Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Este artigo detalha o conteúdo de segurança disponível para as soluções do Microsoft Sentinel para SAP.
Importante
Os elementos anotados descritos neste artigo estão em Versão Prévia. Os Termos Suplementares do Azure Preview incluem termos legais adicionais que se aplicam aos recursos do Azure que estão em versão beta, versão prévia ou que ainda não foram lançados em disponibilidade geral.
O conteúdo de segurança disponível inclui pastas de trabalho internas e regras de análise. Você também pode adicionar watchlists relacionadas ao SAP para usar em seus guias estratégicos de pesquisa, detecção de ameaças, caça a ameaças e resposta.
O conteúdo deste artigo é destinado à sua equipe de segurança .
Pastas de trabalho internas
Use as pastas de trabalho integradas a seguir para visualizar e monitorar os dados ingeridos por meio do conector de dados SAP. Depois de implantar a solução SAP, você pode encontrar pastas de trabalho SAP na guia Modelos .
| Nome da pasta de trabalho | Descrição | Logs |
|---|---|---|
| SAP - Navegador de Log de Auditoria | Exibe dados como: - Integridade geral do sistema, incluindo entradas do usuário ao longo do tempo, eventos ingeridos pelo sistema, classes e IDs de mensagens e programas ABAP executados -Severidades dos eventos que ocorrem em seu sistema - Eventos de autenticação e autorização que ocorrem em seu sistema |
Usa dados do seguinte log: ABAPAuditLog |
| Controles de Auditoria SAP | Ajuda você a marcar os controles de segurança do seu ambiente SAP para conformidade com a estrutura de controle escolhida, usando ferramentas para fazer o seguinte: - Atribua regras de análise em seu ambiente a controles de segurança específicos e famílias de controle - Monitorar e categorizar os incidentes gerados pelas regras de análise baseadas em soluções SAP - Relate sua conformidade |
Usa dados das seguintes tabelas: - SecurityAlert- SecurityIncident |
Para obter mais informações, consulte Tutorial: Visualizar e monitorar seus dados e Implantar a solução do Microsoft Sentinel para aplicativos SAP.
Regras de análise integradas
Esta seção descreve uma seleção de regras de análise integradas fornecidas com a solução Microsoft Sentinel para aplicativos SAP. O conector de dados sem agente funciona com um conjunto consolidado de fontes. Para obter as atualizações mais recentes, Marque o hub de conteúdo do Microsoft Sentinel para regras novas e atualizadas.
Observação
Para o SAP S/4HANA Cloud, edição pública (GROW with SAP), o conector de dados do SAP reutiliza um subconjunto do conteúdo de análise SAP do Microsoft Sentinel em que a telemetria necessária está disponível por meio de APIs OData públicas. As regras que dependem de fontes de dados adicionais, como Documentos de Alteração, aplicam-se apenas a implantações de nuvem privada.
Uma coluna de edição pública do S/4HANA Cloud nas tabelas abaixo indica qual conteúdo também se aplica à edição de nuvem pública. Para ativar, implante o conector de dados publicado pelo SAP SE.
Monitorar o log de auditoria do SAP
Muitas das regras de análise na solução do Microsoft Sentinel para aplicativos SAP usam dados de log de auditoria SAP. Algumas regras de análise procuram eventos específicos no log, enquanto outras correlacionam indicações de vários logs para criar alertas e incidentes de alta fidelidade.
Use as seguintes regras de análise para monitorar todos os eventos de log de auditoria em seu sistema SAP ou acionar alertas somente quando forem detectadas anomalias:
| Nome da regra | Descrição | Edição pública do S/4HANA Cloud |
|---|---|---|
| SAP - Configuração ausente no Monitor de Log de Auditoria de Segurança Dinâmica | Por padrão, é executado diariamente para fornecer recomendações de configuração para o módulo de log de auditoria do SAP. Use o modelo de regra para criar e personalizar uma regra para seu espaço de trabalho. | - |
| SAP - Monitor de Log de Auditoria Determinística Dinâmica (VISUALIZAÇÃO) | Por padrão, é executado a cada 10 minutos e concentra-se nos eventos de log de auditoria do SAP marcados como Determinístico. Use o modelo de regra para criar e personalizar uma regra para seu espaço de trabalho, como para uma taxa menor de falsos positivos. Essa regra requer limites de alerta determinísticos e regras de exclusão de usuário. |
✔️ |
| SAP - Alertas do Monitor de Log de Auditoria Baseados em Anomalias Dinâmicas (VERSÃO PRÉVIA) | Por padrão, é executado de hora em hora e concentra-se em eventos SAP marcados como AnomaliesOnly, alertando sobre eventos de log de auditoria SAP quando anomalias são detectadas. Essa regra aplica algoritmos extras de aprendizado de máquina para filtrar o ruído de fundo de maneira não supervisionada. |
✔️ |
Por padrão, a maioria dos tipos de eventos ou IDs de mensagens SAP no log de auditoria do SAP são enviados para a regra de análise de Alertas de Log de Auditoria (PREVIEW) baseada em anomalia dinâmica, enquanto os tipos de evento mais fáceis de definir são enviados para a regra de análise determinística Dynamic Deterministic Audit Log Monitor (PREVIEW). Essa configuração, juntamente com outras configurações relacionadas, pode ser configurada para se adequar a qualquer condição do sistema.
As regras de monitoramento do log de auditoria do SAP são fornecidas como parte do Microsoft Sentinel para o conteúdo de segurança da solução SAP e permitem um ajuste fino adicional usando as listas de observação SAP_Dynamic_Audit_Log_Monitor_Configuration e SAP_User_Config.
Por exemplo, a tabela a seguir lista vários exemplos de como você pode usar o SAP_Dynamic_Audit_Log_Monitor_Configuration watchlist para configurar os tipos de eventos que produzem incidentes, reduzindo o número de incidentes gerados.
| Opção | Descrição |
|---|---|
| Definir severidades e desabilitar eventos indesejados | Por padrão, as regras determinísticas e as regras baseadas em anomalias criam alertas para eventos marcados com severidades média e alta. Talvez você queira configurar as gravidades separadamente, ambientes de produção e não produção. Por exemplo, você pode definir um evento de atividade de depuração como alta severidade em sistemas de produção e desativar os mesmos eventos inteiramente em sistemas de não produção. |
| Excluir usuários por suas funções SAP ou perfis SAP | O Microsoft Sentinel for SAP ingere o perfil de autorização do usuário SAP, incluindo atribuições de função diretas e indiretas, grupos e perfis, para que você possa falar o idioma SAP em seu SIEM. Talvez você queira configurar um evento SAP para excluir usuários com base em suas funções e perfis SAP. Na watchlist, adicione as funções ou os perfis que agrupam os usuários da interface RFC na coluna RolesTagsToExclude , ao lado do evento Acesso genérico à tabela por RFC . Essa configuração dispara alertas apenas para usuários que não têm essas funções. |
| Excluir usuários por suas tags SOC | Use tags para criar seu próprio agrupamento, sem depender de definições SAP complicadas ou mesmo sem autorização SAP. Esse método é útil para equipes SOC que desejam criar seu próprio agrupamento para usuários SAP. Por exemplo, se você não quiser que contas de serviço específicas sejam alertadas sobre acesso genérico à tabela por eventos RFC , mas não consegue encontrar uma função SAP ou um perfil SAP que agrupe esses usuários, use as marcas da seguinte maneira: 1. Adicione a tag GenTableRFCReadOK ao lado do evento relevante na lista de observação. 2. Vá para a lista de observação SAP_User_Config e atribua aos usuários da interface a mesma tag. |
| Especifique um limite de frequência por tipo de evento e função do sistema | Funciona como um limite de velocidade. Por exemplo, é possível configurar eventos de modificação de registro mestre de usuário para acionar alertas somente se mais de 12 atividades forem observadas em uma hora, pelo mesmo usuário em um sistema de produção. Se um usuário exceder o limite de 12 por hora, por exemplo, dois eventos em uma janela de 10 minutos, um incidente será disparado. |
| Determinismo ou anomalias | Se você conhece as características do evento, use os recursos determinísticos. Se você não tiver certeza de como configurar corretamente o evento, permita que os recursos de aprendizado de máquina decidam iniciar e faça atualizações subsequentes conforme necessário. |
| Recursos do SOAR | Use o Microsoft Sentinel para orquestrar, automatizar e responder ainda mais a incidentes criados por alertas dinâmicos de log de auditoria SAP. Para obter mais informações, consulte Automação no Microsoft Sentinel: Orquestração, automação e resposta de segurança (SOAR). |
Para obter mais informações, consulte Listas de observação disponíveis e Notícias do Microsoft Sentinel para SAP - Recurso de Monitor de Log de Auditoria de Segurança Dinâmica do SAP disponível agora! (blog).
Acesso inicial
| Nome da regra | Descrição | Ação de origem | Táticas | Edição pública do S/4HANA Cloud |
|---|---|---|---|---|
| SAP - Logon de rede inesperada | Identifica uma entrada de uma rede inesperada. Manter diagramas de rede no SAP - Watchlist de redes . |
Entre no sistema de back-end de um endereço IP que não está atribuído a uma das redes. Fontes de dados: Registro de Auditoria de Segurança SAP |
Acesso inicial | ✔️ |
| SAP - Ataque SPNego | Identifica o ataque de reprodução do SPNego. | Fontes de dados: Registro de Auditoria de Segurança SAP | Impacto, movimento lateral | ✔️ |
| SAP - Tentativa de logon no diálogo de um usuário privilegiado | Identifica tentativas de entrada na caixa de diálogo, com o tipo AUM , por usuários privilegiados em um sistema SAP. Para obter mais informações, consulte SAPUsersGetPrivileged. | Tente entrar pelo mesmo IP em vários sistemas ou clientes dentro do intervalo de tempo agendado Fontes de dados: Registro de Auditoria de Segurança SAP |
Impacto, movimento lateral | ✔️ |
| SAP - Ataques de força bruta | Identifica ataques de força bruta no sistema SAP usando logons RFC | Tente entrar do mesmo IP para vários sistemas/clientes dentro do intervalo de tempo agendado usando RFC Fontes de dados: Registro de Auditoria de Segurança SAP |
Acesso à credencial | - |
| SAP - Múltiplos Logons por IP | Identifica a entrada de vários usuários do mesmo endereço IP em um intervalo de tempo agendado. Caso de subuso: persistência |
Entre usando vários usuários por meio do mesmo endereço IP. Fontes de dados: Registro de Auditoria de Segurança SAP |
Acesso inicial | ✔️ |
| SAP - Vários Logons por Usuário | Identifica as entradas do mesmo usuário em vários terminais dentro do intervalo de tempo programado. Disponível somente por meio do método SAL de Auditoria, para versões 7.5 e superiores do SAP. |
Entre usando o mesmo usuário, usando endereços IP diferentes. Fontes de dados: Registro de Auditoria de Segurança SAP |
Pré-ataque, Acesso Credencial, Acesso Inicial, Coleta Caso de subuso: persistência |
✔️ |
Exfiltração dos dados
| Nome da regra | Descrição | Ação de origem | Táticas | Edição pública do S/4HANA Cloud |
|---|---|---|---|---|
| SAP - FTP para servidores não autorizados | Identifica uma conexão FTP para um servidor não autorizado. | Crie uma nova conexão FTP, por exemplo, usando o Módulo de Função FTP_CONNECT. Fontes de dados: Registro de Auditoria de Segurança SAP |
Descoberta, Acesso Inicial, Comando e Controle | - |
| SAP - Configuração de servidores FTP inseguros | Identifica configurações de servidor FTP inseguras, como quando uma lista de permissões FTP está vazia ou contém espaços reservados. | Não atualize valores que contenham espaços reservados SAPFTP_SERVERS na tabela usando a exibição de SAPFTP_SERVERS_V manutenção. (SM30) Fontes de dados: Registro de Auditoria de Segurança SAP |
Acesso inicial, comando e controle | - |
| SAP - Multiple Files Download | Identifica vários downloads de arquivos para um usuário em um intervalo de tempo específico. | Baixe vários arquivos usando o SAPGui para Excel, listas e assim por diante. Fontes de dados: Registro de Auditoria de Segurança SAP |
Coleta, exfiltração, acesso a credenciais | - |
| SAP - Acesso Direto a Tabelas Confidenciais por Logon RFC | Identifica um acesso genérico à tabela por entrada RFC. Manter tabelas na watchlist SAP - Tabelas Confidenciais . Relevante somente para sistemas de produção. |
Abra o conteúdo da tabela usando SE11/SE16/SE16N. Fontes de dados: Registro de Auditoria de Segurança SAP |
Coleta, exfiltração, acesso a credenciais | - |
| SAP - Destino RFC Dinâmico | Identifica a execução de RFC usando destinos dinâmicos. Caso de subuso: tentativas de contornar mecanismos de segurança SAP |
Executar um relatório ABAP que usa destinos dinâmicos (cl_dynamic_destination). Por exemplo, DEMO_RFC_DYNAMIC_DEST. Fontes de dados: Registro de Auditoria de Segurança SAP |
Coleta, Exfiltração | - |
| SAP - Acesso Direto a Tabelas Confidenciais por Logon de Caixa de Diálogo | Identifica o acesso genérico à tabela por meio da entrada na caixa de diálogo. | Abra o conteúdo da tabela usando SE11SE16N/SE16/. Fontes de dados: Registro de Auditoria de Segurança SAP |
Descoberta | - |
| SAP - (Versão prévia) Arquivo baixado de um endereço IP mal-intencionado | Identifica o download de um arquivo de um sistema SAP usando um endereço IP conhecido por ser mal-intencionado. Os endereços IP mal-intencionados são obtidos dos serviços de inteligência contra ameaças. | Baixar um arquivo de um IP mal-intencionado. Fontes de dados: Registro de Auditoria de Segurança da SAP, Inteligência de Ameaças |
Exfiltração | - |
| SAP - (Visualização) Dados confidenciais salvos em uma unidade USB | Identifica a exportação de dados SAP por meio de arquivos. A regra verifica os dados salvos em uma unidade USB montada recentemente nas proximidades de uma execução de uma transação confidencial, um programa confidencial ou acesso direto a uma tabela confidencial. | Exporte dados SAP por meio de arquivos e salve em uma unidade USB. Fontes de dados: SAP Security Audit Log, DeviceFileEvents (Microsoft Defender para Ponto de Extremidade), SAP - Tabelas Sensíveis, SAP - Transações Sensíveis, SAP - Programas Sensíveis |
Exfiltração | - |
| SAP - (Visualização) Alto volume de dados potencialmente confidenciais exportados | Identifica a exportação de um grande volume de dados por meio de arquivos próximos à execução de uma transação confidencial, um programa confidencial ou acesso direto a uma tabela confidencial. | Exporte um grande volume de dados por meio de arquivos. Fontes de dados: SAP SAP Security Audit Log, SAP - Tabelas Sensíveis, SAP - Transações Sensíveis, SAP - Programas Sensíveis |
Exfiltração | - |
Persistência
| Nome da regra | Descrição | Ação de origem | Táticas | Edição pública do S/4HANA Cloud |
|---|---|---|---|---|
| SAP - Módulo de função testado | Identifica o teste de um módulo de função. | Testar um módulo de função usando SE37 / SE80. Fontes de dados: Registro de Auditoria de Segurança SAP |
Coleta, Evasão de Defesa, Movimento Lateral | - |
| SAP - (VERSÃO PRÉVIA) HANA DB - Ações de Administração do Usuário | Identifica as ações de administração do usuário. | Criar, atualizar ou excluir um usuário de banco de dados. Fontes de Dados: Agente do Linux \u2012 syslog* |
Elevação de Privilégio | - |
| SAP - Execução de Programa Obsoleto/Inseguro | Identifica a execução de um programa ABAP obsoleto ou inseguro. Manter programas obsoletos no SAP - Watchlist de programas obsoletos . Relevante somente para sistemas de produção. |
Execute um programa diretamente usando SE38/SA38/SE80 ou usando um trabalho em segundo plano. Fontes de dados: Registro de Auditoria de Segurança SAP |
Descoberta, comando e controle | - |
| SAP - Várias alterações de senha | Identifica várias alterações de senha por usuário. | Alterar senha do usuário Fontes de dados: Registro de Auditoria de Segurança SAP |
Acesso à credencial | ✔️ |
| SAP - Novos manipuladores de serviços ICF | Identifica a criação de um novo manipulador de serviços do Internet Communication Framework (ICF). | Atribua um novo handler a um serviço usando SICF. Fontes de dados: Registro de Auditoria de Segurança SAP |
Comando e Controle, Acesso Inicial, Persistência | - |
Observação
Regras que dependem de fontes de dados além dos fluxos padrão sem agente (por exemplo, SAP Spool, SAP Change Requests, SAP Table Data Log ou a pilha AS Java) estão disponíveis como extensões através da solução comunitária Microsoft Sentinel for SAP.
