Connettere il sistema SAP a Microsoft Sentinel

Il contenuto di questo articolo è rilevante per i team di sicurezza, infrastruttura e SAP BASIS . Assicurarsi di eseguire i passaggi descritti in questo articolo nell'ordine in cui vengono presentati.

Il contenuto di questo articolo è rilevante per il team di sicurezza .

Guardare un video dimostrativo

Guardare una delle seguenti dimostrazioni video del processo di distribuzione descritto in questo articolo.

Approfondimento sulle opzioni del portale:

Include altri dettagli sull'uso di Azure KeyVault. Nessun audio, dimostrazione solo con didascalie:

Creare una macchina virtuale e configurare l'accesso alle credenziali

È consigliabile creare una macchina virtuale dedicata per il contenitore dell'agente del connettore dati per garantire prestazioni ottimali ed evitare potenziali conflitti. Per altre informazioni, vedere Prerequisiti di sistema per il contenitore dell'agente del connettore dati.

È consigliabile archiviare i segreti SAP e di autenticazione in un Azure Key Vault. La modalità di accesso all'insieme di credenziali delle chiavi dipende dalla posizione in cui viene distribuita la macchina virtuale:

Se non è possibile usare un'applicazione registrata o un'entità servizio, usare un file di configurazione per gestire le credenziali, anche se questo metodo non è preferibile. Per altre informazioni, vedere Distribuire il connettore dati usando un file di configurazione.

Per altre informazioni, vedere:

• Autenticazione in Azure Key Vault
• Quali sono le identità gestite per le risorse Azure?
• Oggetti applicazione e entità servizio in Microsoft Entra ID

La macchina virtuale viene in genere creata dal team dell'infrastruttura . La configurazione dell'accesso alle credenziali e la gestione degli insiemi di credenziali delle chiavi vengono in genere eseguite dal team di sicurezza .

Creare un insieme di credenziali delle chiavi

Questa procedura descrive come creare un insieme di credenziali delle chiavi per archiviare le informazioni di configurazione dell'agente, inclusi i segreti di autenticazione SAP. Se si usa un insieme di credenziali delle chiavi esistente, passare direttamente al passaggio 2.

Per creare l'insieme di credenziali delle chiavi:

1. Eseguire i comandi seguenti, sostituendo i nomi effettivi con i <placeholder> valori.

   az keyvault create \
     --name <KeyVaultName> \
     --resource-group <KeyVaultResourceGroupName>
   

2. Copiare il nome dell'insieme di credenziali delle chiavi e il nome del relativo gruppo di risorse. Sono necessari quando si assegnano le autorizzazioni di accesso all'insieme di credenziali delle chiavi ed si esegue lo script di distribuzione nei passaggi successivi.

Assegnare le autorizzazioni di accesso all'insieme di credenziali delle chiavi

1. Nell'insieme di credenziali delle chiavi assegnare il ruolo Azure Key Vault Lettore segretiall'identità creata e copiata in precedenza.

2. Nello stesso insieme di credenziali delle chiavi assegnare i ruoli di Azure seguenti all'utente che configura l'agente del connettore dati:

   • Key Vault Collaboratore, per distribuire l'agente
   • Key Vault Secrets Officer, per aggiungere nuovi sistemi

Distribuire l'agente del connettore dati dal portale (anteprima)

Dopo aver creato una macchina virtuale e una Key Vault, il passaggio successivo consiste nel creare un nuovo agente e connettersi a uno dei sistemi SAP. Anche se è possibile eseguire più agenti connettore dati in un singolo computer, è consigliabile iniziare con un solo, monitorare le prestazioni e quindi aumentare lentamente il numero di connettori.

Questa procedura descrive come creare un nuovo agente e connetterlo al sistema SAP usando i portali Azure o Defender. È consigliabile che il team di sicurezza esegua questa procedura con l'aiuto del team SAP BASIS .

La distribuzione dell'agente del connettore dati dal portale è supportata sia dal portale di Azure che dal portale di Defender quando Microsoft Sentinel viene eseguito l'onboarding nel portale di Defender.

Anche se la distribuzione è supportata anche dalla riga di comando, è consigliabile usare il portale per le distribuzioni tipiche. Gli agenti del connettore dati distribuiti tramite la riga di comando possono essere gestiti solo tramite la riga di comando e non tramite il portale. Per altre informazioni, vedere Distribuire un agente connettore dati SAP dalla riga di comando.

