Microsoft Defender para Endpoint no Windows Server com SAP

Se sua organização usa o SAP, é essencial entender a compatibilidade e o suporte entre os recursos antivírus e de detecção e resposta de ponto de extremidade (EDR) no Microsoft Defender para Ponto de Extremidade e seus aplicativos SAP. Este artigo ajuda você a entender o suporte fornecido pela SAP para soluções de segurança de proteção de ponto de extremidade, como o Defender para Ponto de Extremidade, e como elas interagem com aplicativos SAP.

Este artigo descreve como usar o Defender para Endpoint no Windows Server com aplicativos SAP, como o NetWeaver e o S4 Hana, e motores autônomos do SAP, como o LiveCache. Neste artigo, nos concentramos nos recursos antivírus e EDR no Defender para Ponto de Extremidade; no entanto, o Defender para Ponto de Extremidade inclui recursos adicionais. Para obter uma visão geral de todos os recursos do Defender para Ponto de Extremidade, confira Microsoft Defender para Ponto de Extremidade.

Este artigo não aborda o software cliente SAP, como SAPGUI ou o Microsoft Defender Antivírus em dispositivos cliente Windows.

Segurança empresarial e sua equipe SAP Basis

A segurança corporativa é uma função especializada e as atividades descritas neste artigo devem ser planejadas como uma atividade conjunta entre sua equipe de segurança corporativa e sua equipe SAP Basis. A equipe de segurança corporativa precisa se coordenar com a equipe de SAP Basis e definir em conjunto a configuração do Microsoft Defender for Endpoint, além de avaliar eventuais exclusões.

Obtenha uma visão geral do Defender para Endpoint

O Defender para Endpoint é um componente do Microsoft Defender XDR e pode ser integrado à sua solução SIEM/SOAR.

Antes de começar a planejar ou implantar o Defender para Ponto de Extremidade no Windows Server com SAP, reserve um momento para obter uma visão geral do Defender para Ponto de Extremidade. O vídeo a seguir fornece uma visão geral:

Para obter informações mais detalhadas sobre o Defender para Endpoint e as ofertas de segurança da Microsoft, consulte os seguintes recursos:

• Microsoft Defender para Endpoint
• Documentação e treinamento de Segurança da Microsoft

O Defender para Endpoint inclui funcionalidades que vão além do escopo deste artigo. Neste artigo, nos concentramos em duas áreas principais:

• Proteção de última geração (que inclui proteção antivírus). A proteção de última geração é um produto antivírus como outras soluções antivírus para ambientes Windows.
• EDR. Os recursos de EDR detectam atividades suspeitas e chamadas do sistema e fornecem uma camada extra de proteção contra ameaças que ignoram a proteção antivírus.

A Microsoft e outros fornecedores de software de segurança rastreiam ameaças e fornecem informações de tendências. Para obter mais informações, consulte Ameaças cibernéticas, vírus e malware - Inteligência de Segurança da Microsoft.

Declaração de suporte da SAP sobre o Defender for Endpoint e outras soluções de segurança

A SAP fornece documentação básica para soluções convencionais de antivírus de verificação de arquivos. As soluções antivírus convencionais de verificação de arquivos comparam assinaturas de arquivos com um banco de dados de ameaças conhecidas. Quando um arquivo infectado é identificado, o software antivírus normalmente alerta e coloca o arquivo em quarentena. Os mecanismos e o comportamento das soluções antivírus de verificação de arquivos são razoavelmente bem conhecidos e previsíveis; portanto, o suporte SAP pode fornecer um nível básico de suporte para aplicativos SAP que interagem com o software antivírus de verificação de arquivos.

As ameaças baseadas em arquivos são apenas um vetor possível para softwares mal-intencionados. Malware sem arquivo e malware que explora recursos nativos do sistema, ameaças altamente polimórficas que sofrem mutações mais rapidamente do que as soluções tradicionais conseguem acompanhar e ataques operados por humanos que se adaptam ao que os adversários encontram em dispositivos comprometidos. As soluções tradicionais de segurança antivírus não são suficientes para impedir esses ataques. São necessários recursos com suporte de inteligência artificial (IA) e aprendizado de máquina (ML), como bloqueio e contenção comportamental. O software de segurança, como o Defender para Endpoint, possui recursos avançados de proteção contra ameaças para mitigar ameaças modernas.

O Defender for Endpoint monitora continuamente chamadas ao sistema operacional, como leitura e gravação de arquivos, criação de soquetes e outras operações no nível do processo. O sensor EDR do Microsoft Defender para Endpoint adquire bloqueios oportunistas em sistemas de arquivos NTFS locais e, portanto, é improvável que tenha impacto nos aplicativos. Bloqueios oportunistas não são possíveis em sistemas de arquivos de rede remotos. Em casos raros, um bloqueio pode causar erros gerais não específicos, como Acesso Negado em aplicativos SAP.

SAP não pode fornecer qualquer nível de suporte para software EDR/XDR como Microsoft Defender XDR ou Defender for Endpoint. Os mecanismos em tais soluções são adaptativos; portanto, eles não são previsíveis. Além disso, os problemas potencialmente não são reproduzíveis. Quando são identificados problemas em sistemas que executam soluções avançadas de segurança, a SAP recomenda desabilitar o software de segurança e tentar reproduzir o problema. Um caso de suporte pode ser aberto com o fornecedor do software de segurança.

Para obter mais informações sobre a política de Suporte SAP, consulte 3356389 - Antivírus ou outro software de segurança que afeta as operações SAP.

Observações recomendadas do SAP OSS

Aqui está uma lista de artigos da SAP que você pode usar conforme necessário:

• 3356389 - Antivírus ou outro software de segurança que afeta as operações do SAP - SAP FOR MIM
• 106267 - Software de verificação de vírus no Windows - SAP for Me
• 690449 - Arquivo de bloqueio de buffer de transporte (. LOB) permanece bloqueado no Windows – SAP for Me
• 2311946 - Erros do sistema de arquivos no Windows - SAP for Me
• 2496239 - Ransomware / malware no Windows - SAP for Me
• 1497394 - Quais arquivos e diretórios devem ser excluídos de uma verificação antivírus para produtos SAP BusinessObjects Business Intelligence Platform no Windows? - SAP para mim

Aplicativos SAP no Windows Server: Dez principais recomendações

1. Limite o acesso aos servidores SAP, bloqueie portas de rede e tome todas as outras medidas comuns de proteção de segurança. Este primeiro passo é essencial. O cenário de ameaças evoluiu de vírus baseados em arquivos para ameaças complexas e sofisticadas sem arquivos. Ações como bloquear portas e limitar o logon/acesso a VMs não são mais consideradas suficientes para mitigar totalmente as ameaças modernas.

2. Implante o Defender for Endpoint primeiro em sistemas que não sejam de produção, antes de implantá-lo em sistemas de produção. Implantar diretamente o Defender for Endpoint em sistemas de produção sem testá-lo antes é altamente arriscado e pode causar indisponibilidade. Se você não puder adiar a implantação do Defender para Endpoint em seus sistemas de produção, considere desativar temporariamente a proteção contra adulteração e a proteção em tempo real.

3. Lembre-se de que a proteção em tempo real está habilitada por padrão no Windows Server. Se forem identificados problemas que possam estar relacionados ao Defender para Endpoint, é recomendável configurar exclusões e/ou abrir um chamado de suporte por meio do portal do Microsoft Defender.

4. Faça a equipe do SAP Basis e a equipe de segurança trabalharem em conjunto na implantação do Defender for Endpoint. As duas equipes precisam criar em conjunto um plano de implantação, teste e monitoramento em fases.

5. Use ferramentas como o PerfMon (Windows) para criar uma linha de base de desempenho antes de implantar e ativar o Defender for Endpoint. Compare a utilização de recursos antes e depois de ativar o Microsoft Defender para Endpoint. Para obter mais informações, consulte perfmon.

6. Implante a versão mais recente do Defender para Endpoint e use as versões mais recentes do Windows, de preferência o Windows Server 2019 ou posterior. Consulte Requisitos mínimos do Microsoft Defender para Endpoint.

7. Configure determinadas exclusões para o Microsoft Defender Antivírus. Eles incluem:

   • Arquivos de dados, arquivos de log e arquivos temporários do DBMS, incluindo discos contendo arquivos de backup
   • Todo o conteúdo do diretório SAPMNT
   • Todo o conteúdo do diretório SAPLOC
   • Todo o conteúdo do diretório TRANS
   • Todo o conteúdo dos diretórios para mecanismos autônomos, como TREX

   Usuários avançados podem considerar o uso de exclusões contextuais de arquivos e pastas.

   Para obter mais informações sobre exclusões de DBMS, use os seguintes recursos:

   • SQL Server: Configurar o software antivírus para funcionar com o SQL Server
   • Oracle: Como configurar o antivírus no servidor de banco de dados Oracle (Doc ID 782354.1)
   • DB2: Quais diretórios DB2 excluir do software antivírus Linux (use os mesmos comandos no Windows Server)
   • SAP ASE: Entre em contato com a SAP
   • MaxDB: Entre em contato com a SAP

8. Verifique as configurações do Defender for Endpoint. O Microsoft Defender Antivírus com aplicativos SAP deve ter as seguintes configurações na maioria dos casos:

   
   AntivirusEnabled                   : True
   AntivirusSignatureAge              : 0
   BehaviorMonitorEnabled             : True
   DefenderSignaturesOutOfDate        : False
   IsTamperProtected                  : True
   RealTimeProtectionEnabled          : True
   
   

9. Use ferramentas, como Intune ou gerenciamento de configurações de segurança do Defender para Ponto de Extremidade, para configurar o Defender para Ponto de Extremidade. Essas ferramentas podem ajudar a garantir que o Defender para Endpoint seja configurado corretamente e implantado de maneira uniforme. Para usar o gerenciamento de configurações de segurança do Defender para Endpoint, siga estas etapas:

   Observação

   O Intune é um produto separado que não faz parte do Microsoft Defender para Ponto de Extremidade, e não está incluído em todas as assinaturas. Se você não tem o Intune, use o Defender para gerenciar configurações de segurança de endpoints, conforme descrito nesta etapa. Para obter mais informações, confira Licenciamento do Microsoft Intune.

   1. No portal do Microsoft Defender, vá para Pontos de extremidade>Gerenciamento de configuração>Políticas de segurança de ponto de extremidade.

   2. Selecione Criar nova política e siga as diretrizes. Para obter mais informações, consulte Gerenciar políticas de segurança de ponto de extremidade no Microsoft Defender para Ponto de Extremidade.

10. Use a versão mais recente do Defender for Endpoint. Vários novos recursos estão sendo implementados no Defender for Endpoint no Windows, e esses recursos foram testados em sistemas SAP. Esses novos recursos reduzem o bloqueio e diminuem o consumo de CPU. Para obter mais informações sobre as novidades, consulte Novidades do Microsoft Defender para Ponto de Extremidade.

Metodologia de implantação

A SAP e a Microsoft não recomendam implantar o Defender for Endpoint no Windows diretamente em todos os sistemas de desenvolvimento, QAS e produção simultaneamente e/ou sem testes e monitoramento criteriosos. Os clientes que implantaram o Defender for Endpoint e outros softwares semelhantes de forma descontrolada, sem testes adequados, sofreram indisponibilidade do sistema como resultado disso.

O Defender para Endpoint no Windows e qualquer outro software ou alteração de configuração devem ser implantados primeiro nos sistemas de desenvolvimento, validados em QAS e, somente depois, implantados nos ambientes de produção.

Usar ferramentas, como o gerenciamento das configurações de segurança do Defender para Endpoint, para implantar o Defender para Endpoint em um ambiente SAP inteiro sem testes provavelmente causará indisponibilidade.

Aqui está uma lista do que você deve verificar:

1. Implante o Defender para Endpoint com proteção contra adulteração habilitada. Se surgirem problemas, habilite o modo de solução de problemas, desabilite a proteção contra adulterações, desabilite a proteção em tempo real e configure as verificações agendadas.

2. Exclua arquivos e executáveis do DBMS seguindo as recomendações do fornecedor do DBMS.

3. Analise os diretórios SAPMNT, SAP TRANS_DIR, Spool e Job Log. Se houver mais de 100.000 arquivos, considere arquivar para reduzir o número de arquivos.

4. Confirme os limites de desempenho e as cotas do sistema de arquivos compartilhado usado para SAPMNT. A origem do compartilhamento SMB pode ser um dispositivo NetApp, um disco compartilhado do Windows Server ou um protocolo SMB de Arquivos do Azure.

5. Configure exclusões para que todos os servidores de aplicativos SAP não verifiquem o compartilhamento SAPMNT simultaneamente, pois isso pode sobrecarregar seu servidor de armazenamento compartilhado.

6. Em geral, hospede arquivos de interface em um servidor de arquivos não SAP dedicado. Os arquivos de interface são reconhecidos como um vetor de ataque. A proteção em tempo real deve ser ativada neste servidor de arquivos dedicado. Os servidores SAP nunca devem ser usados como servidores de arquivos para arquivos de interface.

   Observação

   Alguns sistemas SAP de grande porte têm mais de 20 servidores de aplicação SAP, cada um com conexão ao mesmo compartilhamento SMB do SAPMNT. 20 servidores de aplicativos simultaneamente verificando o mesmo servidor SMB podem sobrecarregar o servidor SMB. Recomenda-se excluir o SAPMNT das verificações regulares.

Configurações importantes do Defender for Endpoint no Windows Server com SAP

1. Obtenha uma visão geral de Microsoft Defender para Ponto de Extremidade. Em particular, examine as informações sobre a proteção de última geração e o EDR.

   Observação

   Às vezes, o termo Defender é usado para se referir a um conjunto completo de produtos e soluções. Consulte O que é o Microsoft Defender XDR?. Neste artigo, focamos nos recursos de antivírus e EDR do Defender para Endpoint.

2. Verifique o status do Microsoft Defender Antivírus

   • Get-MpPreference: execute o seguinte comando do PowerShell:

     Get-MpPreference | Select-Object -Property DisableCpuThrottleOnIdleScans, DisableRealtimeMonitoring, DisableScanningMappedNetworkDrivesForFullScan , DisableScanningNetworkFiles, ExclusionPath, MAPSReporting 
     

     Saída esperada:

     
     DisableCpuThrottleOnIdleScans                 : True
     DisableRealtimeMonitoring                     : False
     DisableScanningMappedNetworkDrivesForFullScan : True
     DisableScanningNetworkFiles                   : False
     ExclusionPath                                 : <<configured exclusions show here>>
     MAPSReporting                                 : 2
     

   • Get-MpComputerStatus: Execute o seguinte comando do PowerShell:

     Get-MpComputerStatus |Select-Object -Property AMRunningMode, AntivirusEnabled, BehaviorMonitorEnabled, IsTamperProtected , OnAccessProtectionEnabled, RealTimeProtectionEnabled    
     

     Saída esperada:

     AMRunningMode             : Normal
     AntivirusEnabled          : True
     BehaviorMonitorEnabled    : True
     IsTamperProtected         : True
     OnAccessProtectionEnabled : True
     RealTimeProtectionEnabled : True
     

3. Verifique o status do EDR: Execute o seguinte comando do PowerShell: Abra o Prompt de Comando e execute o seguinte comando:

   Get-Service -Name sense | Format-List *
   

   O resultado deve ser semelhante ao seguinte exemplo:

   Name        : sense
   RequiredServices  : {}
   CanPauseAndContinue : False
   CanShutdown     : False
   CanStop       : False
   DisplayName     : Windows Defender Advanced Threat Protection Service
   DependentServices  : {}
   MachineName     : .
   ServiceName     : sense
   ServicesDependedOn : {}
   ServiceHandle    :
   Status       : Running
   ServiceType     : Win32OwnProcess
   StartType      : Automatic
   Site        :
   Container      :
   

   Os valores que você deseja ver são Status: Running e StartType: Automatic. Para obter mais informações, consulte Examinar eventos e erros usando o Visualizador de Eventos.

4. Verifique se o Microsoft Defender Antivírus está atualizado. A melhor maneira de garantir que sua proteção antivírus esteja atualizada é usando o Windows Update. Se você encontrar problemas ou receber um erro, entre em contato com sua equipe de segurança.

   Para obter mais informações sobre atualizações, consulte Inteligência de segurança e atualizações de produto do Microsoft Defender Antivírus.

5. Verifique se o monitoramento de comportamento está ativado. Quando a proteção contra adulterações está habilitada, o monitoramento de comportamento é ativado por padrão. Use a configuração padrão de proteção contra adulterações habilitada, monitoramento de comportamento habilitado e monitoramento em tempo real habilitado, a menos que um problema específico seja identificado.

   Para obter mais informações, consulte Proteção interna ajuda a proteger contra ransomware.

6. Verifique se a proteção em tempo real está habilitada. A recomendação atual para o Defender para Endpoint no Windows é habilitar a verificação em tempo real, com a proteção contra adulteração, o monitoramento de comportamento e o monitoramento em tempo real habilitados, a menos que um problema específico seja identificado.

   Para obter mais informações, consulte Proteção interna ajuda a proteger contra ransomware.

7. Tenha em mente como as verificações funcionam com compartilhamentos de rede. Por padrão, o componente do Microsoft Defender Antivírus no Windows verifica os sistemas de arquivos de rede compartilhados SMB (por exemplo, um compartilhamento \\server\smb-share do Windows Server ou um compartilhamento do NetApp) quando esses arquivos são acessados por processos.

   O EDR no Defender for Endpoint no Windows pode examinar sistemas de arquivos de rede compartilhados via SMB. O sensor EDR verifica determinados arquivos identificados como interessantes para análise EDR durante as operações de modificação, exclusão e movimentação de arquivos.

   O Defender para Endpoint no Linux não verifica sistemas de arquivos NFS durante as verificações agendadas.

8. Solucionar problemas de integridade ou confiabilidade do Sensor. Para solucionar esses problemas, use a ferramenta analisadora de cliente do Defender para Endpoint. O analisador do cliente do Defender for Endpoint pode ser útil ao diagnosticar problemas de integridade ou confiabilidade do sensor em dispositivos Windows, Linux ou Mac integrados. Baixe aqui a versão mais recente do analisador de cliente do Defender para Endpoint: https://aka.ms/MDEClientAnalyzer.

9. Abra um caso de suporte se precisar de ajuda. Consulte o suporte do Microsoft Defender para Ponto de Extremidade.

10. Se você estiver usando VMs SAP de produção com o Microsoft Defender para Nuvem, lembre-se de que o Defender para Nuvem implanta a extensão Defender para Ponto de Extremidade em todas as VMs. Se uma VM não estiver integrada ao Defender para Ponto de Extremidade, ela poderá ser usada como um vetor de ataque. Se precisar de mais tempo para testar o Defender para Endpoint antes de implantá-lo no seu ambiente de produção, entre em contato com o suporte.

Comandos úteis: Microsoft Defender para Ponto de Extremidade com SAP no Windows Server

Esta seção inclui comandos para confirmar ou configurar as configurações do Defender para Endpoint por meio do PowerShell e do Prompt de Comando:

Atualizar manualmente as definições do Microsoft Defender Antivírus

Use um dos seguintes métodos:

• Atualização do Windows

• Utilitário de linha de comando MpCmdRun:

  Em um Prompt de Comando com privilégios elevados (uma janela do Prompt de Comando que você abriu selecionando Executar como administrador), execute os seguintes comandos:

  Dica

  O primeiro comando altera o diretório para a versão mais recente da versão> da <plataforma antimalware no %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Se esse caminho não existir, ele vai para %ProgramFiles%\Windows Defender.

  (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
  
  MpCmdRun.exe -SignatureUpdate
  

  Você deve ver uma saída semelhante a esta:

  UpdateLogging: UpdateSessionGuid: 5A694F08-0962-4358-A370-95419D0A2EAE
  Signature update started . . .
  
  Service Version: 4.18.26010.5
  Engine Version: 1.1.26010.1
  AntiSpyware Signature Version: 1.445.727.0
  AntiVirus Signature Version: 1.445.727.0
  Signature update finished.
  

• Update-MpSignature:

  1. Abra uma sessão do PowerShell com privilégios elevados (uma janela do PowerShell que você abriu selecionando Executar como administrador). Por exemplo:

     1. Abra o menu Iniciar e digite powershell.
     2. Clique com o botão direito do mouse no resultado do PowerShell 7 (x64) ou do Windows PowerShell e selecione Executar como administrador.

  2. Na sessão do PowerShell com privilégios elevados, execute o seguinte comando:

     Update-MpSignature
     

Determinar se o EDR no modo de bloqueio está ativado

O EDR no modo de bloco fornece proteção adicional contra artefatos mal-intencionados quando o Microsoft Defender Antivírus não é o principal produto antivírus e está em execução no modo passivo. Você pode determinar se o EDR no modo de bloco está habilitado executando o seguinte comando:

Get-MPComputerStatus|select AMRunningMode

Existem dois modos: Modo Normal e Modo Passivo. Usamos AMRunningMode = Normal ao testar sistemas SAP.

Para obter mais informações sobre esse comando, consulte Get-MpComputerStatus.

Configurar exclusões de antivírus

Antes de configurar exclusões, certifique-se de que a equipe da base SAP esteja coordenada com sua equipe de segurança. As exclusões devem ser configuradas centralmente e não no nível da VM. Algumas exclusões, como a exclusão do sistema de arquivos SAPMNT compartilhado, devem ser configuradas com uma política no portal de administração do Microsoft Intune.

Para exibir exclusões, use o seguinte comando:

Get-MpPreference | Select-Object -Property ExclusionPath

Para obter mais informações sobre esse comando, consulte Get-MpComputerStatus.

Para obter mais informações sobre exclusões, consulte os seguintes recursos:

• Visão geral de exclusões
• Configurar exclusões personalizadas para o Microsoft Defender Antivírus
• Exclusões de arquivos e pastas contextuais

Configurar exclusões de EDR

Não é recomendável excluir arquivos, caminhos ou processos do EDR, pois essas exclusões comprometem a proteção contra ameaças modernas e não baseadas em arquivos. Se necessário, abra um caso de suporte no portal do Microsoft Defender e especifique os executáveis e/ou caminhos a serem excluídos. Para obter mais informações, consulte Entrar em contato com o suporte do Microsoft Defender para Endpoint.

Desativar o Microsoft Defender para Endpoint no Windows para fins de teste

O Defender para Endpoint deve ser configurado com a Proteção contra adulteração ativada. Para desabilitar temporariamente o Defender for Endpoint para isolar problemas, use o modo de solução de problemas.

Para desligar vários subcomponentes da solução Microsoft Defender Antivírus, execute os seguintes comandos:

Set-MPPreference -DisableTamperProtection $true
Set-MpPreference -DisableRealtimeMonitoring $true
Set-MpPreference -DisableBehaviorMonitoring $true
Set-MpPreference -MAPSReporting Disabled
Set-MpPreference -DisableIOAVProtection $true
Set-MpPreference -EnableNetworkProtection Disabled

Para obter mais informações sobre esses comandos, consulte Set-MpPreference.

Para desativar a proteção fornecida na nuvem (também conhecida como Serviço de Proteção Avançada da Microsoft ou MAPS), execute os seguintes comandos:

PowerShell Set-MpPreference -MAPSReporting 0
PowerShell Set-MpPreference -MAPSReporting Disabled

Para obter mais informações sobre a proteção fornecida na nuvem, confira os seguintes recursos:

• Proteção na nuvem e Microsoft Defender Antivírus
• Proteção de nuvem e envio de amostra no Microsoft Defender Antivírus (se você estiver considerando se deve usar o envio automático de amostra com suas políticas de segurança)

Artigos relacionados

• Diretrizes de implantação do Microsoft Defender para Ponto de Extremidade no Linux para ambientes SAP
• Microsoft Defender Antivirus no Windows Server
• Integrar servidores ao Microsoft Defender para Ponto de Extremidade
• Visão geral de detecção de ponto de extremidade e resposta