Solusi Microsoft Azure Sentinel untuk aplikasi SAP - referensi fungsi

Artikel ini menjelaskan pilihan fungsi yang tersedia di ruang kerja Anda setelah Anda menginstal solusi Microsoft Azure Sentinel untuk aplikasi SAP. Temukan lebih banyak fungsi dengan menelusuri di Microsoft Azure Sentinel dan memuat kode fungsi.

Temukan fungsi sebagai berikut:

• Di portal Azure, di halaman Log Umum>, pada tab Fungsi, dan tercantum di bawah Fungsi Ruang Kerja.
• Di portal Pertahanan, di halaman Investigasi & respons > Perburuan tingkat lanjut, pada tab Fungsi , dan tercantum di bawah fungsi ruang kerja Sentinel.

Konten dalam artikel ini ditujukan untuk tim keamanan Anda.

Gunakan fungsi dalam kueri Anda alih-alih log atau tabel yang mendasarinya

Kami sangat menyarankan Anda menggunakan fungsi yang tercantum dalam artikel ini sebagai subjek analisisnya jika memungkinkan, alih-alih log atau tabel yang mendasar.

Fungsi-fungsi ini dimaksudkan untuk berfungsi sebagai antarmuka pengguna utama ke data. Fungsi ini membentuk dasar untuk semua aturan analitik bawaan dan buku kerja yang tersedia untuk Anda di luar kotak. Menggunakan fungsi memungkinkan perubahan dilakukan pada infrastruktur data di bawah fungsi, tanpa merusak konten yang dibuat pengguna.

SAPUsersAssignments

Fungsi SAPUsersAssignments mengumpulkan data dari beberapa sumber data SAP dan membuat tampilan yang berpusat pada pengguna dari data master pengguna saat ini, termasuk peran dan profil yang saat ini ditetapkan.

Fungsi ini merangkum tugas pengguna ke peran dan profil, dan mengembalikan data berikut:

SAPUsersGetPrivileged

Fungsi SAPUsersGetPrivileged mengembalikan daftar pengguna istimewa per klien dan ID sistem.

Pengguna dianggap istimewa saat mereka mencocokkan salah satu deskripsi berikut:

• Mereka tercantum dalam daftar tonton SAP - Pengguna Istimewa
• Mereka ditetapkan ke profil yang tercantum dalam daftar tonton SAP - Profil Sensitif
• Mereka ditambahkan ke peran yang tercantum dalam daftar tonton SAP - Peran Sensitif

Parameter:

Fungsi SAPUsersGetPrivileged mengembalikan data berikut:

SAPUsersAuthorizations

Fungsi SAPUsersAuthorizations menyatukan data dari beberapa tabel untuk menghasilkan tampilan yang berpusat pada pengguna dari peran dan otorisasi saat ini yang ditetapkan. Hanya pengguna dengan peran aktif dan penetapan otorisasi yang dikembalikan.

Parameter:

Fungsi SAPUsersAuthorizations mengembalikan data berikut:

SAPConnectorHealth

Fungsi SAPConnectorHealth mencerminkan status agen dan konektivitas sistem SAP yang mendasarinya. Berdasarkan log heartbeat SAP_HeartBeat_CL dan indikator kesehatan lainnya, log mengembalikan data berikut:

SAPConnectorOverview

Fungsi SAPConnectorOverview menunjukkan jumlah baris setiap tabel SAP per ID Sistem. Ini mengembalikan daftar catatan data per ID sistem, dan waktu yang dihasilkan.

Parameter:

Fungsi SAPConnectorOverview mengembalikan data berikut:

Gunakan kueri Kusto berikut untuk melakukan analisis tren harian:

SAPConnectorOverview(7d)
| summarize count() by bin(TimeGenerated, 1d), SystemID_s

SAPUsersEmail

Fungsi SAPUsersEmail memungkinkan pencarian berorientasi performa dari alamat email pengguna SAP per sistem SAP dan klien, biasanya digunakan untuk mengaitkannya dengan akun direktori aktif.

Fungsi SAPUsersEmail menggunakan data yang diekstrak dari tabel SAP USR21 (Nama Pengguna/Penetapan Kunci Alamat) dan ADR6 (Alamat Email) untuk mencari alamat email. Jika tidak ada alamat email yang ditemukan, ID pengguna dikembalikan sebagai gantinya.

Perilaku ini memastikan bahwa akun layanan SAP seperti DDIC, yang sering tidak terkait dengan alamat email, dicatat sebagai akun AD semu. Ini juga membuka beberapa fitur UEBA, membantu dalam penyelidikan insiden dan aktivitas perburuan.

Fungsi SAPUsersEmail mengembalikan data berikut:

SAPSystems

Fungsi SAPSystems digunakan untuk menyajikan konfigurasi per sistem yang dibuat secara terpusat menggunakan daftar pengawasan SAP - Systems .

Parameter:

Fungsi SAPSystems mengembalikan data berikut:

SAPAuditLogConfiguration

Fungsi SAPAuditLogConfiguration mengembalikan konfigurasi lokal pemberitahuan log audit SAP ke ruang kerja Analitik Log yang diaktifkan untuk Microsoft Azure Sentinel. Konfigurasi ini digunakan untuk pemberitahuan terkait log audit SAP.

Fungsi SAPAuditLogConfiguration menggabungkan data dalam SAP Dynamic Audit Log Monitor Configuration dan SAP - Systems watchlists untuk menyediakan konfigurasi per sistem dengan upaya per peran sistem.

Parameter:

Fungsi SAPAuditLogConfiguration mengembalikan data berikut:

Untuk informasi selengkapnya, lihat Daftar pengawasan yang tersedia.

SAPAuditLogAnomalies

Fungsi SAPAuditLogAnomalies menggunakan kemampuan pembelajaran mesin bawaan database Kusto Microsoft Sentinel yang mendasar untuk membantu mendeteksi peristiwa anomali yang diamati pada log audit SAP.

Fungsi SAPAuditLogAnomalies dikembangkan untuk aturan analitik Pemberitahuan Monitor Log Audit berbasis Anomali Dinamis SAP - (Eksperimental). Meskipun desain aslinya adalah untuk memperingatkan anomali baru-baru ini, ini juga dapat membantu menyoroti anomali historis. Untuk informasi selengkapnya, lihat Contoh penggunaan.

Fungsi SAPAuditLogAnomalies mempelajari poros riwayat yang ditentukan oleh parameter input yang berbeda, pada tingkat berikut:

• Pengguna
• Atribut jaringan
• Sistem
• Musiman
• Tingkat aktivitas

Fungsi SAPAuditLogAnomalies kemudian menilai peristiwa yang terjadi dalam rentang waktu terakhir DetectingTime sesuai dengan apa yang dipelajarinya, menerapkan ambang batas dan kriteria pengecualian lain yang dapat dikonfigurasi yang diperoleh dari daftar pengawasan konfigurasi log audit SAP.

Setelah jendela geser aktivitas pengguna dianggap anomali, kueri kedua mengembalikan seluruh aktivitas pengguna sebagai bukti yang mendukung keputusan.

Parameter:

Fungsi SAPAuditLogAnomalies mengembalikan data berikut:

Rekomendasi:

Seperti halnya solusi pembelajaran mesin apa pun, fungsi SAPAuditLogAnomalies berkinerja lebih baik seiring waktu, dan dapat disesuaikan sesuai kebutuhan seiring berjalannya waktu.

Sebaiknya batasi ukuran database yang dipelajari menjadi di bawah 100 juta rekaman menggunakan banyak parameter input yang tersedia.

Penggunaan sampel meliputi:

• Untuk mencari anomali peristiwa tingkat keparahan tinggi yang terjadi dalam satu jam terakhir pada sistem produksi untuk jenis peristiwa yang ditandai sebagai AnomaliOnly dalam daftar pengawasan SAP_Dynamic_Audit_Log_Monitor_Configuration , jalankan:

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=1h, SelectedSystemRoles= dynamic(["Production"]), 
  SelectedSeverities= dynamic(["High"]), SelectedRuleTypes= dynamic(["AnomaliesOnly"]))
  

• Untuk mencari semua anomali dalam 14 hari terakhir dalam sistem BIP , jalankan:

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=0h, SelectedSystems= dynamic(["BIP"]))
  

Untuk informasi selengkapnya, lihat Aturan analitik SAP bawaan untuk memantau log audit SAP dan Deteksi anomali pada log audit SAP menggunakan Microsoft Sentinel untuk solusi SAP (blog).

SAPAuditLogConfigRecommend

SAPAuditLogConfigRecommend adalah fungsi pembantu yang dirancang untuk menawarkan rekomendasi untuk konfigurasi aturan analitik SAP - Peringatan Pemantauan Log Audit berbasis Anomali Dinamis (PRATINJAU).

Untuk informasi selengkapnya, lihat Memantau log audit SAP.

SAPUsersGetVIP

Solusi Microsoft Sentinel untuk aplikasi SAP menggunakan konsep penandaan pengguna pusat dan pengecualian eksplisit, yang dirancang untuk membantu Anda menurunkan positif palsu dengan upaya minimal.