Tentativas de contornar os mecanismos de segurança do SAP
| Nome da regra | Descrição | Ação de origem | Táticas | Edição pública do S/4HANA Cloud |
|---|---|---|---|---|
| SAP - Alteração de Configuração do Cliente | Identifica as alterações na configuração do cliente, como a função do cliente ou o modo de registro de alterações. | Execute as alterações de configuração do cliente usando o código de SCC4 transação. Fontes de dados: Registro de Auditoria de Segurança SAP |
Evasão de defesa, exfiltração, persistência | - |
| SAP - Os dados foram alterados durante a atividade de depuração | Identifica as alterações nos dados de tempo de execução durante uma atividade de depuração. Caso de subuso: persistência |
1. Ativar Depuração ("/h"). 2. Selecione um campo para alteração e atualize seu valor. Fontes de dados: Registro de Auditoria de Segurança SAP |
Execução, Movimento Lateral | - |
| SAP - Desativação do Log de Auditoria de Segurança | Identifica a desativação do Log de Auditoria de Segurança, | Desabilitar o log de auditoria de segurança usando SM19/RSAU_CONFIG. Fontes de dados: Registro de Auditoria de Segurança SAP |
Exfiltração, evasão de defesa, persistência | - |
| SAP - Execução de um programa ABAP sensível | Identifica a execução direta de um programa ABAP sensível. Atualizar programas ABAP na lista de vigiados SAP - Programas ABAP sensíveis . |
Execute um programa diretamente usando SE38//SA38SE80. Fontes de dados: Registro de Auditoria de Segurança SAP |
Exfiltração, Movimento Lateral, Execução | - |
| SAP - Execução de um código de transação confidencial | Identifica a execução de um Código de Transação confidencial. Atualizar códigos de transação na lista de observação SAP - Códigos de transação confidenciais . |
Execute um código de transação confidencial. Fontes de dados: Registro de Auditoria de Segurança SAP |
Descoberta, execução | - |
| SAP - (VERSÃO PRÉVIA) HANA DB - Alterações de Política de Trilha de Auditoria | Identifica as alterações nas políticas de trilha de auditoria do banco de dados do HANA. | Crie ou atualize a política de auditoria existente em definições de segurança. Fonte de dados: Agente Linux \u2012 Syslog |
Movimento Lateral, Evasão de Defesa, Persistência | - |
| SAP - (VERSÃO PRELIMINAR) HANA DB - Desativação da Trilha de Auditoria | Identifica a desativação do log de auditoria do banco de dados HANA. | Desative o log de auditoria na definição de segurança do banco de dados HANA. Fonte de dados: Agente Linux \u2012 Syslog |
Persistência, Movimento Lateral, Evasão de Defesa | - |
| SAP - Execução remota não autorizada de um módulo de função confidencial | Detecta execuções não autorizadas de FMs confidenciais comparando a atividade com o perfil de autorização do usuário, desconsiderando as autorizações alteradas recentemente. Atualizar módulos de função na lista de observação SAP - Módulos de função sensíveis . |
Execute um módulo de função usando RFC. Fontes de dados: Registro de Auditoria de Segurança SAP |
Execução, Movimento Lateral, Descoberta | - |
| SAP - Alteração de configuração do sistema | Identifica alterações na configuração do sistema. | Adapte as opções de alteração do sistema ou a modificação do componente de software usando o código da SE06 transação.Fontes de dados: Registro de Auditoria de Segurança SAP |
Exfiltração, evasão de defesa, persistência | - |
| SAP - Atividades de depuração | Identifica todas as atividades relacionadas à depuração. Caso de subuso: persistência |
Ative Depurar ("/h") no sistema, depurar um processo ativo, adicionar ponto de interrupção ao código-fonte e assim por diante. Fontes de dados: Registro de Auditoria de Segurança SAP |
Descoberta | - |
| SAP - Alteração de Configuração do Log de Auditoria de Segurança | Identifica alterações na configuração do Log de Auditoria de Segurança | Altere qualquer configuração de log de auditoria de segurança usando SM19/RSAU_CONFIG, como filtros, status, modo de gravação e assim por diante. Fontes de dados: Registro de Auditoria de Segurança SAP |
Persistência, exfiltração, evasão de defesa | - |
| SAP - Transação desbloqueada | Identifica o desbloqueio de uma transação. | Desbloquear um código de transação usando SM01//SM01_DEVSM01_CUS. Fontes de dados: Registro de Auditoria de Segurança SAP |
Persistência, execução | - |
| SAP - Programa ABAP Dinâmico | Identifica a execução da programação ABAP dinâmica. Por exemplo, quando o código ABAP foi criado, alterado ou excluído dinamicamente. Atualizar códigos de transação excluídos na lista de observação SAP - Transações para gerações ABAP . |
Crie um relatório ABAP que use comandos de geração de programa ABAP, como INSERIR RELATÓRIO, e execute o relatório. Fontes de dados: Registro de Auditoria de Segurança SAP |
Descoberta, Comando e Controle, Impacto | - |
Operações de privilégios suspeitos
| Nome da regra | Descrição | Ação de origem | Táticas | Edição pública do S/4HANA Cloud |
