Configurar seu sistema SAP para a solução do Microsoft Sentinel

Este artigo descreve como preparar seu ambiente SAP para se conectar ao conector de dados SAP. Antes de começar, verifique se você examinou os pré-requisitos para implantar a solução Microsoft Sentinel para aplicativos SAP.

Este artigo faz parte da segunda etapa na implantação da solução do Microsoft Sentinel para aplicativos SAP. Embora as etapas executadas no Microsoft Sentinel exijam que a solução seja instalada primeiro, outras preparações no ambiente SAP podem ocorrer em paralelo.

Muitos dos procedimentos neste artigo são normalmente executados pela equipe SAP BASIS . Algumas etapas também incluem sua equipe de segurança.

Pré-requisitos

• Antes de começar, verifique os pré-requisitos para implantar a solução do Microsoft Sentinel para aplicativos SAP.
• Algumas etapas são realizadas no Microsoft Sentinel e exigem que você implante primeiro a solução Microsoft Sentinel para aplicações SAP.

Configurar a função do Microsoft Sentinel

Para permitir que o conector de dados SAP se conecte ao seu sistema SAP, você deve criar uma função do sistema SAP especificamente para essa finalidade.

Crie uma função usando o modelo MSFTSEN_SENTINEL_READER , que inclui todas as permissões básicas para o conector de dados operar.

Para obter mais informações, consulte a documentação do SAP sobre como criar funções.

Crie um usuário SAP para a vaga Microsoft Sentinel

A solução do Microsoft Sentinel para aplicativos SAP requer uma conta de usuário para se conectar ao seu sistema SAP. Ao criar seu usuário:

• Certifique-se de criar um usuário do sistema.
• Atribua a função MSFTSEN_SENTINEL_READER ao usuário, que você criou quando configurou a função Microsoft Sentinel.

Para mais informações, consulte a documentação SAP sobre criação de contas de usuário.

Configurar auditoria do SAP

Algumas instalações de sistemas SAP podem não ter o log de auditoria habilitado por padrão. Para obter melhores resultados na avaliação do desempenho e da eficácia da solução Microsoft Sentinel para aplicativos SAP, habilite a auditoria do seu sistema SAP e configure os parâmetros de auditoria.

Recomendamos que você configure a auditoria para todas as mensagens do log de auditoria, em vez de apenas logs específicos. As diferenças de custo de ingestão geralmente são mínimas, e os dados são úteis para detecções no Microsoft Sentinel e em investigações e atividades de busca pós-comprometimento.

Para cobertura completa de monitoramento com o conector de dados sem agente, recomendamos que você habilite o monitoramento em todos os IDs de cliente de seus sistemas SAP monitorados, incluindo clientes 000 e 066.

Para obter mais informações, consulte Análise e configurações recomendadas do Log de Auditoria de Segurança (SM19/RSAU).

Configure seu sistema para usar o SNC para conexões seguras

Por padrão, os conectores de dados SAP usam uma conexão remota de chamada de função (RFC) e um nome de usuário e senha para autenticar no sistema SAP.

Para criptografar a conexão RFC ou usar autenticação baseada em certificado, configure o SAP Smart Network Communications (SNC). Trabalhe com seus administradores de SAP e a equipe de infraestrutura de chave pública (PKI) da sua organização para planejar a configuração do SNC. Siga as orientações SAP para os componentes, certificados e relacionamentos de confiança SAP no seu ambiente.

Antes de configurar a conexão com o Microsoft Sentinel:

• Configure o SNC para o servidor de aplicativos do SAP NetWeaver para ABAP (AS ABAP). Para um exemplo que utiliza a CommonCryptoLib, veja Nota SAP 2979858: Exemplo de configuração de SNC para AS ABAP com COMMONCRYPTOLIB.
• Decida se deve usar certificados assinados pela autoridade de certificação (CA) da sua organização ou certificados autoassinados. Estabeleça confiança entre o sistema SAP e o componente que inicia a conexão RFC. Para orientações sobre certificados SAP, veja SAP Note 2970934: Como criar o CSR e como importar a resposta do certificado para o sistema ABAP.
• Valide a conexão SNC de acordo com as orientações do SAP antes de conectar o Microsoft Sentinel.

Para o conector de dados sem agente, configure o SNC no SAP Cloud Connector. Para mais informações, veja SAP KBA 3536285: SAP Cloud Connector - Como configurar configurações gerais de SNC para o SAP Cloud Connector.

Se você utilizar o conector de nuvem SAP de alta disponibilidade, também valide o SNC após mudar para a instância de sombra.

Para mais informações, consulte a documentação SAP sobre configuração do SNC e Início com o SAP SNC para integrações com RFC.

Definir configurações de BTP do SAP

Para preparar o SAP Business Technology Platform (BTP) para o conector de dados sem agente, configure os seguintes serviços e funções em sua subcontagem DO SAP BTP.

1. Em sua subconta SAP BTP, adicione direitos para os seguintes serviços:

   • Suíte de Integração SAP
   • Tempo de execução do SAP Process Integration
   • Runtime do Cloud Foundry

   Observação

   Essa solução considera apenas o SAP Cloud Integration no ambiente do Cloud Foundry.

2. Crie uma instância do Cloud Foundry Runtime e, em seguida, crie também um espaço do Cloud Foundry.

3. Crie uma instância do SAP Integration Suite.

4. Atribua a função SAP BTP Integration_Provisioner ao seu usuário da subconta do SAP BTP.

5. No SAP Integration Suite, adicione o recurso de integração em nuvem.

6. Atribua as seguintes funções de integração de processo à sua conta de usuário:

   • PI_Administrator
   • PI_Integration_Developer
   • PI_Business_Expert

   As funções PI_Administrator, PI_Integration_Developer e PI_Business_Expert estão disponíveis somente depois que você ativa a funcionalidade de integração de nuvem.

7. Crie uma instância do SAP Process Integration Runtime em sua subconta usando o plano de serviço integration-flow (não API!).

8. Após verificar se a capacidade de integração com nuvem está ativada, crie uma chave de serviço para o SAP Process Integration Runtime e salve o conteúdo JSON em um local seguro.

Para obter mais informações, consulte a documentação do SAP sobre a instalação inicial do SAP Integration Suite.

Configurar o conector no Microsoft Sentinel e no seu sistema SAP

Esse procedimento tem etapas no Microsoft Sentinel e no seu sistema SAP e requer coordenação com o administrador SAP.

1. No Microsoft Sentinel, acesse a página Conectores de dados de configuração > e localize o Microsoft Sentinel para SAP - conector de dados sem agente.

2. Na seção Configuração , expanda e siga as instruções na seção Configuração inicial do conector – Execute as etapas abaixo uma vez: . Essas etapas exigirão o engenheiro do SecuritySOC e o administrador do SAP.

   1. Acionar a implantação automática de recursos do Azure (Engenheiro de SOC). Se, depois de implantar os recursos do Azure, os valores nas etapas 2 e 3 não forem preenchidos automaticamente, feche e expanda novamente a etapa 1 para atualizar os valores nas etapas 2 e 3.

   2. Implante um artefato de credenciais de cliente OAuth2 no SAP Integration (SAP Admin).

   3. Implante o pacote do conector de dados sem agente para SAP no SAP Integration Suite (SAP Admin). Este procedimento é executado no portal do SAP Integration Suite (SAP Cloud Integration Web UI).

      1. Abra a seção Descobrir .
      2. Pesquise por Solução do Microsoft Sentinel e abra-a.
      3. Clique em Copiar para importar o pacote de integração para seu locatário de Integração de Nuvem.
      4. Abra o pacote e vá para a guia Artefatos . Em seguida, selecione a configuração do Coletor de Dados . Para obter mais informações, consulte a documentação do SAP sobre como importar pacotes de integração.
      5. Configure o fluxo de integração com o LogIngestionURL e o DCRImmutableID.
      6. Implante o iflow usando o SAP Cloud Integration como serviço de runtime.

Definir as configurações do SAP Cloud Connector

Configure o SAP Cloud Connector para habilitar a comunicação entre o sistema de back-end SAP e o SAP BTP. Antes de começar, verifique se você tem as credenciais necessárias para adicionar sua subcontagem SAP BTP no SAP Cloud Connector.

1. Instale o SAP Cloud Connector. Para obter mais informações, consulte Instalação do SAP Cloud Connector.

2. Entre na interface do conector de nuvem e adicione a subconta usando as credenciais relevantes. Para obter mais informações, consulte a documentação do SAP sobre como gerenciar subcontões no SAP Cloud Connector.

3. Na subconta do conector de nuvem, adicione um novo mapeamento de sistema ao sistema de back-end para mapear o sistema ABAP para o protocolo RFC.

4. Defina as opções de balanceamento de carga e insira os detalhes do servidor ABAP de backend. Copie o nome do host virtual para um local seguro a ser usado ao criar o destino SAP BTP.

5. Adicione novos recursos ao mapeamento do sistema para cada um dos seguintes nomes de função:

   • RSAU_API_GET_LOG_DATA, para buscar dados de log de auditoria de segurança SAP

   • BAPI_USER_GET_DETAIL, para recuperar detalhes de usuário do SAP

   • RFC_READ_TABLE, para ler dados de tabelas obrigatórias

   • SIAG_ROLE_GET_AUTH, para recuperar autorizações de acesso de segurança

   • /OSP/SYSTEM_TIMEZONE, para recuperar detalhes do fuso horário do sistema SAP

   Observação

   A função MSFTSEN_SENTINEL_READER descrita em Configurar a função Microsoft Sentinel está configurada para acesso de privilégios mínimos. Isso garante que módulos de função, como RFC_READ_TABLE, sejam usados apenas quando necessário. Considere as melhores práticas da SAP para acesso RFC e as configurações do SAP Unified Connectivity (UCON) para controlar o acesso a módulos de função, além dos controles do SAP Cloud Connector e do perfil SAP.

6. Adicione um novo destino no SAP BTP que aponte para o host virtual criado anteriormente. Use os detalhes a seguir para preencher o novo destino RFC do SAP BTP para o Microsoft Sentinel:

   • Nome: insira o nome que você deseja usar para a conexão Microsoft Sentinel

   • Tipo: RFC

   • Tipo de proxy: On-Premise

   • Usuário: insira a conta de usuário ABAP que você criou anteriormente para o Microsoft Sentinel

   • Tipo de autorização: CONFIGURED USER

   • Propriedades adicionais:

     • jco.client.ashost = <virtual host name>

     • jco.client.client = <client e.g. 001>

     • jco.client.sysnr = <system number = 00>

     • jco.client.lang = EN

   • Localização: Necessária apenas quando você conectar vários Cloud Connectors à mesma subconta da BTP. Para obter mais informações, consulte a documentação do SAP sobre parâmetros que influenciam o comportamento da comunicação.

Otimize o tamanho, o throughput e o isolamento do SAP Cloud Connector

As configurações padrão do SAP Cloud Connector se encaixam na maioria dos ambientes. Faça esse ajuste antes de colocar em produção quando a ingestão do Microsoft Sentinel for de alto volume, tiver picos ou compartilhar um SAP Cloud Connector com outras integrações.

1. Confirme o tamanho da instância mestre do Cloud Connector: Dimensionamento para a instância master.
2. Se o SAP Cloud Integration (CPI) reportar IOError on tunnel socket during connect attempt, use a nota SAP 3403815 para ajustar o throughput e os limites de solicitações.
3. Ativar o monitoramento em tempo de execução: Monitoramento do Cloud Connector.
4. Recupere sessões obsoletas ou travadas do SAP Cloud Connector seguindo as notas 2485510 do SAP.

Executar o verificador de pré-requisitos

Execute o verificador de pré-requisitos para validar se o sistema SAP está pronto para integração com Microsoft Sentinel.

1. O iflow do verificador de pré-requisitos está incluído no pacote de integração da solução Microsoft Sentinel. Configure e implante este iflow antes de prosseguir para a próxima etapa, para que seu sistema SAP atenda aos pré-requisitos do sistema antes da integração com o Microsoft Sentinel. Após a implantação, o iflow é executado de acordo com uma programação no SAP Cloud Integration; verifique o status da execução mais recente para confirmar que foi bem-sucedida.

   Para configurar e implantar a ferramenta:

   1. Abra o pacote de integração, navegue até a guia Artefatos e selecione o Verificador de pré-requisitos iflow >Configurar.
   2. Defina o nome do destino de destino para a RFC (chamada de função remota) no sistema SAP que você deseja verificar. Por exemplo, A4H-100-Sentinel-RFC.
   3. Implante o iflow como faria de outra forma para seus sistemas SAP.
   4. Para obter melhores resultados, execute o verificador por 24 horas com frequência de 1 minuto para detectar anomalias, como trabalhos em lotes noturnos não autorizados ou picos de uso desconhecidos.

   Para verificar o status da verificação:

   1. No SAP Cloud Integration, abra Monitor>Integrations e localize as execuções do iflow Verificador de pré-requisitos conforme o seu período de monitoramento (por exemplo, 24h). Confirme se as execuções foram concluídas com o status Concluído (HTTP 200) e se o conteúdo de resposta não contém avisos ou erros. O agendador pode produzir mensagens com o estado "Descartado" devido ao funcionamento interno do SAP Cloud Integration. Essas mensagens podem ser ignoradas e conter texto como "O processamento de mensagens foi descartado porque o evento do temporizador de acionamento já foi tratado por outro processo".
   2. Inspecione o log de processamento de mensagens (MPL), Anexos e propriedades para obter os resultados de cada verificação. Abra o arquivo anexado à entrada MPL.

   

   Use a tabela a seguir para interpretar os resultados:

   Status	O que significa	Próxima etapa
   Concluído, sem avisos	Todos os pré-requisitos foram atendidos.	Continue conectando seu sistema SAP ao Microsoft Sentinel.
   Concluído, com avisos	Os pré-requisitos são parcialmente atendidos.	Examine os detalhes da resposta e corrija antes de se conectar.
   Falha ou status diferente de 200	O verificador não pôde alcançar o sistema SAP de destino ou atingiu um erro de configuração.	Verifique o destino e as credenciais do RFC e, em seguida, reimplante e execute novamente o iflow.

   Se alguma descoberta permanecer, consulte os detalhes da resposta para obter diretrizes sobre as etapas de correção. Os sistemas SAP herdados geralmente exigem anotações SAP adicionais. Além disso, consulte a seção de solução de problemas e resoluções comuns.

   Dica

   É uma boa prática executar manualmente o módulo RSAU_API_GET_LOG_DATA de função para verificar o comportamento correto na fonte SAP ERP antes de investigar mais a fundo eventuais problemas a montante. Consulte o artigo "Teste de Fumaça do Log de Auditoria de Segurança da SAP" para obter mais orientações.

   Após a conclusão:

   Cancele a implantação do iflow agendado do verificador de pré-requisitos assim que a verificação do sistema SAP for concluída com êxito. Repita essa sequência para cada novo sistema SAP que deve ser integrado.

2. No portal do Sentinel, role mais para baixo na área Configuração e expanda e siga as instruções na área Adicionar sistemas SAP monitorados - Execute as etapas abaixo para cada sistema SAP monitorado: para cada sistema SAP monitorado: para cada sistema SAP que você deseja monitorar.

   No assistente Adicionar Sistemas SAP monitorados em Microsoft Sentinel, na etapa denominada Conectar o Sistema SAP ao Microsoft Sentinel/SoC Engineer, continue com Conectar seu sistema SAP ao Microsoft Sentinel.

Próxima etapa