Microsoft Sentinel-lösning för SAP-program – funktionsreferens

Den här artikeln beskriver ett urval av funktioner som är tillgängliga på din arbetsyta när du har installerat Microsoft Sentinel-lösningen för SAP-program. Upptäck fler funktioner genom att bläddra i Microsoft Sentinel och läsa in funktionskoden.

Hitta funktioner på följande sätt:

• I Azure Portal går du till sidan Allmänna > loggar på fliken Funktioner och visas under Arbetsytefunktioner.
• I Defender-portalen går du till sidan Undersökning och svar > Avancerad jakt på fliken Funktioner och visas under Sentinel-arbetsytefunktioner.

Innehållet i den här artikeln är avsett för dina säkerhetsteam .

Använda funktioner i dina frågor i stället för underliggande loggar eller tabeller

Vi rekommenderar starkt att du använder de funktioner som anges i den här artikeln som ämnen för deras analys när det är möjligt, i stället för de underliggande loggarna eller tabellerna.

Dessa funktioner är avsedda att fungera som huvudanvändargränssnittet för data. De utgör grunden för alla inbyggda analysregler och arbetsböcker som är tillgängliga för dig direkt. Med hjälp av funktioner kan ändringar göras i datainfrastrukturen under funktionerna, utan att användarskapade innehåll bryts.

SAPUsersAssignments

Funktionen SAPUsersAssignments samlar in data från flera SAP-datakällor och skapar en användarcentrerad vy över aktuella användarhuvuddata, inklusive de roller och profiler som för närvarande är tilldelade.

Den här funktionen sammanfattar användartilldelningarna till roller och profiler och returnerar följande data:

SAPUsersGetPrivileged

Funktionen SAPUsersGetPrivileged returnerar en lista över privilegierade användare per klient och system-ID.

Användare anses vara privilegierade när de matchar någon av följande beskrivningar:

• De visas i bevakningslistan SAP – Privilegierade användare
• De tilldelas till en profil som anges i SAP – bevakningslista för känsliga profiler
• De läggs till i en roll som anges i SAP – bevakningslistan för känsliga roller

Parametrar:

Funktionen SAPUsersGetPrivileged returnerar följande data:

SAPUsersAuthorizations

Funktionen SAPUsersAuthorizations samlar data från flera tabeller för att skapa en användarcentrerad vy över de aktuella roller och auktoriseringar som tilldelats. Endast användare med aktiv roll och auktoriseringstilldelningar returneras.

Parametrar:

Funktionen SAPUsersAuthorizations returnerar följande data:

SAPConnectorHealth

Funktionen SAPConnectorHealth återspeglar statusen för agentens och det underliggande SAP-systemets anslutning. Baserat på pulsslagsloggen SAP_HeartBeat_CL och andra hälsoindikatorer returnerar den följande data:

SAPConnectorOverview

Funktionen SAPConnectorOverview visar radantal för varje SAP-tabell per system-ID. Den returnerar en lista över dataposter per system-ID och deras tid genereras.

Parametrar:

Funktionen SAPConnectorOverview returnerar följande data:

Använd följande Kusto-fråga för att utföra en daglig trendanalys:

SAPConnectorOverview(7d)
| summarize count() by bin(TimeGenerated, 1d), SystemID_s

SAPUsersEmail

Funktionen SAPUsersEmail möjliggör en prestandaorienterad sökning av en SAP-användares e-postadress per SAP-system och -klient, som normalt används för att associera den med ett Active Directory-konto.

Funktionen SAPUsersEmail använder data som extraherats från SAP-tabeller usr21 (användarnamn/adressnyckeltilldelning) och ADR6 (e-postadresser) för att söka efter en e-postadress. Om ingen e-postadress hittas returneras användar-ID:t i stället.

Det här beteendet säkerställer att SAP-tjänstkonton som DDIC, som ofta inte är associerade med en e-postadress, loggas som pseudo-AD-konton. Detta öppnar också upp några UEBA-funktioner, med hjälp av utredning av incidenter och jaktaktiviteter.

Funktionen SAPUsersEmail returnerar följande data:

SAPSystems

Funktionen SAPSystems används för att centralt presentera konfigurationen per system som görs med hjälp av bevakningslistan SAP – System .

Parametrar:

Funktionen SAPSystems returnerar följande data:

SAPAuditLogConfiguration

Funktionen SAPAuditLogConfiguration returnerar den lokala konfigurationen av SAP-granskningsloggaviseringar till Log Analytics-arbetsytan som är aktiverad för Microsoft Sentinel. Den här konfigurationen används för SAP-granskningsloggrelaterade aviseringar.

Funktionen SAPAuditLogConfiguration ansluter data i SAP Dynamic Audit Log Monitor Configuration och SAP – System-bevakningslistor för att tillhandahålla en per systemkonfiguration vid en roll per system-roll.The SAPAuditLogConfiguration function joins the data in the SAP Dynamic Audit Log Monitor Configuration and SAP - Systems watchlists to provide a per-system configuration at a per-system-role effort.

Parametrar:

Funktionen SAPAuditLogConfiguration returnerar följande data:

Mer information finns i Tillgängliga visningslistor.

SAPAuditLogAnomalies

Funktionen SAPAuditLogAnomalies använder Microsoft Sentinels underliggande Kusto-databass inbyggda maskininlärningsfunktioner för att identifiera avvikande händelser som observerats i SAP-granskningsloggen.

Funktionen SAPAuditLogAnomalies utvecklades för analysregeln SAP – (experimentell) dynamisk avvikelsebaserad granskningsloggövervakare . Den ursprungliga designen är att avisera om de senaste avvikelserna, men den kan också bidra till att markera historiska avvikelser. Mer information finns i Exempel på användning.

Funktionen SAPAuditLogAnomalies lär sig sektorn för historiken som definieras av de olika indataparametrarna på följande nivåer:

• User
• Nätverksattribut
• System
• Säsongsberoende
• Aktivitetsnivåer

Funktionen SAPAuditLogAnomalies bedömer sedan händelser som inträffar inom det senaste DetectingTime tidsintervallet enligt vad den har lärt sig, tillämpar tröskelvärden och andra konfigurerbara exkluderingskriterier som hämtats från bevakningslistan för konfiguration av SAP-granskningsloggar.

När ett skjutfönster för användaraktiviteten bedöms som avvikande returnerar en andra fråga hela användaraktiviteten som bevis som stöder beslutet.

Parametrar:

Funktionen SAPAuditLogAnomalies returnerar följande data:

Rekommendationer:

Precis som med alla maskininlärningslösningar fungerar funktionen SAPAuditLogAnomalies bättre med tiden och kan justeras efter behov när tiden går.

Vi rekommenderar att du begränsar storleken på den inlärda databasen till under 100 miljoner poster med hjälp av de många tillgängliga indataparametrarna.

Exempel på användning är:

• Om du vill söka efter avvikelser efter händelser med hög allvarlighetsgrad som inträffat under den senaste timmen i produktionssystem för händelsetyper som har markerats som AnomaliesOnly i SAP_Dynamic_Audit_Log_Monitor_Configuration visningslista kör du:

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=1h, SelectedSystemRoles= dynamic(["Production"]), 
  SelectedSeverities= dynamic(["High"]), SelectedRuleTypes= dynamic(["AnomaliesOnly"]))
  

• Om du vill söka efter alla avvikelser under de senaste 14 dagarna i BIP-systemet kör du:

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=0h, SelectedSystems= dynamic(["BIP"]))
  

Mer information finns i Inbyggda SAP-analysregler för övervakning av SAP-granskningsloggen och avvikelseidentifiering i SAP-granskningsloggen med hjälp av Microsoft Sentinel för SAP-lösningen (blogg).

SAPAuditLogConfigRecommend

SAPAuditLogConfigRecommend är en hjälpfunktion som är utformad för att ge rekommendationer för konfigurationen av analysregeln SAP – dynamisk avvikelsebaserad granskningsloggövervakare (FÖRHANDSVERSION).

Mer information finns i Övervaka SAP-granskningsloggen.

SAPUsersGetVIP

Microsoft Sentinel-lösningen för SAP-program använder ett begrepp med central användartaggning och explicita undantag som hjälper dig att sänka falska positiva identifieringar med minimal ansträngning.

Använd funktionen SAPUsersGetVIP för att undanta användare från att utlösa aviseringar genom att ange SAP-användarroller, SAP-användarfunktioner eller taggar som representerar dessa användare. Mer information finns i Hantera falska positiva identifieringar i Microsoft Sentinel.

Taggar som anges som indata för funktionen SAPUsersGetVIP exkluderar alla användare med en tagg som anges i SAP_User_Config visningslista. Samma funktioner utökas för att fungera med jokertecken, så att du kan tilldela en enda tagg till en grupp användare med samma namngivningssyntax.

1. Tagga användare i SAP_User_Config visningslista på följande sätt:

   • Lägg till flera taggar till varje användare i SAP_User_Config bevakningslista efter behov för att täcka olika scenarier. Varje aviseringsregel har egna relevanta taggar, om några, och du kan lägga till anpassade taggar efter behov.

   • Använd en asterisk (*) som jokertecken för att inkludera användare med en specifik mall för namngivningssyntax.

2. Lägg till funktionen SAPUsersGetVIP i dina analysregler för att begära de listor över användare som du har definierat som undantagna från aviseringar. I funktionsanropet lägger du till en matris med de taggar, SAP-roller och SAP-profiler som du vill exkludera.

Använd till exempel följande KQL-fråga i analysregeln för att undanta alla användare som konfigurerats med Taggen RunObsoleteProgOK i SAP_User_Config bevakningslista, eller alla användare med exempelrollen SAP_BASIS_ADMIN_ROLE eller exempelprofilen SAP_ADMIN_PROFILE.

När du kopierar det här exempelfunktionsanropet ersätter du SAP_BASIS_ADMIN_ROLE roll och SAP_ADMIN_PROFILE profil med dina egna SAP-roller eller profiler efter behov.

Till exempel:

// Execution of Obsolete/Insecure Program
let ObsoletePrograms = _GetWatchlist("SAP - Obsolete Programs");
// here you can exclude system users which are OK to run obsolete/ sensitive programs
// by adding those users in the SAP_User_Config watchlist with a tag of 'RunObsoleteProgOK'
// can also specify SAP roles or SAP profiles that group the users you would like to exclude
let excludeUsersTagsRolesProfiles= dynamic(["RunObsoleteProgOK","SAP_BASIS_ADMIN_ROLE", "SAP_ADMIN_PROFILE"]);
let excludedUsers= SAPUsersGetVIP(SearchForTags= excludeUsersTagsRolesProfiles)| summarize by User2Exclude=SAPUser;
// Query logic
SAPAuditLog
| where MessageID == 'AUW'
| where ABAPProgramName in (ObsoletePrograms) // The program is obsolete
| join kind=leftantisemi excludedUsers on $left.User == $right.User2Exclude

Funktionen SAPUsersGetVIP används ofta i deterministiska och avvikande övervakningsaviseringar för granskningsloggar . Associera en tagg med ett SAP-granskningsloggmeddelande-ID eller utöka regelmallen till en anpassad regel som matchar organisationens behov.

Parametrar:

Funktionen SAPUsersGetVIP returnerar följande utdata:

SAPUsersHeader

Funktionen SAPUsersHeader är utformad för att ge en översikt över SAP-användaren. Den använder data som extraherats från både SAP-användarens huvuddatatabeller och den senaste aktiviteten i SAP-granskningsloggen för att samla in e-post och IP-adresser. Den returnerar sedan senast kända e-postadresser och IP-adresser tillsammans med primära e-postadresser och IP-adresser.

Parametrar:

Till exempel:

SelectedSystemRoles:dynamic = dynamic(["All System Roles"]) SelectedSystems:dynamic = dynamic(["All Systems"]) SelectedUsers:dynamic = dynamic(["All Users"]) SelectedUser:string = "All Users"

Funktionen SAPUsersHeader returnerar följande utdata:

Relaterat innehåll

Mer information finns i:

• Funktioner i Azure Monitor-loggfrågor
• Logg- och tabellreferens för Microsoft Sentinel-lösningen för SAP-program