Sélectionner le profil d’ingestion SAP

Cet article explique comment sélectionner le profil de votre solution SAP. Nous vous recommandons de sélectionner un profil d’ingestion qui optimise votre couverture de sécurité tout en répondant à vos besoins budgétaires.

Étant donné que SAP est une application métier et que les processus métier ont tendance à être saisonniers, il peut être difficile de prédire le volume global de journaux au fil du temps. Pour résoudre ce problème, nous vous recommandons de conserver tous les journaux d’activité pendant deux semaines et d’apprendre de l’activité observée. Cet apprentissage peut ensuite être révisé pendant les pics d’activité ou les transformations majeures du paysage.

Les sections suivantes présentent les profils de configuration client classiques pour l’ingestion des journaux SAP.

Profil par défaut (recommandé)

Ce profil inclut une couverture complète pour :

• Analytique intégrée
• Tables de données de référence d’autorisation utilisateur SAP, avec des informations sur les utilisateurs et les privilèges
• La possibilité de suivre les modifications et les activités dans le paysage SAP. Ce profil fournit plus d’informations de journalisation pour permettre des enquêtes post-violation et des capacités de chasse étendues.

Fichier systemconfig.ini

[Logs Activation Status]
# ABAP RFC Logs - Retrieved by using RFC interface
ABAPAuditLog = True
ABAPJobLog = True
ABAPSpoolLog = True
ABAPSpoolOutputLog = True
ABAPChangeDocsLog = True
ABAPAppLog = True
ABAPWorkflowLog = True
ABAPCRLog = True
ABAPTableDataLog = False
# ABAP SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
ABAPFilesLogs = False
SysLog = False
ICM = False
WP = False
GW = False
# Java SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
JAVAFilesLogs = False
[ABAP Table Selector]
AGR_TCODES_FULL = True
USR01_FULL = True
USR02_FULL = True
USR02_INCREMENTAL = True
AGR_1251_FULL = True
AGR_USERS_FULL = True
AGR_USERS_INCREMENTAL = True
AGR_PROF_FULL = True
UST04_FULL = True
USR21_FULL = True
ADR6_FULL = True
ADCP_FULL = True
USR05_FULL = True
USGRP_USER_FULL = True
USER_ADDR_FULL = True
DEVACCESS_FULL = True
AGR_DEFINE_FULL = True
AGR_DEFINE_INCREMENTAL = True
PAHI_FULL = True
AGR_AGRS_FULL = True
USRSTAMP_FULL = True
USRSTAMP_INCREMENTAL = True
AGR_FLAGS_FULL = True
AGR_FLAGS_INCREMENTAL = True
SNCSYSACL_FULL = False
USRACL_FULL = False

Profil axé sur la détection

Ce profil inclut les principaux journaux de sécurité du paysage SAP requis pour que la plupart des règles d’analytique fonctionnent correctement. Les enquêtes post-violation et les fonctionnalités de chasse sont limitées.

Fichier systemconfig.ini

[Logs Activation Status]
# ABAP RFC Logs - Retrieved by using RFC interface
ABAPAuditLog = True
ABAPJobLog = False
ABAPSpoolLog = False
ABAPSpoolOutputLog = False
ABAPChangeDocsLog = True
ABAPAppLog = False
ABAPWorkflowLog = False
ABAPCRLog = True
ABAPTableDataLog = False
# ABAP SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
ABAPFilesLogs = False
SysLog = False
ICM = False
WP = False
GW = False
# Java SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
JAVAFilesLogs = False
[ABAP Table Selector]
AGR_TCODES_FULL = True
USR01_FULL = True
USR02_FULL = True
USR02_INCREMENTAL = True
AGR_1251_FULL = True
AGR_USERS_FULL = True
AGR_USERS_INCREMENTAL = True
AGR_PROF_FULL = True
UST04_FULL = True
USR21_FULL = True
ADR6_FULL = True
ADCP_FULL = True
USR05_FULL = True
USGRP_USER_FULL = True
USER_ADDR_FULL = True
DEVACCESS_FULL = True
AGR_DEFINE_FULL = True
AGR_DEFINE_INCREMENTAL = True
PAHI_FULL = False
AGR_AGRS_FULL = True
USRSTAMP_FULL = True
USRSTAMP_INCREMENTAL = True
AGR_FLAGS_FULL = True
AGR_FLAGS_INCREMENTAL = True
SNCSYSACL_FULL = False
USRACL_FULL = False

Profil minimal

Le journal d’audit de sécurité SAP est la source de données la plus importante que les applications Solution Microsoft Sentinel pour SAP® utilisent pour analyser les activités dans le paysage SAP. L’activation de ce journal est l’exigence minimale pour fournir une couverture de sécurité.

Fichier systemconfig.ini

[Logs Activation Status]
# ABAP RFC Logs - Retrieved by using RFC interface
ABAPAuditLog = True
ABAPJobLog = False
ABAPSpoolLog = False
ABAPSpoolOutputLog = False
ABAPChangeDocsLog = False
ABAPAppLog = False
ABAPWorkflowLog = False
ABAPCRLog = False
ABAPTableDataLog = False
# ABAP SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
ABAPFilesLogs = False
SysLog = False
ICM = False
WP = False
GW = False
# Java SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
JAVAFilesLogs = False
[ABAP Table Selector]
AGR_TCODES_FULL = False
USR01_FULL = False
USR02_FULL = False
USR02_INCREMENTAL = False
AGR_1251_FULL = False
AGR_USERS_FULL = False
AGR_USERS_INCREMENTAL = False
AGR_PROF_FULL = False
UST04_FULL = False
USR21_FULL = False
ADR6_FULL = False
ADCP_FULL = False
USR05_FULL = False
USGRP_USER_FULL = False
USER_ADDR_FULL = False
DEVACCESS_FULL = False
AGR_DEFINE_FULL = False
AGR_DEFINE_INCREMENTAL = False
PAHI_FULL = False
AGR_AGRS_FULL = False
USRSTAMP_FULL = False
USRSTAMP_INCREMENTAL = False
AGR_FLAGS_FULL = False
AGR_FLAGS_INCREMENTAL = False
SNCSYSACL_FULL = False
USRACL_FULL = False

Étapes suivantes

En savoir plus sur les applications Solution Microsoft Sentinel pour SAP® :

• Déployer des applications Solution Microsoft Sentinel pour SAP®
• Prérequis pour le déploiement des applications Solution Microsoft Sentinel pour SAP®
• Déployer des demandes de modification SAP (CR) et configurer l’autorisation
• Déployer le contenu de la solution à partir du hub de contenu
• Déployer et configurer le conteneur hébergeant l’agent de connecteur de données SAP
• Déployer le connecteur de données Microsoft Sentinel pour SAP avec SNC
• Activer et configurer l’audit SAP
• Surveiller l’intégrité de votre système SAP
• Collecter les journaux d’audit SAP HANA

Résolution des problèmes :

• Résolution des problèmes de déploiement de solution pour les applications Solution Microsoft Sentinel pour SAP®

Fichiers de référence :

• Référence de données des applications Solution Microsoft Sentinel pour SAP®
• Applications Solution Microsoft Sentinel pour SAP® : référence relative au contenu de sécurité
• Mettre à jour la référence de script
• Informations de référence sur le fichier Systemconfig.ini

Pour plus d’informations, consultez Solutions Microsoft Sentinel.