Rozwiązanie Microsoft Sentinel dla aplikacji SAP — dokumentacja funkcji

W tym artykule opisano wybór funkcji dostępnych w obszarze roboczym po zainstalowaniu rozwiązania Microsoft Sentinel dla aplikacji SAP. Odkryj więcej funkcji, przeglądając usługę Microsoft Sentinel i ładując kod funkcji.

Znajdź funkcje w następujący sposób:

• W witrynie Azure Portal na stronie Dzienniki ogólne > na karcie Funkcje i wyświetlonej w obszarze Funkcje.
• W portalu usługi Defender na stronie Zaawansowane wyszukiwanie zagrożeń dla badania i odpowiedzi > na karcie Funkcje i wyświetlone w obszarze Funkcje obszaru roboczego usługi Sentinel.

Zawartość tego artykułu jest przeznaczona dla zespołów ds. zabezpieczeń .

Używanie funkcji w zapytaniach zamiast bazowych dzienników lub tabel

Zdecydowanie zalecamy używanie funkcji wymienionych w tym artykule jako tematów ich analizy, jeśli to możliwe, zamiast bazowych dzienników lub tabel.

Te funkcje mają służyć jako główny interfejs użytkownika do danych. Stanowią one podstawę dla wszystkich wbudowanych reguł analitycznych i skoroszytów dostępnych dla Ciebie. Użycie funkcji umożliwia wprowadzanie zmian w infrastrukturze danych pod funkcjami bez przerywania zawartości utworzonej przez użytkownika.

BAPI_XMI_LOGON (wersja zapoznawcza)

Funkcja BAPI_XMI_LOGON jest odpowiednia, gdy system SAP jest starszym systemem przy użyciu biblioteki XAL i uwierzytelnia się w celu zbierania dzienników inspekcji sap XAL.

Funkcja BAPI_XMI_LOGON jest obsługiwana tylko dla łącznika danych bez agenta SAP. Aby uzyskać więcej informacji, zobacz Instalowanie rozwiązania usługi Microsoft Sentinel dla aplikacji SAP.

BAPI_SYSTEM_MTE_GETTIDBYNAME (wersja zapoznawcza)

Funkcja BAPI_SYSTEM_MTE_GETTIDBYNAME jest odpowiednia, gdy system SAP jest starszym systemem przy użyciu biblioteki XAL i pobiera identyfikator elementu monitorowania systemu według nazwy.

Funkcja BAPI_SYSTEM_MTE_GETTIDBYNAME jest obsługiwana tylko dla łącznika danych bez agenta SAP. Aby uzyskać więcej informacji, zobacz Instalowanie rozwiązania usługi Microsoft Sentinel dla aplikacji SAP.

BAPI_SYSTEM_MTE_GETTREE (wersja zapoznawcza)

Funkcja BAPI_SYSTEM_MTE_GETTREE jest odpowiednia, gdy system SAP jest starszym systemem przy użyciu biblioteki XAL i pobiera strukturę elementów monitorowania systemu.

Funkcja BAPI_SYSTEM_MTE_GETTREE jest obsługiwana tylko dla łącznika danych bez agenta SAP. Aby uzyskać więcej informacji, zobacz Instalowanie rozwiązania usługi Microsoft Sentinel dla aplikacji SAP.

BAPI_SYSTEM_MTE_GETMLHIS (wersja zapoznawcza)

Funkcja BAPI_SYSTEM_MTE_GETMLHIS jest odpowiednia, gdy system SAP jest starszym systemem przy użyciu biblioteki XAL i pobiera historyczne dane dotyczące wydajności i stanu.

Funkcja BAPI_SYSTEM_MTE_GETMLHIS jest obsługiwana tylko dla łącznika danych bez agenta SAP. Aby uzyskać więcej informacji, zobacz Instalowanie rozwiązania usługi Microsoft Sentinel dla aplikacji SAP.

BAPI_XMI_SET_AUDITLEVEL (wersja zapoznawcza)

Funkcja BAPI_XMI_SET_AUDITLEVEL jest odpowiednia, gdy system SAP jest starszym systemem przy użyciu biblioteki XAL i konfiguruje poziom rejestrowania inspekcji XAL.

Funkcja BAPI_XMI_SET_AUDITLEVEL jest obsługiwana tylko dla łącznika danych bez agenta SAP. Aby uzyskać więcej informacji, zobacz Instalowanie rozwiązania usługi Microsoft Sentinel dla aplikacji SAP.

BAPI_XMI_GET_LOGHISTORY (wersja zapoznawcza)

Funkcja BAPI_XMI_GET_LOGHISTORY jest odpowiednia, gdy system SAP jest starszym systemem przy użyciu biblioteki XAL i pobiera wcześniejsze wpisy dziennika inspekcji XAL.

Funkcja BAPI_XMI_GET_LOGHISTORY jest obsługiwana tylko dla łącznika danych bez agenta SAP. Aby uzyskać więcej informacji, zobacz Instalowanie rozwiązania usługi Microsoft Sentinel dla aplikacji SAP.

SAPUsersAssignments

Funkcja SAPUsersAssignments zbiera dane z wielu źródeł danych SAP i tworzy zorientowany na użytkownika widok bieżących danych głównych użytkownika, w tym role i profile aktualnie przypisane.

Ta funkcja podsumowuje przypisania użytkowników do ról i profilów oraz zwraca następujące dane:

SAPUsersGetPrivileged

Funkcja SAPUsersGetPrivileged zwraca listę uprzywilejowanych użytkowników na klienta i identyfikator systemu.

Użytkownicy są traktowani jako uprzywilejowani, gdy są zgodni z dowolnym z następujących opisów:

• Są one wymienione na liście obserwowanych sap — Privileged Users
• Są one przypisane do profilu wymienionego na liście obserwowanych profilów SAP — poufne profile
• Są one dodawane do roli wymienionej w systemie SAP — lista obserwowanych ról poufnych

Parametry:

Funkcja SAPUsersGetPrivileged zwraca następujące dane:

SAPUsersAuthorizations

Funkcja SAPUsersAuthorizations łączy dane z kilku tabel w celu utworzenia widoku skoncentrowanego na użytkowniku przypisanych bieżących ról i autoryzacji. Zwracane są tylko użytkownicy z aktywną rolą i przypisaniami autoryzacji.

Parametry:

Funkcja SAPUsersAuthorizations zwraca następujące dane:

SAPConnectorHealth

Funkcja SAPConnectorHealth odzwierciedla stan łączności agenta i bazowego systemu SAP. Na podstawie SAP_HeartBeat_CL dziennika pulsu i innych wskaźników kondycji zwraca następujące dane:

SAPConnectorOverview

Funkcja SAPConnectorOverview przedstawia liczbę wierszy każdej tabeli SAP na identyfikator systemu. Zwraca listę rekordów danych na identyfikator systemu i wygenerowany czas.

Parametry:

Funkcja SAPConnectorOverview zwraca następujące dane:

Użyj następującego zapytania Kusto, aby wykonać codzienną analizę trendu:

SAPConnectorOverview(7d)
| summarize count() by bin(TimeGenerated, 1d), SystemID_s

SAPUsersEmail

Funkcja SAPUsersEmail umożliwia zorientowane na wydajność wyszukiwanie adresu e-mail użytkownika SAP dla systemu SAP i klienta, zwykle używane do skojarzenia go z kontem usługi Active Directory.

Funkcja SAPUsersEmail używa danych wyodrębnionych z tabel SAP USR21 (nazwa użytkownika/przypisanie klucza adresu) i ADR6 (adresy e-mail), aby wyszukać adres e-mail. Jeśli nie zostanie znaleziony żaden adres e-mail, zamiast tego zostanie zwrócony identyfikator użytkownika.

To zachowanie gwarantuje, że konta usług SAP, takie jak DDIC, które często nie są skojarzone z adresami e-mail, są rejestrowane jako pseudo konta usługi AD. Otwiera to również niektóre funkcje UEBA, ułatwiając badanie zdarzeń i działań polowania.

Funkcja SAPUsersEmail zwraca następujące dane:

SAPSystems

Funkcja SAPSystems służy do centralnego prezentowania konfiguracji dla poszczególnych systemów przy użyciu listy kontrolnej SAP - Systems .

Parametry:

Funkcja SAPSystems zwraca następujące dane:

SAPAuditLogConfiguration

Funkcja SAPAuditLogConfiguration zwraca lokalną konfigurację alertów dziennika inspekcji SAP do obszaru roboczego usługi Log Analytics włączonego dla usługi Microsoft Sentinel. Ta konfiguracja jest używana w przypadku alertów związanych z dziennikami inspekcji sap.

Funkcja SAPAuditLogConfiguration łączy dane z listy kontrolnej monitora dzienników inspekcji SAP i SAP — Systems , aby zapewnić konfigurację dla poszczególnych systemów w ramach nakładu pracy nad rolą systemu.

Parametry:

Funkcja SAPAuditLogConfiguration zwraca następujące dane:

Aby uzyskać więcej informacji, zobacz Dostępne listy do obejrzenia.

SAPAuditLogAnomalies

Funkcja SAPAuditLogAnomalies używa wbudowanych funkcji uczenia maszynowego bazy danych Kusto usługi Microsoft Sentinel w celu wykrywania nietypowych zdarzeń zaobserwowanych w dzienniku inspekcji sap.

Funkcja SAPAuditLogAnomalies została opracowana dla reguły analizy alertów alertów monitora dzienników inspekcji opartych na anomalii sap - (eksperymentalne ). Chociaż jego oryginalnym projektem jest zgłaszanie alertów dotyczących ostatnich anomalii, może również pomóc wyróżnić anomalie historyczne. Aby uzyskać więcej informacji, zobacz Przykładowe zastosowania.

Funkcja SAPAuditLogAnomalies uczy się wycinka historii zdefiniowanej przez różne parametry wejściowe na następujących poziomach:

• Użytkownik
• Atrybuty sieci
• System
• Sezonowość
• Poziomy aktywności

Funkcja SAPAuditLogAnomalies następnie ocenia zdarzenia występujące w ciągu ostatniego DetectingTime przedziału czasu zgodnie z tym, co się dowiedziało, stosując progi i inne konfigurowalne kryteria wykluczania uzyskane z listy kontrolnej konfiguracji dziennika inspekcji SAP.

Gdy okno przewijania aktywności użytkownika zostanie uznane za nietypowe, drugie zapytanie zwraca całą aktywność użytkownika jako dowód potwierdzający decyzję.

Parametry:

Funkcja SAPAuditLogAnomalies zwraca następujące dane:

Zalecenia:

Podobnie jak w przypadku dowolnego rozwiązania do uczenia maszynowego, funkcja SAPAuditLogAnomalies działa lepiej z czasem i może być dostosowywana zgodnie z potrzebami w miarę upływu czasu.

Zalecamy ograniczenie rozmiaru poznanej bazy danych do 100 milionów rekordów przy użyciu wielu dostępnych parametrów wejściowych.

Przykładowe zastosowania obejmują:

• Aby wyszukać anomalie dotyczące zdarzeń o wysokiej ważności, które wystąpiły w ciągu ostatniej godziny w systemach produkcyjnych dla typów zdarzeń oznaczonych jako AnomaliesOnly na liście obserwowanych SAP_Dynamic_Audit_Log_Monitor_Configuration , uruchom polecenie:

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=1h, SelectedSystemRoles= dynamic(["Production"]), 
  SelectedSeverities= dynamic(["High"]), SelectedRuleTypes= dynamic(["AnomaliesOnly"]))
  

• Aby wyszukać wszystkie anomalie w ciągu ostatnich 14 dni w systemie BIP , uruchom polecenie:

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=0h, SelectedSystems= dynamic(["BIP"]))
  

Aby uzyskać więcej informacji, zobacz Wbudowane reguły analizy sap do monitorowania dziennika inspekcji SAP i wykrywania anomalii w dzienniku inspekcji SAP przy użyciu rozwiązania Microsoft Sentinel dla rozwiązania SAP (blog).

SAPAuditLogConfigRecommend

SAPAuditLogConfigRecommend to funkcja pomocnika przeznaczona do oferowania rekomendacji dotyczących konfiguracji reguły analizy alertów monitora dzienników inspekcji (WERSJA ZAPOZNAWCZA) systemu SAP - Dynamic Anomaly Based Audit Log Monitor.

Aby uzyskać więcej informacji, zobacz Monitorowanie dziennika inspekcji SAP.

SAPUsersGetVIP

Rozwiązanie Microsoft Sentinel dla aplikacji SAP korzysta z koncepcji znakowania użytkowników centralnych i jawnych wykluczeń, które ułatwiają obniżenie wyników fałszywie dodatnich przy minimalnym nakładzie pracy.

Użyj funkcji SAPUsersGetVIP , aby wykluczyć użytkowników z wyzwalania alertów przez określenie ról użytkowników sap, funkcji użytkownika sap lub tagów reprezentujących tych użytkowników. Aby uzyskać więcej informacji, zobacz Obsługa wyników fałszywie dodatnich w usłudze Microsoft Sentinel.

Tagi określone jako dane wejściowe dla funkcji SAPUsersGetVIP wykluczają wszystkich użytkowników z tagiem wymienionym na liście SAP_User_Config watchlist. Ta sama funkcja została rozszerzona w celu pracy z symbolami wieloznacznymi, umożliwiając przypisanie pojedynczego tagu do grupy użytkowników z tą samą składnią nazewnictwa.

1. Taguj użytkowników na liście SAP_User_Config watchlist w następujący sposób:

   • Dodaj wiele tagów do każdego użytkownika na liście SAP_User_Config watchlist, zgodnie z potrzebami, aby uwzględnić różne scenariusze. Każda reguła alertu ma własne odpowiednie tagi, jeśli istnieją, i w razie potrzeby można dodać tagi niestandardowe.

   • Użyj gwiazdki (*) jako symbolu wieloznakowego, aby uwzględnić użytkowników z określonym szablonem składni nazewnictwa.

2. Dodaj funkcję SAPUsersGetVIP w regułach analizy, aby zażądać listy użytkowników zdefiniowanych do wykluczenia z alertów. W wywołaniu funkcji dodaj tablicę z tagami, rolami SAP i profilami SAP, które chcesz wykluczyć.

Na przykład użyj następującego zapytania KQL w regule analizy, aby wykluczyć wszystkich użytkowników skonfigurowanych za pomocą tagu RunObsoleteProgOK na liście do obejrzenia SAP_User_Config lub wszystkich użytkowników z przykładową rolą SAP_BASIS_ADMIN_ROLE lub przykładowym profilem SAP_ADMIN_PROFILE .

Podczas kopiowania tego przykładowego wywołania funkcji zastąp SAP_BASIS_ADMIN_ROLE rolę i profil SAP_ADMIN_PROFILE własnymi rolami lub profilami SAP zgodnie z potrzebami.

Na przykład:

// Execution of Obsolete/Insecure Program
let ObsoletePrograms = _GetWatchlist("SAP - Obsolete Programs");
// here you can exclude system users which are OK to run obsolete/ sensitive programs
// by adding those users in the SAP_User_Config watchlist with a tag of 'RunObsoleteProgOK'
// can also specify SAP roles or SAP profiles that group the users you would like to exclude
let excludeUsersTagsRolesProfiles= dynamic(["RunObsoleteProgOK","SAP_BASIS_ADMIN_ROLE", "SAP_ADMIN_PROFILE"]);
let excludedUsers= SAPUsersGetVIP(SearchForTags= excludeUsersTagsRolesProfiles)| summarize by User2Exclude=SAPUser;
// Query logic
SAPAuditLog
| where MessageID == 'AUW'
| where ABAPProgramName in (ObsoletePrograms) // The program is obsolete
| join kind=leftantisemi excludedUsers on $left.User == $right.User2Exclude

Funkcja SAPUsersGetVIP jest często używana w alertach deterministycznego i nietypowego monitora dziennika inspekcji . Skojarz tag z identyfikatorem komunikatu dziennika inspekcji SAP lub rozszerz szablon reguły na niestandardową regułę zgodną z potrzebami organizacji.

Parametry:

Funkcja SAPUsersGetVIP zwraca następujące dane wyjściowe:

SAPUsersHeader

Funkcja SAPUsersHeader została zaprojektowana w celu zapewnienia wysokiego poziomu widoku użytkownika SAP. Używa on danych wyodrębnionych zarówno z tabel danych głównych użytkownika sap, jak i ostatnich działań w dzienniku inspekcji SAP w celu zbierania wiadomości e-mail i adresów IP. Następnie zwraca ostatni znany adres e-mail i adresy IP wraz z podstawowymi adresami e-mail i IP.

Parametry:

Na przykład:

SelectedSystemRoles:dynamic = dynamic(["All System Roles"]) SelectedSystems:dynamic = dynamic(["All Systems"]) SelectedUsers:dynamic = dynamic(["All Users"]) SelectedUser:string = "All Users"

Funkcja SAPUsersHeader zwraca następujące dane wyjściowe:

TH_SERVER_LIST (wersja zapoznawcza)

Funkcja TH_SERVER_LIST jest odpowiednia, gdy system SAP jest starszym systemem przy użyciu biblioteki XAL i wyświetla listę aktywnych serwerów aplikacji SAP.

Funkcja TH_SERVER_LIST jest obsługiwana tylko w przypadku łącznika danych bez agenta SAP (wersja zapoznawcza). Aby uzyskać więcej informacji, zobacz Instalowanie rozwiązania usługi Microsoft Sentinel dla aplikacji SAP.

Powiązana zawartość

Aby uzyskać więcej informacji, zobacz:

• Funkcje w zapytaniach dzienników usługi Azure Monitor
• Dokumentacja dzienników i tabel rozwiązania Microsoft Sentinel dla aplikacji SAP