Microsoft Sentinel-oplossing voor bestandsreferenties voor SAP-toepassingen voor gegevensconnector `systemconfig.json`

Artikel
12/17/2024
Van toepassing op:

Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

Het systemconfig.json-bestand wordt gebruikt om het gedrag van de Agent microsoft Sentinel voor SAP-toepassingen-gegevensconnector te configureren wanneer het vanaf de opdrachtregel wordt geïmplementeerd. In dit artikel worden de opties beschreven die beschikbaar zijn in elke sectie van het configuratiebestand.

Inhoud in dit artikel is bedoeld voor uw SAP BASIS-teams en is alleen relevant wanneer uw gegevensconnectoragent vanaf de opdrachtregel wordt geïmplementeerd. U wordt aangeraden in plaats daarvan uw gegevensconnectoragent vanuit de portal te implementeren.

Belangrijk

Microsoft Sentinel-oplossing voor SAP-toepassingen maakt gebruik van het systemconfig.json-bestand voor agentversies die zijn uitgebracht op of na 22 juni 2023. Voor eerdere agentversies moet u nog steeds het systemconfig.ini-bestand gebruiken.

Algemene bestandsstructuur

De volgende code toont de algehele structuur van het systemconfig.json bestand:

{ 

"<SID_GUID>": { 

    "secrets_source": {...},

    "abap_central_instance": {...},

    "azure_credentials": {...},

    "file_extraction_abap": {...},

    "file_extraction_java": {...},

    "logs_activation_status" {...},

    "connector_configuration": {...},

    "abap_table_selector":: {...}

...

}

In de volgende tabel wordt elke algemene sectie in het systemconfig.json bestand beschreven:

Sectienaam	Beschrijving
Geheimenbron	Definieert waar referenties worden opgeslagen.
ABAP centraal exemplaar	Hiermee definieert u algemene opties van het SAP-exemplaar waarmee verbinding moet worden gemaakt.
Azure-referenties	Definieert referenties om verbinding te maken met Azure Log Analytics.
ABAP voor bestandsextractie	Definieert logboeken en referenties die zijn geëxtraheerd uit ABAP-servers met behulp van de SAPControl-interface.
Java voor bestandsextractie	Hiermee definieert u logboeken en referenties die zijn geëxtraheerd uit JAVA-servers met behulp van de SAPControl-interface.
Activeringsstatus van logboeken	Definieert welke logboeken worden geëxtraheerd uit ABAP.
Connectorconfiguratie	Hiermee definieert u diverse connectoropties.
ABAP-tabelkiezer	Hiermee definieert u welke hoofdgegevenslogboeken van gebruikers worden geëxtraheerd uit het ABAP-systeem.

Geheimenbron

Notitie

Verwijder alle opmerkingen voordat u dit bestand gebruikt voor configuratie en implementatie.

"secrets_source": {
  "secrets": "AZURE_KEY_VAULT|DOCKER_FIXED",
  # Storage location of SAP credentials and Log Analytics workspace ID and key
  # AZURE_KEY_VAULT - store in an Azure Key Vault. Requires keyvault option and intprefix option
  # DOCKER_FIXED - store in systemconfig.json file. Requires user, passwd, loganalyticswsid and publickey options

  "keyvault": "<vaultname>",
  # Azure Keyvault name, in case secrets = AZURE_KEY_VAULT

  "intprefix": "<prefix>"
  # intprefix - Prefix for variables created in Azure Key Vault

    },

ABAP centraal exemplaar

Notitie

Verwijder alle opmerkingen voordat u dit bestand gebruikt voor configuratie en implementatie.

"abap_central_instance": {
      "auth_type": "PLAIN_USER_AND_PASSWORD|SNC_WITH_X509",
      # Authentication type - username/password authentication, or X.509 authentication

      "ashost": "<hostname>",
      # FQDN, hostname, or IP address of the ABAP server

      "mshost": "<hostname>",
      # FQDN, hostname, or IP address of the Message server

      "msserv": "<portnumber>",
      # Port number, or service name (from /etc/services) of the message server

      "group": "<logon group>",
      # Logon group of the message server

      "sysnr": "<Instance number>",
      # Instance number of the ABAP server

      "sysid": "<SID>",
      # System ID of the ABAP server

      "client": "<Client Number>",
      # Client number of the ABAP server

      "user": "<username>",
      # Username to use to connect to ABAP server. Used only when secrets setting in Secrets Source section is set to DOCKER_FIXED

      "passwd": "<password>",
      # Password to use to connect to ABAP server. Used only when secrets setting in Secrets Source section is set to DOCKER_FIXED

      "snc_lib": "<path to libsapcrypto>",
      # Full path, to the libsapcrypto.so
      # Used when SNC is in use
      # !!! Note - the path must be valid within the container.

      "snc_partnername": "<distinguished name of the server certificate>",
      # p: -prefixed valid SAP server SNC name, which is equal to Distinguished Name(DN) of SAP server PSE
      # Used when SNC is in use

      "snc_qop": "<SNC protection level>",
      # More information available at docs.oracle.com/cd/E19509-01/820-5064/ggrpj/index.html
      # Used when SNC is in use

      "snc_myname": "<distinguished name of the client certificate>",
      # p: -prefixed valid client SNC name, which is equal to Distinguished Name(DN) of client PSE
      # Used when SNC is in use

      "x509cert": "<server certificate>"
      # Base64 encoded server certificate value in a single line (with leading ----BEGIN-CERTIFICATE--- and trailing ----END-CERTIFICATE---- removed)
    },

Azure-referenties

Notitie

Verwijder alle opmerkingen voordat u dit bestand gebruikt voor configuratie en implementatie.

 "azure_credentials": {
      "loganalyticswsid": "<workspace ID>",
      # Log Analytics workspace ID. Used only when secrets setting in Secrets Source section is set to DOCKER_FIXED

      "publickey": "<publickey>"
      # Log Analytics workspace primary or secondary key. Used only when secrets setting in Secrets Source section is set to DOCKER_FIXED

    },

ABAP voor bestandsextractie

Notitie

Verwijder alle opmerkingen voordat u dit bestand gebruikt voor configuratie en implementatie.

"file_extraction_abap": {
      "osuser": "<SAPControl username>",
      # Username to use to authenticate to SAPControl

      "ospasswd": "<SAPControl password>",
      # Password to use to authenticate to SAPControl

      "appserver": "<server>",
      #SAPControl server hostname/fqdn/IP address

      "instance": "<instance>",
      #SAPControl instance number

      "abapseverity": "<severity>",
      # 0 = All logs ; 1 = Warning ; 2 = Error

      "abaptz": "<timezone>"
      # GMT FORMAT
      # example - For OS Timezone = NZST (New Zealand Standard Time) use abaptz = GMT+12
    },

Java voor bestandsextractie

Notitie

Verwijder alle opmerkingen voordat u dit bestand gebruikt voor configuratie en implementatie.

"file_extraction_java": {
      "javaosuser": "<username>",
      # Username to use to authenticate to JAVA server

      "javaospasswd": "<password>",
      # Password to use to authenticate to JAVA server

      "javaappserver": "<server>",
      #JAVA server hostname/fqdn/IP address

      "javainstance": "<instance number>",
      #JAVA instance number

      "javaseverity": "<severity>",
      # 0 = All logs ; 1 = Warning ; 2 = Error

      "javatz": "<timezone>"
      # GMT FORMAT
      # example - For OS Timezone = NZST (New Zealand Standard Time) use abaptz = GMT+12

    },

Activeringsstatus van logboeken

Notitie

Verwijder alle opmerkingen voordat u dit bestand gebruikt voor configuratie en implementatie.

"logs_activation_status": {
      # GMT FORMAT
      # example - For OS Timezone = NZST (New Zealand Standard Time) use abaptz = GMT+12
      "ABAPAuditLog": "<True/False>",
      "ABAPJobLog": "<True/False>",
      "ABAPSpoolLog": "<True/False>",
      "ABAPSpoolOutputLog": "<True/False>",
      "ABAPChangeDocsLog": "<True/False>",
      "ABAPAppLog": "<True/False>",
      "ABAPWorkflowLog": "<True/False>",
      "ABAPCRLog": "<True/False>",
      "ABAPTableDataLog": "<True/False>",
      
      # The following logs are retrieved using SAP Control interface and OS Login
      "ABAPFilesLogs": "<True/False>",
      "SysLog": "<True/False>",
      "ICM": "<True/False>",
      "WP": "<True/False>",
      "GW": "<True/False>",
      
      # The following logs are retrieved using SAP Control interface and OS Login
      "JAVAFilesLogs": "<True/False>",

Connectorconfiguratie

Notitie

Verwijder alle opmerkingen voordat u dit bestand gebruikt voor configuratie en implementatie.

"connector_configuration": {
      "extractuseremail": "<True/False>",
      "apiretry": "<True/False>",
      "auditlogforcexal": "<True/False>",
      "auditlogforcelegacyfiles": "<True/False>",
      "azure_resource_id": "<Azure _ResourceId>",
      "timechunk": "<value>"
    },

ABAP-tabelkiezer

Notitie

Verwijder alle opmerkingen voordat u dit bestand gebruikt voor configuratie en implementatie.

"abap_table_selector": {
      # Specify True or False to configure whether table should be collected from the SAP system

      "AGR_TCODES_FULL": "<True/False>",
      "USR01_FULL": "<True/False>",
      "USR02_FULL": "<True/False>",
      "USR02_INCREMENTAL": "<True/False>",
      "AGR_1251_FULL": "<True/False>",
      "AGR_USERS_FULL": "<True/False>",
      "AGR_USERS_INCREMENTAL": "<True/False>",
      "AGR_PROF_FULL": "<True/False>",
      "UST04_FULL": "<True/False>",
      "USR21_FULL": "<True/False>",
      "ADR6_FULL": "<True/False>",
      "ADCP_FULL": "<True/False>",
      "USR05_FULL": "<True/False>",
      "USGRP_USER_FULL": "<True/False>",
      "USER_ADDR_FULL": "<True/False>",
      "DEVACCESS_FULL": "<True/False>",
      "AGR_DEFINE_FULL": "<True/False>",
      "AGR_DEFINE_INCREMENTAL": "<True/False>",
      "PAHI_FULL": "<True/False>",
      "PAHI_INCREMENTAL": "<True/False>",
      "AGR_AGRS_FULL": "<True/False>",
      "USRSTAMP_FULL": "<True/False>",
      "USRSTAMP_INCREMENTAL": "<True/False>",
      "SNCSYSACL_FULL": "<True/False>",
      "USRACL_FULL": "<True/False>"
    }

Zie voor meer informatie: