SAP アプリケーション用の Microsoft Sentinel ソリューション - 関数リファレンス

この記事では、SAP アプリケーション用の Microsoft Sentinel ソリューションをインストールした後にワークスペースで使用できる関数の選択について説明します。 Microsoft Sentinel で参照し、関数コードを読み込むことで、その他の関数を検出します。

次のように関数を検索します。

• Azure portal の [全般ログ] ページの [関数] タブで、[ワークスペース関数] の下に一覧表示されます。>
• Defender ポータルの [調査と応答>の高度なハンティング] ページの [関数] タブで、[Sentinel ワークスペース関数] の下に一覧表示されます。

この記事の内容は、セキュリティ チームを対象としています。

基になるログやテーブルの代わりにクエリで関数を使用する

この記事に記載されている関数は、基になるログまたはテーブルではなく、可能な限り分析の対象として使用することを強くお勧めします。

これらの関数は、データのプリンシパル ユーザー インターフェイスとして機能することを意図しています。 これらは、既定で使用できるすべての組み込みの分析ルールとブックの基礎を形成しています。 関数を使用すると、ユーザーが作成したコンテンツを中断することなく、関数の下のデータ インフラストラクチャに変更を加えることができます。

SAPUsersAssignments

SAPUsersAssignments 関数は、複数の SAP データ ソースからデータを収集し、現在割り当てられているロールとプロファイルを含む、現在のユーザー マスター データのユーザー中心のビューを作成します。

この関数は、ロールとプロファイルへのユーザーの割り当てをまとめて、次のデータを返します。

SAPUsersGetPrivileged

SAPUsersGetPrivileged 関数は、クライアントおよびシステム ID ごとの特権ユーザーの一覧を返します。

ユーザーは、次の説明のいずれかに一致すると特権を持つと見なされます。

• これらは SAP - Privileged Users ウォッチリストに一覧表示されます
• SAP - 機密プロファイルウォッチリストに一覧表示されているプロファイルに割り当てられます
• SAP - 機密ロールウォッチリストに一覧表示されているロールに追加されます

パラメーター:

SAPUsersGetPrivileged 関数は、次のデータを返します。

SAPUsersAuthorizations

SAPUsersAuthorizations 関数は、複数のテーブルのデータをまとめて、割り当てられている現在のロールと認可のユーザー中心のビューを生成します。 アクティブなロールと認可の割り当てを持つユーザーのみが返されます。

パラメーター:

SAPUsersAuthorizations 関数は、次のデータを返します。

SAPConnectorHealth

SAPConnectorHealth 関数には、エージェントと、基になる SAP システムの接続の状態が反映されます。 ハートビート ログ SAP_HeartBeat_CL と他の正常性インジケーターに基づいて、次のデータが返されます。

SAPConnectorOverview

SAPConnectorOverview 関数は、各 SAP テーブルのシステム ID ごとの行数を表示します。 システム ID ごとのデータ レコードと、その生成時間の一覧を返します。

パラメーター:

SAPConnectorOverview 関数は、次のデータを返します。

次の Kusto クエリを使用して、日次傾向分析を実行します。

SAPConnectorOverview(7d)
| summarize count() by bin(TimeGenerated, 1d), SystemID_s

SAPUsersEmail

SAPUsersEmail 関数を使用すると、SAP システムとクライアントごとに SAP ユーザーのメール アドレスをパフォーマンス指向で検索できます。通常は、それを Active Directory アカウントに関連付けるために使用されます。

SAPUsersEmail 関数は、SAP テーブル USR21 (ユーザー名/アドレス キーの割り当て) と ADR6 (電子メール アドレス) から抽出されたデータを使用して電子メール アドレスを検索します。 メール アドレスが見つからない場合は、代わりにユーザー ID が返されます。

この動作により、DDIC などの SAP サービス アカウント (多くの場合、電子メール アドレスに関連付けられていない) が擬似 AD アカウントとしてログに記録されます。 これにより、一部の UEBA 機能も開かれ、インシデントや狩猟アクティビティの調査に役立ちます。

SAPUsersEmail 関数は、次のデータを返します。

SAPSystems

SAPSystems 関数は、SAP - Systems ウォッチリストを使用して行われたシステムごとの構成を一元的に表示するために使用されます。

パラメーター:

SAPSystems 関数は、次のデータを返します。

SAPAuditLogConfiguration

SAPAuditLogConfiguration 関数は、Microsoft Sentinel で有効になっている Log Analytics ワークスペースに SAP 監査ログ アラートのローカル構成を返します。 この構成は、SAP 監査ログ関連のアラートに使用されます。

SAPAuditLogConfiguration 関数は、SAP 動的監査ログ モニター構成と SAP - システム ウォッチリストのデータを結合して、システムロールごとの作業でシステムごとの構成を提供します。

パラメーター:

SAPAuditLogConfiguration 関数は、次のデータを返します。

詳細については、「使用可能なウォッチリスト」を参照してください。

SAPAuditLogAnomalies

SAPAuditLogAnomalies 関数は、Microsoft Sentinel の基になる Kusto データベースの組み込みの機械学習機能を使用して、SAP 監査ログで観察された異常なイベントを検出するのに役立ちます。

SAPAuditLogAnomalies 関数は、SAP - (試験段階) 動的異常ベースの監査ログ モニター アラート分析ルール用に開発されました。 元の設計は最近の異常に関するアラートですが、過去の異常を強調するのにも役立ちます。 詳細については、「サンプルの使用」を参照してください。

SAPAuditLogAnomalies 関数は、さまざまな入力パラメーターによって定義された履歴のスライスを次のレベルで学習します。

• User
• ネットワーク属性
• System
• 季節性
• アクティビティ レベル

次に、SAPAuditLogAnomalies 関数は、学習した内容に従って最後DetectingTimeの期間に発生したイベントを判断し、SAP 監査ログ構成ウォッチリストから取得されたしきい値とその他の構成可能な除外基準を適用します。

ユーザー アクティビティのスライディング ウィンドウが異常と見なされると、2 番目のクエリは、決定をサポートする証拠としてユーザー アクティビティ全体を返します。

パラメーター:

SAPAuditLogAnomalies 関数は、次のデータを返します。

レコメンデーション:

他の機械学習ソリューションと同様に 、SAPAuditLogAnomalies 関数は時間と共にパフォーマンスが向上し、時間が経つにつれて必要に応じて調整できます。

使用可能な多くの入力パラメーターを使用して、学習したデータベースのサイズを 1 億レコード以下に制限することをお勧めします。

サンプルの用途は次のとおりです。

• SAP_Dynamic_Audit_Log_Monitor_Configuration ウォッチリストで AnomaliesOnly としてマークされているイベントの種類について、実稼働システムで過去 1 時間以内に発生した重大度の高いイベントの異常を検索するには、次を実行します。

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=1h, SelectedSystemRoles= dynamic(["Production"]), 
  SelectedSeverities= dynamic(["High"]), SelectedRuleTypes= dynamic(["AnomaliesOnly"]))
  

• BIP システムで過去 14 日間のすべての異常を検索するには、次のコマンドを実行します。

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=0h, SelectedSystems= dynamic(["BIP"]))
  

詳細については、Microsoft Sentinel for SAP ソリューション (ブログ) を使用して SAP 監査ログと SAP 監査ログの異常検出を監視するための組み込みの SAP 分析ルールを参照してください。

SAPAuditLogConfigRecommend

SAPAuditLogConfigRecommend は、SAP - 動的異常ベースの監査ログ モニター アラート (プレビュー) 分析ルールの構成に関する推奨事項を提供するように設計されたヘルパー関数です。

詳細については、SAP 監査ログの監視を参照してください。

SAPUsersGetVIP

SAP アプリケーション用の Microsoft Sentinel ソリューションでは、集中ユーザーのタグ付けと明示的な除外の概念を使用します。これは、最小限の労力で誤検知を減らすのに役立ちます。

SAPUsersGetVIP 関数を使用して、SAP ユーザー ロール、SAP ユーザー関数、またはそれらのユーザーを表すタグを指定して、ユーザーをアラートのトリガーから除外します。 詳細については、「Microsoft Sentinel での擬陽性の処理」を参照してください。

SAPUsersGetVIP 関数の入力として指定されたタグは、SAP_User_Configウォッチリストにリストされているタグを持つすべてのユーザーを除外します。 同じ機能がワイルドカードを使用するように拡張されているため、同じ名前付け構文を持つユーザーのグループに 1 つのタグを割り当てることができます。

1. SAP_User_Config ウォッチリストのユーザーに次のようにタグ付けします。

   • さまざまなシナリオに対応するために必要に応じて、SAP_User_Configウォッチリストの各ユーザーに複数のタグを追加します。 各アラート ルールには、関連する独自のタグ (存在する場合) があり、必要に応じてカスタム タグを追加できます。

   • 特定の名前付け構文テンプレートを持つユーザーを含めるには、ワイルドカードとしてアスタリスク (*) を使用します。

2. 分析ルールに SAPUsersGetVIP 関数を追加して、アラートから除外するように定義したユーザーの一覧を要求します。 関数呼び出しで、除外するタグ、SAP ロール、および SAP プロファイルを含む配列を追加します。

たとえば、分析ルールで次の KQL クエリを使用して、SAP_User_Config ウォッチリストで RunObsoleteProgOK タグで構成されたすべてのユーザー、またはサンプル SAP_BASIS_ADMIN_ROLE ロールまたはサンプル SAP_ADMIN_PROFILE プロファイルを持つユーザーを除外します。

このサンプル関数呼び出しをコピーするときは、SAP_BASIS_ADMIN_ROLEロールとSAP_ADMIN_PROFILEプロファイルを、必要に応じて独自の SAP ロールまたはプロファイルに置き換えます。

次に例を示します。

// Execution of Obsolete/Insecure Program
let ObsoletePrograms = _GetWatchlist("SAP - Obsolete Programs");
// here you can exclude system users which are OK to run obsolete/ sensitive programs
// by adding those users in the SAP_User_Config watchlist with a tag of 'RunObsoleteProgOK'
// can also specify SAP roles or SAP profiles that group the users you would like to exclude
let excludeUsersTagsRolesProfiles= dynamic(["RunObsoleteProgOK","SAP_BASIS_ADMIN_ROLE", "SAP_ADMIN_PROFILE"]);
let excludedUsers= SAPUsersGetVIP(SearchForTags= excludeUsersTagsRolesProfiles)| summarize by User2Exclude=SAPUser;
// Query logic
SAPAuditLog
| where MessageID == 'AUW'
| where ABAPProgramName in (ObsoletePrograms) // The program is obsolete
| join kind=leftantisemi excludedUsers on $left.User == $right.User2Exclude

SAPUsersGetVIP 関数は、確定的および異常な監査ログ モニター アラートでよく使用されます。 タグを SAP 監査ログ メッセージ ID に関連付けるか、組織のニーズに合ったカスタムルールにルール テンプレートを拡張します。

パラメーター:

SAPUsersGetVIP 関数は、次の出力を返します。

SAPUsersHeader

SAPUsersHeader 関数は、SAP ユーザーの概要を表示するように設計されています。 SAP ユーザー マスター データ テーブルと SAP 監査ログの最近のアクティビティの両方から抽出されたデータを使用して、電子メールアドレスと IP アドレスを収集します。 その後、最後の既知のメールアドレスと IP アドレスと、プライマリ メールアドレスと IP アドレスが返されます。

パラメーター:

次に例を示します。

SelectedSystemRoles:dynamic = dynamic(["All System Roles"]) SelectedSystems:dynamic = dynamic(["All Systems"]) SelectedUsers:dynamic = dynamic(["All Users"]) SelectedUser:string = "All Users"

SAPUsersHeader 関数は、次の出力を返します。

関連するコンテンツ

詳細については、以下を参照してください:

• Azure Monitor ログ クエリの関数
• SAP アプリケーション用の Microsoft Sentinel ソリューションのログとテーブルのリファレンス