Prerequisiti:

• Per distribuire l'agente del connettore dati tramite il portale, è necessario:

  • Autenticazione tramite un'identità gestita o un'applicazione registrata
  • Credenziali archiviate in un Azure Key Vault

  Se non si dispone di questi prerequisiti, distribuire invece l'agente del connettore dati SAP dalla riga di comando .

• Per distribuire l'agente del connettore dati, sono necessari anche privilegi sudo o radice nel computer dell'agente del connettore dati.

• Se si desidera inserire i log Netweaver/ABAP tramite una connessione sicura tramite Secure Network Communications (SNC), è necessario:

  • Percorso del file binario e libsapcrypto.so della sapgenpse libreria
  • I dettagli del certificato client

  Per altre informazioni, vedere Configurare il sistema per l'uso di SNC per connessioni sicure.

Per distribuire l'agente del connettore dati:

1. Accedere alla macchina virtuale appena creata in cui si sta installando l'agente, come utente con privilegi sudo.

2. Scaricare e/o trasferire SAP NetWeaver SDK nel computer.

3. In Microsoft Sentinel selezionare Connettori dati di configurazione>.

4. Nella barra di ricerca immettere SAP. Selezionare Microsoft Sentinel per SAP - basato su agente dai risultati della ricerca e quindi aprire la pagina Apri connettore.

5. Nell'area Configurazione selezionare Aggiungi nuovo agente (anteprima).

   

6. Nel riquadro Crea un agente di raccolta immettere i dettagli dell'agente seguenti:

   Nome	Descrizione
   Nome agente	Immettere un nome di agente significativo per l'organizzazione. Non è consigliabile alcuna convenzione di denominazione specifica, ad eccezione del fatto che il nome può includere solo i tipi di caratteri seguenti: a-z A-Z 0-9 _ (carattere di sottolineatura) . (punto) - (trattino)
   Sottoscrizione / Insieme di credenziali delle chiavi	Selezionare la sottoscrizione e l'insieme di credenziali delle chiavi nei rispettivi elenchi a discesa.
   Percorso del file ZIP di NWRFC SDK nella macchina virtuale dell'agente	Immettere il percorso nella macchina virtuale che contiene l'archivio SAP NetWeaver Remote Function Call (RFC) Software Development Kit (SDK) (.zip file). Assicurarsi che questo percorso includa il numero di versione dell'SDK nella sintassi seguente: <path>/NWRFC<version number>.zip. Ad esempio: /src/test/nwrfc750P_12-70002726.zip.
   Abilitare il supporto della connessione SNC	Selezionare questa opzione per inserire i log NetWeaver/ABAP tramite una connessione sicura tramite SNC. Se si seleziona questa opzione, immettere il percorso che contiene il file binario e libsapcrypto.so la sapgenpse libreria, in Percorso della libreria di crittografia SAP nella macchina virtuale dell'agente. Se si vuole usare una connessione SNC, assicurarsi di selezionare Abilita supporto connessione SNC in questa fase perché non è possibile tornare indietro e abilitare una connessione SNC dopo aver completato la distribuzione dell'agente. Se si vuole modificare questa impostazione in seguito, è consigliabile creare un nuovo agente.
   Autenticazione in Azure Key Vault	Per eseguire l'autenticazione nell'insieme di credenziali delle chiavi usando un'identità gestita, lasciare selezionata l'opzione predefinita Identità gestita . Per eseguire l'autenticazione nell'insieme di credenziali delle chiavi usando un'applicazione registrata, selezionare Identità applicazione. È necessario che l'identità gestita o l'applicazione registrata sia configurata in anticipo. Per altre informazioni, vedere Creare una macchina virtuale e configurare l'accesso alle credenziali.

   Ad esempio:

   

7. Selezionare Crea ed esaminare le raccomandazioni prima di completare la distribuzione:

   

8. Per la distribuzione dell'agente connettore dati SAP è necessario concedere all'identità della macchina virtuale dell'agente autorizzazioni specifiche per l'area di lavoro Microsoft Sentinel, usando i ruoli Operatore agente e Lettoredi applicazioni aziendali Microsoft Sentinel.

   Per eseguire i comandi in questo passaggio, è necessario essere proprietari di un gruppo di risorse nell'area di lavoro Microsoft Sentinel. Se non si è proprietari di gruppi di risorse nell'area di lavoro, questa procedura può essere eseguita anche al termine della distribuzione dell'agente.

   In Pochi altri passaggi prima di completare, copiare i comandi di assegnazione di ruolo del passaggio 1 ed eseguirli nella macchina virtuale dell'agente, sostituendo il segnaposto con l'ID [Object_ID] dell'oggetto identità della macchina virtuale. Ad esempio:

   

   Per trovare l'ID oggetto identità della macchina virtuale in Azure:

   • Per un'identità gestita, l'ID oggetto è elencato nella pagina Identità della macchina virtuale.

   • Per un'entità servizio, passare all'applicazione Enterprise in Azure. Selezionare Tutte le applicazioni e quindi selezionare la macchina virtuale. L'ID oggetto viene visualizzato nella pagina Panoramica .

   Questi comandi assegnano i ruoli Microsoft Sentinel Business Applications Agent Operator e Reader Azure all'identità gestita o dell'applicazione della macchina virtuale, incluso solo l'ambito dei dati dell'agente specificato nell'area di lavoro.

   Importante

   L'assegnazione dei ruoli operatore e lettoredell'agente Microsoft Sentinel applicazioni aziendali tramite l'interfaccia della riga di comando assegna i ruoli solo all'ambito dei dati dell'agente specificato nell'area di lavoro. Si tratta dell'opzione più sicura e quindi consigliata.

   Se è necessario assegnare i ruoli tramite il portale di Azure, è consigliabile assegnare i ruoli in un ambito ridotto, ad esempio solo nell'area di lavoro Microsoft Sentinel.

9. Selezionare Copia Accanto al comando Di distribuzione agente nel passaggio 2. Ad esempio:

   

10. Copiare la riga di comando in un percorso separato e quindi selezionare Chiudi.

    Le informazioni rilevanti sull'agente vengono distribuite in Azure Key Vault e il nuovo agente è visibile nella tabella in Aggiungere un agente di raccolta basato su API.

    In questa fase, lo stato di integrità dell'agente è "Installazione incompleta. Seguire le istruzioni. Dopo aver installato correttamente l'agente, lo stato diventa Integro agente. Questo aggiornamento può richiedere fino a 10 minuti. Ad esempio:

    

    Nota

    Nella tabella vengono visualizzati il nome dell'agente e lo stato di integrità solo per gli agenti distribuiti tramite il portale di Azure. Gli agenti distribuiti tramite la riga di comando non vengono visualizzati qui. Per altre informazioni, vedere la scheda Riga di comando.

11. Nella macchina virtuale in cui si prevede di installare l'agente, aprire un terminale ed eseguire il comando di distribuzione agent copiato nel passaggio precedente. Questo passaggio richiede privilegi sudo o radice nel computer dell'agente del connettore dati.

    Lo script aggiorna i componenti del sistema operativo e installa l'interfaccia della riga di comando Azure, il software Docker e altre utilità necessarie, ad esempio jq, netcat e curl.

    Specificare parametri aggiuntivi per lo script in base alle esigenze per personalizzare la distribuzione del contenitore. Per altre informazioni sulle opzioni della riga di comando disponibili, vedere Guida di riferimento per lo script Kickstart.

    Se è necessario copiare di nuovo il comando, selezionare Visualizza A destra della colonna Integrità e copiare il comando accanto al comando Di distribuzione agente in basso a destra.

12. Nella pagina Microsoft Sentinel soluzione per il connettore dati dell'applicazione SAP selezionare Aggiungi nuovo sistema (anteprima) nell'area Configurazione e immettere i dettagli seguenti:

    • In Selezionare un agente selezionare l'agente creato in precedenza.

    • In Identificatore di sistema selezionare il tipo di server:

      • ABAP Server
      • Server messaggi per usare un server di messaggi come parte di un servizio ASCS (SAP Central Services) ABAP.

    • Continuare definendo i dettagli correlati per il tipo di server:

      • Per un server ABAP immettere l'indirizzo IP/FQDN del server applicazioni ABAP, l'ID di sistema e il numero e l'ID client.
      • Per un server messaggi immettere l'indirizzo IP/FQDN del server di messaggi, il numero di porta o il nome del servizio e il gruppo di accesso

    Al termine, selezionare Avanti: Autenticazione.

    Ad esempio:

    

13. Nella scheda Autenticazione immettere i dettagli seguenti:

    • Per l'autenticazione di base, immettere l'utente e la password.
    • Se è stata selezionata una connessione SNC durante la configurazione dell'agente, selezionare SNC e immettere i dettagli del certificato.

    Al termine, selezionare Avanti: Log.

14. Nella scheda Log selezionare i log da inserire da SAP e quindi selezionare Avanti: Rivedi e crea. Ad esempio:

    

15. (Facoltativo) Per ottenere risultati ottimali nel monitoraggio della tabella SAP PAHI, selezionare Cronologia configurazione. Per altre informazioni, vedere Verificare che la tabella PAHI venga aggiornata a intervalli regolari.

16. Esaminare le impostazioni definite. Selezionare Precedente per modificare le impostazioni oppure selezionare Distribuisci per distribuire il sistema.

La configurazione di sistema definita viene distribuita nel Azure Key Vault definito durante la distribuzione. È ora possibile visualizzare i dettagli di sistema nella tabella in Configurare un sistema SAP e assegnarlo a un agente di raccolta. Questa tabella visualizza il nome dell'agente associato, l'ID sistema SAP (SID) e lo stato di integrità per i sistemi aggiunti tramite il portale o in altro modo.

In questa fase, lo stato di integrità del sistema è In sospeso. Se l'agente viene aggiornato correttamente, esegue il pull della configurazione da Azure insieme di credenziali delle chiavi e lo stato diventa Integro del sistema. Questo aggiornamento può richiedere fino a 10 minuti.

Connettere il connettore dati senza agente

1. In Microsoft Sentinel passare alla pagina Connettori dati di configurazione > e individuare il Microsoft Sentinel per SAP - Connettore dati senza agente.

2. Nell'area Configurazione espandere il passaggio 1. Attivare la distribuzione automatica delle risorse Azure necessarie/tecnico SOC e selezionare Distribuisci risorse Azure necessarie.

   Importante

   Se non si ha il ruolo di sviluppatore dell'applicazione id Entra o superiore e si seleziona Distribuisci le risorse Azure necessarie, viene visualizzato un messaggio di errore, ad esempio: "Distribuire le risorse Azure necessarie" (gli errori possono variare). Ciò significa che sono stati creati la regola di raccolta dati (DCR) e l'endpoint di raccolta dati (DCE), ma è necessario assicurarsi che la registrazione dell'app ID Entra sia autorizzata. Continuare a configurare l'autorizzazione corretta.

   Nota

   Quando si distribuiscono le risorse Azure necessarie per la soluzione Microsoft Sentinel per le applicazioni SAP (senza agente), Azure Resource Manager (ARM) potrebbe richiedere fino a 45 secondi per completare le operazioni del provider di risorse. Durante questo periodo, la distribuzione potrebbe apparire ritardata. Questo comportamento è previsto. Attendere il completamento dell'operazione prima di ripetere o ridistribuirla.

3. Eseguire una delle operazioni seguenti:

   • Se si ha il ruolo di sviluppatore di applicazioni Entra ID o superiore, continuare con il passaggio successivo.

   • Se non si ha il ruolo di sviluppatore di applicazioni Entra ID o superiore:

     • Condividere l'ID DCR con l'amministratore o il collega dell'ID Entra con le autorizzazioni necessarie.
     • Assicurarsi che il ruolo server di pubblicazione delle metriche di monitoraggio sia assegnato nel Registro Azure Container, con l'assegnazione dell'entità servizio, usando l'ID client della registrazione dell'app id Entra.
     • Recuperare l'ID client e il segreto client dalla registrazione dell'app id Entra da usare per l'autorizzazione nel registro certificati.

     L'amministratore SAP usa l'ID client e le informazioni sul segreto client per l'inserimento nel DCR.

     Nota

     Se si è un amministratore SAP e non si ha accesso all'installazione del connettore, scaricare direttamente il pacchetto di integrazione .

4. Scorrere verso il basso e selezionare Aggiungi client SAP.

5. Nel riquadro Connect to an SAP Client side (Connetti a un client SAP ) immettere i dettagli seguenti:

   Campo	Descrizione
   Nome di destinazione RFC	Nome della destinazione RFC, tratto dalla destinazione BTP.
   ID client senza agente SAP	Valore clientid tratto dal file JSON della chiave del servizio Process Integration Runtime.
   Segreto client senza agente SAP	Il valore clientsecret tratto dal file JSON della chiave del servizio process Integration Runtime.
   URL del server di autorizzazione	Valore tokenurl tratto dal file JSON della chiave del servizio Process Integration Runtime. Ad esempio: https://your-tenant.authentication.region.hana.ondemand.com/oauth/token
   Integration Suite Endpoint	Valore url tratto dal file JSON della chiave del servizio Process Integration Runtime. Ad esempio: https://your-tenant.it-account-rt.cfapps.region.hana.ondemand.com

6. Selezionare Connetti.

Mass-Onboard sistemi SAP su larga scala

Per eseguire l'onboarding di sistemi SAP nella soluzione Sentinel per le applicazioni SAP su larga scala, sono consigliati approcci basati su API e interfaccia della riga di comando. Introduzione a questa libreria di script.

Ruotare il segreto client BTP

È consigliabile ruotare periodicamente i segreti client dell'account secondario BTP usati dal connettore dati. Per un approccio automatizzato basato sulla piattaforma, vedere il rinnovo automatico del certificato dell'archivio attendibilità SAP BTP con Azure Key Vault o come smettere di pensare una volta per tutte alle date di scadenza (blog SAP).

Questa libreria di script illustra il processo automatico di aggiornamento di un connettore dati esistente con un nuovo segreto.

Personalizzare il comportamento del connettore dati (facoltativo)

Se si dispone di un connettore dati senza agente SAP per Microsoft Sentinel, è possibile usare SAP Integration Suite per personalizzare il modo in cui il connettore dati senza agente inserisce i dati dal sistema SAP in Microsoft Sentinel.

Questa procedura è rilevante solo quando si vuole personalizzare il comportamento del connettore dati senza agente SAP. Ignorare questa procedura se si è soddisfatti della funzionalità predefinita. Ad esempio, se si usa Sybase, è consigliabile disattivare l'inserimento per i log di Change Docs nell'iflow configurando il parametro collect-changedocs-logs . A causa di problemi di prestazioni del database, l'inserimento dei log di Change Docs Sybase non è supportato.

Prerequisiti per la personalizzazione del comportamento del connettore dati

• È necessario avere accesso a SAP Integration Suite, con le autorizzazioni per modificare i mapping dei valori.
• Pacchetto di integrazione SAP, esistente o nuovo, per caricare il file di mapping dei valori predefinito.

Scaricare il file di configurazione e personalizzare le impostazioni

1. Scaricare il file diexample-parameters.zip predefinito, che fornisce impostazioni che definiscono il comportamento predefinito ed è un buon punto di partenza per iniziare a personalizzare.

   Salvare il file example-parameters.zip in un percorso accessibile all'ambiente SAP Integration Suite.

2. Usare le procedure SAP standard per caricare un file di mapping dei valori e apportare modifiche per personalizzare le impostazioni del connettore dati:

   1. Caricare il file example-parameters.zip in SAP Integration Suite come artefatto di mapping dei valori. Per altre informazioni, vedere la documentazione di SAP.

   2. Usare uno dei metodi seguenti per personalizzare le impostazioni:

      • Per personalizzare le impostazioni in tutti i sistemi SAP, aggiungere mapping di valore per l'agenzia di mapping bidirezionale globale .
      • Per personalizzare le impostazioni per sistemi SAP specifici, aggiungere nuove agenzie di mapping bidirezionali per ogni sistema SAP e quindi aggiungere mapping di valore per ognuno di essi. Assegnare un nome alle agenzie in modo che corrispondano esattamente al nome della destinazione RFC da personalizzare, ad esempio myRfc, chiave, myRfc, valore.

      Per altre informazioni, vedere la documentazione sap sulla configurazione dei mapping di valori

   Assicurarsi di distribuire l'artefatto al termine della personalizzazione per attivare le impostazioni aggiornate.

Nella tabella seguente sono elencati i parametri personalizzabili per il connettore dati senza agente SAP per Microsoft Sentinel: