حل Microsoft Sentinel لتطبيقات SAP - مرجع الوظائف

توضح هذه المقالة مجموعة مختارة من الوظائف المتوفرة في مساحة العمل بعد تثبيت حل Microsoft Sentinel لتطبيقات SAP. اكتشف المزيد من الوظائف عن طريق الاستعراض في Microsoft Sentinel وتحميل التعليمات البرمجية للدالة.

ابحث عن الدالات كما يلي:

• في مدخل Microsoft Azure، في صفحة السجلات العامة>، في علامة التبويب Functions، والمدرجة ضمن Workspace functions.
• في مدخل Defender، في صفحة التتبع المتقدم للتحقيق والاستجابة>، في علامة التبويب Functions، والمدرجة ضمن وظائف مساحة عمل Sentinel.

المحتوى الوارد في هذه المقالة مخصص لفرق الأمان الخاصة بك.

استخدام الدالات في الاستعلامات بدلا من السجلات أو الجداول الأساسية

نوصي بشدة باستخدام الدالات المدرجة في هذه المقالة كمواضيع لتحليلها كلما أمكن ذلك، بدلا من السجلات أو الجداول الأساسية.

تهدف هذه الدالات إلى أن تكون بمثابة واجهة المستخدم الرئيسية للبيانات. وهي تشكل الأساس لجميع قواعد التحليلات المضمنة والمصنفات المتوفرة لك خارج الصندوق. يسمح استخدام الدالات بإجراء تغييرات على البنية الأساسية للبيانات أسفل الوظائف، دون كسر المحتوى الذي أنشأه المستخدم.

تعيينات SAPUsers

تجمع الدالة SAPUsersAssignments البيانات من مصادر بيانات SAP متعددة وتنشئ طريقة عرض تركز على المستخدم للبيانات الرئيسية الحالية للمستخدم، بما في ذلك الأدوار وملفات التعريف المعينة حاليًا.

تلخص هذه الدالة تعيينات المستخدم للأدوار وملفات التعريف، وتعيد البيانات التالية:

SAPUsersGetPrivileged

ترجع الدالة SAPUsersGetPrivileged قائمة بالمستخدمين المميزين لكل عميل ومعرف النظام.

يعتبر المستخدمون متميزين عندما يتطابقون مع أي من الأوصاف التالية:

• وهي مدرجة في قائمة مراقبة SAP - المستخدمون المتميزون
• يتم تعيينها إلى ملف تعريف مدرج في SAP - قائمة مراقبة ملفات التعريف الحساسة
• تتم إضافتها إلى دور مدرج في SAP - قائمة مراقبة الأدوار الحساسة

البارامترات:

ترجع الدالة SAPUsersGetPrivileged البيانات التالية:

SAPUsersAuthorizations

تجمع الدالة SAPUsersAuthorizations البيانات من عدة جداول لإنتاج عرض يركز على المستخدم للأدوار والتخويلات الحالية المعينة. يتم إرجاع المستخدمين الذين لديهم دور نشط وتعيينات التخويل فقط.

البارامترات:

ترجع الدالة SAPUsersAuthorizations البيانات التالية:

SAPConnectorHealth

تعكس الدالة SAPConnectorHealth حالة اتصال العامل ونظام SAP الأساسي. استنادًا إلى SAP_HeartBeat_CL سجل رسالة كشف أخطاء الاتصال ومؤشرات الصحة الأخرى، فإنه يقوم بإرجاع البيانات التالية:

SAPConnectorOverview

تعرض الدالة SAPConnectorOverview عدد الصفوف لكل جدول SAP لكل معرف نظام. يقوم بإرجاع قائمة بسجلات البيانات لكل معرف نظام، والوقت الذي تم إنشاؤه.

البارامترات:

ترجع الدالة SAPConnectorOverview البيانات التالية:

استخدم استعلام Kusto التالي لإجراء تحليل اتجاه يومي:

SAPConnectorOverview(7d)
| summarize count() by bin(TimeGenerated, 1d), SystemID_s

SAPUsersEmail

تسمح الدالة SAPUsersEmail بالبحث الموجه نحو الأداء عن عنوان البريد الإلكتروني لمستخدم SAP لكل نظام وعميل SAP، وتستخدم عادة لإقرانه بحساب دليل نشط.

تستخدم الدالة SAPUsersEmail البيانات المستخرجة من جداول SAP USR21 (تعيين مفتاح اسم المستخدم/العنوان) وADR6 (عناوين البريد الإلكتروني) للبحث عن عنوان بريد إلكتروني. في حالة عدم العثور على عنوان بريد إلكتروني، يتم إرجاع معرف المستخدم بدلا من ذلك.

يضمن هذا السلوك تسجيل حسابات خدمة SAP مثل DDIC، والتي غالبا ما تكون غير مقترنة بعناوين بريد إلكتروني، كحسابات AD غير صحيحة. وهذا يفتح أيضا بعض ميزات UEBA، مما يساعد في التحقيق في الحوادث وأنشطة الصيد.

