Migrera till Microsoft Sentinels agentlösa datakoppling för SAP

  • Gäller för: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Följ denna guide för att migrera från den containeriserade SAP-agenten till den agentlösa datakopplaren för Microsoft Sentinel-lösningen för SAP-applikationer.

Microsoft kommer att ta ur bruk och permanent inaktivera den containerbaserade datakopplingsagenten den 14 september 2026. Efter detta datum slutar agenten leverera SAP-loggar till Microsoft Sentinel. Kunder som använder den agentlösa datakopplaren påverkas inte.

Varför ska du gå över till den agentlösa dataanslutningen?

Den agentlösa kontakten erbjuder dessa fördelar:

  • Förenklad driftsättning utan avtryck på SAP NetWeaver.
  • Minskad underhållskostnad utan containerhantering och standardiserade SAP-uppdateringar.
  • Framtidssäker arkitektur baserad på SAP Integration Suite och SAP Cloud Connector.
  • Förbättrad skalbarhet.

Migreringsprocessen innebär att den agentlösa kontakten distribueras sida vid sida med den befintliga containeriserade agenten, logghämtning från den agentlösa kopplaren valideras och sedan avaktiveras den containeriserade agenten.

Befintliga analysregler, arbetsböcker och playbooks för Microsoft Sentinel-lösningen för SAP-applikationer fungerar fortfarande med den agentlösa datakopplaren. Förbättringar av KQL-funktionerna stöder båda datainsamlingsmetoderna sida vid sida. Funktionerna använder fuzzy union-operatorn för att kombinera data från båda källorna när det är tillgängligt.

Migreringsväg

Skapandet av nya containeriserade agenter är redan inaktiverat. Använd den agentlösa datakopplaren när du ombordar nya SAP-system och migrera befintliga containeriserade agenter före den 14 september 2026.

  1. Utvärdera: Granska din befintliga containerbaserade SAP-agentdistribution för att identifiera övervakade SAP-system, insamlade loggtyper och eventuella anpassade konfigurationer.
  2. Granskning: Jämför konfigurationsalternativen och kapaciteterna för den containeriserade agenten och den agentlösa datakopplaren.
  3. Distribuera: Sätt upp den agentlösa datakopplaren genom att följa Deploy Microsoft Sentinel-lösningen för SAP-applikationer.
  4. Validera: Bekräfta att alla nödvändiga SAP-tabeller och loggtyper samlas in korrekt från dina SAP-system av den agentlösa datakopplaren. Använd KQL-frågor för att verifiera logginsamling. 
    let startTime = ago(1h);
let endTime = now();
ABAPAuditLog
| where TimeGenerated between (startTime .. endTime)
| summarize Count = count() by SourceSystem, bin(TimeGenerated, 5m)
| order by TimeGenerated desc
  5. Övervaka: Kör både den containeriserade agenten och den agentlösa datakopplaren parallellt under en definierad period för att säkerställa stabil och fullständig logginsamling. Bekräfta att analysregler, arbetsböcker, jaktfrågor och spelböcker returnerar förväntade resultat med loggar som tas in av den agentlösa kopplaren. Efter den 14 september 2026 slutar dessa analysregler och annat beroende innehåll att returnera resultat för berörda SAP-system om de nödvändiga loggarna inte hämtas via den agentlösa kopplaren.
  6. Avveckla: När du har verifierat den agentlösa datakopplaren avvecklar du den containerbaserade SAP-agenten genom att följa Stoppa SAP-datainsamling.

Tips

Följ videospellistan om agentlös migrering för de senaste insikterna inför en smidig övergång.

Viktigt

Granska behörigheterna för Sentinel-användaren och -rollen i dina SAP-system som används med den containerbaserade agenten. Den agentlösa dataanslutningen kräver mindre men olika auktoriseringar jämfört med den containerbaserade SAP-agenten. Se konfigurationsguiden för information och SAP-rollexempel för minsta auktorisering.

Warning

Pensionen ändrar inte prissättning eller faktureringsmätare. Dock använder den agentlösa datakopplaren andra identifieringsmetoder än den containeriserade datakopplaren. Gå igenom faktureringsundantag för utvalda SAP SID och kontakta din kontorepresentant innan du migrerar.

Funktionsparitet

Den agentlösa dataanslutningsappen ger inbyggd funktionsparitet med den containerbaserade SAP-agenten för de viktigaste användningsfallen gällande analysregler och arbetsböcker. Mer information finns i innehållsreferensen .

Alla analysregler och arbetsböcker som bygger på de underliggande SAP-källorna som anges i tabellreferensen förblir funktionella utan ändringar.

Dessa källor omfattar men är inte begränsade till följande loggar:

  • SAPcon – granskningslogg
  • SAPcon – Ändra dokumentlogg
  • Information om användar- och användarauktorisering

Lösningsomfånget kan utökas via tilläggsmönster som är tillgängliga för den agentlösa dataanslutningen. Visningslistor och spelböcker fungerar fortfarande fullt ut utan några ändringar.

Identifieringar i SAP Hana-databasen eller på operativsystemnivå omfattas inte av jämförelsen eftersom de täcks av egna anslutningsprogram i Microsoft Sentinel.

Anmärkning

Alternativet för tvärarbetsytsdistribution (installation av SAP- och SOC-data på separata arbetsytor) behövs inte längre med den enhetliga arbetsytan i Microsoft Defender-portalen och har tagits bort från portalupplevelsen. Om du fortfarande behöver en delad distribution fortsätter de underliggande ARM-API:erna att stödja det – alternativet tas bara bort från UI:t.

Nästa steg

  • Last updated on