Deskundige configuratieopties, on-premises implementatie en SAPControl-logboekbronnen

Artikel
08/08/2024

In dit artikel wordt beschreven hoe u de Microsoft Sentinel voor SAP-gegevensconnector implementeert in een expert of aangepast proces, zoals het gebruik van een on-premises machine en een Azure Key Vault om uw referenties op te slaan.

Notitie

Het standaardproces en het meest aanbevolen proces voor het implementeren van de Microsoft Sentinel voor SAP-gegevensconnector is met behulp van een Azure-VM. Dit artikel is bedoeld voor geavanceerde gebruikers.

Vereisten

De basisvereisten voor het implementeren van uw Microsoft Sentinel voor SAP-gegevensconnector zijn hetzelfde, ongeacht uw implementatiemethode.

Zorg ervoor dat uw systeem voldoet aan de vereisten die worden beschreven in het hoofddocument met vereisten voor sap-gegevensconnector voordat u begint.

Uw Azure-sleutelkluis maken

Maak een Azure-sleutelkluis die u kunt toewijzen aan uw Microsoft Sentinel-oplossing voor SAP-toepassingsgegevensconnector®.

Voer de volgende opdracht uit om uw Azure-sleutelkluis te maken en toegang te verlenen tot een Azure-service-principal:

kvgp=<KVResourceGroup>

kvname=<keyvaultname>

spname=<sp-name>

kvname=<keyvaultname>
# Optional when Azure MI not enabled - Create sp user for AZ cli connection, save details for env.list file
az ad sp create-for-rbac –name $spname --role Contributor --scopes /subscriptions/<subscription_id>

SpID=$(az ad sp list –display-name $spname –query “[].appId” --output tsv

#Create key vault
az keyvault create \
  --name $kvname \
  --resource-group $kvgp
  
# Add access to SP
az keyvault set-policy --name $kvname --resource-group $kvgp --object-id $spID --secret-permissions get list set

Zie quickstart: Een sleutelkluis maken met behulp van de Azure CLI voor meer informatie.

Azure Key Vault-geheimen toevoegen

Als u Azure Key Vault-geheimen wilt toevoegen, voert u het volgende script uit met uw eigen systeem-id en de referenties die u wilt toevoegen:

#Add Abap username
az keyvault secret set \
  --name <SID>-ABAPUSER \
  --value "<abapuser>" \
  --description SECRET_ABAP_USER --vault-name $kvname

#Add Abap Username password
az keyvault secret set \
  --name <SID>-ABAPPASS \
  --value "<abapuserpass>" \
  --description SECRET_ABAP_PASSWORD --vault-name $kvname

#Add Java Username
az keyvault secret set \
  --name <SID>-JAVAOSUSER \
  --value "<javauser>" \
  --description SECRET_JAVAOS_USER --vault-name $kvname

#Add Java Username password
az keyvault secret set \
  --name <SID>-JAVAOSPASS \
  --value "<javauserpass>" \
  --description SECRET_JAVAOS_PASSWORD --vault-name $kvname

#Add abapos username
az keyvault secret set \
  --name <SID>-ABAPOSUSER \
  --value "<abaposuser>" \
  --description SECRET_ABAPOS_USER --vault-name $kvname

#Add abapos username password
az keyvault secret set \
  --name <SID>-ABAPOSPASS \
  --value "<abaposuserpass>" \
  --description SECRET_ABAPOS_PASSWORD --vault-name $kvname

#Add Azure Log ws ID
az keyvault secret set \
  --name <SID>-LOGWSID \
  --value "<logwsod>" \
  --description SECRET_AZURE_LOG_WS_ID --vault-name $kvname

#Add Azure Log ws public key
az keyvault secret set \
  --name <SID>-LOGWSPUBLICKEY \
  --value "<loswspubkey>" \
  --description SECRET_AZURE_LOG_WS_PUBLIC_KEY --vault-name $kvname

Zie de documentatie van az keyvault secret CLI voor meer informatie.

Een expert/aangepaste installatie uitvoeren

In deze procedure wordt beschreven hoe u de Microsoft Sentinel voor SAP-gegevensconnector implementeert met behulp van een deskundige of aangepaste installatie, zoals bij het installeren van on-premises.

U wordt aangeraden deze procedure uit te voeren nadat u een sleutelkluis hebt die klaar is met uw SAP-referenties.

De Microsoft Sentinel voor SAP-gegevensconnector implementeren:

Download op uw on-premises computer de nieuwste SAP NW RFC SDK van de SAP Launchpad-site>SAP NW RFC SDK>SAP NW RFC SDK 7.50>nwrfc750X_X-xxxxxxx.zip.

Notitie

U hebt de aanmeldingsgegevens van uw SAP-gebruiker nodig om toegang te krijgen tot de SDK en u moet de SDK downloaden die overeenkomt met uw besturingssysteem.

Zorg ervoor dat u de optie LINUX ON X86_64 selecteert.
Maak op uw on-premises computer een nieuwe map met een betekenisvolle naam en kopieer het ZIP-bestand van de SDK naar uw nieuwe map.

Kloon de GitHub-opslagplaats van de Microsoft Sentinel-oplossing naar uw on-premises computer en kopieer de Microsoft Sentinel-oplossing voor sap-toepassingen® systemconfig.ini bestand naar uw nieuwe map.

Voorbeeld:

mkdir /home/$(pwd)/sapcon/<sap-sid>/
cd /home/$(pwd)/sapcon/<sap-sid>/
wget  https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Solutions/SAP/template/systemconfig.ini 
cp <**nwrfc750X_X-xxxxxxx.zip**> /home/$(pwd)/sapcon/<sap-sid>/

Bewerk het systemconfig.ini bestand indien nodig met behulp van de ingesloten opmerkingen als richtlijn. Zie De Microsoft Sentinel voor SAP-gegevensconnector handmatig configureren voor meer informatie.

Als u uw configuratie wilt testen, kunt u de gebruiker en het wachtwoord rechtstreeks toevoegen aan het systemconfig.ini configuratiebestand. Hoewel het raadzaam is om Azure Key Vault te gebruiken om uw referenties op te slaan, kunt u ook een env.list-bestand, Docker-geheimen gebruiken of uw referenties rechtstreeks toevoegen aan het systemconfig.ini-bestand.
Definieer de logboeken die u wilt opnemen in Microsoft Sentinel met behulp van de instructies in het bestand systemconfig.ini . Zie Bijvoorbeeld de SAP-logboeken definiëren die naar Microsoft Sentinel worden verzonden.
Definieer de volgende configuraties met behulp van de instructies in het bestand systemconfig.ini :
- Of e-mailadressen van gebruikers moeten worden opgenomen in auditlogboeken
- Mislukte API-aanroepen opnieuw proberen
- Of cexal-auditlogboeken moeten worden opgenomen
- Of er een tijdsinterval tussen gegevensextracties moet worden gewacht, met name voor grote extracties
Zie configuraties van SAL-logboekconnector voor meer informatie.
Sla het bijgewerkte systemconfig.ini-bestand op in de sapcon-map op uw computer.

Als u ervoor hebt gekozen om een env.list-bestand voor uw referenties te gebruiken, maakt u een tijdelijk env.list-bestand met de vereiste referenties. Zodra uw Docker-container correct wordt uitgevoerd, moet u dit bestand verwijderen.

Notitie

Het volgende script heeft elke Docker-container die verbinding maakt met een specifiek ABAP-systeem. Pas het script zo nodig aan voor uw omgeving.

Run:

##############################################################
# Include the following section if you're using user authentication
##############################################################
# env.list template for Credentials
SAPADMUSER=<SET_SAPCONTROL_USER>
SAPADMPASSWORD=<SET_SAPCONTROL_PASS>
LOGWSID=<SET SENTINEL WORKSPACE id>
LOGWSPUBLICKEY=<SET SENTINEL WORKSPACE KEY>
ABAPUSER=SET_ABAP_USER>
ABAPPASS=<SET_ABAP_PASS>
JAVAUSER=<SET_JAVA_OS_USER>
JAVAPASS=<SET_JAVA_OS_USER>
##############################################################
# Include the following section if you are using Azure Keyvault
##############################################################
# env.list template for AZ Cli when MI is not enabled
AZURE_TENANT_ID=<your tenant id>
AZURE_CLIENT_ID=<your client/app id>
AZURE_CLIENT_SECRET=<your password/secret for the service principal>
##############################################################

Download en voer de vooraf gedefinieerde Docker-installatiekopieën uit met de SAP-gegevensconnector geïnstalleerd. Run:

docker pull mcr.microsoft.com/azure-sentinel/solutions/sapcon:latest-preview
docker run --env-file=<env.list_location> -d --restart unless-stopped -v /home/$(pwd)/sapcon/<sap-sid>/:/sapcon-app/sapcon/config/system --name sapcon-<sid> sapcon
rm -f <env.list_location>

Controleer of de Docker-container correct wordt uitgevoerd. Run:
```
docker logs –f sapcon-[SID]
```
Ga verder met het implementeren van de Microsoft Sentinel-oplossing voor SAP-toepassingen®.

Door de oplossing te implementeren, kan de SAP-gegevensconnector worden weergegeven in Microsoft Sentinel en worden de SAP-werkmap- en analyseregels geïmplementeerd. Wanneer u klaar bent, voegt u handmatig uw SAP-watchlists toe en past u deze aan.

Zie De Microsoft Sentinel-oplossing implementeren voor SAP-toepassingen® vanuit de inhoudshub voor meer informatie.

De Microsoft Sentinel handmatig configureren voor SAP-gegevensconnector

De Microsoft Sentinel voor SAP-gegevensconnector is geconfigureerd in het systemconfig.ini-bestand , dat u hebt gekloond naar uw SAP-gegevensconnectormachine als onderdeel van de implementatieprocedure.

De volgende code toont een voorbeeld van een systemconfig.ini-bestand :

[Secrets Source]
secrets = '<DOCKER_RUNTIME/AZURE_KEY_VAULT/DOCKER_SECRETS/DOCKER_FIXED>'
keyvault = '<SET_YOUR_AZURE_KEYVAULT>'
intprefix = '<SET_YOUR_PREFIX>'

[ABAP Central Instance]
##############################################################
# Define the following values according to your server configuration.
ashost = <SET_YOUR_APPLICATION_SERVER_HOST>
mshost = <SET_YOUR_MESSAGE_SERVER_HOST> - #In case different then App
##############################################################
group = <SET_YOUR_LOGON_GROUP>
msserv = <SET_YOUR_MS_SERVICE> - #Required only if the message server service is not defined as sapms<SYSID> in /etc/services
sysnr = <SET_YOUR_SYS_NUMBER>
user = <SET_YOUR_USER>
##############################################################
# Enter your password OR your X509 SNC parameters
passwd = <SET_YOUR_PASSWORD>
snc_partnername = <SET_YOUR_SNC_PARTNER_NAME>
snc_lib = <SET_YOUR_SNC_LIBRARY_PATH>
x509cert = <SET_YOUR_X509_CERTIFICATE>
##############################################################
sysid = <SET_YOUR_SYSTEM_ID>
client = <SET_YOUR_CLIENT>

[Azure Credentials]
loganalyticswsid = <SET_YOUR_LOG_ANALYTICS_WORKSPACE_ID>
publickey = <SET_YOUR_PUBLIC_KEY>

[File Extraction ABAP]
osuser = <SET_YOUR_SAPADM_LIKE_USER>
##############################################################
# Enter your password OR your X509 SNC parameters
ospasswd = <SET_YOUR_SAPADM_PASS>
x509pkicert = <SET_YOUR_X509_PKI_CERTIFICATE>
##############################################################
appserver = <SET_YOUR_SAPCTRL_SERVER IP OR FQDN>
instance = <SET_YOUR_SAP_INSTANCE NUMBER, example 10>
abapseverity = <SET_ABAP_SEVERITY 0 = All logs ; 1 = Warning ; 2 = Error>
abaptz = <SET_ABAP_TZ --Use ONLY GMT FORMAT-- example - For OS Timezone = NZST use abaptz = GMT+12>

[File Extraction JAVA]
javaosuser = <SET_YOUR_JAVAADM_LIKE_USER>
##############################################################
# Enter your password OR your X509 SNC parameters
javaospasswd = <SET_YOUR_JAVAADM_PASS>
javax509pkicert = <SET_YOUR_X509_PKI_CERTIFICATE>
##############################################################
javaappserver = <SET_YOUR_JAVA_SAPCTRL_SERVER IP ADDRESS OR FQDN>
javainstance = <SET_YOUR_JAVA_SAP_INSTANCE for example 10>
javaseverity = <SET_JAVA_SEVERITY  0 = All logs ; 1 = Warning ; 2 = Error>
javatz = <SET_JAVA_TZ --Use ONLY GMT FORMAT-- example - For OS Timezone = NZST use javatz = GMT+12>

De SAP-logboeken definiëren die naar Microsoft Sentinel worden verzonden

Voeg de volgende code toe aan de Microsoft Sentinel-oplossing voor SAP-toepassingen® systemconfig.ini bestand om de logboeken te definiëren die naar Microsoft Sentinel worden verzonden.

Zie De Microsoft Sentinel-oplossing voor logboeken voor SAP-toepassingen® voor logboeken (openbare preview) voor meer informatie.

##############################################################
# Enter True OR False for each log to send those logs to Microsoft Sentinel
[Logs Activation Status]
ABAPAuditLog = True
ABAPJobLog = True
ABAPSpoolLog = True
ABAPSpoolOutputLog = True
ABAPChangeDocsLog = True
ABAPAppLog = True
ABAPWorkflowLog = True
ABAPCRLog = True
ABAPTableDataLog = False
# ABAP SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
ABAPFilesLogs = False
SysLog = False
ICM = False
WP = False
GW = False
# Java SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
JAVAFilesLogs = False
##############################################################

Connectorinstellingen voor SAL-logboeken

Voeg de volgende code toe aan de Microsoft Sentinel voor SAP-gegevensconnector systemconfig.ini bestand om andere instellingen te definiëren voor SAP-logboeken die zijn opgenomen in Microsoft Sentinel.

Zie Een expert/aangepaste SAP-gegevensconnector installeren voor meer informatie.

##############################################################
[Connector Configuration]
extractuseremail = True
apiretry = True
auditlogforcexal = False
auditlogforcelegacyfiles = False
timechunk = 60
##############################################################

In deze sectie kunt u de volgende parameters configureren:

Parameternaam	Beschrijving
extractuseremail	Bepaalt of e-mailadressen van gebruikers zijn opgenomen in auditlogboeken.
apiretry	Bepaalt of API-aanroepen opnieuw worden geprobeerd als failovermechanisme.
auditlogforcexal	Bepaalt of het systeem het gebruik van auditlogboeken voor niet-SAL-systemen dwingt, zoals SAP BASIS versie 7.4.
auditlogforcelegacyfiles	Bepaalt of het systeem het gebruik van auditlogboeken met verouderde systeemmogelijkheden dwingt, zoals van SAP BASIS versie 7.4 met lagere patchniveaus.
timechunk	Bepaalt dat het systeem een bepaald aantal minuten wacht als een interval tussen gegevensextracties. Gebruik deze parameter als u een grote hoeveelheid gegevens verwacht. Tijdens de initiële gegevensbelasting tijdens de eerste 24 uur wilt u bijvoorbeeld dat de gegevensextractie slechts om de 30 minuten wordt uitgevoerd om elke gegevensextractie voldoende tijd te geven. In dergelijke gevallen stelt u deze waarde in op 30.

Een ABAP SAP Control-exemplaar configureren

Als u alle ABAP-logboeken wilt opnemen in Microsoft Sentinel, inclusief zowel NW RFC- als SAP Control Web Service-logboeken, configureert u de volgende ABAP SAP Control-details:

Instelling	Beschrijving
javaappserver	Voer uw SAP Control ABAP-serverhost in. Bijvoorbeeld: `contoso-erp.appserver.com`
javainstance	Voer uw SAP Control ABAP-exemplaarnummer in. Bijvoorbeeld: `00`
abaptz	Voer de tijdzone in die is geconfigureerd op uw SAP Control ABAP-server, in GMT-indeling. Bijvoorbeeld: `GMT+3`
abapseveriteit	Voer het laagste, inclusieve ernstniveau in waarvoor u ABAP-logboeken wilt opnemen in Microsoft Sentinel. Waarden zijn onder andere: - 0 = Alle logboeken - 1 = Waarschuwing - 2 = Fout

Een Exemplaar van Java SAP Control configureren

Als u SAP Control Web Service-logboeken wilt opnemen in Microsoft Sentinel, configureert u de volgende details van het JAVA SAP Control-exemplaar:

Parameter	Description
javaappserver	Voer uw SAP Control Java-serverhost in. Bijvoorbeeld: `contoso-java.server.com`
javainstance	Voer uw SAP Control ABAP-exemplaarnummer in. Bijvoorbeeld: `10`
javatz	Voer de tijdzone in die is geconfigureerd op uw SAP Control Java-server, in GMT-indeling. Bijvoorbeeld: `GMT+3`
javaseverity	Voer het laagste, inclusieve ernstniveau in waarvoor u webservicelogboeken wilt opnemen in Microsoft Sentinel. Waarden zijn onder andere: - 0 = Alle logboeken - 1 = Waarschuwing - 2 = Fout

Verzameling van gebruikershoofdgegevens configureren

Als u tabellen rechtstreeks vanuit uw SAP-systeem wilt opnemen met details over uw gebruikers en rolautorisaties, configureert u uw systemconfig.ini bestand met eenFalse True/instructie voor elke tabel.

Voorbeeld:

[ABAP Table Selector] 
USR01_FULL = True
USR02_FULL = True
USR02_INCREMENTAL = True
UST04_FULL = True
AGR_USERS_FULL = True
AGR_USERS_INCREMENTAL = True
USR21_FULL = True
AGR_1251_FULL = True
ADR6_FULL = True
AGR_TCODES_FULL = True 
DEVACCESS_FULL = True
AGR_DEFINE_FULL = True
AGR_DEFINE_INCREMENTAL = True
AGR_PROF_FULL = True
PAHI_FULL = True

Zie Tabellen die rechtstreeks zijn opgehaald uit SAP-systemen voor meer informatie.

Volgende stappen

Nadat uw SAP-gegevensconnector is geïnstalleerd, kunt u de sap-gerelateerde beveiligingsinhoud toevoegen.

Zie De SAP-oplossing implementeren voor meer informatie.

Zie voor meer informatie:

Delen via