Microsoft Sentinel-megoldás SAP-alkalmazásokhoz® – SAP -Security Auditnapló és Initial Access-munkafüzet

Cikk
10/18/2023

Ez a cikk az SAP -Security Audit naplóját és az Initial Access munkafüzetet ismerteti, amely az SAP-rendszerek felhasználói naplózási tevékenységeinek figyelésére és nyomon követésére szolgál. A munkafüzet segítségével madártávlatból tekintheti meg a felhasználói naplózási tevékenységeket, így hatékonyabban védheti sap-rendszereit, és gyorsan áttekintheti a gyanús műveleteket. Szükség szerint részletezheti a gyanús eseményeket.

A munkafüzetet használhatja az SAP-rendszerek folyamatos figyeléséhez, vagy biztonsági incidenst vagy más gyanús tevékenységet követő rendszerek áttekintéséhez.

A munkafüzet használatának megkezdése

A Microsoft Sentinel portálon válassza a Munkafüzetek lehetőséget a Fenyegetéskezelés menüben.
A Munkafüzetek gyűjteményben lépjen a Sablonok lapra, és írja be az SAP kifejezést a keresősávba, és válassza az SAP -Security Audit log and Initial Access lehetőséget az eredmények közül.
Válassza a Sablon megtekintése lehetőséget a munkafüzet adott állapotában történő használatához, vagy válassza a Mentés elemet a munkafüzet szerkeszthető másolatának létrehozásához. A másolat létrehozása után válassza a Mentett munkafüzet megtekintése lehetőséget.

Fontos

Az SAP -Security Audit naplót és az Initial Access munkafüzetet az a munkaterület üzemelteti, ahol az SAP-alkalmazásokhoz® készült Microsoft Sentinel-megoldás telepítve volt. Alapértelmezés szerint az SAP és az SOC-adatok is a munkafüzetet üzemeltető munkaterületen lesznek.

Ha az SOC-adatok más munkaterületen találhatók, mint a munkafüzetet üzemeltető munkaterület, ügyeljen arra, hogy az adott munkaterülethez tartozó előfizetést is tartalmazza, és válassza ki az SOC-munkaterületet az Azure audit- és tevékenység-munkaterületéről.
Válassza ki a következő mezőket az adatok igényei szerinti szűréséhez:
- Időtartomány. Négy órától 90 napig.
- Rendszerszerepkörök. Az SAP rendszerszerepkörei, például: Fejlesztés.
- Rendszerhasználat. Például: SAP GTS.
- SAP-rendszerek. Kiválaszthatja az összes rendszert, egy adott rendszert, vagy több rendszert is kiválaszthat.
Ha olyan rendszereket választ ki, amelyek nincsenek konfigurálva az "SAP-rendszerek" figyelőlistájában, a munkafüzet hibát jelenít meg, és megadja a problémákat okozó rendszereket. Ebben az esetben konfigurálja a figyelőlistát úgy, hogy megfelelően tartalmazza ezeket a rendszereket.

Munkafüzet áttekintése

A munkafüzet két lapra van osztva:

Bejelentkezési elemzési jelentés. Különböző típusú adatokat jelenít meg a bejelentkezési hibákkal kapcsolatban. Az adatok közé tartoznak a rendellenes adatok, a Microsoft Entra-adatok és egyebek. Az adatok az "SAP-rendszerek" figyelőlistáján alapulnak.
Naplóriasztások jelentése. Különböző típusú adatokat jelenít meg az SAP Auditnapló eseményeivel kapcsolatban, amelyeket az SAP-alkalmazásokhoz® készült Microsoft Sentinel-megoldás figyel. Az adatok a "SAP_Dynamic_Audit_Log_Monitor_Configuration" figyelőlistán alapulnak.

Bejelentkezési elemzési jelentés lap

Tartalmazza a bejelentkezési elemzési és bejelentkezési hibák területeit .

Bejelentkezési elemzés

Különböző típusú adatokat jelenít meg a felhasználói bejelentkezésekkel kapcsolatban.

Terület	Leírás	Beállítások
Egyedi felhasználói bejelentkezések rendszerenként	Megjeleníti az egyes SAP-rendszerek egyedi bejelentkezéseinek számát, valamint egy grafikont, amelyen a bejelentkezési trendek láthatók az egyes rendszerekhez megadott idő alatt. Például: a 012 rendszer 1,4 K egyedi bejelentkezési kísérletekkel rendelkezik az elmúlt 14 napban, és ebben a 14 napban a grafikon viszonylag növekvő bejelentkezési trendet mutat.
Bejelentkezési típusok trendje	A bejelentkezések számának trendje típus szerint, például bejelentkezés párbeszédpanelen keresztül.	A diagramra rámutatva megjelenítheti a különböző dátumokhoz tartozó bejelentkezések számát.
Bejelentkezési hibák és egyedi felhasználók sikeressége – trend	A sikeres és sikertelen bejelentkezések trendje a kijelölt időszakban.	A gráfra rámutatva megjelenítheti a sikeres és sikertelen bejelentkezések mennyiségét a különböző dátumokhoz.

Bejelentkezési hibák – anomáliadetektálás

Az Anomáliadetektálási területek – a zajos sikertelen bejelentkezési kísérletek kiszűrése az SAP-rendszerek és a felhasználók bejelentkezési hibaadatait jeleníti meg. Ha csak az anomáliadetektálással megjelölt adatokat szeretné látni, válassza az Anomália lehetőséget a jobb oldalon található Sikertelen bejelentkezések mellett.

Terület	Leírás	Konkrét adatok	Beállítások/jegyzetek
Bejelentkezési hibák gyakorisága>– Bejelentkezési hibák anomáliái>– Egyedi felhasználó sikertelen bejelentkezése SAP-rendszerenként	Az egyes SAP-rendszerek egyedi sikertelen bejelentkezéseinek számát jeleníti meg.
Az SAP és az Active Directory együtt jobbak	A rendellenes bejelentkezési hibák táblázata a Microsoft Sentinel és a Microsoft Entra adatok kombinációját mutatja. A munkafüzet a kockázatnak megfelelően jeleníti meg a felhasználókat: A legnagyobb kockázatot jelző felhasználók a lista tetején, a kisebb biztonsági kockázattal rendelkező felhasználók pedig alul találhatók.	Minden felhasználó esetében a következőt jeleníti meg: • Sikertelen bejelentkezési kísérletek idővonala • Egy idősor, amely azt mutatja, hogy melyik időpontban történt rendellenes sikertelen kísérlet • Az anomália típusa • A felhasználó e-mail-címe • A Microsoft Entra kockázati mutatója • Az incidensek és riasztások száma a Microsoft Sentinelben	• Amikor kiválaszt egy sort, megjelenik az adott felhasználóhoz tartozó riasztások és incidensek listája a felhasználó incidenseinek/riasztásainak áttekintése alatt. A lista alatt a Microsoft Entra kockázati eseményeit is láthatja az Azure-naplózás és a felhasználói bejelentkezési kockázatok alatt. • Ha a Microsoft Entra-adatok egy másik Log Analytics-munkaterületen találhatók, győződjön meg arról, hogy a megfelelő előfizetéseket és munkaterületeket a munkafüzet tetején, az Azure-naplózás és -tevékenységek területen választja ki.
Bejelentkezési hibák gyakorisága rendszerenként	Vizuálisan a kiválasztott SAP-rendszereket jelöli.	• Az egyes rendszereknél a kiválasztott időszakban előforduló hibák számát jeleníti meg • A rendszerek típus szerint vannak csoportosítva. • A rendszer színe a sikertelen kísérletek számát jelzi: a zöld néhány gyanús bejelentkezési kísérletet jelez, ahol a piros a gyanúsabb bejelentkezési kísérleteket jelzi.	A rendszer kiválasztásával megtekintheti a sikertelen bejelentkezések listáját a hibák részleteivel.

Ebben a képernyőképen láthatja azokat az adatokat, amikor az első sor ki van jelölve a rendellenes bejelentkezési hibák táblában. Az adott riasztások és incidens URL-címek a felhasználói tábla Incidensek/riasztások áttekintésében jelennek meg.

Ebben a képernyőképen a felhasználói tábla Azure-naplózási és bejelentkezési kockázatainak adatai láthatók a felhasználóval kapcsolatos bejelentkezési kockázattal kapcsolatban.

Ebben a képernyőképen láthatja a bejelentkezési hibák gyakoriságát rendszerterületenként, ahol a Teszt csoport alatti 84e rendszer van kiválasztva. A jobb oldali rendszerterület sikertelen bejelentkezései a rendszer meghibásodási eseményeit jelenítik meg.

Bejelentkezési hibák – trendek

A bejelentkezési hibák trendjei terület a sikertelen bejelentkezések trendjeit és számát jeleníti meg, különböző típusú adatok szerint csoportosítva.

Terület	Leírás
Bejelentkezési hiba ok szerint	A bejelentkezési hibák számának trendje a hiba okának megfelelően, például helytelen bejelentkezési adatok.
Bejelentkezési hiba típus szerint	A bejelentkezési hibák számának trendje típus szerint, például: a bejelentkezés háttérfeladatot váltott ki, vagy a bejelentkezés HTTP-en keresztül történt.
Bejelentkezési hiba módszer szerint	A bejelentkezési hibák számának trendjét jeleníti meg módszer szerint, például: SNC vagy bejelentkezési jegy.

Naplóriasztások jelentésének lapja

Ez a lap az egyes SAP-rendszerek és -felhasználók súlyossági és naplózási trendjeit mutatja be. A lap minden területén csak az anomáliadetektálással megjelölt adatok láthatók. Minden eseménynél válassza a jobb oldalon a Sikertelen bejelentkezések mellett található Összes lehetőséget.

Terület	Leírás	Konkrét adatok	Beállítások/jegyzetek
Riasztás súlyossági trendjei rendszerazonosítónként	A rendszerek listáját jeleníti meg, a rendszerenkénti közepes és nagy súlyosságú eseménytrendek grafikonjával. A 012-rendszer például számos nagy súlyosságú eseményt észlelt az egész időszakban, és néhány közepes súlyossági eseményt, amelyeknél kiugróan magas volt a közepes súlyosságú események száma az időszak közepén.
Naplózási trend felhasználónként	A Microsoft Sentinel és a Microsoft Entra adatok kombinációját jeleníti meg. A munkafüzet kockázatnak megfelelően jeleníti meg a felhasználókat: A legnagyobb kockázatot jelző felhasználók a lista tetején, a kisebb biztonsági kockázattal rendelkező felhasználók pedig alul találhatók.	Minden felhasználó esetében a következőt jeleníti meg: • A magas és közepes súlyosságú események idővonala • A felhasználó e-mail-címe • A Microsoft Entra kockázati mutatója • Az incidensek és riasztások száma a Microsoft Sentinelben	Amikor kiválaszt egy sort, megjelenik az adott felhasználóhoz tartozó riasztások és incidensek listája a felhasználó incidenseinek/riasztásainak áttekintése alatt. A lista alatt a Microsoft Entra kockázati eseményeit is láthatja az Azure-naplózás és a felhasználói bejelentkezési kockázatok alatt.
Rendszerenkénti kockázati pontszám	Vizuálisan egy cellaalakzat minden rendszerét ábrázolja.	• Megjeleníti az egyes rendszerek kockázati pontszámát. • A rendszerek típus szerint vannak csoportosítva. • A rendszer színe a kockázatot jelzi: A zöld az alacsonyabb kockázati pontszámú rendszert jelöli, ahol a piros magasabb kockázati pontszámot jelez.	Kiválaszthat egy rendszert az SAP-események rendszerenkénti listájának megtekintéséhez.
MITRE ATT&CK-taktikák® eseményei	A MITRE ATT&CK-taktikák®, például az Initial Access vagy a Defense Evasion által csoportosított SAP-események listáját jeleníti meg.		A gráfra rámutatva megjelenítheti a különböző dátumokhoz tartozó bejelentkezések számát.
Események kategória szerint	Az SAP eseménytrendjeinek listája kategóriák szerint csoportosítva, például RFC Start vagy Bejelentkezés.		A gráfra rámutatva megjelenítheti a bejelentkezési számot a különböző dátumok esetében.
Események engedélyezési csoport szerint	Megjeleníti az SAP-eseménytrendek listáját az SAP engedélyezési csoport szerint csoportosítva, például U Standard kiadás R vagy SUPER.		A gráfra rámutatva megjelenítheti a különböző dátumokhoz tartozó bejelentkezések számát.
Események felhasználótípus szerint	Az SAP-eseménytrendek listáját jeleníti meg az SAP-felhasználó típusa szerint csoportosítva, például a Párbeszédpanel vagy a rendszer szerint.		A gráfra rámutatva megjelenítheti a különböző dátumokhoz tartozó bejelentkezések számát.

Ebben a képernyőképen láthatja azokat az adatokat, amikor az első sor ki van jelölve a felhasználói táblánkénti naplózási trendekben. Az adott riasztások és incidens URL-címek a felhasználói tábla Incidensek/riasztások áttekintésében jelennek meg.

Ebben a képernyőképen láthatja a rendszerterületenkénti kockázati pontszámot, ahol az UAT-csoport alatti cb7 rendszer van kiválasztva. A rendszervizualizáció alatti rendszerterület SAP-eseményei a rendszer SAP-eseményét jelenítik meg.

Ebben a képernyőképen különböző típusú adatok szerint csoportosított eseményeket és eseménytrendeket tartalmazó területek láthatók: MITRE ATT&CK-taktikák®, SAP-engedélyezési csoport és felhasználói típus.

További lépések

For more information, see:

Share via