Microsoft Sentinel ソリューション用に SAP システムを構成する

この記事では、SAP データ コネクタに接続するために SAP 環境を準備する方法について説明します。 開始する前に、SAP アプリケーションのMicrosoft Sentinel ソリューションをデプロイするための前提条件を確認してください。

この記事は、SAP アプリケーション用のMicrosoft Sentinel ソリューションをデプロイする 2 番目の手順の一部です。 Microsoft Sentinelで実行される手順では、ソリューションを最初にインストールする必要があります。一方、SAP 環境内の他の準備は並列で行うことができます。

この記事の手順の多くは、通常、 SAP BASIS チームによって実行されます。 一部の手順では、セキュリティ チームも関与します。

前提条件

• 開始する前に、SAP アプリケーション用のMicrosoft Sentinel ソリューションをデプロイするための前提条件を確認してください。
• 一部の手順はMicrosoft Sentinelで行われ、SAPアプリケーション向けにまずMicrosoft Sentinelソリューションを展開する必要があります。

Microsoft Sentinel ロールを構成する

SAP データ コネクタが SAP システムに接続できるようにするには、特にこの目的のために SAP システムロールを作成する必要があります。

MSFTSEN_SENTINEL_READER テンプレートを使用してロールを作成します。これには、データ コネクタが動作するための基本的なアクセス許可がすべて含まれています。

詳細については、 ロールの作成に関する SAP ドキュメントを参照してください。

Microsoft Sentinel役割用のSAPユーザーを作成する

SAP アプリケーションのMicrosoft Sentinel ソリューションでは、SAP システムに接続するためにユーザー アカウントが必要です。 ユーザーを作成する場合:

• システム ユーザーを作成してください。
• Microsoft Sentinel ロールを構成したときに作成したユーザーに、MSFTSEN_SENTINEL_READER ロールを割り当てます。

詳細については、 SAPのユーザーアカウント作成に関するドキュメントをご覧ください。

SAP 監査の構成

SAP システムの一部のインストールでは、監査ログが既定で有効になっていない場合があります。 SAP アプリケーションのMicrosoft Sentinel ソリューションのパフォーマンスと有効性を評価するのに最適な結果を得るには、SAP システムの監査を有効にし、監査パラメーターを構成します。

特定のログだけでなく、監査ログ からのすべての メッセージに対して監査を構成することをお勧めします。 データ取り込みコストの違いは一般にごくわずかであり、そのデータは Microsoft Sentinel の検出や、侵害後の調査、脅威ハンティングに役立ちます。

エージェントレス データ コネクタを使用した完全な監視範囲の場合は、監視対象の SAP システムのすべてのクライアント ID (クライアント 000 および 066 を含む) で監視を有効にすることをお勧めします。

詳細については、 セキュリティ監査ログ (SM19/RSAU) の分析と推奨設定を参照してください。

セキュリティで保護された接続に SNC を使用するようにシステムを構成する

デフォルトでは、SAPデータコネクターはリモートファンクションコール(RFC)接続とユーザー名およびパスワードを使ってSAPシステムへの認証を行います。

RFC接続を暗号化したり証明書ベースの認証を使用するには、SAP Smart Network Communications(SNC)を設定してください。 SAP管理者や組織の公開鍵インフラ(PKI)チームと協力してSNCの設定を計画しましょう。 環境内のSAPコンポーネント、証明書、信頼関係についてはSAPのガイダンスに従ってください。

Microsoft Sentinel接続の設定前に:

• SAP NetWeaver Application Server for ABAP(AS ABAP)向けにSNCを設定してください。 CommonCryptoLibを使用する例については、 SAP Note 2979858: COMMONCRYPTOLIBを用いたAS ABAPの例 SNC構成を参照してください。
• 組織の認証機関(CA)が署名した証明書を使うか、自己署名証明書を使うかを決めてください。 SAPシステムとRFC接続を開始するコンポーネント間の信頼を確立します。 SAP証明書のガイダンスについては、 SAP Note 2970934: CSRの作成方法およびABAPシステムの証明書応答のインポート方法をご覧ください。
• Microsoft Sentinelに接続する前に、SAPのガイダンスに従ってSNC接続を検証してください。

エージェントレスデータコネクターについては、SAP Cloud ConnectorでSNCを設定してください。 詳細については、 SAP KBA 3536285: SAP Cloud Connector - How to set of general SNC settings for SAP Cloud Connector をご覧ください。

SAP Cloud Connectorのハイアベイラビリティを使用している場合は、シャドウインスタンスに切り替えた後もSNCの検証を行ってください。

詳細については、 SNCの設定 および RFC統合のためのSAP SNCの開始に関するSAPドキュメントをご覧ください。

SAP BTP 設定を構成する

エージェントレス データ コネクタ用に SAP Business Technology Platform (BTP) を準備するには、SAP BTP サブアカウントで次のサービスとロールを構成します。

1. SAP BTP サブアカウントで、次のサービスのエンタイトルメントを追加します。

   • SAPインテグレーションスイート
   • SAP プロセス統合ランタイム
   • Cloud Foundry ランタイム

   注:

   このソリューションでは、Cloud Foundry 環境での SAP Cloud Integration のみが考慮されます。

2. Cloud Foundry Runtime のインスタンスを作成し、Cloud Foundry スペースも作成します。

3. SAP Integration Suite のインスタンスを作成します。

4. SAP BTP Integration_Provisioner ロールを SAP BTP サブアカウント ユーザー アカウントに割り当てます。

5. SAP Integration Suite で、クラウド統合機能を追加します。

6. 次のプロセス統合ロールをユーザー アカウントに割り当てます。

   • PI_Administrator
   • PI_Integration_Developer
   • PI_Business_Expert

   PI_Administrator、PI_Integration_Developer、およびPI_Business_Expertロールは、クラウド統合機能をアクティブ化した後にのみ使用できます。

7. サービス プラン統合フロー (API ではなく) を使用して、サブアカウントに SAP プロセス Integration Runtimeのインスタンスを作成します。

8. クラウド統合機能が有効であることを確認した後、SAP Process Integration Runtimeのサービスキーを作成し、JSONの内容を安全な場所に保存します。

詳細については、SAP Integration Suite の初期セットアップに関する SAP ドキュメントを参照してください。

Microsoft Sentinelおよび SAP システムでコネクタを構成する

この手順には、Microsoft Sentinelと SAP システムの両方の手順があり、SAP 管理者との調整が必要です。

1. Microsoft Sentinelで、[構成>データ コネクタ] ページに移動し、SAP - エージェントレス データ コネクタのMicrosoft Sentinelを見つけます。

2. [ 構成 ] セクションで、「 初期コネクタ構成 - 次の手順を 1 回実行する: 」セクションの手順に従って展開し、従います。 これらの手順には、SecuritySOC エンジニアと SAP 管理者の両方が必要です。

   1. Azure リソースの自動デプロイをトリガーします (SOC エンジニア)。 Azure リソースをデプロイした後、手順 2 と 3 の値が自動的に設定されない場合は、手順 1 を閉じて再展開して、手順 2 と 3 の値を更新します。

   2. OAuth2 クライアント資格情報成果物を SAP Integration (SAP 管理) にデプロイします。

   3. SAP エージェントレス データ コネクタ パッケージを SAP Integration Suite (SAP 管理) にデプロイします。 この手順は、SAP Integration Suite ポータル (SAP Cloud Integration Web UI) から実行されます。

      1. [検出] セクションを開きます。
      2. Microsoft Sentinel ソリューションを検索して開きます。
      3. [ コピー ] をクリックして、統合パッケージを Cloud Integration テナントにインポートします。
      4. パッケージを開き、[ 成果物 ] タブに移動します。次に、 データ コレクター の構成を選択します。 詳細については、 統合パッケージのインポートに関する SAP ドキュメントを参照してください。
      5. LogIngestionURL と DCRImmutableID を使用して統合フローを構成します。
      6. SAP Cloud Integration をランタイム サービスとして使用して iflow をデプロイします。

SAP Cloud Connector の設定を構成する

SAP バックエンド システムと SAP BTP の間の通信を有効にするように SAP Cloud Connector を構成します。 開始する前に、SAP Cloud Connector で SAP BTP サブアカウントを追加するために必要な資格情報があることを確認します。

1. SAP Cloud Connector をインストールします。 詳細については、「 SAP Cloud Connector のインストール」を参照してください。

2. クラウド コネクタ インターフェイスでサインインし、関連する資格情報を使用してサブアカウントを追加します。 詳細については、SAP Cloud Connector でのサブアカウントの管理に関する SAP ドキュメントを参照してください。

3. クラウド コネクタ サブアカウントで、バックエンド システムに新しいシステム マッピングを追加して、ABAP システムを RFC プロトコルにマップします。

4. 負荷分散オプションを定義し、バックエンド ABAP サーバーの詳細を入力します。 SAP BTP 宛先を作成するときに使用する安全な場所に仮想ホストの名前をコピーします。

5. 次の各関数名のシステム マッピングに新しいリソースを追加します。

   • RSAU_API_GET_LOG_DATA、SAP セキュリティ監査ログデータを取得するためのもの

   • BAPI_USER_GET_DETAIL、SAP ユーザーの詳細を取得するには

   • RFC_READ_TABLE、必要なテーブルからデータを読み取るために

   • SIAG_ROLE_GET_AUTH、セキュリティロールの認可を取得するためのもの

   • /OSP/SYSTEM_TIMEZONE、SAP システムのタイムゾーンの詳細を取得する

   注:

   「Microsoft Sentinel ロールの構成」で説明されているMSFTSEN_SENTINEL_READER ロールは、最小限の特権アクセス用に構成されています。 これにより、RFC_READ_TABLEなどの汎用モジュールが必要に応じてのみ使用されるようになります。 SAP Cloud Connector と SAP ロールの制御を超えて、関数モジュールのアクセスを制御するための 、RFC アクセス と SAP Unified Connectivity (UCON) 設定に関する SAP のベスト プラクティスを検討してください。

6. 前に作成した仮想ホストを指す新しい宛先を SAP BTP に追加します。 次の詳細を使用して、Microsoft Sentinelの新しい SAP BTP RFC 宛先を設定します。

