Conexión del sistema SAP a Microsoft Sentinel

El contenido de este artículo es relevante para los equipos de seguridad, infraestructura y SAP BASIS. Asegúrese de realizar los pasos de este artículo en el orden en que se presentan.

El contenido de este artículo es relevante para su equipo de seguridad.

Vea un vídeo de demostración

Vea una de las siguientes demostraciones de vídeo del proceso de implementación descrito en este artículo.

Una profundización en las opciones del portal:

Incluye más detalles sobre el uso de Azure KeyVault. Sin audio, demostración solo con subtítulos:

Creación de una máquina virtual y configuración del acceso a las credenciales

Se recomienda crear una máquina virtual dedicada para el contenedor del agente del conector de datos para garantizar un rendimiento óptimo y evitar posibles conflictos. Para obtener más información, consulte Requisitos previos del sistema para el contenedor del agente del conector de datos.

Le recomendamos que guarde sus secretos de SAP y autenticación en un Azure Key Vault. La forma de acceder al almacén de claves depende de dónde se implemente la máquina virtual:

Si no puede usar una aplicación registrada o una entidad de servicio, use un archivo de configuración para administrar las credenciales, aunque no se prefiere este método. Para obtener más información, consulte Implementación del conector de datos mediante un archivo de configuración.

Para más información, vea:

• Autenticación de Azure Key Vault
• ¿Qué son las identidades administradas para los recursos de Azure?
• Objetos de aplicación y de entidad de servicio en Microsoft Entra ID

Normalmente, la máquina virtual se crea mediante el equipo de la infraestructura. La configuración del acceso a las credenciales y la administración de almacenes de claves se suele realizar mediante el equipo de seguridad.

Creación de un almacén de claves

Este procedimiento describe cómo crear un almacén de claves para almacenar la información de configuración de su agente, incluidos sus secretos de autenticación de SAP. Si usa un almacén de claves existente, vaya directamente a paso 2.

Para crear el almacén de claves:

1. Ejecute los comandos siguientes, sustituyendo los nombres reales por los valores de <placeholder>.

   az keyvault create \
     --name <KeyVaultName> \
     --resource-group <KeyVaultResourceGroupName>
   

2. Copie el nombre del almacén de claves y el nombre de su grupo de recursos. Los necesitará al asignar los permisos de acceso del almacén de claves y ejecutar el script de implementación en los pasos siguientes.

Asignación de permisos de acceso del almacén de claves

1. En el almacén de claves, asigne el rol lector de secretos de Azure Key Vault a la identidad que creó y copió anteriormente.

2. En el mismo almacén de claves, asigne los siguientes roles de Azure al usuario que configura el agente del conector de datos:

   • Colaborador de Key Vault, para implementar el agente
   • Director de secretos de Key Vault para agregar nuevos sistemas

Implementación del agente del conector de datos desde el portal (versión preliminar)

Ahora que ha creado una máquina virtual y una instancia de Key Vault, el siguiente paso es crear un nuevo agente y conectarse a uno de los sistemas SAP. Aunque puede ejecutar varios agentes de conector de datos en una sola máquina, se recomienda empezar con un solo, supervisar el rendimiento y, a continuación, aumentar el número de conectores lentamente.

En este procedimiento se describe cómo crear un nuevo agente y conectarlo al sistema SAP mediante los portales de Azure o Defender. Se recomienda que el equipo de seguridad realice este procedimiento con ayuda del equipo de SAP BASIS.

La implementación del agente del conector de datos desde el portal se admite tanto desde Azure Portal como desde el portal de Defender cuando Microsoft Sentinel se incorpora al portal de Defender.

Aunque también se admite la implementación desde la línea de comandos, se recomienda usar el portal para implementaciones típicas. Los agentes del conector de datos implementados mediante la línea de comandos solo se pueden administrar a través de la línea de comandos y no a través del portal. Para obtener más información, consulteImplementación de un agente de conector de datos de SAP desde la línea de comandos.

Requisitos previos:

• Para implementar el agente de conector de datos a través del portal, necesita lo siguiente:

  • Autenticación a través de una identidad administrada o una aplicación registrada
  • Credenciales almacenadas en una instancia de Azure Key Vault

  Si no tiene estos requisitos previos, implemente el agente del conector de datos de SAP desde la línea de comandos en su lugar.

• Para implementar el agente del conector de datos, también necesita privilegios de sudo o raíz en la máquina del agente del conector de datos.

• Si desea ingerir registros de Netweaver/ABAP a través de una conexión segura mediante Comunicaciones de red segura (SNC), necesita lo siguiente:

  • La ruta de acceso al archivo binario sapgenpse y la bibliotecalibsapcrypto.so
  • Detalles del certificado de cliente

  Para obtener más información, consulte Configuración del sistema para usar SNC para conexiones seguras.

Para implementar el agente del conector de datos:

1. Inicie sesión en la máquina virtual recién creada en la que va a instalar el agente, como usuario con privilegios de sudo.

2. Descargue o transfiera el SDK de SAP NetWeaver a la máquina.

3. En Microsoft Sentinel, seleccione la Configuración >Conectores de datos.

4. En la barra de búsqueda, escriba SAP. Seleccione Microsoft Sentinel para SAP - basado en agentes en los resultados de búsqueda y, a continuación, Abra la página del conector.

5. En el área Configuración, seleccione Agregar agente nuevo (versión preliminar).

   

6. En el panel Crear un agente de recopilador, escriba los siguientes detalles del agente:

   Nombre	Descripción
   Nombre del agente	Escriba un nombre significativo para el agente de su organización. No se recomienda ninguna convención de nomenclatura específica, salvo que el nombre solo puede incluir los siguientes tipos de caracteres: a-z A-Z 0-9 _ (carácter de subrayado) . (período) - (guion)
   Suscripción / Almacén de claves	Seleccione Suscripción y el Almacén de claves de sus respectivas listas desplegables.
   Ruta de acceso del archivo ZIP del SDK de NWRFC en la máquina virtual del agente	Escriba la ruta de acceso en la máquina virtual que contiene el archivo del kit de desarrollo de software (SDK) de SAP NetWeaver Remote Function Call (RFC) (archivo .zip). Asegúrese de que esta ruta de acceso incluya el número de versión del SDK en la sintaxis siguiente: <path>/NWRFC<version number>.zip. Por ejemplo: /src/test/nwrfc750P_12-70002726.zip.
   Habilitación de la compatibilidad con la conexión SNC	Seleccione esta opción para ingerir registros de NetWeaver/ABAP a través de una conexión segura mediante SNC. Si selecciona esta opción, escriba la ruta que contiene el binario sapgenpse y la biblioteca libsapcrypto.so, en Ruta de acceso a la biblioteca criptográfica de SAP en la máquina virtual del agente. Si quiere usar una conexión SNC, asegúrese de seleccionar Habilitar compatibilidad con conexión SNC en esta fase, ya que no puede volver atrás y habilitar una conexión SNC después de finalizar la implementación del agente. Si desea cambiar esta configuración después, se recomienda crear un nuevo agente en su lugar.
   Autenticación en Azure Key Vault	Para autenticarse en el almacén de claves mediante una identidad administrada, deje seleccionada la opción predeterminada Identidad administrada. Para autenticarse en el almacén de claves mediante una aplicación registrada, seleccione Identidad de aplicación. Debe tener configurada la identidad administrada o la aplicación registrada con antelación. Para más información, consulta Creación de una máquina virtual y configuración del acceso a las credenciales.

   Por ejemplo:

   

7. Seleccione Crear y revise las recomendaciones antes de completar la implementación:

   

8. La implementación del agente del conector de datos de SAP requiere que conceda a la identidad de máquina virtual del agente permisos específicos para el área de trabajo de Microsoft Sentinel mediante los roles de Operador del agente de aplicaciones empresariales de Microsoft Sentinel y Lector.

   Para ejecutar los comandos en este paso, debe ser propietario del grupo de recursos en el área de trabajo de Microsoft Sentinel. Si usted no es el propietario del grupo de recursos en su área de trabajo, este procedimiento también se puede realizar una vez que se haya completado la implementación del agente.

   En Solo unos pocos pasos más antes de finalizar, copie los comandos de asignación de roles del paso 1 y ejecútelos en la máquina virtual del agente, reemplazando el marcador de posición [Object_ID] por el identificador de objeto de identidad de la máquina virtual. Por ejemplo:

   

   Para buscar el identificador de objeto de identidad de máquina virtual en Azure:

   • Para una identidad administrada, el identificador de objeto aparece en la página Identidadde la máquina virtual.

   • En el caso de una entidad de servicio, vaya a la aplicación Empresarial en Azure. Seleccione Todas las aplicaciones y, a continuación, seleccione la máquina virtual. El identificador de objeto se muestra en la página Información general.

   Estos comandos asignan los roles de Agente Operador de Aplicaciones Empresariales de Microsoft Sentinel y Lector de Azure a la identidad gestionada o de aplicación de su VM, incluyendo solo el alcance de los datos del agente especificado en el área de trabajo.

   Importante

   La asignación de los roles Operador del agente de aplicaciones empresariales de Microsoft Sentinel y Lector a través de la CLI asigna los roles solo en el ámbito de los datos del agente especificado en el área de trabajo. Esta es la opción más segura y, por tanto, recomendada.

   Si debe asignar los roles a través de Azure Portal, recomendamos asignar los roles en un ámbito reducido, como solo en el área de trabajo de Microsoft Sentinel.

9. Seleccione Copiar junto al comando de implementación del agente en el paso 2. Por ejemplo:

   

10. Copie la línea de comandos en una ubicación independiente y seleccione Cerrar.

    La información pertinente del agente se implementa en Azure Key Vault y el nuevo agente está visible en la tabla en Agregar un agente recopilador basado en API.

    En esta fase, el estado de mantenimiento del agente es "Instalación incompleta. Siga las instrucciones". Una vez instalado correctamente el agente, el estado cambia a Agente en buen estado. La actualización puede tardar hasta 10 minutos. Por ejemplo:

    

    Nota:

    La tabla muestra el nombre del agente y su estado de mantenimiento solo para aquellos agentes que implemente a través de Azure Portal. Los agentes implementados mediante la línea de comandos no se muestran aquí. Para obtener más información, consulte lapestañaLínea de comandos en su lugar.

11. En la máquina virtual en la que planea instalar el agente, abra un terminal y ejecute el comando de implementación del Agente que copió en el paso anterior. Este paso requiere privilegios de sudo o raíz en la máquina del agente del conector de datos.

    El script actualiza los componentes del sistema operativo e instala la CLI de Azure, el software de Docker y otras utilidades necesarias, como jq, netcat y curl.

    Proporcione parámetros adicionales al script según sea necesario para personalizar la implementación del contenedor. Para más información sobre las opciones de línea de comandos disponibles, vea Referencia del script kickstart.

    Si necesita volver a copiar el comando, seleccione Vista a la derecha de la columna Estado y copie el comando junto al comando de implementación del agente en la parte inferior derecha.

12. En la página conector de datos de la Solución Microsoft Sentinel para SAP, en el área Configuración, seleccione Agregar nuevo sistema (versión preliminar) y escriba los detalles siguientes:

    • En Seleccionar un agente, seleccione el agente que creó anteriormente.

    • En Identificador del sistema, seleccione el tipo de servidor:

      • Servidor ABAP
      • Servidor de mensajes para usar un servidor de mensajes como parte de un ABAP SAP Central Services (ASCS).

    • Continúe definiendo detalles relacionados para el tipo de servidor:

      • Para un servidor ABAP, escriba la dirección IP/FQDN del servidor de aplicaciones de ABAP, el identificador y el número del sistema y el identificador de cliente.
      • Para un servidor de mensajes, escriba la dirección IP/FQDN del servidor de mensajes, el número de puerto o el nombre del servicio y el grupo de inicio de sesión

    Cuando haya terminado, seleccione Siguiente: Autenticación.

    Por ejemplo:

    

13. En la pestaña Autenticación, escriba los detalles siguientes:

    • Para la autenticación básica, escriba el usuario y la contraseña.
    • Si seleccionó una conexión SNC al configurar el agente, seleccione SNC y escriba los detalles del certificado.

    Cuando haya terminado, seleccione Siguiente: Registros.

14. En la pestaña Registros, seleccione los registros que desea ingerir de SAP y, a continuación, seleccione Siguiente: Revisar y crear. Por ejemplo:

    

15. (Opcional) Para obtener resultados óptimos en la supervisión de la tabla PAHI de SAP, seleccione Historial de configuración. Para obtener más información, consulte Comprobar que la tabla PAHI se actualiza a intervalos regulares.

16. Revise la configuración que ha definido. Seleccione Anterior para modificar cualquier valor o seleccione Implementar para implementar el sistema.

La configuración del sistema definida se implementa en azure Key Vault que definió durante la implementación. Ahora puede ver los detalles del sistema en la tabla en Configurar un sistema SAP y asignarlo a un agente recopilador. En esta tabla se muestra el nombre del agente asociado, el identificador de sistema de SAP (SID) y el estado de salud de los sistemas que agregó a través del portal u otros medios.

En esta fase, el estado de mantenimiento del sistema es Pendiente. Si el agente se actualiza correctamente, extrae la configuración de Azure Key Vault y el estado cambia a Estado correcto del sistema. La actualización puede tardar hasta 10 minutos.

Conexión del conector de datos sin agente

1. En Microsoft Sentinel, vaya a la página Conectores de datos de configuración > y busque el conector de datos sin agente de Microsoft Sentinel para SAP.

2. En el área Configuración , expanda el paso 1. Desencadene la implementación automática de los recursos de Azure necesarios o ingeniero de SOC y seleccione Implementar los recursos de Azure necesarios.

   Importante

   Si no tiene el rol Desarrollador de aplicaciones entra ID o superior y selecciona Implementar los recursos de Azure necesarios, se muestra un mensaje de error, por ejemplo: "Implementar recursos de Azure necesarios" (los errores pueden variar). Esto significa que se crearon la regla de recopilación de datos (DCR) y el punto de conexión de recopilación de datos (DCE), pero debe asegurarse de que el registro de la aplicación Entra ID está autorizado. Continúe configurando la autorización correcta.

3. Realice una de las acciones siguientes:

   • Si tiene el rol Desarrollador de aplicaciones entra ID o superior, continúe con el paso siguiente.

   • Si no tiene el rol de Desarrollador de aplicaciones de Entra ID o superior:

     • Comparta el identificador DCR con el administrador de Entra ID o con su compañero que tenga los permisos necesarios.
     • Asegúrese de que el rol de Publicación de métricas de supervisión está asignado en el DCR, con la asignación de la entidad de servicio, mediante el identificador de cliente del registro de la aplicación Entra ID.
     • Recupere el identificador de cliente y el secreto de cliente del registro de la aplicación Entra ID que se usará para la autorización en el DCR.

     El administrador de SAP usa el identificador de cliente y la información del secreto de cliente para publicar en el DCR.

     Nota:

     Si es administrador de SAP y no tiene acceso a la instalación del conector, descargue el paquete de integración directamente.

4. Desplácese hacia abajo y seleccione Agregar cliente SAP.

5. En el panel Conectarse a un cliente de SAP , escriba los detalles siguientes:

   Campo	Descripción
   nombre de destino RFC	Nombre del destino RFC, tomado del destino BTP.
   Identificador de cliente sin agente de SAP	Valor clientid tomado del archivo JSON de claves de servicio de Process Integration Runtime.
   Secreto de cliente sin agente de SAP	Valor clientsecret extraído del archivo JSON de la clave de servicio de Process Integration Runtime.
   URL del servidor de autorización	Valor tokenurl tomado del archivo JSON de la clave de servicio de Process Integration Runtime. Por ejemplo: https://your-tenant.authentication.region.hana.ondemand.com/oauth/token
   Punto de conexión de Integration Suite	Valor de dirección URL tomado del archivo JSON de clave del servicio Process Integration Runtime. Por ejemplo: https://your-tenant.it-account-rt.cfapps.region.hana.ondemand.com

6. Seleccione Conectar.

Personalización del comportamiento del conector de datos (opcional)

Si tiene un conector de datos sin agente de SAP para Microsoft Sentinel, puede usar SAP Integration Suite para personalizar cómo el conector de datos sin agente ingiere datos del sistema SAP en Microsoft Sentinel.

Este procedimiento solo es relevante cuando desea personalizar el comportamiento del conector de datos sin agente de SAP. Omita este procedimiento si está satisfecho con la funcionalidad predeterminada. Por ejemplo, si usa Sybase, se recomienda desactivar la ingesta de registros de Change Docs en el flujo de trabajo mediante la configuración del parámetro collect-changedocs-logs . Debido a problemas de rendimiento de la base de datos, no se admite la ingesta de registros de Change Docs Sybase.

Requisitos previos para personalizar el comportamiento del conector de datos

• Debe tener acceso a SAP Integration Suite, con permisos para editar asignaciones de valores.
• Un paquete de integración de SAP, ya sea existente o nuevo, para cargar el archivo de asignación de valores predeterminado.

Descarga del archivo de configuración y personalización de la configuración

1. Descargue el archivo deexample-parameters.zip predeterminado, que proporciona la configuración que define el comportamiento predeterminado y es un buen punto de partida para empezar a personalizar.

   Guarde el archivo example-parameters.zip en una ubicación accesible para el entorno de SAP Integration Suite.

2. Use los procedimientos estándar de SAP para cargar un archivo de asignación de valores y realizar cambios para personalizar la configuración del conector de datos:

   1. Cargue el archivo example-parameters.zip en SAP Integration Suite como un artefacto de asignación de valores. Para obtener más información, consulte la documentación de SAP.

   2. Use uno de los métodos siguientes para personalizar la configuración:

      • Para personalizar la configuración en todos los sistemas SAP, agregue asignaciones de valor para la agencia de mapeo bidireccional global.
      • Para personalizar la configuración de sistemas SAP específicos, agregue nuevas agencias de asignación bidireccionales para cada sistema SAP y, a continuación, agregue asignaciones de valor para cada uno. Asigne un nombre a las agencias para que coincidan exactamente con el nombre del destino RFC que desea personalizar, como myRfc, key, myRfc, value.

      Para más información, consulte la documentación de SAP sobre la configuración de asignaciones de valores.

   Asegúrese de implementar el artefacto cuando haya terminado de personalizar para activar la configuración actualizada.

En la tabla siguiente se enumeran los parámetros personalizables para el conector de datos sin agente de SAP para Microsoft Sentinel: