Uw SAP-systeem configureren voor de Microsoft Sentinel-oplossing

  • Van toepassing op: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

In dit artikel wordt beschreven hoe u uw SAP-omgeving voorbereidt om verbinding te maken met de SAP-gegevensconnector. Voordat u begint, moet u ervoor zorgen dat u de vereisten voor het implementeren van de Microsoft Sentinel-oplossing voor SAP-toepassingen hebt gecontroleerd.

Dit artikel maakt deel uit van de tweede stap in het implementeren van de Microsoft Sentinel-oplossing voor SAP-toepassingen. Hoewel stappen die worden uitgevoerd in Microsoft Sentinel vereisen dat de oplossing eerst wordt geïnstalleerd, kunnen andere voorbereidingen in de SAP-omgeving parallel worden uitgevoerd.

Diagram van de implementatiestroom voor de Microsoft Sentinel-oplossing voor SAP-toepassingen, met de stap SAP voorbereiden gemarkeerd.

Veel van de procedures in dit artikel worden doorgaans uitgevoerd door uw SAP BASIS-team . Sommige stappen omvatten ook uw beveiligingsteam .

Vereisten

De Microsoft Sentinel-rol configureren

Als u wilt dat de SAP-gegevensconnector verbinding kan maken met uw SAP-systeem, moet u specifiek voor dit doel een SAP-systeemrol maken.

Maak een rol met behulp van de sjabloon MSFTSEN_SENTINEL_READER , die alle basismachtigingen bevat om de gegevensconnector te laten werken.

Zie de SAP-documentatie over het maken van rollen voor meer informatie.

Maak een SAP-gebruiker aan voor de rol Microsoft Sentinel

Voor de Microsoft Sentinel-oplossing voor SAP-toepassingen is een gebruikersaccount vereist om verbinding te maken met uw SAP-systeem. Bij het maken van uw gebruiker:

Voor meer informatie, zie de SAP-documentatie over het aanmaken van gebruikersaccounts.

SAP-controle configureren

Voor sommige installaties van SAP-systemen is auditlogboekregistratie mogelijk niet standaard ingeschakeld. Voor de beste resultaten bij het evalueren van de prestaties en werkzaamheid van de Microsoft Sentinel-oplossing voor SAP-toepassingen, schakelt u de controle van uw SAP-systeem in en configureert u de controleparameters.

U wordt aangeraden controle te configureren voor alle berichten uit het auditlogboek, in plaats van alleen specifieke logboeken. De kostenverschillen voor opname zijn over het algemeen minimaal en de gegevens zijn nuttig voor Microsoft Sentinel detecties en bij post-inbreukonderzoeken en opsporing.

Tip

Als u SAP HANA DB-logboeken wilt opnemen, moet u ook controle voor SAP HANA DB inschakelen. Zie SAP HANA-auditlogboeken verzamelen in Microsoft Sentinel voor meer informatie

Tip

Voor SAP-systemen die worden beheerd door SAP RISE/ECS, maakt het inschakelen van beveiligingscontrolelogboeken deel uit van de overeenkomst voor gedeelde verantwoordelijkheid. Controleer bij uw SAP-contactpersoon of controle standaard al actief is of dat er aanvullende stappen moeten worden uitgevoerd. Voor openbare editiesystemen van SAP S/4HANA Cloud is controle standaard ingeschakeld.

Voor volledige bewakingsdekking met de gegevensconnector zonder agent, raden we u aan bewaking in te schakelen op alle client-id's van uw bewaakte SAP-systemen, inclusief clients 000 en 066.

Zie Analyse en aanbevolen instellingen van het Beveiligingscontrolelogboek (SM19/RSAU) voor meer informatie.

Uw systeem configureren voor het gebruik van SNC voor beveiligde verbindingen

Standaard gebruiken de SAP-dataconnectoren een remote function call (RFC)-verbinding en een gebruikersnaam en wachtwoord om zich te authenticeren bij het SAP-systeem.

Om de RFC-verbinding te versleutelen of certificaatgebaseerde authenticatie te gebruiken, configureer SAP Smart Network Communications (SNC). Werk samen met uw SAP-beheerders en het public key infrastructure (PKI)-team van uw organisatie om de SNC-configuratie te plannen. Volg SAP-richtlijnen voor de SAP-componenten, certificaten en vertrouwensrelaties in uw omgeving.

Voordat je de Microsoft Sentinel-verbinding configureert:

Voor de agentloze dataconnector configureert SNC in SAP Cloud Connector. Voor meer informatie, zie SAP KBA 3536285: SAP Cloud Connector - Hoe je algemene SNC-instellingen instelt voor SAP Cloud Connector.

Als je SAP Cloud Connector high availability gebruikt, valideer dan ook SNC nadat je bent overgestapt naar de shadow-instantie.

Voor meer informatie, zie de SAP-documentatie over het configureren van SNC en Aan de slag met SAP SNC voor RFC-integraties.

SAP BTP-instellingen configureren

Als u SAP Business Technology Platform (BTP) wilt voorbereiden voor de gegevensconnector zonder agent, configureert u de volgende services en rollen in uw SAP BTP-subaccount.

  1. Voeg in uw SAP BTP-subaccount rechten toe voor de volgende services:

    • SAP Integration Suite
    • SAP Process Integration Runtime
    • Cloud Foundry-uitvoeringstijdomgeving

    Opmerking

    Deze oplossing houdt alleen rekening met SAP Cloud-integratie in de Cloud Foundry-omgeving.

  2. Maak een exemplaar van Cloud Foundry Runtime en maak vervolgens ook een Cloud Foundry-ruimte.

  3. Maak een exemplaar van SAP Integration Suite.

  4. Wijs de rol SAP BTP Integration_Provisioner toe aan uw gebruikersaccount voor het SAP BTP-subaccount.

  5. Voeg in SAP Integration Suite de mogelijkheid voor cloudintegratie toe.

  6. Wijs de volgende procesintegratierollen toe aan uw gebruikersaccount:

    • PI_Administrator
    • PI_Integration_Developer
    • PI_Business_Expert

    De rollen PI_Administrator, PI_Integration_Developer en PI_Business_Expert zijn pas beschikbaar nadat u de cloudintegratiefunctie hebt geactiveerd.

  7. Maak in uw subaccount een instance van de SAP Process Integration Runtime met serviceplan integration-flow (geen API!).

  8. Na verificatie dat de cloudintegratiemogelijkheid is geactiveerd, maak je een servicesleutel aan voor de SAP Process Integration Runtime en sla je de JSON-inhoud op op een veilige locatie.

Zie de SAP-documentatie over de eerste installatie van SAP Integration Suite voor meer informatie.

De connector configureren in Microsoft Sentinel en in uw SAP-systeem

Deze procedure bevat stappen in zowel Microsoft Sentinel als uw SAP-systeem en vereist coördinatie met de SAP-beheerder.

  1. Ga in Microsoft Sentinel naar de pagina Connectors voor configuratiegegevens > en zoek de Microsoft Sentinel voor SAP - gegevensconnector zonder agent.

  2. Vouw in de sectie Configuratie de sectie Initiële connectorconfiguratie - Voer de onderstaande stappen één keer uit: uit en volg de instructies. Voor deze stappen is zowel uw SecuritySOC-engineer als de SAP-beheerder vereist.

    1. Automatische implementatie van Azure-resources activeren (SOC Engineer). Als na het implementeren van de Azure resources de waarden in stap 2 en 3 niet automatisch worden ingevuld, sluit en vouwt u stap 1 opnieuw uit om de waarden in stap 2 en 3 te vernieuwen.

    2. Implementeer een OAuth2-clientreferentieartefact in SAP Integration (SAP-beheerder).

    3. Implementeer het SAP-gegevensconnectorpakket zonder agent in SAP Integration Suite (SAP Beheer). Deze procedure wordt uitgevoerd vanuit de SAP Integration Suite-portal (SAP Cloud Integration Web UI).

      1. Open de sectie Discover.
      2. Zoek naar Microsoft Sentinel Solution en open deze.
      3. Klik op Kopiëren om het integratiepakket te importeren in uw Cloud Integration-tenant.
      4. Open het pakket en ga naar het tabblad Artefacten . Selecteer vervolgens de configuratie van de gegevensverzamelaar . Zie de SAP-documentatie over het importeren van integratiepakketten voor meer informatie.
      5. Configureer de integratiestroom met LogIngestionURL en DCRImmutableID.
      6. Implementeer de iflow met behulp van SAP Cloud Integration als de runtime-service.

Sap Cloud Connector-instellingen configureren

Configureer SAP Cloud Connector om communicatie mogelijk te maken tussen uw SAP-back-endsysteem en SAP BTP. Voordat u begint, zorg ervoor dat u over de vereiste inloggegevens beschikt om uw SAP BTP-subaccount toe te voegen aan SAP Cloud Connector.

  1. Installeer de SAP Cloud Connector. Zie Installatie van SAP Cloud Connector voor meer informatie.

  2. Meld u aan in de interface van de cloud connector en voeg het subaccount toe met behulp van de juiste aanmeldgegevens. Zie de SAP-documentatie voor het beheren van subaccounts in SAP Cloud Connector voor meer informatie.

  3. Voeg in het subaccount van uw cloudconnector een nieuwe systeemtoewijzing toe aan het back-endsysteem om het ABAP-systeem toe te wijzen aan het RFC-protocol.

  4. Definieer opties voor taakverdeling en voer de details van uw back-end ABAP-server in. Kopieer de naam van de virtuele host naar een veilige locatie die moet worden gebruikt wanneer u de SAP BTP-bestemming maakt.

  5. Voeg nieuwe resources toe aan de systeemtoewijzing voor elk van de volgende functienamen:

    • RSAU_API_GET_LOG_DATA, om sap-beveiligingslogboekgegevens op te halen

    • BAPI_USER_GET_DETAIL, om SAP-gebruikersgegevens op te halen

    • RFC_READ_TABLE, om gegevens uit vereiste tabellen te lezen

    • SIAG_ROLE_GET_AUTH om autorisaties voor beveiligingsrollen op te halen

    • /OSP/SYSTEM_TIMEZONE, om details van sap-systeemtijdzone op te halen

    Opmerking

    De MSFTSEN_SENTINEL_READER rol die wordt beschreven in De Microsoft Sentinel-rol configureren, is geconfigureerd voor toegang met minimale bevoegdheden. Dit zorgt ervoor dat functiemodules zoals RFC_READ_TABLE alleen worden gebruikt als dat nodig is. Houd rekening met de best practices van SAP voor RFC-toegang en UCON-instellingen (SAP Unified Connectivity) om de toegang tot functiemodules te beheren buiten de besturingselementen van SAP Cloud Connector en de SAP-rol.

  6. Voeg een nieuwe bestemming toe in SAP BTP die verwijst naar de virtuele host die u eerder hebt gemaakt. Gebruik de volgende gegevens om de nieuwe SAP BTP RFC-bestemming voor Microsoft Sentinel in te vullen:

    • Naam: Voer de naam in die u wilt gebruiken voor de Microsoft Sentinel-verbinding

    • Typ: RFC

    • Proxytype: On-Premise

    • Gebruiker: voer het ABAP-gebruikersaccount in dat u eerder hebt gemaakt voor Microsoft Sentinel

    • Autorisatietype: CONFIGURED USER

    • Aanvullende eigenschappen:

      • jco.client.ashost = <virtual host name>

      • jco.client.client = <client e.g. 001>

      • jco.client.sysnr = <system number = 00>

      • jco.client.lang = EN

    • Locatie: alleen vereist wanneer u meerdere cloudconnectors verbindt met hetzelfde BTP-subaccount. Zie de SAP-documentatie over parameters die van invloed zijn op het communicatiegedrag voor meer informatie.

Optimaliseer SAP Cloud Connector dimensionering, doorvoer en isolatie

De standaard SAP Cloud Connector-instellingen zijn geschikt voor de meeste omgevingen. Stem het af voordat je live gaat wanneer Microsoft Sentinel-invoering hoog volume is, bursty is, of een SAP Cloud Connector deelt met andere integraties.

  1. Bevestig de grootte voor de Cloud Connector master-instantie: Dimensionering voor master-instantie.
  2. Als SAP Cloud Integration (CPI) rapporteert IOError on tunnel socket during connect attempt, gebruik dan SAP note 3403815 om de doorvoer- en verzoeklimieten af te stemmen.
  3. Schakel runtime-monitoring in: Cloud Connector-monitoring.
  4. Herstel verouderde of vastzittende SAP Cloud Connector-sessies door SAP-notitie 2485510 te volgen.

Tip

Wijs een SAP Cloud Connector-instantie toe aan Microsoft Sentinel-verkeer wanneer de gedeelde connector dicht bij verzadiging loopt, wanneer andere integraties volatiele belastingpatronen veroorzaken, of wanneer beveiligings- of regelgevingsvereisten isolatie vereisen. Een speciale instantie beschermt de invoering tegen incidenten met lawaaiachtige buren en vereenvoudigt capaciteitsplanning, wijzigingscontrole en auditscope.

De vereiste controle uitvoeren

Voer de controle van vereisten uit om te controleren of uw SAP-systeem gereed is voor integratie met Microsoft Sentinel.

  1. De iflow Prerequisite Checker is opgenomen in het Microsoft Sentinel Solution-integratiepakket. Configureer en implementeer deze iflow voordat u verdergaat met de volgende stap, zodat uw SAP-systeem voldoet aan de systeemvereisten voordat de integratie met Microsoft Sentinel. Na de implementatie wordt de iflow uitgevoerd volgens een schema in SAP Cloud Integration; controleer de meest recente uitvoeringsstatus om te bevestigen dat het is gelukt.

    Het hulpprogramma configureren en implementeren:

    1. Open het integratiepakket, navigeer naar het tabblad Artefacten en selecteer vereistencontrole iflow >configureren.
    2. Stel de doelbestemmingsnaam voor de externe functie-aanroep (RFC) in op het SAP-systeem dat u wilt controleren. Bijvoorbeeld A4H-100-Sentinel-RFC.
    3. Implementeer de iflow zoals u anders zou doen voor uw SAP-systemen.
    4. Voor de beste resultaten laat u de controle 24 uur uitvoeren met een interval van 1 minuut om afwijkingen op te sporen, zoals ongewenste batchtaken die ’s nachts worden uitgevoerd of onverwachte gebruikspieken.

    De controlestatus bekijken:

    1. Open in SAP Cloud Integration Monitor>Integraties en zoek de uitvoeringen van de iflow 'Prerequisite checker' voor uw controleperiode (bijvoorbeeld 24 uur). Controleer of de runs de status Completed (HTTP 200) hebben en of de antwoordpayload geen waarschuwingen of fouten bevat. De scheduler kan berichten produceren met de status 'Genegeerd' vanwege interne werking van SAP Cloud Integration. Deze berichten kunnen worden genegeerd en bevatten tekst zoals 'Berichtverwerking is verwijderd omdat de activerende timergebeurtenis al is verwerkt door een ander proces'.
    2. Controleer de bijlagen en eigenschappen van het berichtverwerkingslogboek (MPL) voor de resultaten per controle. Open het bestand dat is gekoppeld aan de MPL-vermelding.

    Schermafbeelding van de tijdelijke aanduiding voor de uitvoeringsstatus van de vereiste controle iflow in SAP Cloud Integration Monitor.

    Gebruik de volgende tabel om de resultaten te interpreteren:

    Status Wat betekent dit? Volgende stap
    Voltooid, geen waarschuwingen Aan alle vereisten wordt voldaan. Blijf uw SAP-systeem verbinden met Microsoft Sentinel.
    Voltooid, met waarschuwingen Aan de vereisten wordt gedeeltelijk voldaan. Controleer de antwoorddetails en herstel voordat u verbinding maakt.
    Mislukt of statuscode anders dan 200 De controle kan het SAP-doelsysteem niet bereiken of er is een configuratiefout opgetreden. Controleer het RFC-doel en de aanmeldgegevens, implementeer de iFlow opnieuw en voer deze daarna opnieuw uit.

    Als er nog resultaten zijn, raadpleegt u de antwoorddetails voor hulp bij herstelstappen. Verouderde SAP-systemen vereisen vaak extra SAP-notities. Zie verder de sectie probleemoplossing voor veelvoorkomende problemen en oplossingen.

    Na voltooiing:

    Maak de geplande controle van vereisten-iflow ongedaan nadat de SAP-systeemcontrole met succes is voltooid. Herhaal deze volgorde voor elk nieuw SAP-systeem dat onboarding moet hebben.

  2. Schuif in de Sentinel portal verder omlaag in het gebied Configuratie en vouw de instructies uit en volg de instructies in het gebied Bewaakte SAP-systemen toevoegen : voer de onderstaande stappen uit voor elk gecontroleerd SAP-systeem: voor elk SAP-systeem dat u wilt bewaken.

    Ga in de wizard Bewaakte SAP-systemen toevoegen in Microsoft Sentinel naar de stap SAP-systeem verbinden met Microsoft Sentinel / SOC Engineer en ga verder met Uw SAP-systeem verbinden met Microsoft Sentinel.

Volgende stap

Uw SAP-systeem verbinden met Microsoft Sentinel

  • Last updated on