Microsoft Sentinel ratkaisu SAP-sovelluksille – funktioviittaus

Tässä artikkelissa kuvataan joukko funktioita, jotka ovat käytettävissä työtilassa sen jälkeen, kun olet asentanut Microsoft Sentinel ratkaisun SAP-sovelluksille. Löydä lisää funktioita selaamalla Microsoft Sentinel ja lataamalla funktiokoodi.

Etsi funktiot seuraavasti:

• Azure-portaali Yleiset > lokit -sivulla, Funktiot-välilehdellä ja lueteltu kohdassa Työtilafunktiot.
• Defender-portaalin Investigation & response > Advanced hunting -sivulla Funktiot-välilehdellä, joka on lueteltu kohdassa Sentinel työtilafunktiot.

Tämän artikkelin sisältö on tarkoitettu suojausryhmille .

Käytä funktioita kyselyissäsi pohjana olevien lokien tai taulukoiden sijaan

Suosittelemme painokkaasti , että käytät tässä artikkelissa lueteltuja funktioita analyysien aiheina aina kun se on mahdollista pohjana olevien lokien tai taulukoiden sijaan.

Nämä funktiot on tarkoitettu toimimaan tietojen pääasiallisena käyttöliittymänä. Ne muodostavat perustan kaikille valmiille analytiikkasäännöille ja työkirjoille, jotka ovat käytettävissäsi. Funktioiden avulla voit tehdä muutoksia tietoinfrastruktuuriin funktioiden alla rikkomatta käyttäjän luomaa sisältöä.

BAPI_XMI_LOGON (esikatselu)

BAPI_XMI_LOGON funktiolla on merkitystä, kun SAP-järjestelmä on vanhempi XAL-järjestelmää käyttävä järjestelmä, ja se todennetaan SAP XAL -valvontalokien keräämiseksi.

BAPI_XMI_LOGON-funktiota tuetaan vain SAP Agentless Data Connector -liittimelle. Lisätietoja on artikkelissa Microsoft Sentinel ratkaisun asentaminen SAP-sovelluksille.

BAPI_SYSTEM_MTE_GETTIDBYNAME (esikatselu)

BAPI_SYSTEM_MTE_GETTIDBYNAME-funktiolla on merkitystä, kun SAP-järjestelmäsi on vanhempi XAL-järjestelmää käyttävä järjestelmä, ja se hakee järjestelmän valvontaelementin tunnuksen nimen mukaan.

BAPI_SYSTEM_MTE_GETTIDBYNAME funktiota tuetaan vain SAP Agentless Data Connector -liittimelle. Lisätietoja on artikkelissa Microsoft Sentinel ratkaisun asentaminen SAP-sovelluksille.

BAPI_SYSTEM_MTE_GETTREE (esikatselu)

BAPI_SYSTEM_MTE_GETTREE funktiolla on merkitystä, kun SAP-järjestelmäsi on vanhempi XAL-järjestelmää käyttävä järjestelmä ja hakee järjestelmän valvontaelementtien rakenteen.

BAPI_SYSTEM_MTE_GETTREE-funktiota tuetaan vain SAP Agentless Data Connector -liittimelle. Lisätietoja on artikkelissa Microsoft Sentinel ratkaisun asentaminen SAP-sovelluksille.

BAPI_SYSTEM_MTE_GETMLHIS (esikatselu)

BAPI_SYSTEM_MTE_GETMLHIS-funktiolla on merkitystä, kun SAP-järjestelmäsi on vanhempi XAL-järjestelmää käyttävä järjestelmä ja hakee historialliset suorituskyky- ja tilatiedot.

BAPI_SYSTEM_MTE_GETMLHIS-funktiota tuetaan vain SAP-agentless data connectorille. Lisätietoja on artikkelissa Microsoft Sentinel ratkaisun asentaminen SAP-sovelluksille.

BAPI_XMI_SET_AUDITLEVEL (esikatselu)

BAPI_XMI_SET_AUDITLEVEL funktiolla on merkitystä, kun SAP-järjestelmä on vanhempi XAL-järjestelmää käyttävä järjestelmä, ja se määrittää XAL-valvontalokitason.

BAPI_XMI_SET_AUDITLEVEL-funktiota tuetaan vain SAP Agentless Data Connector -liittimelle. Lisätietoja on artikkelissa Microsoft Sentinel ratkaisun asentaminen SAP-sovelluksille.

BAPI_XMI_GET_LOGHISTORY (esikatselu)

BAPI_XMI_GET_LOGHISTORY funktiolla on merkitystä, kun SAP-järjestelmäsi on vanhempi XAL-järjestelmää käyttävä järjestelmä ja hakee aiemmat XAL-valvontalokimerkinnät.

