Uw SAP-systeem verbinden met Microsoft Sentinel

  • Van toepassing op: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Om ervoor te zorgen dat de Microsoft Sentinel-oplossing voor SAP-toepassingen correct werkt, moet u eerst uw SAP-gegevens in Microsoft Sentinel ophalen. Doe dit door de Microsoft Sentinel agentless data connector voor SAP aan te sluiten.

Voordat u dit artikel volgt, moet u ervoor zorgen dat u de eerdere implementatiestappen hebt voltooid: de SAP-oplossing in uw werkruimte installeren en uw SAP-systeem voorbereiden. Zie de sectie Vereisten voor de volledige lijst met vereisten.

Diagram van de implementatiestroom van de SAP-oplossing, waarin de stap Verbinding maken met uw SAP-systeem wordt gemarkeerd.

Inhoud in dit artikel is relevant voor uw beveiligingsteam .

Prerequisites

Voordat u uw SAP-systeem verbindt met Microsoft Sentinel:

Bekijk de introductievideo voor de connector

Gebruik de onboardingvideo ter ondersteuning van de implementatie en configuratie van de Microsoft Sentinel Solution for SAP - agentloze gegevensconnector die in deze documentatie wordt beschreven.

Verbinding maken met uw gegevensconnector zonder agent

  1. Ga in Microsoft Sentinel naar de pagina Configuratie > Gegevensconnectors en zoek de Microsoft Sentinel voor SAP - zonder agent gegevensconnector.

  2. Vouw stap 1 uit in het gebied Configuratie. Activeer automatische implementatie van vereiste Azure-resources/SOC Engineer en selecteer Vereiste Azure-resources implementeren.

    Belangrijk

    Als u de rol Entra ID Application Developer of hoger niet hebt en u deploy required Azure resources selecteert, wordt een foutbericht weergegeven, bijvoorbeeld: 'Deploy required Azure resources' (fouten kunnen variëren). Dit betekent dat de regel voor gegevensverzameling (DCR) en het eindpunt voor gegevensverzameling (DCE) zijn gemaakt, maar u moet ervoor zorgen dat uw Entra ID-app-registratie is geautoriseerd. Ga door met het instellen van de juiste autorisatie.

    Opmerking

    Bij het implementeren van de vereiste Azure resources voor de Microsoft Sentinel-oplossing voor SAP-toepassingen (zonder agent), kan Azure Resource Manager (ARM) tot 45 seconden duren om de bewerkingen van de resourceprovider te voltooien. Gedurende deze tijd kan de implementatie vertraagd lijken. Dit gedrag wordt verwacht. Wacht tot de bewerking is voltooid voordat u het opnieuw probeert of opnieuw implementeert.

  3. Ga op een van de volgende manieren te werk:

    • Als u de rol Entra ID Application Developer of hoger hebt, gaat u verder met de volgende stap.
    • Als u de rol van Entra ID toepassingsontwikkelaar of hoger niet hebt:
      • Deel de DCR-id met uw Entra id-beheerder of collega met de vereiste machtigingen.
      • Zorg ervoor dat de rol Monitoring Metrics Publisher op de DCR is toegewezen via de toewijzing van de service-principal, met behulp van de client-id van de Entra ID-app-registratie.
      • Haal de client-id en het clientgeheim op uit de Entra ID-app-registratie die moet worden gebruikt voor autorisatie op de DCR. De SAP-beheerder gebruikt de client-id en clientgeheimgegevens om naar de DCR te posten.

  4. Schuif omlaag en selecteer SAP-client toevoegen.

  5. Voer in het deelvenster Verbinding maken met een SAP-client de volgende details in:

    Veld Description
    RFC-doelnaam De naam van de RFC-bestemming, overgenomen uit uw BTP-bestemming.
    Client-id zonder SAP-agent De waarde clientid genomen uit het JSON-bestand dat de servicesleutel van Process Integration Runtime bevat.
    SAP-clientgeheim zonder agent De clientsecret-waarde die is opgehaald uit het JSON-bestand van de Process Integration Runtime service key.
    URL van autorisatieserver De tokenurl-waarde uit het JSON-bestand van de servicesleutel van Process Integration Runtime. Bijvoorbeeld: https://your-tenant.authentication.region.hana.ondemand.com/oauth/token
    Integration Suite-eindpunt De url-waarde die afkomstig is uit het JSON-bestand van de sleutel voor de Process Integration Runtime-service. Bijvoorbeeld: https://your-tenant.it-account-rt.cfapps.region.hana.ondemand.com

  6. Selecteer Maak verbinding met.

Belangrijk

Er kan enige wachttijd zijn bij de eerste verbinding. Zie De connector zonder code controleren voor meer informatie.

SAP-systemen op grote schaal onboarden

Als u SAP-systemen op schaal wilt onboarden naar de Sentinel-oplossing voor SAP-toepassingen, worden op API- en CLI gebaseerde benaderingen aanbevolen. Aan de slag met de SAP Integration Suite-hulpprogramma's voor Microsoft Sentinel.

Het BTP-clientgeheim roteren

We raden u aan de clientgeheimen van de BTP-subaccount die door de dataconnector worden gebruikt, regelmatig te roteren. Zie onze Automatic SAP BTP truststore certificaatvernieuwing met Azure Key Vault voor een geautomatiseerde, platformgebaseerde benadering of hoe u niet meer nadenkt over vervaldatums (SAP-blog).

De SAP Integration Suite-hulpprogramma's voor Microsoft Sentinel laten zien hoe een bestaande gegevensconnector automatisch wordt bijgewerkt met een nieuw geheim.

Gedrag van gegevensconnector aanpassen (optioneel)

Als u een SAP-gegevensconnector zonder agent hebt voor Microsoft Sentinel, kunt u de SAP Integration Suite gebruiken om aan te passen hoe de gegevensconnector zonder agent gegevens uit uw SAP-systeem opneemt in Microsoft Sentinel.

Deze procedure is alleen relevant wanneer u het gedrag van de SAP-gegevensconnector zonder agent wilt aanpassen. Sla deze procedure over als u tevreden bent met de standaardfunctionaliteit. Als u bijvoorbeeld Sybase gebruikt, raden we u aan om opname uit te schakelen voor Change Docs-logboeken in uw SAP Integration Suite-integratiestroom door de parameter collect-changedocs-logs te configureren. Vanwege prestatieproblemen met de database wordt het inlezen van Change Docs-logboeken uit Sybase niet ondersteund.

Tip

Zie deze blog voor meer inzichten over de gevolgen van het overschrijven van de standaardinstellingen.

Vereisten voor het aanpassen van het gedrag van de gegevensconnector.

Voordat u het gedrag van de gegevensconnector aanpast, moet u ervoor zorgen dat aan de volgende vereisten wordt voldaan:

  • U moet toegang hebben tot de SAP Integration Suite, met machtigingen voor het maken en bewerken van waardetoewijzingen.
  • Een afzonderlijk SAP-integratiepakket, bestaand of nieuw, dat is toegewezen aan het hosten van het waardetoewijzingsartefact. Het Microsoft Sentinel voor SAP-integratiepakket dat is geïnstalleerd vanuit de marketplace, bevindt zich in de modus Alleen configureren, dus u kunt het daar niet toevoegen.

Het waardetoewijzingsartefact maken en instellingen aanpassen

Maak een waardetoewijzingsartefact in uw SAP Integration Suite-tenant en voeg alleen de parameters toe die u wilt overschrijven. Elke parameter die u niet definieert, behoudt de standaardwaarde.

U hebt twee opties om het artefact op zijn plaats te krijgen:

  • Optie 1 (aanbevolen): Importeer het vooraf samengestelde sleutelwaardeoverzicht uit de Microsoft Sentinel voor de SAP-communityopslagplaats. De repository bevat een vooraf ingevulde blauwdruk voor aanpassing: Gegevensverzamelaar aanpassen (sleutel-waardetoewijzing). Download het meest recente basispakket van de pagina Releases en importeer het in uw SAP Integration Suite-tenant. Ga vervolgens verder met de onderstaande aanpassingsstappen.

    Tip

    De Microsoft Sentinel voor de SAP-communityopslagplaats host ook andere Microsoft meegeleverde integratierecepten die u kunt gebruiken naast de connector voor gegevens zonder agent, zoals SAP Ariba, SAP S/4HANA Cloud public edition (GROW), SAP-gebruikersblok en SAP Table Reader. Blader door de integration-artifacts folder voor de volledige en actuele lijst. Bijdragen van de community zijn welkom.

  • Optie 2: Maak het artefact handmatig. Maak in uw toegewezen pakket een nieuw waardetoewijzing-artefact. Zie de SAP-documentatie over het maken van een waardetoewijzing voor meer informatie.

Nadat het waardetoewijzingsartefact is ingesteld, past u het aan en activeert u het:

  1. Voeg de vermeldingen toe waarmee het gedrag van uw gegevensconnector wordt aangepast. Gebruik een van de volgende methoden:

    • Als u instellingen voor alle SAP-systemen wilt aanpassen, voegt u waardetoewijzingen toe onder de global bidirectionele toewijzingsagent, waarbij u de parameternaam als bronsleutel en uw overschrijving als doelwaarde gebruikt.
    • Als u instellingen voor specifieke SAP-systemen wilt aanpassen, maakt u een afzonderlijk bidirectioneel toewijzingsbureau voor elk SAP-systeem. Geef elk agentschap een naam zodat deze exact overeenkomt met de naam van de RFC-bestemming die u wilt aanpassen (bijvoorbeeld myRfc, key, myRfc, value), en voeg de parametervermeldingen toe onder dat bureau.

    Zie de SAP-documentatie over het configureren van waardetoewijzingen voor meer informatie.

  2. Sla het artefact voor waardetoewijzing op en implementeer het om de bijgewerkte instellingen te activeren.

Schermafbeelding van de plaatsaanduiding van het waardetoewijzingsartefact in SAP Cloud Integration met voorbeeldparameters voor de agentloze gegevensconnector.

Gebruik de volgende tabel als richtlijn voor wat u in het value mapping-artefact moet invoeren. Voeg alleen de rijen toe voor de parameters die u wilt overschrijven:

Veld in het waardetoewijzingsartefact Wat moet ik invoeren?
Agentschap (bron en doel) global voor alle SAP-systemen, of de RFC-doelnaam (bijvoorbeeld myRfc) om de override te beperken tot een specifiek SAP-systeem.
Identificatie (bron en doel) key als de bron-id en value als de doel-id.
Bronwaarde De parameternaam uit de tabel met aanpasbare parameters (bijvoorbeeld collect-changedocs-logs).
Doelwaarde De overschrijvingswaarde voor die parameter (bijvoorbeeld false).

De volgende tabel bevat de aanpasbare parameters voor de SAP-gegevensconnector zonder agent voor Microsoft Sentinel:

Algemene verzamelingsbesturingselementen

De volgende parameters bepalen het algehele gedrag van gegevensverzameling voor de connector zonder agent.

Parameter Description Toegestane waarden Standaardwaarde
changedocs-object-classes Lijst met objectklassen die worden opgenomen uit change docs-logboeken. Door komma's gescheiden lijst met objectklassen BANK, CLEARING, IBAN, IDENTITY, KERBEROS, OA2_CLIENT, PCA_BLOCK, PCA_MASTER, PFCG, SECM, SU_USOBT_C, SECURITY_POLICY, STATUS, SU22_USOBT, SU22_USOBX, SUSR_PROF, SU_USOBX_C, USER_CUA
collect-audit-logs Bepaalt of auditlogboekgegevens al dan niet worden opgenomen in de tabel ABAPAuditLog. true: opgenomen
false: Niet opgenomen		 Waar
collect-changedocs-logs Bepaalt of logboeken van wijzigingsdocumenten al dan niet worden opgenomen in de tabel ABAPChangeDocsLog. true: opgenomen
false: Niet opgenomen		 Waar
force-audit-log-to-read-from-all-clients Bepaalt of de auditlog van alle clients wordt uitgelezen. true: Lezen van alle clients
false: Niet gelezen van alle gebruikers		 onwaar
inname-cyclus-dagen Tijd, in dagen, beschikbaar voor het laden van de volledige User Master-gegevens, inclusief alle rollen en gebruikers. Deze parameter heeft geen invloed op de opname van wijzigingen in gebruikersmodelgegevens. Geheel getal, tussen 1-14 7
collect-user-master-data-users Bepaalt of gebruikersgegevens al dan niet worden opgenomen in de tabellen ABAPUserDetails. true: Opgenomen, onwaar: Niet opgenomen Waar
collect-user-master-data-roles Bepaalt of rolautorisatiegegevens al dan niet worden opgenomen in de tabellen ABAPAuthorizationDetails. true: Opgenomen, onwaar: Niet opgenomen Waar
offset-in-seconden Hiermee bepaalt u de verschuiving, in seconden, voor zowel de begin- als eindtijd van een venster voor gegevensverzameling. Gebruik deze parameter om het verzamelen van gegevens te vertragen met het geconfigureerde aantal seconden. Geheel getal, tussen 1-600 60

Auditlogboekparameters

De volgende parameters bepalen het gedrag van het verzamelen van auditlogboeken.

Parameter Description Toegestane waarden Standaardwaarde
force-audit-log-to-read-from-all-clients Bepaalt of de auditlog van alle clients wordt uitgelezen. true: Gelezen van alle clients, onwaar: niet gelezen van alle clients onwaar
force-sal-bestandssysteem Maakt Security Audit Log Log Only-bestandssysteemoptimalisatie mogelijk. Wanneer deze op waar staat, gebruikt de connector zowel ID_FILESYSTEM_SEL_ONLY en ID_FILE_SEL_SIMPLE voor het ophalen. true: Ingeschakeld, false: Uitgeschakeld onwaar
max-rows Fungeert als een beveiliging die het aantal auditlogboekrecords beperkt dat wordt verwerkt in één venster voor gegevensverzameling. Deze parameter is niet meer van toepassing op de verzameling Wijzigingsdocumenten. Geheel getal, tussen 1-1000000 150000

Docs-parameters wijzigen

De volgende parameters bepalen het verzamelen van logboeken voor Change Docs.

Parameter Description Toegestane waarden Standaardwaarde
changedocs-object-classes Lijst met objectklassen die worden opgenomen uit change docs-logboeken. Door komma's gescheiden lijst met objectklassen BANK, CLEARING, IBAN, IDENTITY, KERBEROS, OA2_CLIENT, PCA_BLOCK, PCA_MASTER, PFCG, SECM, SU_USOBT_C, SECURITY_POLICY, STATUS, SU22_USOBT, SU22_USOBX, SUSR_PROF, SU_USOBX_C, USER_CUA
max-changedocs-headers Fungeert als een beveiliging die het aantal CDHDR-records (Change Docs Header Records) dat in één venster voor gegevensverzameling wordt verwerkt, beperkt. Gebruik deze parameter om runtime- en geheugenbelasting te verminderen tijdens pieken in het headervolume. Geheel getal, tussen 1-1000000 1000
max-changedocs-details Fungeert als een beveiliging die het aantal Change Docs-detailrecords (CDPOS-records) beperkt dat wordt verwerkt in één venster voor gegevensverzameling. Gebruik deze parameter om doorvoer en geheugengebruik af te stemmen. Geheel getal, tussen 1-1000000 10000
change-docs-batch-size Het aantal headerrecords van change docs dat wordt gebruikt per aanroep om details op te halen. Verminder deze waarde als er een time-out van RFC wordt aangeroepen. Geheel getal, tussen 1-1000 1000

Parameters voor gebruikersdetails

Met de volgende parameters wordt de verzameling Gebruikersdetails beheerd.

Parameter Description Toegestane waarden Standaardwaarde
max-users Fungeert als een beveiliging die het aantal unieke gebruikers beperkt dat in één verzamelingscyclus wordt verwerkt. Geheel getal, tussen 1-1000000 125
user-batch-size Het aantal gebruikers dat per batch wordt verwerkt bij het ophalen van actieve gebruikersgegevens. Verminder deze waarde als er een time-out van RFC wordt aangeroepen. Geheel getal, tussen 1-1000 125
rolprofielen-max Bepaalt het maximaal gecombineerde aantal profielen en rollen dat voor een gebruiker kan worden uitgegeven voordat de connector een afkappingsmarkering met een jokerteken schrijft in plaats van de volledige lijst. Geheel getal, tussen 1-10000 1000
role-profiles-batch-size Aantal profielen of rollen dat per uitvoerrij is geschreven. Gebruikers met meer profielen of rollen dan deze waarde worden verdeeld over meerdere rijen. Geheel getal, tussen 1-1000 14

Rolautorisatieparameters

De volgende parameters bepalen het verzamelen van rolautorisatiegegevens.

Parameter Description Toegestane waarden Standaardwaarde
max-roles Fungeert als een beveiliging die het aantal rollen beperkt dat in één verzamelingscyclus wordt verwerkt. Geheel getal, tussen 1-1000000 50
max-roles-authz-overall Fungeert als een beveiliging die het cumulatieve aantal rolautorisatierecords beperkt dat wordt opgehaald voor alle rollen in één verzamelingscyclus. Geheel getal, tussen 1-1000000 25000
max-roles-authz-individual Fungeert als een beveiliging die het aantal autorisatierecords beperkt dat wordt opgehaald voor een afzonderlijke rol. Rollen die deze limiet overschrijden, worden overgeslagen. Geheel getal, tussen 1-1000000 5000
role-authz-batch-size Het aantal records dat per batch wordt opgehaald bij het ophalen van rolautorisatiegegevens. Verminder deze waarde als er een time-out van RFC wordt aangeroepen. Geheel getal, tussen 1-1000 100

Afbreekgedrag van de beveiligingsmaatregelen

Wanneer een van de limieten is bereikt, wordt een markeringsrecord naar de uitvoer geschreven met een beschrijvend bericht dat aangeeft welke limiet is bereikt, het werkelijke aantal records en het tijdvenster voor de verzameling. De twee limieten produceren afzonderlijke markeringen (TRUNCATED_HEADERS en TRUNCATED_DETAILS), zodat ze in Sentinel kunnen worden onderscheiden.

Connectiviteit en status controleren

Controleer na het uitrollen van de SAP-dataconnector de gezondheid en connectiviteit van de connector. Zie De status en rol van uw SAP-systemen bewaken voor meer informatie.

Zodra de connector is geïmplementeerd, gaat u verder met het configureren van de Microsoft Sentinel-oplossing voor inhoud van SAP-toepassingen. Met name het configureren van details in de volglijsten is een essentiële stap bij het inschakelen van detecties en bescherming tegen bedreigingen.

Volgende stap

SAP-detecties en bedreigingsbeveiliging inschakelen

  • Last updated on