Overzicht van SAP LogServ-integratie met Microsoft Sentinel Solution for SAP

De Microsoft Sentinel-oplossing voor SAP-toepassingen biedt krachtige bewaking op de toepassingslaag voor SAP-systemen, het bijhouden van gebruikersactiviteiten, zakelijke transacties en kritieke gebeurtenissen. In SAP RISE/ECS-omgevingen zijn infrastructuur- en besturingssysteemlogboeken echter eigendom van en worden ze beheerd door SAP en zijn ze niet toegankelijk via de standaard SAP-toepassingsconnector.

SAP LogServ overbrugt dat gat. Het is een ECS-service (SAP Enterprise Cloud Services) die logboeken van alle systemen, toepassingen en ECS-services centraliseert die door SAP worden beheerd. De SAP LogServ (RISE), S/4HANA Cloud private edition-oplossing in de Microsoft Sentinel Content Hub maakt opname van deze logboeken op infrastructuurniveau in Microsoft Sentinel mogelijk, ter aanvulling van de bestaande toepassingslaagdekking.

Welke logboeken biedt SAP LogServ?

LogServ breidt uw bewakingsbereik uit buiten de SAP-toepassingslaag met logboeken die SAP ECS bezit als de systeemprovider. De beschikbare logboektypen omvatten bronnen zoals:

Controleer altijd bij SAP de meest recente beschikbare logtypes en eventuele updates van ondersteunde logbronnen met behulp van hun Service Description Document.

Hoe de twee oplossingen samenwerken

Implementeer de SAP LogServ-oplossing naast de Microsoft Sentinel Solution for SAP-toepassingen voor uitgebreide zichtbaarheid in de hele SAP RISE-stack:

• Microsoft Sentinel oplossing voor SAP-toepassingen: bewaakt de SAP-toepassingslaag, met inbegrip van bedrijfslogica, gebruikersactiviteit, gevoelige transacties, escalatie van bevoegdheden en gegevensexfiltratie via de gegevensconnector zonder agent.
• SAP LogServ-oplossing: biedt infrastructuur-, database- en os-laaglogboeken van door SAP beheerde omgevingen via een speciale gegevensconnector die is geïnstalleerd vanuit de Content Hub.

Samen geven deze oplossingen uw beveiligingsteam zichtbaarheid van bedrijfslogica tot aan de infrastructuurlaag, waardoor correlatie tussen lagen en detectie van bedreigingen mogelijk is met behulp van de meer dan 60 ingebouwde analyseregels en de Microsoft Beveiliging Suite.

Belangrijkste mogelijkheden

• Bijna realtime logboekverzameling met integratie zonder agent in Microsoft Sentinel via de SAP LogServ-gegevensconnector.
• Ingebouwde beveiligingsinhoud , waaronder analyseregels en werkmappen die door SAP worden geleverd voor LogServ-specifieke logboektypen.
• Activatieen hergebruik van Microsoft Advanced Security Information Model (ASIM) beveiligingscontent
• Langetermijnretentie configureerbaar per gegevensbron met maximaal 12 jaar retentie met behulp van Microsoft Sentinel Data Lake.
• SOAR-integratie met de beveiligingsindeling, automatisering en reactiemogelijkheden van Microsoft Sentinel, waaronder en SAP-gebruikersblokkeringen via Microsoft Teams.
• Correlatie tussen signalen tussen eindpunten, Microsoft Entra ID gegevens en andere gegevensbronnen in uw Microsoft Sentinel werkruimte.

Vereisten

• Een voltooide inkooporder voor SAP LogServ als onderdeel van uw SAP RISE/ECS-contract.
• Een Microsoft Sentinel werkruimte.
• De Microsoft Sentinel-oplossing voor SAP-toepassingen die is geïnstalleerd vanuit de Microsoft Sentinel Content Hub voor bewaking van de toepassingslaag.
• De SAP LogServ (RISE), S/4HANA Cloud private edition-oplossing die is geïnstalleerd vanuit de Microsoft Sentinel Content Hub.

De oplossing implementeren

1. Installeer de SAP LogServ (RISE), S/4HANA Cloud Private Edition-oplossing via de Microsoft Sentinel Content Hub. De connectorimplementatie maakt een eindpunt voor gegevensverzameling en een regel voor gegevensverzameling in dezelfde resourcegroep als uw Log Analytics-werkruimte.

   Als de implementerende gebruiker geen machtigingen heeft om automatisch een Microsoft Entra app-registratie te maken, maakt u de app-registratie afzonderlijk, geeft u een geheim op en wijst u de app-id toe aan de regel voor gegevensverzameling met de rol Uitgever van bewakingsgegevens.

2. Neem contact op met uw SAP ECS CDM of ECS TSM om onboarding te starten. Kopieer sap-logserv-sentinel-integration@service.microsoft.com op de e-mail met de onderwerpregel SAP LogServ en Microsoft Sentinel - Activering, inclusief uw SAP RISE-klantgegevens.

3. Deel de volgende configuratiegegevens met SAP via een beveiligd kanaal:

   • tenant-id van Microsoft Entra
   • Microsoft Entra-app-id
   • Microsoft Entra-appgeheim
   • Eindpunt-URL voor gegevensverzameling
   • Onveranderbare id voor gegevensverzamelingsregel

SAP valideert geschiktheid en configureert automatisch doorsturen van logboeken naar uw Microsoft Sentinel voor SAP-werkruimte.

SAP LogServ-gegevens detecteren in Microsoft Sentinel voor SAP

Zodra de oplossing is geïmplementeerd en logboeken stromen, gebruikt u de volgende resources om uw SAP LogServ-gegevens in Microsoft Sentinel te verkennen en te analyseren.

SAP LogServ Insights-werkmap

De SAP LogServ Insights Dashboard-werkmap biedt realtime bewaking van logboekopname en systeemactiviteit van SAP RISE-infrastructuur.

In de werkmap wordt het volgende weergegeven:

• Een overzicht van totale gebeurtenissen, actieve systemen, gegevensvolume, gegevensstatus en meest recente gegevens, zodat analisten snel de status en actualiteit van logboekopname kunnen beoordelen.
• Een indicator voor gegevensversheidsstatus met kleurgecodeerde labels om te markeren of de gegevensinname actueel, vertraagd of verouderd is.
• Filters voor Log Analytics-werkruimte, tijdsbereik, logboektype, logboeksubtype en activiteitsstatus om specifieke logboekbronnen en -systemen te beperken.
• Een sectie Waarschuwingsconfiguratie waarmee u waarschuwingsregels rechtstreeks vanuit de werkmap kunt maken, met configureerbaar waarschuwingstype, naam, drempelwaarde en ernst.
• Een tijdlijn voor logboekvolumes waarin trends voor logboekopname in de loop van de tijd worden gevisualiseerd, zodat analisten pieken, dalingen of afwijkingen kunnen identificeren die kunnen worden geassocieerd met wijzigingen in de infrastructuur of beveiligingsincidenten.

Zie Zelfstudie: Uw gegevens visualiseren en bewaken voor meer informatie over het aanpassen en gebruiken van de werkmap.

Ingebouwde analytische regels

De SAP LogServ-oplossing en de Microsoft Sentinel-oplossing voor SAP-toepassingen bieden elk analyseregels die zijn gericht op verschillende lagen van de SAP RISE-stack:

• SAP LogServ analytics regels: Focus op detecties op infrastructuurlaag, waaronder het deactiveren van SAP HANA auditsporen, afwijkingen in besturingssystemen, netwerkactiviteit en firewall-gebeurtenissen van SAP-beheerde infrastructuur. Door ASIM-normalisatie kunnen klanten profiteren van bestaande Microsoft Advanced Security Information Model (ASIM) beveiligingscontent en investeringen die zij al hebben, zonder SAP RISE-specifieke analyseregels te creëren of bestaande beveiligingsprocessen te wijzigen.

• Microsoft Sentinel oplossing voor analyseregels voor SAP-toepassingen: bedek de toepassingslaag, inclusief meer dan 60 ingebouwde regels voor het detecteren van escalatie van bevoegdheden, gevoelige transacties, gegevensexfiltratie en niet-geautoriseerde gebruikersactiviteit binnen de sap-bedrijfslogica.

Implementeer beide oplossingen samen voor detectie tussen lagen, van SAP HANA-database- en besturingssysteeminfrastructuur tot en met de SAP-toepassingslaag.

Het volgende voorbeeld toont een geïsoleerde SAP LogServ-infrastructuurlaagdetectie voor een deactivering van een HANA-database-auditspoor in Microsoft Sentinel, die als incident werd opgemerkt in het Microsoft Defender-portaal. Vind een end-to-end scenario in deze social engineering aanval herhaling.

Filter LogServ-logs vóór invoering

Niet elk logtype dat SAP LogServ doorstuurt, hoeft in je Analytics-laag te vallen. Filtering vindt plaats in de Data Collection Rule (DCR) die de connector inzet, dus uitgesloten records worden vóór invoer verwijderd en brengen geen invoerkosten met zich mee.

De DCR stuurt records naar verschillende stromen op basis van de clz_dir attributen clz_subdir die door LogServ worden geleverd. Voorbeeld:

Voor het filteren identificeer en verwijder of vernauw je de datastroom die het logtype selecteert dat je wilt uitsluiten.

Om bijvoorbeeld SAP HANA-databaselogs uit te sluiten, verwijder je de datastroom die selecteert clz_dir == "hana". Voor de huidige datastroomdefinities, zie de SAPLogServ_DCR.json in de Microsoft Sentinel GitHub-repository.

Bewerk de DCR met de transformatie-editor in het Azure-portaal, de ARM-template-export of de Data Connectors REST API. We raden aan om eerst de huidige configuratie te exporteren en als werktemplate te gebruiken, zodat je alleen de dataFlows sectie vervangt.

Verwante onderwerpen

• Lees meer in de co-engineering blogserie van Microsoft Sentinel en SAP LogServ
• overzicht van Microsoft Sentinel Solution voor SAP-toepassingen
• De Microsoft Sentinel-oplossing implementeren voor SAP-toepassingen
• Overzicht van Microsoft Sentinel Solution for SAP BTP
• Microsoft Sentinel oplossing voor SAP - Partner-invoegtoepassingen
• Azure identiteits- en beveiligingsservices met SAP RISE