ترجع الدالة SAPUsersEmail البيانات التالية:

SAPSystems

تستخدم الدالة SAPSystems لتقديم تكوين كل نظام مركزيا باستخدام قائمة مراقبة SAP - Systems.

البارامترات:

ترجع الدالة SAPSystems البيانات التالية:

SAPAuditLogConfiguration

ترجع الدالة SAPAuditLogConfiguration التكوين المحلي لتنبيهات سجل تدقيق SAP إلى مساحة عمل Log Analytics الممكنة ل Microsoft Sentinel. يستخدم هذا التكوين للتنبيهات المتعلقة بسجل تدقيق SAP.

تنضم الدالة SAPAuditLogConfiguration إلى البيانات في تكوين SAP Dynamic Audit Log Monitor وSAP - قوائم مراقبة الأنظمة لتوفير تكوين لكل نظام بجهد لكل دور نظام.

البارامترات:

ترجع الدالة SAPAuditLogConfiguration البيانات التالية:

لمزيد من المعلومات، راجع قوائم المشاهدة المتوفرة.

SAPAuditLogAnomalies

تستخدم الدالة SAPAuditLogAnomalies قدرات التعلم الآلي المضمنة في قاعدة بيانات Kusto الأساسية لقاعدة بيانات Kusto للمساعدة في اكتشاف الأحداث الشاذة التي تمت ملاحظتها في سجل تدقيق SAP.

تم تطوير وظيفة SAPAuditLogAnomalies لقاعدة تحليلات تنبيهات تنبيهات سجل التدقيق المستندة إلى SAP - (تجريبي) Dynamic Anomaly. في حين أن تصميمه الأصلي هو التنبيه بشأن الحالات الشاذة الأخيرة، فإنه يمكن أن يساعد أيضا على تسليط الضوء على الحالات الشاذة التاريخية. لمزيد من المعلومات، راجع استخدامات العينة.

تتعلم الدالة SAPAuditLogAnomalies شريحة المحفوظات المحددة بواسطة معلمات الإدخال المختلفة، على المستويات التالية:

• المستخدم
• سمات الشبكة
• النظام
• الموسمية
• مستويات النشاط

تعمل وظيفة SAPAuditLogAnomalies بعد ذلك على الحكم على الأحداث التي تحدث خلال الفترة الزمنية الأخيرة DetectingTime وفقا لما تعلمته، وتطبيق الحدود ومعايير الاستبعاد الأخرى القابلة للتكوين التي تم الحصول عليها من قائمة مراقبة تكوين سجل تدقيق SAP.

بمجرد اعتبار نافذة منزلقة لنشاط المستخدم شاذة، يقوم استعلام ثان بإرجاع نشاط المستخدم بأكمله كدليل يدعم القرار.

البارامترات:

ترجع الدالة SAPAuditLogAnomalies البيانات التالية:

التوصيات:

كما هو الحال مع أي حل للتعلم الآلي، تعمل وظيفة SAPAuditLogAnomalies بشكل أفضل مع مرور الوقت، ويمكن تعديلها حسب الحاجة مع مرور الوقت.

نوصي بتقييد حجم قاعدة البيانات المستفادة ليكون أقل من 100 مليون سجل باستخدام العديد من معلمات الإدخال المتوفرة.

تتضمن نماذج الاستخدامات ما يلي:

• للبحث عن الحالات الشاذة للأحداث ذات الخطورة العالية التي حدثت خلال الساعة الماضية على أنظمة الإنتاج لأنواع الأحداث التي تم وضع علامة عليها على أنها AnomaliesOnly في قائمة مراقبة SAP_Dynamic_Audit_Log_Monitor_Configuration ، قم بتشغيل:

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=1h, SelectedSystemRoles= dynamic(["Production"]), 
  SelectedSeverities= dynamic(["High"]), SelectedRuleTypes= dynamic(["AnomaliesOnly"]))
  

• للبحث عن جميع الحالات الشاذة في آخر 14 يوما في نظام BIP ، قم بتشغيل:

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=0h, SelectedSystems= dynamic(["BIP"]))
  

لمزيد من المعلومات، راجع قواعد تحليلات SAP المضمنة لمراقبة سجل تدقيق SAP والكشف عن الشذوذ في سجل تدقيق SAP باستخدام حل Microsoft Sentinel ل SAP (مدونة).

SAPAuditLogConfigRecommend

SAPAuditLogConfigRecommend هي وظيفة مساعدة مصممة لتقديم توصيات لتكوين قاعدة تحليلات لتنبيهات مراقب سجل التدقيق المبني على SAP - Dynamic Anomaly (معاينة).

لمزيد من المعلومات، راجع مراقبة سجل تدقيق SAP.

SAPUsersGetVIP

يستخدم حل Microsoft Sentinel لتطبيقات SAP مفهوم وضع علامات للمستخدم المركزي والاستثناءات الصريحة، المصممة لمساعدتك على خفض الإيجابيات الزائفة بأقل جهد ممكن.

استخدم الدالة SAPUsersGetVIP لاستبعاد المستخدمين من تشغيل التنبيهات عن طريق تحديد أدوار مستخدم SAP أو وظائف مستخدم SAP أو العلامات التي تمثل هؤلاء المستخدمين. لمزيدٍ من المعلومات، راجع التعامل مع الإيجابيات الزائفة في Microsoft Sentinel.

تستبعد العلامات المحددة كمدخل لدالة SAPUsersGetVIP جميع المستخدمين الذين لديهم علامة مدرجة في قائمة مشاهدة SAP_User_Config . يتم توسيع نفس الوظيفة للعمل مع أحرف البدل، مما يسمح لك بتعيين علامة واحدة لمجموعة من المستخدمين الذين لديهم نفس بناء جملة التسمية.

1. وضع علامة على المستخدمين في قائمة المشاهدة SAP_User_Config على النحو التالي:

   • أضف علامات متعددة إلى كل مستخدم في قائمة المشاهدة SAP_User_Config ، حسب الحاجة لتغطية سيناريوهات مختلفة. كل قاعدة تنبيه لها علاماتها ذات الصلة، إن وجدت، ويمكنك إضافة علامات مخصصة حسب الحاجة.

   • استخدم علامة نجمية (*) كحرف بدل لتضمين المستخدمين الذين لديهم قالب بناء جملة تسمية معين.

2. أضف وظيفة SAPUsersGetVIP في قواعد التحليلات لطلب قوائم المستخدمين الذين حددتهم لاستبعادهم من التنبيهات. في استدعاء الدالة، أضف صفيفا مع العلامات وأدوار SAP وملفات تعريف SAP التي تريد استبعادها.

على سبيل المثال، استخدم استعلام KQL التالي في قاعدة التحليلات لاستبعاد أي مستخدمين تم تكوينهم باستخدام علامة RunObsoleteProgOK في قائمة مشاهدة SAP_User_Config ، أو أي مستخدمين لديهم نموذج دور SAP_BASIS_ADMIN_ROLE أو نموذج ملف تعريف SAP_ADMIN_PROFILE .

عند نسخ نموذج استدعاء الدالة هذا، استبدل دور SAP_BASIS_ADMIN_ROLE وملف تعريف SAP_ADMIN_PROFILE بأدوار SAP أو ملفات التعريف الخاصة بك حسب الحاجة.

على سبيل المثال:

// Execution of Obsolete/Insecure Program
let ObsoletePrograms = _GetWatchlist("SAP - Obsolete Programs");
// here you can exclude system users which are OK to run obsolete/ sensitive programs
// by adding those users in the SAP_User_Config watchlist with a tag of 'RunObsoleteProgOK'
// can also specify SAP roles or SAP profiles that group the users you would like to exclude
let excludeUsersTagsRolesProfiles= dynamic(["RunObsoleteProgOK","SAP_BASIS_ADMIN_ROLE", "SAP_ADMIN_PROFILE"]);
let excludedUsers= SAPUsersGetVIP(SearchForTags= excludeUsersTagsRolesProfiles)| summarize by User2Exclude=SAPUser;
// Query logic
SAPAuditLog
| where MessageID == 'AUW'
| where ABAPProgramName in (ObsoletePrograms) // The program is obsolete
| join kind=leftantisemi excludedUsers on $left.User == $right.User2Exclude

تستخدم الدالة SAPUsersGetVIP بشكل شائع في تنبيهات مراقبة سجل التدقيق المحدد والشذوذ. قم بإقران علامة بمعرف رسالة سجل تدقيق SAP، أو قم بتوسيع قالب القاعدة إلى قاعدة مخصصة تطابق احتياجات مؤسستك.

البارامترات:

ترجع الدالة SAPUsersGetVIP الإخراج التالي:

SAPUsersHeader

تم تصميم الدالة SAPUsersHeader لتوفير عرض عالي المستوى لمستخدم SAP. ويستخدم البيانات المستخرجة من كل من جداول البيانات الرئيسية لمستخدم SAP والنشاط الأخير في سجل تدقيق SAP لجمع البريد الإلكتروني وعناوين IP. ثم تقوم بإرجاع آخر عناوين بريد إلكتروني وIP معروفة جنباً إلى جنب مع عناوين البريد الإلكتروني وIP الأساسية.

البارامترات:

على سبيل المثال:

SelectedSystemRoles:dynamic = dynamic(["All System Roles"]) SelectedSystems:dynamic = dynamic(["All Systems"]) SelectedUsers:dynamic = dynamic(["All Users"]) SelectedUser:string = "All Users"

ترجع الدالة SAPUsersHeader الإخراج التالي:

المحتوى ذو الصلة

لمزيد من المعلومات، راجع:

• الدالات في استعلامات سجل Azure Monitor
• مرجع السجل والجدول لحل Microsoft Sentinel لتطبيقات SAP