Välj SAP-inmatningsprofil
Den här artikeln beskriver hur du väljer profilen för din SAP-lösning. Vi rekommenderar att du väljer en inmatningsprofil som maximerar din säkerhetstäckning samtidigt som du uppfyller dina budgetkrav.
Eftersom SAP är ett affärsprogram och affärsprocesser tenderar att vara säsongsbaserade kan det vara svårt att förutsäga den totala mängden loggar över tid. För att åtgärda det här problemet rekommenderar vi att du behåller alla loggar på i två veckor och lär dig av den observerade aktiviteten. Den här inlärningen kan senare revideras under affärsaktivitetstoppar eller större landskapsomvandlingar.
I följande avsnitt visas vanliga kundkonfigurationsprofiler för SAP-logginmatning.
Standardprofil (rekommenderas)
Den här profilen innehåller fullständig täckning för:
- Inbyggd analys
- Huvuddatatabeller för SAP-användarauktorisering med användare och behörighetsinformation
- Möjligheten att spåra ändringar och aktiviteter i SAP-landskapet. Den här profilen ger mer loggningsinformation för att möjliggöra undersökningar efter intrång och utökade jaktförmågor.
systemconfig.ini fil
[Logs Activation Status]
# ABAP RFC Logs - Retrieved by using RFC interface
ABAPAuditLog = True
ABAPJobLog = True
ABAPSpoolLog = True
ABAPSpoolOutputLog = True
ABAPChangeDocsLog = True
ABAPAppLog = True
ABAPWorkflowLog = True
ABAPCRLog = True
ABAPTableDataLog = False
# ABAP SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
ABAPFilesLogs = False
SysLog = False
ICM = False
WP = False
GW = False
# Java SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
JAVAFilesLogs = False
[ABAP Table Selector]
AGR_TCODES_FULL = True
USR01_FULL = True
USR02_FULL = True
USR02_INCREMENTAL = True
AGR_1251_FULL = True
AGR_USERS_FULL = True
AGR_USERS_INCREMENTAL = True
AGR_PROF_FULL = True
UST04_FULL = True
USR21_FULL = True
ADR6_FULL = True
ADCP_FULL = True
USR05_FULL = True
USGRP_USER_FULL = True
USER_ADDR_FULL = True
DEVACCESS_FULL = True
AGR_DEFINE_FULL = True
AGR_DEFINE_INCREMENTAL = True
PAHI_FULL = True
AGR_AGRS_FULL = True
USRSTAMP_FULL = True
USRSTAMP_INCREMENTAL = True
AGR_FLAGS_FULL = True
AGR_FLAGS_INCREMENTAL = True
SNCSYSACL_FULL = False
USRACL_FULL = False
Profil för identifieringsfokuserad
Den här profilen innehåller kärnsäkerhetsloggarna i SAP-landskapet som krävs för att de flesta analysreglerna ska fungera bra. Undersökningar efter intrång och jaktfunktioner är begränsade.
systemconfig.ini fil
[Logs Activation Status]
# ABAP RFC Logs - Retrieved by using RFC interface
ABAPAuditLog = True
ABAPJobLog = False
ABAPSpoolLog = False
ABAPSpoolOutputLog = False
ABAPChangeDocsLog = True
ABAPAppLog = False
ABAPWorkflowLog = False
ABAPCRLog = True
ABAPTableDataLog = False
# ABAP SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
ABAPFilesLogs = False
SysLog = False
ICM = False
WP = False
GW = False
# Java SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
JAVAFilesLogs = False
[ABAP Table Selector]
AGR_TCODES_FULL = True
USR01_FULL = True
USR02_FULL = True
USR02_INCREMENTAL = True
AGR_1251_FULL = True
AGR_USERS_FULL = True
AGR_USERS_INCREMENTAL = True
AGR_PROF_FULL = True
UST04_FULL = True
USR21_FULL = True
ADR6_FULL = True
ADCP_FULL = True
USR05_FULL = True
USGRP_USER_FULL = True
USER_ADDR_FULL = True
DEVACCESS_FULL = True
AGR_DEFINE_FULL = True
AGR_DEFINE_INCREMENTAL = True
PAHI_FULL = False
AGR_AGRS_FULL = True
USRSTAMP_FULL = True
USRSTAMP_INCREMENTAL = True
AGR_FLAGS_FULL = True
AGR_FLAGS_INCREMENTAL = True
SNCSYSACL_FULL = False
USRACL_FULL = False
Minimal profil
SAP-säkerhetsgranskningsloggen är den viktigaste datakällan som Microsoft Sentinel-lösningen för SAP-program® använder för att analysera aktiviteter i SAP-landskapet. Att aktivera den här loggen är det minsta kravet för att tillhandahålla säkerhetstäckning.
systemconfig.ini fil
[Logs Activation Status]
# ABAP RFC Logs - Retrieved by using RFC interface
ABAPAuditLog = True
ABAPJobLog = False
ABAPSpoolLog = False
ABAPSpoolOutputLog = False
ABAPChangeDocsLog = False
ABAPAppLog = False
ABAPWorkflowLog = False
ABAPCRLog = False
ABAPTableDataLog = False
# ABAP SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
ABAPFilesLogs = False
SysLog = False
ICM = False
WP = False
GW = False
# Java SAP Control Logs - Retrieved by using SAP Conntrol interface and OS Login
JAVAFilesLogs = False
[ABAP Table Selector]
AGR_TCODES_FULL = False
USR01_FULL = False
USR02_FULL = False
USR02_INCREMENTAL = False
AGR_1251_FULL = False
AGR_USERS_FULL = False
AGR_USERS_INCREMENTAL = False
AGR_PROF_FULL = False
UST04_FULL = False
USR21_FULL = False
ADR6_FULL = False
ADCP_FULL = False
USR05_FULL = False
USGRP_USER_FULL = False
USER_ADDR_FULL = False
DEVACCESS_FULL = False
AGR_DEFINE_FULL = False
AGR_DEFINE_INCREMENTAL = False
PAHI_FULL = False
AGR_AGRS_FULL = False
USRSTAMP_FULL = False
USRSTAMP_INCREMENTAL = False
AGR_FLAGS_FULL = False
AGR_FLAGS_INCREMENTAL = False
SNCSYSACL_FULL = False
USRACL_FULL = False
Nästa steg
Läs mer om Microsoft Sentinel-lösningen för SAP-program®:
- Distribuera Microsoft Sentinel-lösning för SAP-program®
- Förutsättningar för att distribuera Microsoft Sentinel-lösning för SAP-program®
- Distribuera SAP Change Requests (CRs) och konfigurera auktorisering
- Distribuera lösningsinnehållet från innehållshubben
- Distribuera och konfigurera containern som är värd för SAP-dataanslutningsagenten
- Distribuera Microsoft Sentinel för SAP-dataanslutningsappen med SNC
- Aktivera och konfigurera SAP-granskning
- Övervaka hälsotillståndet för ditt SAP-system
- Samla in SAP HANA-granskningsloggar
Felsökning:
Referensfiler:
- Datareferens för Microsoft Sentinel-lösning för SAP-program®
- Microsoft Sentinel-lösning för SAP-program®: referens för säkerhetsinnehåll
- Uppdatera skriptreferens
- Systemconfig.ini filreferens
Mer information finns i Microsoft Sentinel-lösningar.