De Microsoft Sentinel-oplossing implementeren voor SAP BTP

In dit artikel wordt beschreven hoe u de Microsoft Sentinel-oplossing implementeert voor het SAP BTP-systeem (Business Technology Platform). De Microsoft Sentinel oplossing voor SAP BTP bewaakt en beschermt uw SAP BTP-systeem. Het verzamelt auditlogboeken en activiteitenlogboeken van de BTP-infrastructuur en BTP-apps en detecteert vervolgens bedreigingen, verdachte activiteiten, onwettige activiteiten en meer. Overzicht van SAP BTP-oplossing.

Vereisten

Controleer voordat u begint het volgende:

• De Microsoft Sentinel-oplossing is ingeschakeld.
• U hebt een gedefinieerde Microsoft Sentinel werkruimte en u hebt lees- en schrijfmachtigingen voor de werkruimte.
• Uw organisatie gebruikt SAP BTP (in een Cloud Foundry-omgeving) om interacties met SAP-toepassingen en andere zakelijke toepassingen te stroomlijnen.
• U hebt een SAP BTP-subaccount (dat BTP-subaccounts in de Cloud Foundry-omgeving ondersteunt). U kunt ook een SAP BTP-proefaccount gebruiken.
• U beschikt over de SAP BTP auditlog-management-service en servicesleutel (zie Het BTP-subaccount en de oplossing instellen).
• U hebt de rol Microsoft Sentinel Contributor voor de doel-Microsoft Sentinel-werkruimte.

Het BTP-subaccount en de oplossing instellen

Voer de volgende stappen uit om het BTP-subaccount en de oplossing handmatig in te stellen vanuit de SAP BTP-cockpit en Azure Portal:

1. Nadat u zich hebt aangemeld bij uw BTP-subaccount (zie de implementatievereisten), volgt u de stappen voor het ophalen van auditlogboeken op het SAP BTP-systeem.

2. Selecteer in de SAP BTP-cockpit de auditlogboekbeheerservice.

   

3. Maak een exemplaar van de auditlogboekbeheerservice in het BTP-subaccount.

   

4. Maak een servicesleutel en noteer de waarden voor url, uaa.clientid, uaa.clientsecreten uaa.url. Deze waarden zijn vereist voor het implementeren van de gegevensconnector.

   Hier volgen voorbeelden van deze veldwaarden:

   • URL: https://auditlog-management.cfapps.us10.hana.ondemand.com
   • uaa.clientid: 00001111-aaaa-2222-bbbb-3333cccc4444|auditlog-management!b1237
   • uaa.clientsecret: aaaaaaaa-0b0b-1c1c-2d2d-333333333333
   • uaa.url: https://trial.authentication.us10.hana.ondemand.com

5. Meld u aan bij Azure Portal.

6. Ga naar de Microsoft Sentinel-service.

7. Selecteer Inhoudshub en zoek in de zoekbalk naar BTP.

8. Selecteer SAP BTP.

9. Kies Installeren.

   Zie Ontdek en implementeer Microsoft Sentinel out-of-the-box-inhoud voor meer informatie over het beheren van de oplossingsonderdelen.

10. Selecteer Aanmaken.

    

11. Selecteer de resourcegroep en de Microsoft Sentinel werkruimte waarin u de oplossing wilt implementeren.

12. Selecteer Volgende totdat u de validatie hebt geslaagd en selecteer vervolgens Maken.

13. Wanneer de implementatie van de oplossing is voltooid, keert u terug naar uw Microsoft Sentinel werkruimte en selecteert u Gegevensconnectors.

14. Voer in de zoekbalk BTP in en selecteer vervolgens SAP BTP.

15. Selecteer Connectorpagina openen.

16. Zorg er op de connectorpagina voor dat u voldoet aan de vereiste vereisten die worden vermeld en voltooi de configuratiestappen. Wanneer u klaar bent, selecteert u Account toevoegen.

17. Geef de parameters op die u eerder tijdens de configuratie hebt gedefinieerd. De opgegeven subaccountnaam wordt geprojecteerd als een kolom in de SAPBTPAuditLog_CL tabel en kan worden gebruikt om de logboeken te filteren wanneer u meerdere subaccounts hebt.

    Houd rekening met de geavanceerde opties, indien nodig:

    • Polling frequency: de frequentie waarmee de connector naar nieuwe gegevens peilt. De standaardwaarde is 1 minuut.
    • Vertraging in logboekopname: de geschatte vertraging tussen het moment waarop de gebeurtenis wordt gegenereerd in SAP BTP en de tijd die beschikbaar is op de SAP BTP-auditlogboekservice voor opname in Microsoft Sentinel. De standaardwaarde is 20 minuten.

    Opmerking

    Als u controles voor het globale account ophaalt, worden controles voor het subaccount niet automatisch opgehaald. Volg de connectorconfiguratiestappen voor elk van de subaccounts die u wilt bewaken en volg ook deze stappen voor het globale account. Bekijk deze configuratieoverwegingen voor SAP BTP-accountauditing.

18. Zorg ervoor dat BTP-logboeken naar de Microsoft Sentinel werkruimte stromen:

    1. Meld u aan bij uw BTP-subaccount en voer een aantal activiteiten uit waarmee logboeken worden gegenereerd, zoals aanmeldingen, het toevoegen van gebruikers, het wijzigen van machtigingen en het wijzigen van instellingen.
    2. Het duurt 20 tot 30 minuten voordat de logboeken beginnen te stromen.
    3. Controleer op de pagina SAP BTP-connector of Microsoft Sentinel de BTP-gegevens ontvangt of voer rechtstreeks een query uit op de SAPBTPAuditLog_CL tabel.

19. Schakel de SAP BTP-werkmap en de ingebouwde analyseregels van SAP BTP in die deel uitmaken van de oplossing door de richtlijnen te volgen voor het implementeren van Microsoft Sentinel analyseregels.

Controleer de auditconfiguraties van uw account

Als onderdeel van de uitrol moet u rekening houden met de auditconfiguraties van uw globale account en subaccount.

Configuratie van wereldwijde accountcontrole

Wanneer u het ophalen van auditlogboeken inschakelt in de BTP-cockpit voor het globale account: als het subaccount waarvoor u de auditlogboekbeheerservice wilt toewijzen, zich onder een map bevindt, moet u de service eerst op adreslijstniveau het recht geven. Alleen dan kunt u de service op subaccountniveau machtigen.

Configuratie van subaccountcontrole

Als u controle voor een subaccount wilt inschakelen, voert u de stappen uit in de documentatie van de SAP-subaccounts audit retrieval-API.

In de API-documentatie wordt beschreven hoe u het ophalen van het auditlogboek kunt inschakelen met behulp van de Opdrachtregelinterface (CLI) van Cloud Foundry.

U kunt de logboeken ook ophalen via de gebruikersinterface:

1. Maak in uw subaccount in SAP Service Marketplace een exemplaar van Audit Log Management Service.
2. Maak een servicesleutel in de nieuwe instantie.
3. Bekijk de servicesleutel en haal de vereiste parameters op uit stap 4 van de configuratie-instructies in de gebruikersinterface van de gegevensconnector (url, uaa.url, uaa.clientid en uaa.clientsecret).

SAP BTP-subaccounts op grote schaal onboarden

Als u SAP BTP-subaccounts op schaal wilt onboarden, worden api- en CLI-benaderingen aanbevolen. Ga aan de slag met de scriptbibliotheek voor onboarding van SAP BTP.

Het BTP-clientgeheim roteren

We raden u aan de client secrets van de BTP-subaccount regelmatig te wijzigen. Voor een geautomatiseerde, platformgebaseerde aanpak raadpleegt u onze automatische verlenging van SAP BTP-vertrouwensarchiefcertificaten met Azure Key Vault of hoe u niet meer nadenkt over vervaldatums (SAP-blog).

De scriptbibliotheek voor SAP BTP-sleutelrotatie toont het automatische proces voor het bijwerken van een bestaande gegevensconnector met een nieuw geheim.

Verwante onderwerpen

• Meer informatie over het inschakelen van de beveiligingsinhoud
• De beveiligingsinhoud van de oplossing controleren