Implantar a solução do Microsoft Sentinel para SAP BTP

Implante a solução Microsoft Sentinel para SAP Business Technology Platform (BTP) para coletar logs de auditoria e de atividade da infraestrutura e dos aplicativos do BTP, detectar atividades suspeitas e investigar ameaças. Para uma visão geral, veja Microsoft Sentinel Solution for SAP BTP.

Pré-requisitos

Antes de começar, verifique se:

• A solução do Microsoft Sentinel está habilitada.
• Você tem um workspace definido do Microsoft Sentinel e tem permissões de leitura e gravação no workspace.
• Sua organização usa o SAP BTP (em um ambiente Cloud Foundry) para simplificar as interações com aplicativos SAP e outros aplicativos de negócios.
• Você tem uma subconta SAP BTP (compatível com subcontas BTP no ambiente do Cloud Foundry). Você também pode usar uma conta de avaliação do SAP BTP.
• Você tem o serviço de gerenciamento de log de auditoria do SAP BTP e a chave de serviço (consulte Configurar a subconta e a solução do BTP).
• Para ingerir as descobertas de vulnerabilidades de aplicação, você tem o SAP Application Vulnerability Report Service ativado e uma chave de serviço para ele. Esse conector utiliza credenciais separadas do conector de registro de auditoria SAP BTP.
• Você tem a função de Colaborador do Microsoft Sentinel no espaço de trabalho de destino do Microsoft Sentinel.

Configurar a subconta BTP e a solução BTP

Para configurar a subconta BTP e a solução manualmente no cockpit do SAP BTP e no portal do Azure, siga estas etapas:

1. Depois de entrar na subcontagem do BTP (consulte os pré-requisitos de implantação), siga as etapas de recuperação de log de auditoria no sistema SAP BTP.

2. No cockpit do SAP BTP, selecione o Serviço de Gerenciamento de Log de Auditoria.

   

3. Crie uma instância do Serviço de Gerenciamento de Log de Auditoria na subconta BTP.

   

4. Crie uma chave de serviço e registre os valores para url, uaa.clientid, uaa.clientsecret, e uaa.url. Esses valores são necessários para implantar o conector de dados.

   Aqui estão exemplos desses valores de campo:

   • URL: https://auditlog-management.cfapps.us10.hana.ondemand.com
   • uaa.clientid: 00001111-aaaa-2222-bbbb-3333cccc4444|auditlog-management!b1237
   • uaa.clientsecret: aaaaaaaa-0b0b-1c1c-2d2d-333333333333
   • uaa.url: https://trial.authentication.us10.hana.ondemand.com

5. Entre no portal do Azure.

6. Vá para o serviço Microsoft Sentinel.

7. Selecione Content hub e, na barra de pesquisa, pesquise BTP.

8. Selecione SAP BTP.

9. Selecione Instalar.

   Para obter mais informações sobre como gerenciar os componentes da solução, consulte Descobrir e implantar conteúdo pronto para uso do Microsoft Sentinel.

10. Selecione Criar.

    

11. Selecione o grupo de recursos e o workspace do Microsoft Sentinel no qual implantar a solução.

12. Selecione Avançar até passar na validação e, em seguida, selecione Criar.

13. Quando a implantação da solução estiver concluída, retorne ao workspace do Microsoft Sentinel e selecione Conectores de dados.

14. Na barra de pesquisa, insira BTP e selecione SAP BTP.

15. Selecione Abrir página do conector.

16. Na página do conector, verifique se você atende aos pré-requisitos necessários listados e conclua as etapas de configuração. Quando estiver pronto, selecione Adicionar conta.

17. Especifique os parâmetros que você definiu anteriormente durante a configuração. O nome da subconta especificado é projetado como uma coluna na SAPBTPAuditLog_CL tabela e pode ser usado para filtrar os logs quando você tem várias subcontas.

    Considere as opções avançadas, se necessário:

    • Frequência de sondagem: a frequência com que o conector pesquisa novos dados. O padrão é 1 minuto.
    • Atraso de Ingestão de Log: o atraso estimado entre o momento em que o evento é gerado no SAP BTP e o momento em que ele está disponível no serviço de log de auditoria do SAP BTP para ingestão no Microsoft Sentinel. O padrão é 20 minutos.

    Observação

    Recuperar auditorias para a conta global não recupera automaticamente as auditorias para a subconta. Siga as etapas de configuração do conector para cada uma das subcontas que você deseja monitorar e também siga estas etapas para a conta global. Analise estas considerações sobre a configuração de auditoria da conta no SAP BTP.

18. Verifique se os logs de BTP estão fluindo para o espaço de trabalho do Microsoft Sentinel:

    1. Entre em sua subconta BTP e execute algumas atividades que geram logs, como logins, adição de usuários, alteração de permissões e alteração de configurações.
    2. Aguarde de 20 a 30 minutos para que os logs comecem a fluir.
    3. Na página do conector SAP BTP, confirme se Microsoft Sentinel recebe os dados BTP ou consulte a tabela SAPBTPAuditLog_CL diretamente.

19. Habilite a pasta de trabalho SAP BTP e as regras de análise internas do SAP BTP fornecidas como parte da solução seguindo as diretrizes para implantar regras de análise de Microsoft Sentinel.

Configure o conector de Relatório de Vulnerabilidades de Aplicação (Prévia)

Use este conector para ingerir resultados do Serviço de Relatórios de Vulnerabilidades de Aplicativos SAP. Ele pode monitorar aplicativos SAP BTP em múltiplas subcontas em diferentes regiões. Ele não compartilha a chave de serviço ou credenciais usadas pelo conector de registro de auditoria SAP BTP.

1. No SAP BTP, configure o Serviço de Relatório de Vulnerabilidades de Aplicações e crie uma chave de serviço dedicada. Para mais informações, veja a API do Serviço SAP Finding Provider.

2. A partir da chave de serviço, registre a URL da API Finding Provider (url), URL do servidor de autorização (uaa.url), ID do cliente (uaa.clientid) e o segredo do cliente (uaa.clientsecret). Também registre o ID da subconta.

3. No seu espaço de trabalho Microsoft Sentinel, selecione conectores de dados e pesquise por Relatório de Vulnerabilidade de Aplicação para SAP BTP.

4. Abra a página do conector, selecione Adicionar conta e insira o nome e o ID da subconta, o ID e o segredo do cliente, a URL do servidor de autorização e a URL da API do Provedor de Resultados.

5. Configure as opções avançadas, se necessário:

   • Frequência de Investigação: o conector realiza investigações a cada 60 a 120 minutos. O padrão é de 60 minutos.
   • Atraso na Ingestão de Logs: o atraso, em minutos, usado para contabilizar os resultados publicados tardiamente pelo SAP BTP. O intervalo suportado é de 120 a 300 minutos. O valor padrão é 300 minutos.

6. Envie a configuração da conta para salvar a conexão.

7. Verifique se os achados chegam na SAPBTPAVL_CL tabela. Aguarde o atraso configurado na ingestão de logs antes de esperar resultados recentes.

8. Ative a regra de análise SAP BTP - Uso de aplicativo personalizado com vulnerabilidade alta ou crítica e utilize a aba Vulnerabilidades de Aplicações no workbook SAP BTP. Para mais informações, veja o conteúdo de segurança SAP BTP.

Saiba mais sobre a integração do Serviço de Relatório de Vulnerabilidades de Aplicações SAP com o Microsoft Sentinel for SAP no post do blog da comunidade SAP.

Considere as configurações de auditoria da sua conta

Como parte da implantação, considere as configurações de auditoria da sua conta global e da sua subconta.

Configuração global de auditoria de conta

Quando você habilita a recuperação do log de auditoria no cockpit do BTP para a conta global: se a subconta para a qual você deseja dar direito ao Serviço de Gerenciamento de Logs de Auditoria estiver em um diretório, você deverá dar direito ao serviço no nível do diretório primeiro. Só então você pode dar ao serviço o direito no nível de subconta.

Configuração de auditoria de subconta

Para habilitar a auditoria de uma subconta, conclua as etapas na documentação da API de recuperação de auditoria de subcontas SAP.

A documentação da API descreve como habilitar a recuperação de log de auditoria usando a CLI (interface de linha de comando) do Cloud Foundry.

Você também pode recuperar os logs por meio da interface do usuário:

1. Em sua subconta no SAP Service Marketplace, crie uma instância do Audit Log Management Service.
2. Na nova instância, crie uma chave de serviço.
3. Exiba a chave de serviço e recupere os parâmetros necessários na etapa 4 das instruções de configuração na interface do usuário do conector de dados (url, uaa.url, uaa.clientid e uaa.clientsecret).

Integrar em massa subcontas SAP BTP em escala

Para integrar subcontas do SAP BTP em grande escala, recomenda-se o uso de abordagens baseadas em API e CLI. Comece a usar a biblioteca de scripts de onboarding do SAP BTP.

Rotacionar o segredo do cliente BTP

Recomendamos que você faça periodicamente a rotação dos segredos de cliente da subconta da BTP. Para obter uma abordagem automatizada e baseada em plataforma, consulte nossa renovação automática de certificado do repositório de confiança do SAP BTP com Azure Key Vault – ou como parar de pensar em datas de vencimento de uma vez por todas (blog da SAP).

A biblioteca de scripts de rotação de chaves do SAP BTP demonstra o processo automático de atualização de um conector de dados existente com um novo segredo.

Conteúdo relacionado

• Saiba como habilitar o conteúdo de segurança
• Examine o conteúdo de segurança da solução