Wdróż rozwiązanie Microsoft Sentinel dla SAP BTP

Wdróż rozwiązanie Microsoft Sentinel dla SAP Business Technology Platform (BTP) w celu zbierania dzienników inspekcji i aktywności z infrastruktury i aplikacji BTP, wykrywania podejrzanej aktywności oraz badania zagrożeń. Przegląd można znaleźć w Microsoft Sentinel Solution for SAP BTP.

Wymagania wstępne

Przed rozpoczęciem sprawdź, czy:

• Rozwiązanie Microsoft Sentinel jest włączone.
• Masz zdefiniowany obszar roboczy Microsoft Sentinel i masz uprawnienia do odczytu i zapisu w obszarze roboczym.
• Twoja organizacja używa protokołu SAP BTP (w środowisku Cloud Foundry) w celu usprawnienia interakcji z aplikacjami SAP i innymi aplikacjami biznesowymi.
• Masz konto podrzędne SAP BTP (które obsługuje podkonta BTP w środowisku Cloud Foundry). Możesz również użyć konta wersji próbnej SAP BTP.
• Dysponujesz usługą SAP BTP auditlog-management oraz kluczem usługi (zobacz Konfigurowanie subkonta i rozwiązania BTP).
• Aby przetwarzać wyniki skanowania podatności aplikacji, masz włączoną usługę SAP Application Vulnerability Report Service oraz klucz serwisowy dla niej. Ten łącznik używa oddzielnych danych uwierzytelniających niż łącznik SAP BTP audit-log.
• Masz rolę współautora Microsoft Sentinel w docelowym obszarze roboczym Microsoft Sentinel.

Konfigurowanie podkonta i rozwiązania BTP

Aby skonfigurować podkonta BTP i rozwiązanie ręcznie z kokpitu SAP BTP i Azure Portal, wykonaj następujące kroki:

1. Po zalogowaniu się do konta podrzędnego BTP (zobacz wymagania wstępne dotyczące wdrażania) wykonaj kroki pobierania dziennika inspekcji w systemie SAP BTP.

2. W kokpicie SAP BTP wybierz usługę zarządzania dziennikami inspekcji.

   

3. Utwórz instancję usługi Audit Log Management Service na subkoncie BTP.

   

4. Utwórz klucz usługi i zapisz wartości dla url, uaa.clientid, uaa.clientsecreti uaa.url. Te wartości są wymagane do wdrożenia łącznika danych.

   Oto przykłady następujących wartości pól:

   • adres URL: https://auditlog-management.cfapps.us10.hana.ondemand.com
   • uaa.clientid: 00001111-aaaa-2222-bbbb-3333cccc4444|auditlog-management!b1237
   • uaa.clientsecret: aaaaaaaa-0b0b-1c1c-2d2d-333333333333
   • uaa.url: https://trial.authentication.us10.hana.ondemand.com

5. Zaloguj się do witryny Azure Portal.

6. Przejdź do usługi Microsoft Sentinel.

7. Wybierz pozycję Centrum zawartości i na pasku wyszukiwania wyszukaj ciąg BTP.

8. Wybierz pozycję SAP BTP.

9. Wybierz Zainstaluj.

   Aby uzyskać więcej informacji o tym, jak zarządzać składnikami rozwiązania, zobacz Odnajdywanie i wdrażanie gotowej zawartości w Microsoft Sentinel.

10. Wybierz pozycję Utwórz.

    

11. Wybierz grupę zasobów i obszar roboczy Microsoft Sentinel, w którym chcesz wdrożyć rozwiązanie.

12. Wybierz pozycję Dalej , dopóki nie przejdziesz weryfikacji, a następnie wybierz pozycję Utwórz.

13. Po zakończeniu wdrażania rozwiązania wróć do obszaru roboczego Microsoft Sentinel i wybierz pozycję Łączniki danych.

14. W pasku wyszukiwania wpisz BTP, a następnie wybierz SAP BTP.

15. Wybierz Otwórz stronę łącznika.

16. Na stronie łącznika upewnij się, że spełniasz wymagane wymagania wstępne wymienione na liście i wykonaj kroki konfiguracji. Gdy wszystko będzie gotowe, wybierz pozycję Dodaj konto.

17. Określ parametry zdefiniowane wcześniej podczas konfiguracji. Określona nazwa podkonta jest wyświetlana jako kolumna w tabeli SAPBTPAuditLog_CL i może służyć do filtrowania logów, jeśli masz wiele podkont.

    W razie potrzeby rozważ opcje zaawansowane:

    • Częstotliwość sondowania: częstotliwość sondowania nowych danych przez łącznik. Wartość domyślna to 1 minuta.
    • Opóźnienie pozyskiwania logów: szacowane opóźnienie między czasem wygenerowania zdarzenia na platformie SAP BTP a czasem, gdy jest ono dostępne w usłudze dziennika audytu SAP BTP do pozyskania przez Microsoft Sentinel. Wartość domyślna to 20 minut.

    Uwaga

    Pobieranie audytów dla konta globalnego nie powoduje automatycznego pobrania audytów dla subkonta. Wykonaj kroki konfiguracji łącznika dla każdego konta podrzędnego, które chcesz monitorować, a także wykonaj te kroki dla konta globalnego. Zapoznaj się z tymi zagadnieniami dotyczącymi konfiguracji inspekcji kont SAP BTP.

18. Upewnij się, że dzienniki BTP są przesyłane do obszaru roboczego Microsoft Sentinel:

    1. Zaloguj się do podkonta BTP i uruchom kilka działań, które generują dzienniki, takie jak logowania, dodawanie użytkowników, zmienianie uprawnień i zmienianie ustawień.
    2. Odczekaj 20–30 minut, aż logi zaczną napływać.
    3. Na stronie łącznika SAP BTP upewnij się, że Microsoft Sentinel odbiera dane BTP lub bezpośrednio wysyła zapytanie do tabeli SAPBTPAuditLog_CL.

19. Włącz skoroszyt SAP BTP i wbudowane reguły analizy sap BTP udostępniane w ramach rozwiązania, postępując zgodnie z wytycznymi dotyczącymi wdrażania reguł analizy Microsoft Sentinel.

Konfiguruj złącze Application Vulnerability Report (Podgląd)

Użyj tego złącza do pozyskiwania ustaleń z SAP Application Vulnerability Report Service. Może monitorować aplikacje SAP BTP w wielu podkontach w różnych regionach. Nie udostępnia klucza serwisowego ani poświadczeń używanych przez konektor audyt-log SAP BTP.

1. W SAP BTP skonfiguruj usługę Application Vulnerability Report Service i utwórz dedykowany klucz usługowy. Więcej informacji można znaleźć w dokumencie SAP Finding Provider Service API.

2. Z klucza serwisowego zapisz URL API Finding Provider (url), URL serwera autoryzacji (uaa.url), identyfikator klienta (uaa.clientid) oraz sekret klienta (uaa.clientsecret). Zarejestruj też ID podkonta.

3. W swojej przestrzeni roboczej Microsoft Sentinel wybierz Łączniki danych i wyszukaj Application Vulnerability Report for SAP BTP.

4. Otwórz stronę łącznika, wybierz Dodaj konto i wpisz nazwę i identyfikator podkonta, identyfikator klienta i sekret, adres URL serwera autoryzacji oraz URL API Finding Provider.

5. Konfiguruj zaawansowane opcje, jeśli jest to potrzebne:

   • Częstotliwość odpytywania: Łącznik odpytuje co 60 do 120 minut. Wartość domyślna to 60 minut.
   • Opóźnienie przetwarzania logów: Opóźnienie w minutach, używane do uwzględniania ustaleń opublikowanych z opóźnieniem przez SAP BTP. Obsługiwany zakres wynosi od 120 do 300 minut. Wartość domyślna to 300 minut.

6. Zatwierdź konfigurację konta, aby zapisać połączenie.

7. Sprawdź, czy wyniki trafiają do tabeli SAPBTPAVL_CL . Uwzględnij skonfigurowane opóźnienie pozyskiwania logów przed spodziewaniem się najnowszych ustaleń.

8. Włącz regułę analityki SAP BTP - Użycie aplikacji niestandardowej z wysoką lub krytyczną podatnością i użyj zakładki Podatności aplikacji w skoroszycie SAP BTP. Więcej informacji znajduje się w sekcji SAP BTP security content.

Dowiedz się więcej o integracji SAP Application Vulnerability Report Service z Microsoft Sentinel for SAP we wpisie na blogu społeczności SAP.

Rozważ konfiguracje inspekcji konta

W ramach wdrażania rozważ konfiguracje inspekcji konta globalnego i konta podrzędnego.

Konfiguracja inspekcji konta globalnego

Po włączeniu pobierania dziennika inspekcji w kokpicie BTP dla konta globalnego: jeśli podkonto, dla którego chcesz uprawniać usługę zarządzania dziennikami inspekcji, znajduje się w katalogu, musisz najpierw uprawniać usługę na poziomie katalogu. Dopiero wtedy możesz nadać uprawnienia do usługi na poziomie konta podrzędnego.

Konfiguracja inspekcji podkonta

Aby włączyć audyt dla subkonta, wykonaj czynności opisane w dokumentacji interfejsu API pobierania audytów subkont SAP.

W dokumentacji interfejsu API opisano sposób włączania pobierania dziennika inspekcji przy użyciu interfejsu wiersza polecenia platformy Cloud Foundry.

Dzienniki można również pobrać za pośrednictwem interfejsu użytkownika:

1. Na podkoncie w witrynie SAP Service Marketplace utwórz instancję Audit Log Management Service.
2. W nowym wystąpieniu utwórz klucz usługi.
3. Wyświetl klucz usługi i pobierz wymagane parametry z kroku 4 instrukcji konfiguracji w interfejsie użytkownika łącznika danych (url, uaa.url, uaa.clientid i uaa.clientsecret).

Masowe wdrażanie subkont SAP BTP

Aby wdrażać podkonta SAP BTP na dużą skalę, zalecane są podejścia wykorzystujące interfejs API i CLI. Rozpocznij pracę z biblioteką skryptów wdrażania SAP BTP.

Zmień sekret klienta BTP

Zalecamy okresową zmianę sekretów klienta subkonta BTP. Aby zapoznać się z automatycznym podejściem opartym na platformie, zobacz automatyczne odnawianie certyfikatów magazynu zaufania SAP BTP za pomocą Azure Key Vault — lub jak przestać myśleć o datach wygaśnięcia raz na zawsze (blog SAP).

Biblioteka skryptów rotacji kluczy SAP BTP pokazuje automatyczny proces aktualizacji istniejącego konektora danych nowym sekretem.

Zawartość pokrewna

• Dowiedz się, jak włączyć zawartość zabezpieczeń
• Przeglądanie zawartości zabezpieczeń rozwiązania