Connettere il sistema SAP a Microsoft Sentinel

Il contenuto di questo articolo è rilevante per i team di sicurezza, infrastruttura e SAP BASIS . Assicurarsi di eseguire i passaggi descritti in questo articolo nell'ordine in cui vengono presentati.

Il contenuto di questo articolo è rilevante per il team di sicurezza .

Guarda un video demo

Guardare una delle dimostrazioni video seguenti del processo di distribuzione descritto in questo articolo.

Approfondimento sulle opzioni del portale:

Include altri dettagli sull'uso di Azure KeyVault. Nessun audio, dimostrazione solo con didascalie:

Creare una macchina virtuale e configurare l'accesso alle credenziali

È consigliabile creare una macchina virtuale dedicata per il contenitore dell'agente del connettore dati per garantire prestazioni ottimali ed evitare potenziali conflitti. Per altre informazioni, vedere Prerequisiti di sistema per il contenitore dell'agente del connettore dati.

È consigliabile archiviare i segreti SAP e di autenticazione in un Azure Key Vault. La modalità di accesso all'insieme di credenziali delle chiavi dipende dalla posizione in cui viene distribuita la macchina virtuale:

Se non è possibile usare un'applicazione registrata o un'entità servizio, usare un file di configurazione per gestire le credenziali, anche se questo metodo non è preferibile. Per altre informazioni, vedere Distribuire il connettore dati usando un file di configurazione.

Per altre informazioni, vedi:

• Autenticazione in Azure Key Vault
• Che cosa sono le identità gestite per le risorse di Azure?
• Oggetti applicazione ed entità servizio in Microsoft Entra ID

La macchina virtuale viene in genere creata dal team dell'infrastruttura . La configurazione dell'accesso alle credenziali e la gestione degli archivi delle chiavi viene in genere eseguita dal team di sicurezza.

Creare un insieme di credenziali delle chiavi

Questa procedura descrive come creare un insieme di credenziali delle chiavi per archiviare le informazioni di configurazione dell'agente, inclusi i segreti di autenticazione SAP. Se si usa un insieme di credenziali delle chiavi esistente, passare direttamente al passaggio 2.

Per creare il Key Vault:

1. Eseguire i comandi seguenti, sostituendo i nomi effettivi per i valori <placeholder>.

   az keyvault create \
     --name <KeyVaultName> \
     --resource-group <KeyVaultResourceGroupName>
   

2. Copia il nome del Key Vault e il nome del relativo gruppo di risorse. Ti serviranno quando assegnerai le autorizzazioni di accesso al Key Vault ed eseguirai lo script di distribuzione nei passaggi successivi.

Assegnare permessi di accesso al Key Vault

1. Nell'insieme di credenziali delle chiavi, assegnare il ruolo lettore segreti di Key Vault di Azure all'identità creata e copiata in precedenza.

2. Nello stesso archivio delle chiavi, assegnare i seguenti ruoli di Azure all'utente che configura l'agente del connettore dati:

   • Collaboratore Key Vault, per distribuire l'agente
   • Responsabile segreti Key Vault, per aggiungere nuovi sistemi

Distribuire l'agente del connettore dati dal portale (anteprima)

Dopo aver creato una macchina virtuale e un insieme di credenziali delle chiavi, il passaggio successivo consiste nel creare un nuovo agente e connettersi a uno dei sistemi SAP. Anche se è possibile eseguire più agenti del connettore dati in un singolo computer, è consigliabile iniziare con un solo, monitorare le prestazioni e quindi aumentare lentamente il numero di connettori.

Questa procedura descrive come creare un nuovo agente e connetterlo al sistema SAP usando i portali di Azure o Defender. È consigliabile che il team di sicurezza esegua questa procedura con l'aiuto del team SAP BASIS .

La distribuzione dell'agente del connettore dati dal portale è supportata sia dal portale di Azure, che dal portale di Defender quando viene eseguito l'onboarding di Microsoft Sentinel nel portale di Defender.