BAPI_XMI_GET_LOGHISTORY-funktiota tuetaan vain SAP Agentless Data Connector -liittimelle. Lisätietoja on artikkelissa Microsoft Sentinel ratkaisun asentaminen SAP-sovelluksille.

SAPUsersAssignments

SAPUsersAssignments-funktio kerää tietoja useista SAP-tietolähteistä ja luo käyttäjäkeskeisen näkymän nykyisistä käyttäjän päätiedoista, mukaan lukien tällä hetkellä määritetyt roolit ja profiilit.

Tämä funktio tekee yhteenvedon käyttäjämäärityksistä rooleihin ja profiileihin ja palauttaa seuraavat tiedot:

SAPUsersGetPrivileged

SAPUsersGetPrivileged-funktio palauttaa etuoikeutettujen käyttäjien luettelon asiakas- ja järjestelmätunnusta kohden.

Käyttäjiä pidetään etuoikeutettuina, kun he vastaavat mitä tahansa seuraavista kuvauksista:

• Ne on lueteltu SAP – Etuoikeutetut käyttäjät -katseluluettelossa
• Heidät on määritetty sap-profiiliin – luottamuksellisten profiilien katseluluettelo
• Heidät lisätään rooliin, joka on lueteltu SAP:ssä – Luottamuksellisten roolien katseluluettelo

Parametrit:

SAPUsersGetPrivileged-funktio palauttaa seuraavat tiedot:

SAPUsersAuthorizations

SAPUsersAuthorizations-funktio kokoaa yhteen useiden taulukoiden tiedot ja tuottaa käyttäjäkeskeisen näkymän nykyisistä määritetyistä rooleista ja valtuutuksista. Vain käyttäjät, joilla on aktiivinen rooli ja valtuutusmääritykset, palautetaan.

Parametrit:

SAPUsersAuthorizations-funktio palauttaa seuraavat tiedot:

SAPConnectorHealth

SAPConnectorHealth-funktio kuvastaa agentin tilaa ja taustalla olevaa SAP-järjestelmän yhteyttä. Se palauttaa seuraavat tiedot sykelokin SAP_HeartBeat_CL ja muiden kuntoindikaattorien perusteella:

SAPConnectorOverview

SAPConnectorOverview-funktio näyttää kunkin SAP-taulukon rivimäärät järjestelmätunnusta kohden. Se palauttaa luettelon tietueista järjestelmätunnusta kohden ja niiden luodun ajan.

Parametrit:

SAPConnectorOverview-funktio palauttaa seuraavat tiedot:

Käytä seuraavaa Kusto-kyselyä päivittäisen trendianalyysin suorittamiseen:

SAPConnectorOverview(7d)
| summarize count() by bin(TimeGenerated, 1d), SystemID_s

SAPUsersEmail

SAPUsersEmail-funktio mahdollistaa SAP-käyttäjän sähköpostiosoitteen suorituskykypohjaisen haun SAP-järjestelmää ja asiakasta kohti, ja sitä käytetään yleensä liittämään se Active Directory -tiliin.

SAPUsersEmail-funktio käyttää SAP-taulukoista USR21 (Käyttäjänimi/Osoiteavainmääritys) ja ADR6:sta (sähköpostiosoitteet) poimittuja tietoja sähköpostiosoitteen etsimiseen. Jos sähköpostiosoitetta ei löydy, palautetaan sen sijaan käyttäjätunnus.

Tämä toiminto varmistaa, että SAP-palvelutilit, kuten DDIC, joita ei useinkaan ole liitetty sähköpostiosoitteisiin, kirjataan pseudo-AD-tileinä. Tämä avaa myös joitakin UEBA:n ominaisuuksia, jotka auttavat tapausten ja metsästystoiminnan tutkinnassa.

SAPUsersEmail-funktio palauttaa seuraavat tiedot:

SAPSystems

SAPSystems-funktion avulla voidaan keskitetysti esittää järjestelmäkohtainen määritys, joka on tehty SAP – järjestelmien katseluluettelon avulla.

Parametrit:

SAPSystems-funktio palauttaa seuraavat tiedot:

SAPAuditLogConfiguration

SAPAuditLogConfiguration-funktio palauttaa SAP-valvontaloki-ilmoitusten paikallisen määrityksen log analytics -työtilaan, joka on käytössä Microsoft Sentinel. Tätä määritystä käytetään SAP-valvontalokiin liittyvissä ilmoituksiin.

SAPAuditLogConfiguration-funktio yhdistää SAP Dynamic Audit Log Monitor Configuration- ja SAP – Systems -katseluluetteloiden tiedot ja tarjoaa järjestelmäkohtaisen määrityksen järjestelmäkohtaisessa roolissa.

Parametrit:

SAPAuditLogConfiguration-funktio palauttaa seuraavat tiedot:

Lisätietoja on kohdassa Käytettävissä olevat katseluluettelot.

SAPAuditLogAnomalies

SAPAuditLogAnomalies-funktio käyttää Microsoft Sentinel pohjana olevia Kusto-tietokannan sisäisiä koneoppimisominaisuuksia. Se auttaa havaitsemaan SAP-valvontalokissa havaittuja poikkeavia tapahtumia.

SAPAuditLogAnomalies-funktio on kehitetty SAP - (Kokeellinen) dynaaminen poikkeamapohjainen valvontalokin tarkkailun hälytysten analytiikkasääntöä varten. Vaikka sen alkuperäinen rakenne on varoittaa viimeaikaisista poikkeamista, se voi myös auttaa korostamaan historiallisia poikkeavuuksia. Lisätietoja on kohdassa Mallien käyttö.

SAPAuditLogAnomalies-funktio oppii eri syöteparametrien määrittämän historian sektorin seuraavilla tasoilla:

• Käyttäjä
• Verkkomääritteet
• Järjestelmä
• Kausiluonteisuus
• Toimintatasot

SAPAuditLogAnomalies-funktio tuomitsee tapahtumat, jotka tapahtuivat edellisen DetectingTime ajankohdan aikana oppimansa mukaan, käyttämällä raja-arvoja ja muita määritettävissä olevia poissulkemiskriteerejä, jotka on saatu SAP-valvontalokin määritysten katseluluettelosta.

Kun käyttäjän toiminnan liukuva ikkuna katsotaan poikkeavaksi, toinen kysely palauttaa koko käyttäjän toiminnan todisteena päätöksestä.

Parametrit:

SAPAuditLogAnomalies-funktio palauttaa seuraavat tiedot:

Suositukset:

Kuten minkä tahansa koneoppimisratkaisun kohdalla, SAPAuditLogAnomalies-funktio toimii paremmin ajan myötä, ja sitä voidaan säätää tarpeen mukaan ajan kuluessa.

Suosittelemme, että rajoitat opitut tietokannat alle 100 miljoonaan tietueeseen monien käytettävissä olevien syöteparametrien avulla.

Esimerkkikäytöt ovat seuraavat:

• Jos haluat etsiä poikkeamia tapahtumista, joiden vakavuus on suuri ja jotka ovat tapahtuneet viimeisen tunnin aikana tuotantojärjestelmissä tapahtumatyypeille, jotka on merkitty poikkeavuuksiksiOnlySAP_Dynamic_Audit_Log_Monitor_Configuration katseluluettelossa, suorita:

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=1h, SelectedSystemRoles= dynamic(["Production"]), 
  SelectedSeverities= dynamic(["High"]), SelectedRuleTypes= dynamic(["AnomaliesOnly"]))
  

• Jos haluat etsiä kaikkia poikkeamia viimeisten 14 päivän ajalta BIP-järjestelmässä , suorita:

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=0h, SelectedSystems= dynamic(["BIP"]))
  

Lisätietoja on artikkelissa SISÄISET SAP-analytiikkasäännöt SAP-valvontalokin japoikkeamien tunnistamisen valvomiseksi SAP-valvontalokissa Microsoft Sentinel SAP-ratkaisun avulla (blogi).

SAPAuditLogConfigRecommend

SAPAuditLogConfigRecommend on aputoiminto, joka on suunniteltu tarjoamaan suosituksia SAP - Dynamic Anomaly Based Audit Log Monitor Alerts (PREVIEW) -analytiikkasäännön määritykseen.

Lisätietoja on artikkelissa SAP-valvontalokin valvonta.

SAPUsersGetVIP

SAP-sovellusten Microsoft Sentinel ratkaisu käyttää keskitetyn käyttäjän tunnisteiden ja eksplisiittisten poissulkemisten käsitettä, jonka tarkoituksena on auttaa pienentämään false-positiivisia arvoja pienellä vaivalla.

SAPUsersGetVIP-funktion avulla voit estää käyttäjiä käynnistämästä ilmoituksia määrittämällä SAP-käyttäjärooleja, SAP-käyttäjäfunktioita tai kyseisiä käyttäjiä edustavia tunnisteita. Lisätietoja on artikkelissa Käsittele epätosi-positiivisia arvoja Microsoft Sentinel.

SAPUsersGetVIP-funktion syötteeksi määritetyt tunnisteet jättävät pois kaikki käyttäjät, joilla on tunniste SAP_User_Config katseluluettelossa. Sama toiminto on laajennettu toimimaan yleismerkkien kanssa, joten voit määrittää yksittäisen tunnisteen käyttäjäryhmälle, jolla on sama nimeämissyntaksi.

1. Merkitse SAP_User_Config katseluluettelon käyttäjät seuraavasti:

   • Lisää useita tunnisteita kuhunkin käyttäjään SAP_User_Config katseluluettelossa eri skenaarioiden kattamiseksi. Jokaisella ilmoitussäännöllä on omat tunnisteensa, jos niitä on, ja voit lisätä mukautettuja tunnisteita tarvittaessa.

   • Käytä tähteä (*) yleismerkkinä, jos haluat sisällyttää mukaan käyttäjiä, joilla on tietty nimeämissyntaksimalli.

2. Lisäämällä SAPUsersGetVIP-funktion analytiikkasääntöihisi voit pyytää määrittämiäsi käyttäjäluetteloita jäämään pois ilmoituksista. Lisää funktiokutsussa matriisi, joka sisältää tunnisteet, SAP-roolit ja SAP-profiilit, jotka haluat jättää pois.

Voit esimerkiksi käyttää seuraavaa KQL-kyselyä analytiikkasäännössä, jos haluat jättää pois kaikki käyttäjät, joille on määritetty RunObsoleteProgOK-tunnisteSAP_User_Config katseluluettelossa, tai käyttäjät, joilla on mallirooli SAP_BASIS_ADMIN_ROLE tai SAP_ADMIN_PROFILE malliprofiilissa.

Kun kopioit tätä mallifunktiokutsua, korvaa SAP_BASIS_ADMIN_ROLE rooli ja SAP_ADMIN_PROFILE profiilisi omilla SAP-rooleillasi tai profiileillasi tarvittaessa.

Esimerkki:

// Execution of Obsolete/Insecure Program
let ObsoletePrograms = _GetWatchlist("SAP - Obsolete Programs");
// here you can exclude system users which are OK to run obsolete/ sensitive programs
// by adding those users in the SAP_User_Config watchlist with a tag of 'RunObsoleteProgOK'
// can also specify SAP roles or SAP profiles that group the users you would like to exclude
let excludeUsersTagsRolesProfiles= dynamic(["RunObsoleteProgOK","SAP_BASIS_ADMIN_ROLE", "SAP_ADMIN_PROFILE"]);
let excludedUsers= SAPUsersGetVIP(SearchForTags= excludeUsersTagsRolesProfiles)| summarize by User2Exclude=SAPUser;
// Query logic
SAPAuditLog
| where MessageID == 'AUW'
| where ABAPProgramName in (ObsoletePrograms) // The program is obsolete
| join kind=leftantisemi excludedUsers on $left.User == $right.User2Exclude

SAPUsersGetVIP-funktiota käytetään yleisesti Deterministic- ja Anomalous Audit Log Monitor -hälytyksissä. Liitä tunniste SAP-valvontalokin viestitunnukseen tai laajenna sääntömalli mukautettuun sääntöön, joka vastaa organisaatiosi tarpeita.

Parametrit:

SAPUsersGetVIP-funktio palauttaa seuraavan tuloksen:

SAPUsersHeader

SAPUsersHeader-funktio on suunniteltu tarjoamaan SAP-käyttäjälle korkean tason näkymä. Se käyttää sekä SAP-käyttäjän päätietotaulukoista että SAP-valvontalokin viimeaikaisista toiminnoista poimittuja tietoja sähköposti- ja IP-osoitteiden keräämiseksi. Se palauttaa sitten viimeksi tunnetut sähköposti- ja IP-osoitteet sekä ensisijaiset sähköposti- ja IP-osoitteet.

Parametrit:

Esimerkki:

SelectedSystemRoles:dynamic = dynamic(["All System Roles"]) SelectedSystems:dynamic = dynamic(["All Systems"]) SelectedUsers:dynamic = dynamic(["All Users"]) SelectedUser:string = "All Users"

SAPUsersHeader-funktio palauttaa seuraavan tuloksen:

TH_SERVER_LIST (esikatselu)

TH_SERVER_LIST-funktiolla on merkitystä, kun SAP-järjestelmäsi on vanhempi XAL-järjestelmää käyttävä järjestelmä, ja siinä luetellaan aktiiviset SAP-sovelluspalvelimet.

TH_SERVER_LIST-funktiota tuetaan vain SAP Agentless Data Connector (Preview) -liittimellä. Lisätietoja on artikkelissa Microsoft Sentinel ratkaisun asentaminen SAP-sovelluksille.

Aiheeseen liittyvä sisältö

Lisätietoja on seuraavissa artikkeleissa:

• Lokikyselyiden valvonta Azure funktiot
• loki- ja taulukkoviittaus sap Microsoft Sentinel sovellusten Microsoft Sentinel ratkaisuun