Gunakan fungsi SAPUsersGetVIP untuk mengecualikan pengguna agar tidak memicu pemberitahuan dengan menentukan peran pengguna SAP, fungsi pengguna SAP, atau tag yang mewakili pengguna tersebut. Untuk mengetahui informasi selengkapnya, lihat Menangani positif palsu di Microsoft Azure Sentinel.

Tag yang ditentukan sebagai input untuk fungsi SAPUsersGetVIP mengecualikan semua pengguna dengan tag yang tercantum dalam daftar pengawasan SAP_User_Config . Fungsionalitas yang sama diperluas untuk bekerja dengan wildcard, memungkinkan Anda menetapkan satu tag ke sekelompok pengguna dengan sintaks penamaan yang sama.

1. Beri tag pengguna dalam daftar pengawasan SAP_User_Config sebagai berikut:

   • Tambahkan beberapa tag ke setiap pengguna dalam daftar pengawasan SAP_User_Config , sesuai kebutuhan untuk mencakup berbagai skenario. Setiap aturan pemberitahuan memiliki tag yang relevan sendiri, jika ada, dan Anda dapat menambahkan tag kustom sesuai kebutuhan.

   • Gunakan tanda bintang (*) sebagai kartubebas untuk menyertakan pengguna dengan templat sintaks penamaan tertentu.

2. Tambahkan fungsi SAPUsersGetVIP dalam aturan analitik Anda untuk meminta daftar pengguna yang telah Anda tentukan untuk dikecualikan dari pemberitahuan. Dalam panggilan fungsi, tambahkan array dengan tag, peran SAP, dan profil SAP yang ingin Anda kecualikan.

Misalnya, gunakan kueri KQL berikut dalam aturan analitik Anda untuk mengecualikan pengguna apa pun yang dikonfigurasi dengan tag RunObsoleteProgOK di daftar pengawasan SAP_User_Config, atau pengguna apa pun dengan peran SAP_BASIS_ADMIN_ROLE sampel atau profil SAP_ADMIN_PROFILE sampel.

Saat menyalin contoh panggilan fungsi ini, ganti peran SAP_BASIS_ADMIN_ROLE dan profil SAP_ADMIN_PROFILE dengan peran atau profil SAP Anda sendiri sesuai kebutuhan.

Contohnya:

// Execution of Obsolete/Insecure Program
let ObsoletePrograms = _GetWatchlist("SAP - Obsolete Programs");
// here you can exclude system users which are OK to run obsolete/ sensitive programs
// by adding those users in the SAP_User_Config watchlist with a tag of 'RunObsoleteProgOK'
// can also specify SAP roles or SAP profiles that group the users you would like to exclude
let excludeUsersTagsRolesProfiles= dynamic(["RunObsoleteProgOK","SAP_BASIS_ADMIN_ROLE", "SAP_ADMIN_PROFILE"]);
let excludedUsers= SAPUsersGetVIP(SearchForTags= excludeUsersTagsRolesProfiles)| summarize by User2Exclude=SAPUser;
// Query logic
SAPAuditLog
| where MessageID == 'AUW'
| where ABAPProgramName in (ObsoletePrograms) // The program is obsolete
| join kind=leftantisemi excludedUsers on $left.User == $right.User2Exclude

Fungsi SAPUsersGetVIP umumnya digunakan dalam peringatan Deterministik dan Anomali Monitor Log Audit. Kaitkan tag dengan ID pesan log audit SAP, atau perluas templat aturan ke aturan kustom yang sesuai dengan kebutuhan organisasi Anda.

Parameter:

Fungsi SAPUsersGetVIP mengembalikan output berikut:

SAPUsersHeader

Fungsi SAPUsersHeader dirancang untuk memberikan tampilan tingkat tinggi dari pengguna SAP. Ini menggunakan data yang diekstrak dari tabel data master pengguna SAP dan aktivitas terbaru pada log audit SAP untuk mengumpulkan email dan alamat IP. Kemudian mengembalikan email dan alamat IP terakhir yang diketahui bersama dengan email primer dan alamat IP.

Parameter:

Contohnya:

SelectedSystemRoles:dynamic = dynamic(["All System Roles"]) SelectedSystems:dynamic = dynamic(["All Systems"]) SelectedUsers:dynamic = dynamic(["All Users"]) SelectedUser:string = "All Users"

Fungsi SAPUsersHeader mengembalikan output berikut:

Konten terkait

Untuk informasi selengkapnya, lihat:

• Fungsi dalam kueri log Azure Monitor
• Referensi log dan tabel untuk solusi Microsoft Azure Sentinel untuk aplikasi SAP