   • 名前: Microsoft Sentinel接続に使用する名前を入力します

   • 型: RFC

   • プロキシの種類: On-Premise

   • ユーザー: Microsoft Sentinel 用に以前作成した ABAP ユーザー アカウントを入力します

   • 承認の種類: CONFIGURED USER

   • その他のプロパティ:

     • jco.client.ashost = <virtual host name>

     • jco.client.client = <client e.g. 001>

     • jco.client.sysnr = <system number = 00>

     • jco.client.lang = EN

   • 場所: 複数の Cloud Connector を同じ BTP サブアカウントに接続する場合にのみ必要です。 詳細については、 通信動作に影響を与えるパラメーターに関する SAP ドキュメントを参照してください。

SAP Cloud Connectorのサイズ、スループット、隔離の最適化

デフォルトのSAP Cloud Connector設定はほとんどの環境に適しています。 Microsoft Sentinelのインジェスが大量に使われたり、バースティだったり、SAP Cloud Connectorを他の連携と共有している場合は、稼働前に調整してください。

1. Cloud Connectorマスターインスタンスのサイズ確認: マスターインスタンスのサイズ確認。
2. もしSAP Cloud Integration(CPI)が IOError on tunnel socket during connect attemptを報告した場合は、SAP Note 3403815 を使ってスループットやリクエスト制限を調整してください。
3. ランタイムモニタリングを有効にする: Cloud Connectorモニタリング。
4. SAPノート 2485510に従うことで、古くなったり詰まったSAP Cloud Connectorセッションを回復しましょう。

前提条件チェッカーを実行する

前提条件チェッカーを実行して、SAP システムがMicrosoft Sentinelとの統合の準備ができていることを検証します。

1. 前提条件チェッカー iflow は、Microsoft Sentinel ソリューション統合パッケージに含まれています。 次の手順に進む前に、この iflow を構成してデプロイし、SAP システムがMicrosoft Sentinelと統合する前にシステムの前提条件を満たすことができるようにします。 デプロイ後、iflow は SAP Cloud Integration でスケジュールに従って実行されます。成功を確認するには、最新の実行状態を確認します。

   ツールを構成してデプロイするには:

   1. 統合パッケージを開き、[成果物] タブに移動し、[前提条件チェッカー] iflow >[構成] を選択します。
   2. リモート関数呼び出し (RFC) のターゲット宛先名を、チェックする SAP システムに設定します。 たとえば、「 A4H-100-Sentinel-RFC 」のように入力します。
   3. SAP システムの場合と同様に、iflow をデプロイします。
   4. 最良の結果を得るには、1 分の頻度で 24 時間チェッカーを実行し、不正な夜間バッチ ジョブや不明な使用量の急増などの異常をキャッチします。

   チェックの状態を確認するには:

   1. SAP Cloud Integration で Monitor>Integrations を開き、ウォッチ期間 (例: 24 時間) に従って 前提条件チェッカー iflow の実行を見つけます。 実行が状態 Completed (HTTP 200) で完了していること、および応答ペイロードに警告やエラーが含まれていないことを確認します。 スケジューラは、SAP Cloud Integration の内部的な動作により、状態が "破棄済み" のメッセージを生成する場合があります。 これらのメッセージは無視でき、"トリガー タイマー イベントは既に別のプロセスによって処理されているため、メッセージ処理は破棄されました" のようなテキストを含めることができます。
   2. メッセージ処理ログ (MPL) の添付ファイルとプロパティを調べて、チェックごとの結果を確認します。 MPL エントリに添付されているファイルを開きます。

   

   結果を解釈するには、次の表を使用します。

   状態	意味	次の手順
   完了、警告なし	すべての前提条件が満たされています。	引き続き SAP システムをMicrosoft Sentinelに接続します。
   完了(警告あり)	前提条件が部分的に満たされています。	接続する前に、応答の詳細を確認し、修復します。
   失敗または 200 以外の状態	チェッカーがターゲット SAP システムに到達できなかったか、構成エラーが発生しました。	RFC の宛先と資格情報を確認し、iflow を再デプロイして再実行します。

   結果が残っている場合は、修復手順に関するガイダンスについては、応答の詳細を参照してください。 従来の SAP システムでは、多くの場合、追加の SAP ノートが必要です。 さらに、一般的な問題と解決策については、「 トラブルシューティング」セクション を参照してください。

   完了後:

   SAP システム チェックが正常に完了したら、スケジュールされた前提条件チェッカー iflow をデプロイ解除します。 オンボードする新しい SAP システムごとに、このシーケンスを繰り返します。

2. Sentinelポータルで、[構成] 領域をさらに下にスクロールし、「監視対象 SAP システムの追加 - 監視対象の SAP システムごとに以下の手順を実行する: 監視する各 SAP システムの領域」の手順に従います。

   Microsoft Sentinel の監視対象 SAP システムの追加ウィザードで、SAP システムを Microsoft Sentinel / SOC エンジニアに接続するという名前の手順では、SAP システムを Microsoft Sentinel に接続するに進みます。

次の手順