Distribuera den Microsoft Sentinel lösningen för SAP BTP

Distribuera Microsoft Sentinel-lösningen för SAP Business Technology Platform (BTP) för att samla in revisions- och aktivitetsloggar från BTP-infrastruktur och appar, upptäcka misstänkt aktivitet och undersöka hot. För en översikt, se Microsoft Sentinel Solution for SAP BTP.

Förhandskrav

Innan du börjar kontrollerar du att:

• Den Microsoft Sentinel lösningen är aktiverad.
• Du har en definierad Microsoft Sentinel arbetsyta och du har läs- och skrivbehörighet till arbetsytan.
• Din organisation använder SAP BTP (i en Cloud Foundry-miljö) för att effektivisera interaktionen med SAP-program och andra affärsprogram.
• Du har ett SAP BTP-underkonto (som stöder BTP-underkonton i Cloud Foundry-miljön). Du kan också använda ett SAP BTP-utvärderingskonto.
• Du har SAP BTP-tjänsten auditlog-management och tjänstnyckeln (se Konfigurera BTP-underkontot och lösningen).
• För att ta in applikationssårbarhetsfynd har du SAP Application Vulnerability Report Service aktiverad och en tjänstenyckel för den. Denna koppling använder separata inloggningsuppgifter från SAP BTP:s revisionsloggkoppling.
• Du har rollen Microsoft Sentinel-deltagare i mål-Microsoft Sentinel-arbetsytan.

Konfigurera BTP-underkontot och lösningen

Följ dessa steg för att konfigurera BTP-underkontot och lösningen manuellt från SAP BTP-cockpiten och Azure Portal:

1. När du har loggat in på ditt BTP-underkonto (se distributionskraven) följer du stegen för hämtning av granskningsloggar i SAP BTP-systemet.

2. I SAP BTP-cockpit väljer du granskningslogghanteringstjänsten.

   

3. Skapa en instans av granskningslogghanteringstjänsten i BTP-underkontot.

   

4. Skapa en tjänstnyckel och registrera värdena för url, uaa.clientid, uaa.clientsecretoch uaa.url. Dessa värden krävs för att distribuera dataanslutningen.

   Här är exempel på följande fältvärden:

   • URL: https://auditlog-management.cfapps.us10.hana.ondemand.com
   • uaa.clientid: 00001111-aaaa-2222-bbbb-3333cccc4444|auditlog-management!b1237
   • uaa.clientsecret: aaaaaaaa-0b0b-1c1c-2d2d-333333333333
   • uaa.url: https://trial.authentication.us10.hana.ondemand.com

5. Logga in på Azure-portalen.

6. Gå till tjänsten Microsoft Sentinel.

7. Välj Innehållshubb och sök efter BTP i sökfältet.

8. Välj SAP BTP.

9. Välj Installera.

   Mer information om hur du hanterar lösningskomponenterna finns i Identifiera och distribuera Microsoft Sentinel out-of-the-box-innehåll.

10. Välj Skapa.

    

11. Välj resursgruppen och den Microsoft Sentinel arbetsyta där lösningen ska distribueras.

12. Välj Nästa tills du klarar valideringen och välj sedan Skapa.

13. När lösningsdistributionen är klar går du tillbaka till din Microsoft Sentinel-arbetsyta och väljer Dataanslutningar.

14. I sökfältet anger du BTP och väljer sedan SAP BTP.

15. Välj Öppna sidan för anslutningsappen.

16. På sidan för anslutningsappen kontrollerar du att du uppfyller de nödvändiga kraven i listan och slutför konfigurationsstegen. När du är klar väljer du Lägg till konto.

17. Ange de parametrar som du definierade tidigare under konfigurationen. Det angivna underkontonamnet projiceras som en kolumn i SAPBTPAuditLog_CL tabellen och kan användas för att filtrera loggarna när du har flera underkonton.

    Överväg de avancerade alternativen om det behövs:

    • Avsökningsfrekvens: Den frekvens med vilken anslutningsappen söker efter nya data. Standardvärdet är 1 minut.
    • Logginmatningsfördröjning: Den uppskattade fördröjningen mellan den tid då händelsen genereras i SAP BTP och den tid den är tillgänglig i SAP BTP-granskningsloggtjänsten för inmatning i Microsoft Sentinel. Standardvärdet är 20 minuter.

    Obs!

    Hämtning av granskningar för det globala kontot hämtar inte automatiskt granskningar för underkontot. Följ konfigurationsstegen för anslutningsappen för vart och ett av de underkonton som du vill övervaka och följ även de här stegen för det globala kontot. Granska de här övervägandena för SAP BTP-kontogranskningskonfiguration.

18. Kontrollera att BTP-loggarna flödar till Microsoft Sentinel-arbetsytan:

    1. Logga in på ditt BTP-underkonto och kör några aktiviteter som genererar loggar, till exempel inloggningar, lägga till användare, ändra behörigheter och ändra inställningar.
    2. Tillåt 20 till 30 minuter för loggarna att börja flöda.
    3. På anslutningssidan för SAP BTP bekräftar du att Microsoft Sentinel tar emot BTP-data, eller frågar tabellen SAPBTPAuditLog_CL direkt.

19. Aktivera SAP BTP-arbetsboken och de inbyggda SAP BTP-analysreglerna som tillhandahålls som en del av lösningen genom att följa riktlinjerna för att distribuera Microsoft Sentinel analysregler.

Konfigurera anslutningsappen för applikationssårbarhetsrapporten (Förhandsgranskning)

Använd denna koppling för att ta in fynd från SAP Application Vulnerability Report Service. Den kan övervaka SAP BTP-appar i flera delkonton i olika regioner. Den delar inte servicenyckeln eller de inloggningsuppgifter som används av SAP BTP audit-logg-anslutningen.

1. I SAP BTP, konfigurera Application Vulnerability Report Service och skapa en dedikerad tjänstenyckel. För mer information, se SAP Finding Provider Service API.

2. Från tjänstenyckeln antecknar du Finding Provider API-URL:n (url), auktorisationsserverns URL (uaa.url), klient-ID (uaa.clientid) och klienthemlighet (uaa.clientsecret). Registrera också underkonto-ID:t.

3. I din Microsoft Sentinel-arbetsyta, välj Data connectors och sök efter Application Vulnerability Report for SAP BTP.

4. Öppna connectorsidan, välj Lägg till konto och ange underkontots namn och ID, klient-ID och hemlighet, auktorisationsserver-URL och Finding Provider API-URL.

5. Konfigurera avancerade alternativ om det behövs:

   • Pollningsfrekvens: Anslutningsprogrammet pollar var 60:e till 120:e minut. Standardvärdet är 60 minuter.
   • Loggintagsfördröjning: Fördröjningen, i minuter, används för att ta hänsyn till fynd som publiceras sent av SAP BTP. Det stödda intervallet är 120 till 300 minuter. Standardvärdet är 300 minuter.

6. Skicka kontokonfigurationen för att spara anslutningen.

7. Kontrollera att fynden kommer fram i SAPBTPAVL_CL tabellen. Tillåt den konfigurerade logging-fördröjningen innan du förväntar dig senaste fynd.

8. Aktivera analysregeln SAP BTP - Use of custom app with high or critical vulnerability och använd fliken Application Vulnerabilities i SAP BTP-arbetsboken. För mer information, se SAP BTP:s säkerhetsinnehåll.

Läs mer om integrationen av SAP Application Vulnerability Report Service med Microsoft Sentinel för SAP i SAP:s communityblogginlägg.

Överväg konfigurationer för kontogranskning

Som en del av distributionen bör du överväga granskningskonfigurationerna för ditt globala konto och underkonto.

Granskningskonfiguration för globalt konto

När du aktiverar hämtning av granskningsloggar i BTP-cockpiten för det globala kontot: Om det underkonto som du vill ge granskningslogghanteringstjänsten behörighet för finns under en katalog måste du först ge tjänsten behörighet på katalognivå. Först då kan du tilldela tjänsten på underkontonivå.

Granskningskonfiguration för underkonto

Om du vill aktivera granskning för ett underkonto slutför du stegen i dokumentationen för API:et för granskningshämtning av SAP-underkonton.

API-dokumentationen beskriver hur du aktiverar hämtning av granskningsloggen med hjälp av cloud foundry-kommandoradsgränssnittet (CLI).

Du kan också hämta loggarna via användargränssnittet:

1. Skapa en instans av granskningslogghanteringstjänsten i ditt underkonto på SAP Service Marketplace.
2. Skapa en tjänstnyckel i den nya instansen.
3. Visa tjänstnyckeln och hämta nödvändiga parametrar från steg 4 i konfigurationsanvisningarna i användargränssnittet för dataanslutningsappen (URL, uaa.url, uaa.clientid och uaa.clientsecret).

Massintroducera SAP BTP-underkonton i stor skala

För att registrera SAP BTP-underkonton i stor skala rekommenderas API- och CLI-baserade metoder. Kom igång med SAP BTP-skriptbiblioteket för registrering.

Rotera BTP-klienthemligheten

Vi rekommenderar att du regelbundet roterar BTP-underkontots klienthemligheter. En automatiserad, plattformsbaserad metod finns i vår automatiska certifikatförnyelse för SAP BTP-förtroendearkiv med Azure Key Vault – eller hur du slutar tänka på förfallodatum en gång för alla (SAP-bloggen).

Skriptbiblioteket för SAP BTP-nyckelrotation visar den automatiska processen att uppdatera en befintlig dataanslutning med en ny hemlighet.

Relaterat innehåll

• Lär dig hur du aktiverar säkerhetsinnehållet
• Granska lösningens säkerhetsinnehåll