SAP uygulamaları için Microsoft Sentinel çözümü - işlevler başvurusu

Bu makalede, SAP uygulamaları için Microsoft Sentinel çözümünü yükledikten sonra çalışma alanınızda kullanılabilen işlevler açıklanmaktadır. Microsoft Sentinel'e göz atarak ve işlev kodunu yükleyerek daha fazla işlev keşfedin.

İşlevleri aşağıdaki gibi bulun:

• Azure portalında, Genel Günlükler sayfasında, İşlevler sekmesinde ve Çalışma alanı işlevleri altında listelenmiştir.>
• Defender portalında, Araştırma ve yanıt > Gelişmiş tehdit avcılığı sayfasında, İşlevler sekmesinde ve Sentinel çalışma alanı işlevleri altında listelenir.

Bu makaledeki içerik güvenlik ekiplerinize yöneliktir.

Temel alınan günlükler veya tablolar yerine sorgularınızdaki işlevleri kullanma

Bu makalede listelenen işlevleri, temel alınan günlükler veya tablolar yerine mümkün olduğunda çözümlemelerinin konuları olarak kullanmanızı kesinlikle öneririz.

Bu işlevler, veriler için asıl kullanıcı arabirimi görevi görecek şekilde tasarlanmıştır. Bunlar, kullanıma hazır olarak kullanabileceğiniz tüm yerleşik analiz kurallarının ve çalışma kitaplarının temelini oluşturur. İşlevleri kullanmak, kullanıcı tarafından oluşturulan içeriği bozmadan işlevlerin altındaki veri altyapısında değişiklik yapılmasını sağlar.

SAPUsersAssignments

SAPUsersAssignments işlevi, birden çok SAP veri kaynağından veri toplar ve şu anda atanmış olan roller ve profiller de dahil olmak üzere geçerli kullanıcı ana verilerinin kullanıcı merkezli bir görünümünü oluşturur.

Bu işlev, rollere ve profillere kullanıcı atamalarını özetler ve aşağıdaki verileri döndürür:

SAPUsersGetPrivileged

SAPUsersGetPrivileged işlevi, istemci ve sistem kimliği başına ayrıcalıklı kullanıcıların listesini döndürür.

Kullanıcılar aşağıdaki açıklamalardan herhangi biriyle eşleştiğinde ayrıcalıklı olarak kabul edilir:

• Sap - Privileged Users izleme listesinde listelenirler
• SAP - Hassas Profiller izleme listesinde listelenen bir profile atanırlar
• SAP - Hassas Roller izleme listesinde listelenen bir role eklenirler

Parametreler:

SAPUsersGetPrivileged işlevi aşağıdaki verileri döndürür:

SAPUsersAuthorizations

SAPUsersAuthorizations işlevi, atanan geçerli rollerin ve yetkilendirmelerin kullanıcı merkezli bir görünümünü oluşturmak için çeşitli tablolardaki verileri bir araya getirir. Yalnızca etkin rol ve yetkilendirme atamalarına sahip kullanıcılar döndürülür.

Parametreler:

SAPUsersAuthorizations işlevi aşağıdaki verileri döndürür:

SAPConnectorHealth

SAPConnectorHealth işlevi, aracının ve temel sap sisteminin bağlantısının durumunu yansıtır. Sinyal günlüğü SAP_HeartBeat_CL ve diğer sistem durumu göstergelerine bağlı olarak aşağıdaki verileri döndürür:

SAPConnectorOverview

SAPConnectorOverview işlevi, sistem kimliği başına her SAP tablosunun satır sayısını gösterir. Sistem kimliği başına veri kayıtlarının bir listesini ve bunların oluşturulduğu zamanı döndürür.

Parametreler:

SAPConnectorOverview işlevi aşağıdaki verileri döndürür:

Günlük eğilim analizi gerçekleştirmek için aşağıdaki Kusto sorgusunu kullanın:

SAPConnectorOverview(7d)
| summarize count() by bin(TimeGenerated, 1d), SystemID_s

SAPUsersEmail

SAPUsersEmail işlevi, SAP sistemi ve istemcisi başına bir SAP kullanıcısının e-posta adresinin performans odaklı aramasını sağlar ve normalde bunu bir Active Directory hesabıyla ilişkilendirmek için kullanılır.

SAPUsersEmail işlevi, e-posta adresi aramak için SAP tablolarından USR21 (Kullanıcı Adı/Adres Anahtarı Ataması) ve ADR6 (E-posta Adresleri) verilerinden ayıklanan verileri kullanır. E-posta adresi bulunamazsa, bunun yerine kullanıcı kimliği döndürülür.

Bu davranış, genellikle e-posta adresleriyle ilişkilendirilmeyen DDIC gibi SAP hizmet hesaplarının sahte AD hesapları olarak günlüğe kaydedilmesini sağlar. Bu, olayların ve avlanma etkinliklerinin araştırılmasında yardımcı olan bazı UEBA özelliklerini de açar.

SAPUsersEmail işlevi aşağıdaki verileri döndürür:

SAPSystems

SAPSystems işlevi, SAP - Systems izleme listesi kullanılarak yapılan sistem başına yapılandırmayı merkezi olarak sunmak için kullanılır.

Parametreler:

SAPSystems işlevi aşağıdaki verileri döndürür:

SAPAuditLogConfiguration

SAPAuditLogConfiguration işlevi, SAP denetim günlüğü uyarılarının yerel yapılandırmasını Microsoft Sentinel için etkinleştirilen Log Analytics çalışma alanına döndürür. Bu yapılandırma SAP denetim günlüğüyle ilgili uyarılar için kullanılır.

SAPAuditLogConfiguration işlevi, sistem başına rol eforuyla sistem başına yapılandırma sağlamak için SAP Dinamik Denetim Günlüğü İzleyicisi Yapılandırması ve SAP - Sistemler izleme listelerindeki verileri birleştirir.

Parametreler:

SAPAuditLogConfiguration işlevi aşağıdaki verileri döndürür:

Daha fazla bilgi için bkz . Kullanılabilir izleme listeleri.

SAPAuditLogAnomalies

SAPAuditLogAnomalies işlevi, SAP denetim günlüğünde gözlemlenen anormal olayları algılamaya yardımcı olmak için Microsoft Sentinel'in temel kusto veritabanının yerleşik makine öğrenmesi özelliklerini kullanır.

SAPAuditLogAnomalies işlevi SAP - (Deneysel) Dinamik Anomali tabanlı Denetim Günlüğü İzleyicisi Uyarıları analiz kuralı için geliştirilmiştir. Özgün tasarımı son anomaliler hakkında uyarı vermek olsa da, geçmiş anomalileri vurgulama konusunda da yardımcı olabilir. Daha fazla bilgi için bkz . Örnek kullanımlar.

SAPAuditLogAnomalies işlevi, aşağıdaki düzeylerde farklı giriş parametreleri tarafından tanımlanan geçmişin dilimini öğrenir:

• User
• Ağ öznitelikleri
• Sistem
• Mevsimsellik
• Etkinlik düzeyleri

SAPAuditLogAnomalies işlevi daha sonra son DetectingTime zaman aralığı içinde gerçekleşen olayları öğrendiklerine göre değerlendirir, sap denetim günlüğü yapılandırma izleme listesinden alınan eşikler ve diğer yapılandırılabilir dışlama ölçütlerini uygular.

Kullanıcı etkinliğinin kayan penceresi anormal olarak kabul edildikten sonra ikinci bir sorgu, kararı destekleyen kanıt olarak tüm kullanıcı etkinliğini döndürür.

Parametreler:

SAPAuditLogAnomalies işlevi aşağıdaki verileri döndürür:

Öneriler:

Tüm makine öğrenmesi çözümlerinde olduğu gibi SAPAuditLogAnomalies işlevi de zamanla daha iyi performans gösterir ve zaman geçtikçe gerektiği gibi ayarlanabilir.

Birçok kullanılabilir giriş parametresini kullanarak öğrenilen veritabanının boyutunu 100 milyon kaydın altında olacak şekilde kısıtlamanızı öneririz.

Örnek kullanımlar şunlardır:

• SAP_Dynamic_Audit_Log_Monitor_Configuration izleme listesinde AnomalilerOnly olarak işaretlenmiş olay türleri için üretim sistemlerinde son bir saat içinde gerçekleşen yüksek önem derecesine sahip olaylara yönelik anomalileri aramak için şunu çalıştırın:

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=1h, SelectedSystemRoles= dynamic(["Production"]), 
  SelectedSeverities= dynamic(["High"]), SelectedRuleTypes= dynamic(["AnomaliesOnly"]))
  

• BIP sisteminde son 14 gün içindeki tüm anomalileri aramak için şunu çalıştırın:

  SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=0h, SelectedSystems= dynamic(["BIP"]))
  

Daha fazla bilgi için bkz. SAP için Microsoft Sentinel çözümünü (blog) kullanarak SAP denetim günlüğünü izlemek için yerleşik SAP analiz kuralları ve SAP denetim günlüğünde anomali algılama.

SAPAuditLogConfigRecommend

SAPAuditLogConfigRecommend, SAP - Dinamik Anomali Tabanlı Denetim Günlüğü İzleyicisi Uyarıları (ÖNİzLEME) analiz kuralının yapılandırması için öneriler sunmak üzere tasarlanmış bir yardımcı işlevdir.

Daha fazla bilgi için bkz . SAP denetim günlüğünü izleme.

SAPUsersGetVIP

SAP uygulamaları için Microsoft Sentinel çözümü, hatalı pozitif sonuçları en az çabayla azaltmanıza yardımcı olmak için tasarlanmış merkezi kullanıcı etiketlemesi ve açık dışlamalar kavramını kullanır.

SAP kullanıcı rollerini, SAP kullanıcı işlevlerini veya bu kullanıcıları temsil eden etiketleri belirterek kullanıcıları uyarıları tetiklemekten dışlamak için SAPUsersGetVIP işlevini kullanın. Daha fazla bilgi için bkz . Microsoft Sentinel'de hatalı pozitif sonuçları işleme.

SAPUsersGetVIP işlevi için giriş olarak belirtilen etiketler, SAP_User_Config izleme listesinde listelenen bir etikete sahip tüm kullanıcıları dışlar. Aynı işlevsellik joker karakterlerle çalışacak şekilde genişletilir ve aynı adlandırma söz dizimine sahip bir kullanıcı grubuna tek bir etiket atamanıza olanak sağlar.

1. SAP_User_Config izleme listesindeki kullanıcıları aşağıdaki gibi etiketleyin:

   • Çeşitli senaryoları ele almak için SAP_User_Config izleme listesindeki her kullanıcıya birden çok etiket ekleyin. Her uyarı kuralının varsa kendi ilgili etiketleri vardır ve gerektiğinde özel etiketler ekleyebilirsiniz.

   • Belirli bir adlandırma söz dizimi şablonuna sahip kullanıcıları eklemek için joker karakter olarak yıldız işareti (*) kullanın.

2. Tanımladığınız kullanıcı listelerinin uyarılardan hariç tutulmasını istemek için analiz kurallarınıza SAPUsersGetVIP işlevini ekleyin. İşlev çağrısında, hariç tutmak istediğiniz etiketleri, SAP rollerini ve SAP profillerini içeren bir dizi ekleyin.

Örneğin, analiz kuralınızda aşağıdaki KQL sorgusunu kullanarak SAP_User_Config izleme listesindeki RunObsoleteProgOK etiketiyle yapılandırılmış kullanıcıları veya örnek SAP_BASIS_ADMIN_ROLE rolüne veya örnek SAP_ADMIN_PROFILE profiline sahip kullanıcıları hariç tutun.

Bu örnek işlev çağrısını kopyalarken, SAP_BASIS_ADMIN_ROLE rolü ve SAP_ADMIN_PROFILE profilini gerektiği gibi kendi SAP rollerinizle veya profillerinizle değiştirin.

Örneğin:

// Execution of Obsolete/Insecure Program
let ObsoletePrograms = _GetWatchlist("SAP - Obsolete Programs");
// here you can exclude system users which are OK to run obsolete/ sensitive programs
// by adding those users in the SAP_User_Config watchlist with a tag of 'RunObsoleteProgOK'
// can also specify SAP roles or SAP profiles that group the users you would like to exclude
let excludeUsersTagsRolesProfiles= dynamic(["RunObsoleteProgOK","SAP_BASIS_ADMIN_ROLE", "SAP_ADMIN_PROFILE"]);
let excludedUsers= SAPUsersGetVIP(SearchForTags= excludeUsersTagsRolesProfiles)| summarize by User2Exclude=SAPUser;
// Query logic
SAPAuditLog
| where MessageID == 'AUW'
| where ABAPProgramName in (ObsoletePrograms) // The program is obsolete
| join kind=leftantisemi excludedUsers on $left.User == $right.User2Exclude

SAPUsersGetVIP işlevi genellikle Deterministic ve Anormal Denetim Günlüğü İzleyicisi uyarılarında kullanılır. Etiketi SAP denetim günlüğü ileti kimliğiyle ilişkilendirin veya kural şablonunu kuruluşunuzun gereksinimlerine uyan özel bir kurala genişletin.

Parametreler:

SAPUsersGetVIP işlevi aşağıdaki çıkışı döndürür:

SAPUsersHeader

SAPUsersHeader işlevi, SAP kullanıcısının üst düzey bir görünümünü sağlamak için tasarlanmıştır. E-posta ve IP adreslerini toplamak için hem SAP kullanıcı yöneticisi veri tablolarından hem de SAP denetim günlüğündeki son etkinliklerden ayıklanan verileri kullanır. Ardından bilinen son e-posta ve IP adreslerinin yanı sıra birincil e-posta ve IP adreslerini döndürür.

Parametreler:

Örneğin:

SelectedSystemRoles:dynamic = dynamic(["All System Roles"]) SelectedSystems:dynamic = dynamic(["All Systems"]) SelectedUsers:dynamic = dynamic(["All Users"]) SelectedUser:string = "All Users"

SAPUsersHeader işlevi aşağıdaki çıkışı döndürür:

İlgili içerik

Daha fazla bilgi için bkz.

• Azure İzleyici günlük sorgularındaki işlevler
• SAP uygulamaları için Microsoft Sentinel çözümü için günlük ve tablo başvurusu