|---|---|---|---|---|
| SAP - Alteração em um Usuário Privilegiado Confidencial | Identifica alterações de usuários privilegiados confidenciais. Manter usuários privilegiados na lista de observação SAP - Usuários Privilegiados . |
Altere os detalhes/autorizações do usuário usando SU01. Fontes de dados: Registro de Auditoria de Segurança SAP |
Escalonamento de privilégios, acesso com credenciais | ✔️ |
| SAP - (VERSÃO PRELIMINAR) HANA DB - Atribuir autorizações de Administração | Identifica o privilégio de administrador ou a atribuição de função. | Atribua um usuário com qualquer função de administrador ou privilégios. Fonte de dados: Agente Linux \u2012 Syslog |
Elevação de Privilégio | - |
| SAP - Usuário privilegiado confidencial conectado | Identifica a entrada na Caixa de Diálogo de um usuário privilegiado confidencial. Manter usuários privilegiados na lista de observação SAP - Usuários Privilegiados . |
Entre no sistema back-end usando SAP* ou outro usuário privilegiado. Fontes de dados: Registro de Auditoria de Segurança SAP |
Acesso inicial, acesso com credenciais | ✔️ |
| SAP - Usuário privilegiado sensível faz uma alteração em outro usuário | Identifica alterações de usuários confidenciais e privilegiados em outros usuários. | Alterar detalhes/autorizações do usuário usando a SU01. Fontes de dados: Registro de Auditoria de Segurança SAP |
Escalonamento de privilégios, acesso com credenciais | ✔️ |
| SAP - Alteração de senha e login de usuários confidenciais | Identifica alterações de senha para usuários privilegiados. | Altere a senha de um usuário privilegiado e entre no sistema. Manter usuários privilegiados na lista de observação SAP - Usuários Privilegiados . Fontes de dados: Registro de Auditoria de Segurança SAP |
Impacto, Comando e Controle, Escalonamento de Privilégios | ✔️ |
| SAP - Usuário Cria e usa novo usuário | Identifica um usuário criando e usando outros usuários. Caso de subuso: persistência |
Crie um usuário usando a SU01 e, em seguida, entre, usando o usuário recém-criado e o mesmo endereço IP. Fontes de dados: Registro de Auditoria de Segurança SAP |
Descoberta, Pré-Ataque, Acesso Inicial | ✔️ |
| SAP - O usuário desbloqueia e usa outros usuários | Identifica um usuário que está sendo desbloqueado e usado por outros usuários. Caso de subuso: persistência |
Desbloqueie um usuário usando a SU01 e, em seguida, entre usando o usuário desbloqueado e o mesmo endereço IP. Fontes de dados: Registro de Auditoria de Segurança da SAP, Registro de Alterações de Documentos |
Descoberta, Pré-Ataque, Acesso Inicial, Movimento Lateral | - |
| SAP - Atribuição de um perfil confidencial | Identifica novas atribuições de um perfil confidencial a um usuário. Manter perfis confidenciais na lista de observação do SAP - Perfis confidenciais . |
Atribuir um perfil a um usuário usando SU01. Fontes de dados: Registro de Documentos de Alterações SAP |
Elevação de Privilégio | - |
| SAP - Atribuição de uma função confidencial | Identifica novas atribuições para uma função confidencial para um usuário. Manter funções confidenciais na lista de observação SAP - Funções confidenciais . |
Atribua uma função a um usuário usando SU01 / PFCG. Fontes de dados: Registro de Documentos de Alterações SAP, Registro de Auditoria |
Elevação de Privilégio | - |
| SAP - (VERSÃO PRÉVIA) Atribuição de autorizações críticas - Novo Valor de Autorização | Identifica a atribuição de um valor de objeto de autorização crítico a um novo usuário. Atualizar objetos de autorização críticos na lista de observação SAP - Objetos críticos de autorização . |
Atribua um novo objeto de autorização ou atualize um existente em uma função, usando PFCG. Fontes de dados: Registro de Documentos de Alterações SAP |
Elevação de Privilégio | - |
| SAP - Atribuição de autorizações críticas - Nova atribuição de usuário | Identifica a atribuição de um valor de objeto de autorização crítico a um novo usuário. Atualizar objetos de autorização críticos na lista de observação SAP - Objetos críticos de autorização . |
Atribua um novo usuário a uma função que contém valores de autorização críticos, usando SU01/PFCG. Fontes de dados: Registro de Documentos de Alterações SAP |
Elevação de Privilégio | - |
| SAP - Alterações de funções confidenciais | Identifica alterações em funções confidenciais. Manter funções confidenciais na lista de observação SAP - Funções confidenciais . |
Alterar uma função usando PFCG. Fontes de dados: Registro de Documentos de Alterações SAP, Registro de Auditoria de Segurança |
impacto, escalonamento de privilégios, persistência | - |
Listas de favoritos disponíveis
A tabela a seguir lista as watchlists disponíveis para a solução do Microsoft Sentinel para aplicativos SAP e os campos em cada watchlist.
Essas watchlists fornecem a configuração para a solução do Microsoft Sentinel para aplicativos SAP. As watchlists do SAP estão disponíveis no repositório GitHub do Microsoft Sentinel.
Observação
Para o SAP S/4HANA Cloud, edição pública (GROW with SAP), somente as watchlists relevantes para as regras de análise aplicáveis à nuvem pública são marcadas na coluna edição pública do S/4HANA Cloud abaixo.
| Nome da watchlist | Descrição e campos | Edição pública do S/4HANA Cloud |
|---|---|---|
| SAP - Autorizações críticas | Objeto Critical Authorizations, onde as atribuições devem ser controladas. - AuthorizationObject: um objeto de autorização do SAP, como S_DEVELOP, S_TCODE, ou Table TOBJ - AuthorizationField: um campo de autorização do SAP, como OBJTYP ou TCD - AuthorizationValue: um valor de campo de autorização do SAP, como DEBUG - ActivityField : Campo de atividade SAP. Na maioria dos casos, esse valor é ACTVT. Para objetos de Autorizações sem uma Atividade ou apenas com um campo de Atividade , preenchido com NOT_IN_USE. - Atividade: Atividade SAP, de acordo com o objeto de autorização, como: 01: Criar; 02: Modificar; 03: Exibir e assim por diante. - Descrição: uma descrição significativa do Objeto de Autorização Crítica. |
- |
| SAP - Redes Excluídas | Para manutenção interna de redes excluídas, como ignorar dispatchers da Web, servidores de terminal e assim por diante. - Rede: um endereço IP de rede ou um intervalo, como 111.68.128.0/17. - Descrição: uma descrição de rede significativa. |
✔️ |
| Usuários excluídos do SAP | Usuários do sistema que estão conectados ao sistema e devem ser ignorados. Por exemplo, alertas para várias entradas pelo mesmo usuário. - Usuário: Usuário SAP - Descrição: uma descrição de usuário significativa. |
✔️ |
| SAP - Redes | Redes internas e de manutenção para identificação de logins não autorizados. - Rede: endereço IP da rede ou intervalo, como 111.68.128.0/17 - Descrição: uma descrição de rede significativa. |
✔️ |
| SAP - Usuários Privilegiados | Usuários privilegiados que estão sob restrições extras. - Usuário: o usuário ABAP, como DDIC ou SAP - Descrição: uma descrição de usuário significativa. |
✔️ |
| SAP - Programas ABAP Sensíveis | Programas ABAP sensíveis (relatórios), onde a execução deve ser controlada. - ABAPProgram: programa ou relatório ABAP, como RSPFLDOC - Descrição: uma descrição significativa do programa. |
- |
| SAP - Módulo de Função Sensível | Redes internas e de manutenção para identificação de logins não autorizados. - FunctionModule: um módulo de função ABAP, como RSAU_CLEAR_AUDIT_LOG - Descrição: uma descrição significativa do módulo. |
- |
| SAP - Perfis Confidenciais | Perfis confidenciais, onde as atribuições devem ser controladas. - Perfil: perfil de autorização SAP, como SAP_ALL ou SAP_NEW - Descrição: uma descrição de perfil significativa. |
- |
| SAP - Tabelas Confidenciais | Tabelas delicadas, onde o acesso deve ser controlado. - Tabela: Dicionário ABAP Tabela, como USR02 ou PA008 - Descrição: uma descrição significativa da tabela. |
- |
| SAP - Funções Confidenciais | Funções confidenciais, em que a atribuição deve ser controlada. - Função: função de autorização do SAP, como SAP_BC_BASIS_ADMIN - Descrição: uma descrição de função significativa. |
- |
| SAP - Transações Confidenciais | Transações confidenciais em que a execução deve ser controlada. - TransactionCode: código de transação SAP, como RZ11 - Descrição: uma descrição de código significativa. |
- |
| SAP - Sistemas | Descreve o cenário dos sistemas SAP de acordo com a função, o uso e a configuração. - SystemID: a ID do sistema SAP (SYSID) - SystemRole: a função do sistema SAP, um dos seguintes valores: Sandbox, Development, Quality Assurance, Training, Production - SystemUsage: o uso do sistema SAP, um dos seguintes valores: ERP, BW, Solman, Gateway, Enterprise Portal - InterfaceAttributes: um parâmetro dinâmico opcional para uso em guias estratégicos. |
✔️ |
| SAP - Usuários excluídos | Usuários do sistema que estão conectados e precisam ser ignorados, como para o alerta Vários logons por usuário. - Usuário: Usuário SAP - Descrição: uma descrição de usuário significativa |
✔️ |
| SAP - Redes Excluídas | Mantenha redes internas excluídas para ignorar dispatchers da Web, servidores de terminal e assim por diante. - Rede: endereço IP da rede ou intervalo, como 111.68.128.0/17 - Descrição: uma descrição de rede significativa |
✔️ |
| SAP - Módulos de função obsoletos | Módulos de função obsoletos, cuja execução deve ser controlada. - FunctionModule: módulo de função ABAP, como TH_SAPREL - Descrição: uma descrição significativa do módulo de função |
- |
| SAP - Programas Obsoletos | Programas ABAP obsoletos (relatórios), cuja execução deve ser controlada. - ABAPProgram:Programa ABAP, como TH_ RSPFLDOC - Descrição: Uma descrição significativa do programa ABAP |
- |
| SAP - Transações para gerações ABAP | Transações para gerações ABAP cuja execução deve ser controlada. - TransactionCode: código de transação, como SE11. - Descrição: uma descrição significativa do Código de Transação |
- |
| SAP - Servidores FTP | Servidores FTP para identificação de conexões não autorizadas. - Cliente: como 100. - FTP_Server_Name: nome do servidor FTP, como http://contoso.com/ - FTP_Server_Port: porta de servidor FTP, como 22. - DescriçãoUma descrição significativa do servidor FTP |
- |
| SAP_Dynamic_Audit_Log_Monitor_Configuration | Configure os alertas de log de auditoria do SAP atribuindo a cada ID de mensagem um nível de gravidade conforme exigido por você, por função do sistema (produção, não produção). Esta watchlist detalha todas as IDs de mensagens de log de auditoria padrão SAP disponíveis. A watchlist pode ser estendida para conter IDs de mensagem extras que você pode criar por conta própria usando aprimoramentos ABAP em seus sistemas SAP NetWeaver. Essa watchlist também permite configurar uma equipe designada para lidar com cada um dos tipos de eventos e excluir usuários por funções SAP, perfis SAP ou por tags da SAP_User_Config watchlist. Essa watchlist é um dos principais componentes usados para configurar as regras de análise SAP integradas para monitorar o log de auditoria SAP. Para obter mais informações, consulte Monitorar o log de auditoria do SAP. - MessageID: o ID de mensagem SAP ou tipo de evento, como AUD (alterações no registro master do usuário) ou AUB (alterações de autorização). - DetailedDescription: uma descrição habilitada para markdown a ser mostrada no painel de incidentes. - ProductionSeverity: A gravidade desejada para o incidente a ser criado para sistemas Highde produção, Medium. Pode ser definido como Disabled. - NonProdSeverity: A gravidade desejada para o incidente a ser criado para sistemas Highde não produção , Medium. Pode ser definido como Disabled. - ProductionThreshold A contagem "Por hora" de eventos a serem considerados suspeitos para sistemas 60de produção. - NonProdThreshold A contagem "Por hora" de eventos a serem considerados suspeitos para sistemas 10que não são de produção. - RolesTagsToExclude: este campo aceita o nome da função SAP, nomes de perfil SAP ou tags da lista de observação SAP_User_Config. Eles são usados para excluir os usuários associados de tipos de eventos específicos. Consulte as opções para marcas de função no final desta lista. - RuleType: Use Deterministic para o tipo de evento a ser enviado para a regra AnomaliesOnlySAP - Dynamic Deterministic Log Log Monitor ou para que esse evento seja coberto pela regra SAP - Dynamic Anomaly based Audit Log Monitor Alerts (PREVIEW). Para obter mais informações, consulte Monitorar o log de auditoria do SAP. - TeamsChannelID: um parâmetro dinâmico opcional para uso em guias estratégicos. - DestinationEmail: um parâmetro dinâmico opcional para uso em guias estratégicos. Para o campo RolesTagsToExclude : - Se você listar funções SAP ou perfis SAP, isso excluirá qualquer usuário com as funções ou perfis listados desses tipos de evento para o mesmo sistema SAP. Por exemplo, se você definir a BASIC_BO_USERS função ABAP para os tipos de eventos relacionados à RFC, os usuários do Business Objects não dispararão incidentes ao fazer chamadas RFC massivas.- A marcação de um tipo de evento é semelhante à especificação de funções ou perfis SAP, mas as marcas podem ser criadas no espaço de trabalho, para que as equipes SOC possam excluir usuários por atividade sem depender da equipe SAP BASIS. Por exemplo, as IDs de mensagem de auditoria AUB (modificações de autorização) e AUD (modificações no registro master do usuário) são atribuídas à MassiveAuthChanges tag. Os usuários atribuídos a essa marca são excluídos das verificações dessas atividades. A execução da função de espaço de trabalho SAPAuditLogConfigRecommend produz uma lista de marcas recomendadas a serem atribuídas aos usuários, como Add the tags ["GenericTablebyRFCOK"] to user SENTINEL_SRV using the SAP_User_Config watchlist. |
✔️ |
| SAP_User_Config | Permite o ajuste fino de alertas excluindo/incluindo usuários em contextos específicos e também é usado para configurar as regras de análise SAP integradas para monitorar o log de auditoria SAP. Para obter mais informações, consulte Monitorar o log de auditoria do SAP. - SAPUser: o usuário SAP - Tags: As marcas são usadas para identificar usuários em relação a determinadas atividades. Por exemplo: Adicionar as marcas ["GenericTablebyRFCOK"] ao SENTINEL_SRV do usuário impedirá que incidentes relacionados à RFC sejam criados para esse usuário específico Outros identificadores de usuário do Active Directory - Identificador de usuário do AD - SID local do usuário - Nome Principal do Usuário |
✔️ |
Guias estratégicos disponíveis
Os guias estratégicos fornecidos pela solução do Microsoft Sentinel para aplicativos SAP ajudam a automatizar as cargas de trabalho de resposta a incidentes da SAP, melhorando a eficiência e a eficácia das operações de segurança.
Esta seção descreve guias estratégicos de análise internos fornecidos com a solução do Microsoft Sentinel para aplicativos SAP.
| Nome do guia estratégico | Parâmetros | Conexões | Edição pública do S/4HANA Cloud |
|---|---|---|---|
| Resposta a Incidentes SAP - Bloquear usuário do Teams - Básico | - SABÃO-SUC-User-Password - SAP-SOAP-Username - SOAPApiBasePath - PadrãoEmail - TeamsChannel |
- Microsoft Sentinel - Microsoft Teams |
- |
| Resposta a Incidentes do SAP - Bloquear usuário do Teams - Básico (Consumo) | - IntegrationSuiteUrl - PadrãoEmail - TeamsChannel |
- Microsoft Sentinel - Suíte de Integração SAP - Microsoft Teams |
✔️ |
| Resposta a Incidentes SAP - Bloquear usuário do Teams - Avançado | - SAP-SAPONE-Chaves-Credential-Name - DefaultAdminEmail - TeamsChannel |
- Microsoft Sentinel - Logs do Azure Monitor - Outlook do Office 365 ID de Microsoft Entra – Azure Key Vault - Microsoft Teams |
- |
| Resposta a Incidentes SAP - Reabilitar o log de auditoria depois de desativado | - SAP-SAPONE-Chaves-Credential-Name - DefaultAdminEmail - TeamsChannel |
- Microsoft Sentinel – Azure Key Vault - Logs do Azure Monitor - Microsoft Teams |
- |
As seções a seguir descrevem exemplos de casos de uso para cada um dos guias estratégicos fornecidos, em um cenário em que um incidente alertou sobre atividades suspeitas em um dos sistemas SAP, em que um usuário está tentando executar uma dessas transações altamente confidenciais.
Durante a fase de triagem de incidentes, você decide tomar medidas contra esse usuário, expulsando-o de seus sistemas SAP ERP ou BTP ou até mesmo do Microsoft Entra ID.
Para obter mais informações, confira Automatizar a resposta a ameaças com guias estratégicos no Microsoft Sentinel
O processo de implantação de aplicativos lógicos Standard geralmente é mais complexo do que para aplicativos lógicos de consumo. Criamos uma série de atalhos para ajudá-lo a implantá-los rapidamente no repositório GitHub do Microsoft Sentinel. Para obter mais informações, consulte o Guia de instalação passo a passo.
Dica
Assista à pasta de guias estratégicos do SAP no repositório GitHub para obter mais guias estratégicos à medida que estiverem disponíveis. Há também um pequeno vídeo introdutório (link externo) para ajudá-lo a começar.
Bloquear um usuário usando o SAP Integration Suite
O manual Bloquear usuário do Teams - Básico (Consumo) fornece o mesmo fluxo de trabalho de bloqueio de usuário que a variante Standard, mas é criado como um aplicativo lógico de consumo e se conecta ao SAP por meio do SAP Integration Suite em vez de SOAP.
O manual usa um fluxo de integração da comunidade (iFlow) para bloquear o usuário no sistema SAP. Ele lida com incidentes complexos de alerta múltiplo do Defender XDR dinamicamente e usa a identidade gerenciada para autenticação no Microsoft Sentinel, com credenciais de cliente OAuth 2.0 para a conexão do SAP Integration Suite.
Para obter detalhes de implantação, consulte o guia estratégico Basic-SAPLockUser no repositório GitHub do Microsoft Sentinel.
Bloquear um usuário de um único sistema
Crie uma regra de automação para invocar o bloqueio de usuário do Teams - Guia estratégico básico sempre que uma execução de transação confidencial por um usuário não autorizado for detectada. Este guia estratégico usa o recurso de cartões adaptáveis do Teams para solicitar aprovação antes de bloquear unilateralmente o usuário.
Para obter mais informações, consulte Cobertura de segurança de zero a herói com o Microsoft Sentinel para seus sinais críticos de segurança SAP - Você vai me ouvir SOAR! Parte 1 (postagem no blog da SAP).
O usuário Bloquear do Teams - Manual básico é um manual Standard, e os manuais Standard são geralmente mais complexos de implantar do que os manuais de consumo.
Criamos uma série de atalhos para ajudá-lo a implantá-los rapidamente no repositório GitHub do Microsoft Sentinel. Para obter mais informações, consulte Guia de instalação passo a passo e Tipos de aplicativo lógico com suporte.
Bloquear um usuário de vários sistemas
O usuário de bloqueio do Teams - Manual avançado atinge o mesmo objetivo, mas foi projetado para cenários mais complexos, permitindo que um único guia estratégico seja usado para vários sistemas SAP, cada um com seu próprio SID SAP.
O usuário Bloquear do Teams - Manual avançado gerencia perfeitamente as conexões com todos esses sistemas e suas credenciais, usando o parâmetro dinâmico opcional InterfaceAttributes na watchlist e Azure Key Vault SAP - Systems.
O usuário Bloquear do Teams - Guia estratégico avançado também permite que você se comunique com as partes no processo de aprovação usando mensagens acionáveis do Outlook junto com o Teams, usando os parâmetros TeamsChannelID e DestinationEmail no SAP_Dynamic_Audit_Log_Monitor_Configuration Watchlist.
Para obter mais informações, consulte Cobertura de segurança de zero a herói com o Microsoft Sentinel para seus sinais críticos de segurança SAP – Parte 2 (postagem no blog da SAP).
Impedir a desativação do log de auditoria
Você também pode estar preocupado com a desativação do log de auditoria do SAP, que é uma de suas fontes de dados de segurança. Recomendamos que você crie uma regra de automação com base na regra SAP - Desativação do Log de Auditoria de Segurança para invocar o guia estratégico Reabilitar o log de auditoria depois de desativado para garantir que o log de auditoria SAP não seja desativado.
O manual SAP - Desativação do Log de Auditoria de Segurança também usa o Teams, informando a equipe de segurança após o fato. A gravidade da ofensa e a urgência de sua mitigação indicam que uma ação imediata pode ser tomada sem a necessidade de aprovação.
Como o manual SAP - Desativação do Log de Auditoria de Segurança também usa Azure Key Vault para gerenciar credenciais, a configuração do manual é semelhante à do usuário Bloquear do Teams - Manual Avançado. Para obter mais informações, consulte Cobertura de segurança de zero a herói com o Microsoft Sentinel para seus sinais críticos de segurança SAP – Parte 3 (postagem no blog da SAP).
Conteúdo relacionado
Para obter mais informações, consulte Implantando a solução do Microsoft Sentinel para aplicativos SAP.