。 指定されたサブアカウント名は、
SAPBTPAuditLog_CLテーブル内の列として投影され、複数のサブアカウントがある場合にログをフィルター処理するために使用できます。必要に応じて、高度なオプションを検討してください。
- ポーリング頻度: コネクタが新しいデータをポーリングする頻度。 既定値は 1 分です。
- ログ取り込み遅延: SAP BTP でイベントが生成されてから、Microsoft Sentinelのインジェストのために SAP BTP 監査ログ サービスで使用できる時間までの推定遅延。 既定では 20 分です。
注:
グローバル アカウントの監査を取得しても、サブアカウントの監査は自動的に取得されません。 監視する各サブアカウントのコネクタ構成手順に従い、グローバル アカウントについても次の手順に従います。 これらの SAP BTP アカウント監査の構成に関する考慮事項を確認します。
BTP ログが Microsoft Sentinel ワークスペースに流れ込まれていることを確認します。
- BTP サブアカウントにサインインし、サインイン、ユーザーの追加、アクセス許可の変更、設定の変更など、ログを生成するいくつかのアクティビティを実行します。
- ログのフローを開始するには、20 分から 30 分かかります。
- [SAP BTP コネクタ] ページで、Microsoft Sentinelが BTP データを受け取っていることを確認するか、SAPBTPAuditLog_CL テーブルに直接クエリを実行します。
Microsoft Sentinel分析ルールをデプロイするためのガイドラインに従って、ソリューションの一部として提供される SAP BTP ブックと SAP BTP 組み込み分析ルールを有効にします。
注:
SAP BTP サブアカウントを大規模にオンボードするには、API と CLI ベースのアプローチをお勧めします。 SAP BTP オンボード スクリプト ライブラリの使用を開始します。
アカウント監査の構成を検討する
デプロイの一環として、グローバル アカウントとサブアカウントの監査構成を検討してください。
グローバル アカウント監査の構成
グローバル アカウントの BTP コックピットで監査ログ取得を有効にする場合: 監査ログ管理サービスの権限を付与するサブアカウントがディレクトリの下にある場合は、最初にディレクトリ レベルでサービスを受ける必要があります。 その場合にのみ、サブアカウント レベルでサービスを受けることができます。
サブアカウント監査設定
サブアカウントの監査を有効にするには、 SAP subaccounts 監査取得 API のドキュメントの手順を完了します。
API ドキュメントでは、Cloud Foundry コマンド ライン インターフェイス (CLI) を使用して監査ログの取得を有効にする方法について説明します。
UI を使用してログを取得することもできます。
- SAP Service Marketplace のサブアカウントで、 監査ログ管理サービスのインスタンスを作成します。
- 新しいインスタンスで、サービス キーを作成します。
- サービス キーを表示し、データ コネクタ UI (url、uaa.url、uaa.clientid、uaa.clientsecret) の構成手順の手順 4 から必要なパラメーターを取得します。
SAP BTP サブアカウントを大規模に Mass-Onboard する
SAP BTP サブアカウントを大規模にオンボードするには、API と CLI ベースのアプローチをお勧めします。 SAP BTP オンボード スクリプト ライブラリの使用を開始します。
BTP クライアント シークレットをローテーションする
BTP サブアカウント クライアント シークレットを定期的にローテーションすることをお勧めします。 プラットフォームベースの自動化されたアプローチについては、Azure Key Vaultを使用した SAP BTP トラスト ストア証明書の自動更新に関する記事、または有効期限の考え方を一度だけ停止する方法 (SAP ブログ) を参照してください。
SAP BTP キー ローテーション スクリプト ライブラリは、既存のデータ コネクタを新しいシークレットで更新する自動プロセスを示しています。