Anche se la distribuzione è supportata anche dalla riga di comando, è consigliabile usare il portale per le distribuzioni tipiche. Gli agenti del connettore dati distribuiti tramite la riga di comando possono essere gestiti solo tramite la riga di comando e non tramite il portale. Per altre informazioni, vedere Distribuire un agente del connettore dati SAP dalla riga di comando.

Prerequisiti:

• Per distribuire l'agente del connettore dati tramite il portale, è necessario:

  • Autenticazione tramite un'identità gestita o un'applicazione registrata
  • Credenziali archiviate in un Azure Key Vault

  Se non hai questi prerequisiti, distribuisci l'agente del connettore dati SAP dalla riga di comando altrimenti.

• Per distribuire l'agente del connettore dati, sono necessari anche privilegi sudo o radice nel computer agente del connettore dati.

• Se si desidera inserire i log netweaver/ABAP tramite una connessione sicura tramite Secure Network Communications (SNC), è necessario:

  • Il percorso verso il binario sapgenpse e la libreria libsapcrypto.so
  • I dettagli del tuo certificato client

  Per altre informazioni, vedere Configurare il sistema per l'uso di SNC per connessioni sicure.

Per distribuire l'agente del connettore dati:

1. Accedere alla macchina virtuale appena creata in cui si sta installando l'agente, come utente con privilegi sudo.

2. Scaricare e/o trasferire SAP NetWeaver SDK nel computer.

3. In Microsoft Sentinel, seleziona Configurazione > Connettori dati.

4. Nella barra di ricerca immettere SAP. Selezionare Microsoft Sentinel per SAP - basato su agente dai risultati della ricerca e quindi Apri la pagina del connettore.

5. Nell'area Configurazione selezionare Aggiungi nuovo agente (anteprima).

   

6. Nel riquadro Crea un agente di raccolta immettere i dettagli dell'agente seguenti:

   Nome	Descrizione
   Nome agente	Immettere un nome significativo dell'agente per l'organizzazione. Non è consigliabile alcuna convenzione di denominazione specifica, ad eccezione del fatto che il nome può includere solo i tipi di caratteri seguenti: a - z A-Z 0-9 _ (carattere di sottolineatura) . (periodo) - (trattino)
   Sottoscrizione / Key Vault	Selezionare la Sottoscrizione e Key Vault nei rispettivi elenchi a discesa.
   Percorso del file ZIP dell'SDK NWRFC nella macchina virtuale dell'agente	Immettere il percorso nella VM che contiene l'archivio (file .zip) di SAP NetWeaver Remote Function Call (RFC) Software Development Kit (SDK). Assicurarsi che questo percorso includa il numero di versione dell'SDK nella sintassi seguente: <path>/NWRFC<version number>.zip. Ad esempio: /src/test/nwrfc750P_12-70002726.zip.
   Abilitare il supporto per la connessione SNC	Selezionare questa opzione per inserire i log netWeaver/ABAP tramite una connessione sicura tramite SNC. Se si seleziona questa opzione, inserire il percorso che contiene il sapgenpse file binario e la libsapcrypto.so libreria, sotto il Percorso della libreria crittografica SAP sulla macchina virtuale dell'agente. Se si vuole usare una connessione SNC, assicurarsi di selezionare Abilita supporto connessione SNC in questa fase perché non è possibile tornare indietro e abilitare una connessione SNC dopo aver completato la distribuzione dell'agente. Se si vuole modificare questa impostazione in un secondo momento, è consigliabile creare un nuovo agente.
   Autenticazione in Azure Key Vault	Per eseguire l'autenticazione nel Key Vault usando un'identità gestita, lasciare selezionata l'opzione Identità gestita predefinita. Per eseguire l'autenticazione nel Key Vault utilizzando un'applicazione registrata, selezionare Identità applicazione. È necessario che l'identità gestita o l'applicazione registrata siano configurate in anticipo. Per altre informazioni, vedere Creare una macchina virtuale e configurare l'accesso alle credenziali.

   Ad esempio:

   

7. Selezionare Crea ed esaminare le raccomandazioni prima di completare la distribuzione:

   

8. Per distribuire l'agente del connettore dati SAP, è necessario concedere all'identità della macchina virtuale dell'agente autorizzazioni specifiche per l'area di lavoro di Microsoft Sentinel, utilizzando i ruoli Microsoft Sentinel Business Applications Agent Operator e Reader.

   Per eseguire i comandi in questo passaggio, è necessario essere un proprietario del gruppo di risorse nell'area di lavoro di Microsoft Sentinel. Se non si è proprietari di un gruppo di risorse nell'area di lavoro, è possibile eseguire questa procedura anche dopo il completamento della distribuzione dell'agente.

   In Pochi altri passaggi prima di completare, copiare i comandi di assegnazione dei ruoli dal passaggio 1 ed eseguirli nella macchina virtuale dell'agente, sostituendo il segnaposto [Object_ID] con l'ID oggetto di identità della macchina virtuale. Ad esempio:

   

   Per trovare l'ID dell'oggetto di identità della macchina virtuale in Azure:

   • Per un'identità gestita, l'ID oggetto è elencato nella pagina Identità della macchina virtuale.

   • Per un'entità servizio, passare ad Applicazione aziendale in Azure. Selezionare Tutte le applicazioni e quindi selezionare la macchina virtuale. L'ID oggetto viene visualizzato nella pagina Panoramica .

   Questi comandi assegnano i ruoli Microsoft Sentinel Business Applications Agent Operator e Lettore di Azure all'identità gestita o applicativa della macchina virtuale, includendo solo l'ambito dei dati dell'agente specificato nell'area di lavoro.

   Importante

   L'assegnazione dei ruoli Operatore delle Applicazioni Aziendali di Microsoft Sentinel e Lettore tramite l'interfaccia della riga di comando assegna i ruoli esclusivamente nell'ambito dei dati dell'agente specificato nell'area di lavoro. Questa è l'opzione più sicura e pertanto consigliata.

   Se è necessario assegnare i ruoli tramite il portale di Azure, è consigliabile assegnare i ruoli in un ambito di piccole dimensioni, ad esempio solo nell'area di lavoro di Microsoft Sentinel.

9. Selezionare Copia, accanto al comando di distribuzione agente nel passaggio 2. Ad esempio:

   

10. Copiare la riga di comando in un percorso separato e quindi selezionare Chiudi.

    Le informazioni dell'agente pertinenti vengono distribuite in Azure Key Vault e il nuovo agente è visibile nella tabella in Aggiungere un agente agente di raccolta basato su API.

    In questa fase , lo stato di integrità dell'agente è "Installazione incompleta. Seguire le istruzioni". Una volta installato correttamente l'agente, lo stato diventa agente operativo. Questo aggiornamento può richiedere fino a 10 minuti. Ad esempio:

    

    Nota

    La tabella visualizza il nome dell'agente e lo stato di integrità solo per gli agenti distribuiti tramite il portale di Azure. Gli agenti distribuiti tramite la riga di comando non vengono visualizzati qui. Per altre informazioni, vedere invece la scheda Riga di comando.

11. Nella macchina virtuale in cui si prevede di installare l'agente aprire un terminale ed eseguire il comando di distribuzione agent copiato nel passaggio precedente. Questo passaggio richiede privilegi sudo o root sulla macchina dell'agente connettore dati.

    Lo script aggiorna i componenti del sistema operativo e installa l'interfaccia della riga di comando di Azure, il software Docker e altre utilità necessarie, ad esempio jq, netcat e curl.

    Fornire parametri aggiuntivi allo script in base alle esigenze per personalizzare la distribuzione del contenitore. Per altre informazioni sulle opzioni della riga di comando disponibili, vedere Informazioni di riferimento sullo script Kickstart.

    Se è necessario copiare di nuovo il tuo comando, seleziona Visualizza a destra della colonna Integrità e copia il comando accanto al comando di distribuzione agente in basso a destra.

12. Nell'area Configurazione della soluzione Microsoft Sentinel per il connettore dati dell'applicazione SAP selezionare Aggiungi nuovo sistema (anteprima) e immettere i dettagli seguenti:

    • In Selezionare un agente selezionare l'agente creato in precedenza.

    • In Identificatore di sistema selezionare il tipo di server:

      • ABAP Server
      • Message Server per utilizzare un server di messaggi come parte di ABAP SAP Central Services (ASCS).

    • Continuare definendo i dettagli correlati per il tipo di server:

      • Per un server ABAP, immettere l'indirizzo IP/FQDN del server applicazioni ABAP, l'ID e il numero di sistema e l'ID client.
      • Per un server di messaggi, immettere l'indirizzo IP/FQDN del server messaggi, il numero di porta o il nome del servizio e il gruppo di accesso

    Al termine, selezionare Avanti: Autenticazione.

    Ad esempio:

    

13. Nella scheda Autenticazione immettere i dettagli seguenti:

    • Per l'autenticazione di base, immettere l'utente e la password.
    • Se è stata selezionata una connessione SNC quando si configura l'agente, selezionare SNC e immettere i dettagli del certificato.

    Al termine, selezionare Avanti: Log.

14. Nella scheda Log selezionare i log da inserire da SAP e quindi selezionare Avanti: Rivedi e crea. Ad esempio:

    

15. (Facoltativo) Per ottenere risultati ottimali nel monitoraggio della tabella SAP PAHI, selezionare Cronologia configurazione. Per altre informazioni, vedere Verificare che la tabella PAHI venga aggiornata a intervalli regolari.

16. Esaminare le impostazioni definite. Selezionare Indietro per modificare le impostazioni oppure selezionare Distribuisci per distribuire il sistema.

La configurazione di sistema che hai definito viene distribuita nell'Azure Key Vault che hai definito durante la distribuzione. È ora possibile visualizzare i dettagli di sistema nella tabella in Configurare un sistema SAP e assegnarlo a un agente di raccolta. Questa tabella visualizza il nome dell'agente associato, l'ID sistema SAP (SID) e lo stato di integrità per i sistemi aggiunti tramite il portale o in altro modo.

In questa fase , lo stato di integrità del sistema è In sospeso. Se l'agente viene aggiornato correttamente, recupera la configurazione da Azure Key Vault e lo stato diventa Sistema integro. Questo aggiornamento può richiedere fino a 10 minuti.

Connettere il connettore dati senza agente (anteprima limitata)

1. In Microsoft Sentinel passare alla pagina Connettori dati di configurazione > e individuare il connettore dati Senza agente (anteprima) di Microsoft Sentinel per SAP.

2. Nell'area Configurazione espandere il passaggio 1. Attivare la distribuzione automatica delle risorse di Azure necessarie/SOC Engineer e selezionare Distribuisci risorse di Azure necessarie.

   Importante

   Se non si ha il ruolo Sviluppatore applicazione Entra ID o versione successiva e si seleziona Distribuisci le risorse di Azure necessarie, viene visualizzato un messaggio di errore, ad esempio: "Deploy required azure resources" (gli errori possono variare). Ciò significa che sono state create la regola di raccolta dati (DCR) e l'endpoint di raccolta dati (DCE), ma è necessario assicurarsi che la registrazione dell'app Entra ID sia autorizzata. Continuare a configurare l'autorizzazione corretta.

3. Esegui una delle operazioni seguenti:

   • Se si ha il ruolo Entra ID Application Developer o un ruolo superiore, continuare con il passaggio successivo.

   • Se non hai il ruolo Sviluppatore applicazione Entra ID o uno superiore:

     • Condividere l'ID DCR con l'amministratore o il collega dell'ID Entra con le autorizzazioni necessarie.
     • Assicurarsi che il ruolo Publisher metriche di monitoraggio sia assegnato nel DCR, con l'assegnazione dell'entità servizio, usando l'ID client dalla registrazione dell'app Entra ID.
     • Recuperare l'ID client e il segreto client dalla registrazione dell'app Entra ID da usare per l'autorizzazione in DCR.

     L'amministratore SAP usa l'ID client e il segreto client per la pubblicazione in DCR.

     Nota

     Se si è un amministratore SAP e non si ha accesso all'installazione del connettore, scaricare direttamente il pacchetto di integrazione .

4. Scorrere verso il basso e selezionare Aggiungi client SAP.

5. Nel riquadro Connetti a un client SAP immettere i dettagli seguenti:

   Campo	Descrizione
   Nome destinazione RFC	Nome della destinazione RFC, ricavato dalla destinazione BTP.
   ID client privo di agente SAP	Valore clientid tratto dal file JSON della chiave del servizio Process Integration Runtime.
   Segreto client SAP senza agente	Valore clientsecret tratto dal file JSON della chiave del servizio Process Integration Runtime.
   URL del server di autorizzazione	Valore tokenurl tratto dal file JSON della chiave del servizio Process Integration Runtime. Ad esempio: https://your-tenant.authentication.region.hana.ondemand.com/oauth/token
   Integration Suite Endpoint	Valore dell'URL acquisito dal file JSON della chiave del servizio Process Integration Runtime. Ad esempio: https://your-tenant.it-account-rt.cfapps.region.hana.ondemand.com

6. Selezionare Connetti.

Personalizzare il comportamento del connettore dati (facoltativo)

Se si dispone di un connettore dati senza agente SAP per Microsoft Sentinel, è possibile usare SAP Integration Suite per personalizzare il modo in cui il connettore dati senza agente inserisce i dati dal sistema SAP in Microsoft Sentinel.

Questa procedura è rilevante solo quando si vuole personalizzare il comportamento del connettore dati senza agente SAP. Ignorare questa procedura se si è soddisfatti della funzionalità predefinita. Ad esempio, se si usa Sybase, è consigliabile disattivare l'inserimento per i log di Change Docs in iflow configurando il parametro collect-changedocs-logs . A causa di problemi di prestazioni del database, l'inserimento dei log di Modifica docs Sybase non è supportato.

Prerequisiti per la personalizzazione del comportamento del connettore dati

• È necessario avere accesso a SAP Integration Suite, con le autorizzazioni per modificare i mapping dei valori.
• Un pacchetto di integrazione SAP, esistente o nuovo, per caricare il file di mapping dei valori predefinito.

Scaricare il file di configurazione e personalizzare le impostazioni

1. Scaricare il file diexample-parameters.zip predefinito, che fornisce impostazioni che definiscono il comportamento predefinito ed è un buon punto di partenza per iniziare a personalizzare.

   Salva il file example-parameters.zip in un percorso accessibile all'ambiente SAP Integration Suite.

2. Usare le procedure SAP standard per caricare un file di mapping dei valori e apportare modifiche per personalizzare le impostazioni del connettore dati:

   1. Caricare il file example-parameters.zip in SAP Integration Suite come artefatto di mapping dei valori. Per altre informazioni, vedere la documentazione di SAP.

   2. Usare uno dei metodi seguenti per personalizzare le impostazioni:

      • Per personalizzare le impostazioni in tutti i sistemi SAP, aggiungi mappature di valori per l'agenzia globale di mapping bidirezionale.
      • Per personalizzare le impostazioni per sistemi SAP specifici, aggiungere nuove agenzie di mapping bidirezionali per ogni sistema SAP e quindi aggiungere mapping di valori per ognuno di essi. Assegnare alle agenzie esattamente il nome della destinazione RFC da personalizzare, ad esempio myRfc, key, myRfc, value.

      Per altre informazioni, vedere la documentazione SAP sulla configurazione dei Value Mappings

   Assicurarsi di distribuire l'artefatto al termine della personalizzazione per attivare le impostazioni aggiornate.

La tabella seguente elenca i parametri personalizzabili per il connettore dati senza agente SAP per Microsoft Sentinel: