Compartilhar via

Conectar seu sistema SAP ao Microsoft Sentinel

  • Artigo
  • Aplica-se a:
    Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

Para que a Solução do Microsoft Sentinel para aplicativos SAP funcionem corretamente, primeiro você deve trazer seus dados do SAP para o Microsoft Sentinel. Faça isso implantando o agente do conector de dados SAP do Microsoft Sentinel ou conectando o conector de dados sem agente do Microsoft Sentinel para SAP. Selecione a opção na parte superior da página que corresponde ao seu ambiente.

Esse artigo descreve a terceira etapa da implantação de uma das soluções do Microsoft Sentinel para aplicativos SAP.

Diagrama do fluxo de implantação da solução SAP, realçando a etapa Conectar seu sistema SAP.

O conteúdo deste artigo é relevante para suas equipes de segurança, infraestrutura e SAP BASIS. Certifique-se de executar as etapas deste artigo na ordem em que são apresentadas.

Diagrama do fluxo de implantação da solução SAP, realçando a etapa Conectar seu sistema SAP.

O conteúdo deste artigo é relevante para sua equipe de segurança, usando informações fornecidas por suas equipes do SAP BASIS.

Importante

A solução sem agente do Microsoft Sentinel está em versão prévia limitada como um produto pré-lançado, que pode ser substancialmente modificado antes de ser lançado comercialmente. A Microsoft não oferece garantias, expressas ou implícitas, quanto às informações fornecidas aqui. O acesso à solução sem agente também requer registro e só está disponível para clientes e parceiros aprovados durante o período de versão prévia. Para obter mais informações, consulte Microsoft Sentinel para SAP sem agente.

Pré-requisitos

Antes de conectar seu sistema SAP ao Microsoft Sentinel:

Assista a um vídeo de demonstração

Assista a uma das seguintes demonstrações em vídeo do processo de implantação descrito neste artigo.

Uma análise detalhada das opções do portal:

Inclui mais detalhes sobre como usar o Azure KeyVault. Sem áudio, demonstração apenas com legendas:

Criar uma máquina virtual e configurar o acesso às suas credenciais

Recomendamos criar uma máquina virtual dedicada para seu contêiner do agente do conector de dados para garantir o desempenho ideal e evitar possíveis conflitos. Para obter mais informações, consulte Pré-requisitos do sistema para o contêiner do agente do conector de dados.

Recomendamos que você armazene seus segredos de autenticação e SAP em um Azure Key Vault. Como você acessa seu cofre de chaves depende de onde sua máquina virtual (VM) está implantada:

Método de implantação Método de acesso
Contêiner em uma VM do Azure Recomendamos usar uma identidade gerenciada atribuída pelo sistema do Azure para acessar o Azure Key Vault.

Se uma identidade gerenciada atribuída pelo sistema não puder ser usada, o contêiner também poderá autenticar no Azure Key Vault usando uma entidade de serviço de aplicativo registrada no Microsoft Entra ID ou, como último recurso, um arquivo de configuração.
Um contêiner em uma VM local ou uma VM em um ambiente de nuvem de terceiros Autenticar no Azure Key Vault usando uma entidade de serviço de aplicativo registrada no Microsoft Entra ID.

Se você não puder usar um aplicativo registrado ou uma entidade de serviço, use um arquivo de configuração para gerenciar suas credenciais, embora esse método não seja o preferencial. Para obter mais informações, confira Implantar o conector de dados usando um arquivo de configuração.

Para saber mais, veja:

Sua máquina virtual geralmente é criada pela sua equipe de infraestrutura. Configurar o acesso às credenciais e gerenciar cofres de chaves geralmente é feito pela sua equipe de segurança.

Criar uma identidade gerenciada com uma VM do Azure

  1. Execute o seguinte comando para Criar uma VM no Azure, substituindo nomes reais do seu ambiente por <placeholders>:

    az vm create --resource-group <resource group name> --name <VM Name> --image Canonical:0001-com-ubuntu-server-focal:20_04-lts-gen2:latest --admin-username <azureuser> --public-ip-address "" --size  Standard_D2as_v5 --generate-ssh-keys --assign-identity --role <role name> --scope <subscription Id>

    Para obter mais informações, confira Guia de início rápido: criar uma máquina virtual do Linux com a CLI do Azure.

    Importante

    Depois que a VM for criada, aplique os requisitos de segurança e procedimentos de proteção necessários em sua organização.

    Esse comando cria o recurso de VM, produzindo uma saída que se parece com isto:

    {
  "fqdns": "",
  "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/resourcegroupname/providers/Microsoft.Compute/virtualMachines/vmname",
  "identity": {
    "systemAssignedIdentity": "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy",
    "userAssignedIdentities": {}
  },
  "location": "westeurope",
  "macAddress": "00-11-22-33-44-55",
  "powerState": "VM running",
  "privateIpAddress": "192.168.136.5",
  "publicIpAddress": "",
  "resourceGroup": "resourcegroupname",
  "zones": ""
}

  2. Copie o GUID systemAssignedIdentity, pois ele será usado nas próximas etapas. Essa é sua identidade gerenciada.

Criar um cofre de chave

Este procedimento descreve como criar um cofre de chaves para armazenar suas informações de configuração do agente, incluindo seus segredos de autenticação do SAP. Se você estiver usando um cofre de chaves existente, pule diretamente para etapa 2.

Para criar seu cofre de chaves:

  1. Execute os comandos a seguir, substituindo os nomes reais pelos valores <placeholder>.

    az keyvault create \
  --name <KeyVaultName> \
  --resource-group <KeyVaultResourceGroupName>

  2. Copie o nome do seu cofre de chaves e o nome do seu grupo de recursos. Você precisará deles quando atribuir as permissões de acesso do cofre de chaves e executar o script de implantação nas próximas etapas.

Atribuir permissões de acesso ao cofre de chaves

  1. No seu cofre de chaves, atribua a função Leitor de Segredos do Azure Key Vault à identidade que você criou e copiou anteriormente.

  2. No mesmo cofre de chaves, atribua as seguintes funções do Azure ao usuário que estiver configurando o agente do conector de dados:

    • Colaborador do Key Vault, para implantar o agente
    • Responsável por segredos do Key Vault, para adicionar novos sistemas

Implantar o agente do conector de dados do portal (Versão Prévia)

Agora que você criou uma VM e um Key Vault, sua próxima etapa será criar um agente e conectar a um dos seus sistemas SAP. Embora você possa executar vários agentes do conector de dados em um único computador, recomendamos que você comece com apenas um, monitore o desempenho e, em seguida, aumente o número de conectores lentamente.

Este procedimento descreve como criar um agente e conectá-lo ao seu sistema SAP usando os portais Azure ou Defender. Recomendamos que sua equipe de segurança execute esse procedimento com a ajuda da equipe do SAP BASIS.

Há suporte para a implantação do agente conector de dados a partir do portal, tanto no portal do Azure quanto no portal do Defender, caso você tenha integrado seu espaço de trabalho à plataforma unificada de operações de segurança.

Embora também haja suporte para a implementação a partir da linha de comando, recomendamos que você use o portal para implementações típicas. Agentes do conector de dados implantados usando a linha de comando podem ser gerenciados apenas via linha de comando, e não via portal. Para obter mais informações, consulte Implantar um agente do conector de dados SAP da linha de comando.

Importante

Implantar o contêiner e criar conexões com sistemas SAP do portal está atualmente em VERSÃO PRÉVIA. Os termos suplementares de versão prévia do Azure incluem termos legais adicionais que se aplicam aos recursos do Azure que estão em versão beta, versão prévia ou que, de outra forma, ainda não foram lançados em disponibilidade geral.

Pré-requisitos:

  • Para implantar seu agente do conector de dados via portal, você precisa:

    • Autenticação por meio de uma identidade gerenciada ou um aplicativo registrado
    • Credenciais armazenadas em um Azure Key Vault

    Se você não tiver esses pré-requisitos, implante o agente do conector de dados SAP da linha de comando em vez disso.

  • Para implantar o agente do conector de dados, você também precisará de privilégios sudo ou raiz no computador do agente do conector de dados.

  • Se você quiser ingerir logs Netweaver/ABAP por uma conexão segura usando as Comunicações de Rede Segura (SNC), você precisará:

    • O caminho para o binário sapgenpse e a biblioteca libsapcrypto.so
    • Os detalhes do seu certificado do cliente

    Para obter mais informações, confira Configurar seu sistema para usar o SNC para conexões seguras.

Para implantar o agente do conector de dados:

  1. Conectar à VM recém-criada na qual você está instalando o agente, como um usuário com privilégios sudo.

  2. Baixar e/ou transferir o SDK do SAP NetWeaver para o computador.

  3. No Microsoft Sentinel, selecione Configuração > Conectores de dados.

  4. Na barra de pesquisa, insira SAP. Selecione Microsoft Sentinel para SAP nos resultados da pesquisa e depois Abrir a página do conector.

  5. Na área Configuração, selecione Adicionar um novo agente (versão prévia).

    Captura de tela das instruções para adicionar um agente coletor baseado em API SAP.

  6. No painel Criar um agente coletor, insira os seguintes detalhes do agente:

    Nome Descrição
    Nome do agente Insira um nome de agente significativo para sua organização. Não recomendamos nenhuma convenção de nomenclatura específica, exceto que o nome pode incluir apenas os seguintes tipos de caracteres:
    • a-z
    • A-Z
    • 0-9
    • _ (sublinhado)
    • . (ponto)
    • - (traço)
    Assinatura / Key Vault Selecione Assinatura e Key Vault em suas respectivas listas suspensas.
    Caminho de arquivo zip do SDK do NWRFC na VM do agente Insira o caminho na sua VM que contenha o arquivo (arquivo .zip) do SDK (Software Development Kit) do RFC (Chamada de Função Remota) do SAP NetWeaver.

    Verifique se esse caminho inclui o número de versão do SDK na seguinte sintaxe: <path>/NWRFC<version number>.zip. Por exemplo: /src/test/nwrfc750P_12-70002726.zip.
    Habilitar o suporte à conexão SNC Selecione para ingerir logs NetWeaver/ABAP por uma conexão segura usando SNC.

    Se você selecionar essa opção, insira o caminho que contém o binário sapgenpse e a biblioteca libsapcrypto.so, no Caminho da Biblioteca Criptográfica SAP na VM do agente.

    Se você quiser usar uma conexão SNC, selecione Habilitar o suporte à conexão SNC neste momento, pois não é possível voltar e habilitar uma conexão SNC depois de concluir a implantação do agente. Se você quiser alterar essa configuração depois, recomendamos que você crie um agente em vez disso.
    Autenticação para o Azure Key Vault Para autenticar no cofre de chaves usando uma identidade gerenciada, deixe a opção padrão Identidade Gerenciada selecionada. Para autenticar no cofre de chaves usando um aplicativo registrado, selecione Identidade do Aplicativo.

    Você deve ter a identidade gerenciada ou o aplicativo registrado configurado com antecedência. Para obter mais informações, consulte Criar uma máquina virtual e configurar o acesso às suas credenciais.

    Por exemplo:

    Captura de tela da área Criar um agente coletor.

  7. Selecione Criar e analise as recomendações antes de concluir a implantação:

    Captura de tela da etapa final da implantação do agente.

  8. A implantação do agente do conector de dados SAP exige que você conceda à identidade da VM do agente permissões específicas para o workspace do Microsoft Sentinel, usando as funções Operador do Agente de Aplicativos Empresariais do Microsoft Sentinel e Leitor.

    Para executar os comandos nesta etapa, você deve ser um proprietário do grupo de recursos em seu workspace do Microsoft Sentinel. Se você não for um proprietário do grupo de recursos em seu workspace, esse procedimento também poderá ser executado após a conclusão da implantação do agente.

    Em Apenas mais algumas etapas antes de terminarmos, copie os Comandos de atribuição de função da etapa 1 e execute-os na sua VM do agente, substituindo o espaço reservado [Object_ID] pela ID do objeto de identidade da sua VM. Por exemplo:

    Captura de tela do ícone Copiar para o comando da etapa 1.

    Para encontrar a ID do objeto de identidade da sua VM no Azure:

    • Para uma identidade gerenciada, a ID do objeto está listada na página Identidade da VM.

    • Para uma entidade de serviço, acesse Aplicativo empresarial no Azure. Selecione Todos os aplicativos e depois selecione sua VM. A ID do objeto é exibido na página Visão geral.

    Esses comandos atribuem as funções do Azure Operador do Agente de Aplicativos de Negócios do Microsoft Sentinel e Leitor à identidade gerenciada ou de aplicativo da sua VM, incluindo apenas o escopo dos dados do agente especificado no espaço de trabalho.

    Importante

    Atribuir as funções Operador do Agente de Aplicativos Empresariais do Microsoft Sentinel e Leitor através da CLI atribui as funções apenas no escopo dos dados do agente especificado no workspace. Esta é a opção mais segura e recomendada.

    Se você precisar atribuir as funções por meio do portal do Azure, recomendamos atribuir as funções em um escopo pequeno, como somente no workspace do Microsoft Sentinel.

  9. Selecione Copiar Captura de tela do ícone Copiar ao lado do comando de implantação do Agente. ao lado do Comando de implantação do Agente na etapa 2. Por exemplo:

    Captura de tela do comando do Agente a ser copiado na etapa 2.

  10. Copie a linha de comando para um local separado e depois selecione Fechar.

    As informações necessárias do agente são implantadas no Azure Key Vault e o novo agente fica visível na tabela disponível em Adicionar um agente coletor baseado em API.

    Nesta fase, a status da Integridade do agente será "Instalação incompleta. Siga as instruções". Quando o agente for instalado com sucesso, o status será alterado para Agente íntegro. A atualização pode levar até 10 minutos. Por exemplo:

    Captura de tela dos status de integridade de agentes coletores baseado em API da página do conector de dados SAP.

    Observação

    A tabela exibe o nome do agente e o status da integridade apenas dos agentes implantados por meio do portal do Azure. Os agentes implantados usando a linha de comando não são exibidos aqui. Para obter mais informações, confira a guia Linha de comando em vez disso.

  11. Na VM em que você planeja instalar o agente, abra um terminal e execute o Comando de implantação do agente que você copiou na etapa anterior. Essa etapa requer privilégios sudo ou raiz no computador do agente do conector de dados.

    O script atualiza os componentes do sistema operacional e instala a CLI do Azure, o software do Docker e outros utilitários necessários, como jq, netcat e curl.

    Forneça parâmetros extras ao script conforme necessário para personalizar a implantação do contêiner. Para obter mais informações sobre as opções de linha de comando disponíveis, consulte a referência do script de Início rápido.

    Se precisar copiar seu comando novamente, selecione Exibir Captura de tela do ícone Exibir ao lado da coluna Integridade. à direita da coluna Integridade e copie o comando próximo ao comando de implantação do Agente no canto inferior direito.

  12. Na página do conector de dados do Aplicativo da Solução do Microsoft Sentinel para SAP, na área Configuração, selecione Adicionar novo sistema (Versão prévia) e insira os seguintes detalhes:

    • Em Selecionar um agente, selecione o agente que você criou anteriormente.

    • Em Identificador do sistema, selecione o tipo de servidor:

      • Servidor ABAP
      • Servidor de mensagens para usar um servidor de mensagens como parte de um Serviço Central SAP ABAP (ASCS).

    • Continue definindo os detalhes relacionados para o seu tipo de servidor:

      • Para um servidor ABAP, insira o endereço IP/FQDN do servidor de aplicativos ABAP, a ID do sistema e o número, e a ID do cliente.
      • Para um servidor de mensagens, insira o endereço IP/FQDN do servidor de mensagens, o número da porta ou nome do serviço, e o grupo de logon

    Quando você terminar, selecione Avançar: Autenticação.

    Por exemplo:

    Captura de tela da guia Configurações do sistema da área Adicionar novo sistema.

  13. Na guia Autenticação, insira os seguintes detalhes:

    • Para autenticação básica, insira o usuário e a senha.
    • Se você selecionou uma conexão SNC quando configurar o agente, selecione SNC e insira os detalhes do certificado.

    Quando terminar, selecione Avançar: Logs.

  14. Na guia Logs, selecione os logs que você deseja ingerir do SAP e, em seguida, selecione Avançar: Revisar e criar. Por exemplo:

    Captura de tela da guia Logs no painel lateral do novo sistema.

  15. (Opcional) Para obter resultados otimizados ao monitorar a tabela SAP PAHI, selecione Histórico de Configuração. Para mais informações, confira a seção Verifique se a tabela PAHI está sendo atualizada a intervalos regulares.

  16. Confira as configurações que você definiu. Selecione Anterior para modificar as configurações ou selecione Implantar para implantar o sistema.

A configuração do sistema definida é implantada no Azure Key Vault que você definiu durante a implantação. Agora você pode ver os detalhes do sistema na tabela em Configurar um sistema SAP e atribuí-lo a um agente coletor. Essa tabela exibe o nome do agente associado, a ID do Sistema SAP (SID) e o status da integridade para sistemas que você adicionou por meio do portal ou de outra forma.

Nesta fase, a status de Integridade do sistema estará Pendente. Se o agente for atualizado com sucesso, ele efetua o pull da configuração do Azure Key Vault e o status será alterado para Sistema íntegro. A atualização pode levar até 10 minutos.

Conectar o conector de dados sem agente

  1. No Microsoft Sentinel, vá para a página Configuração > Conectores de dados e localize o conector de dados SAP ABAP e S/4 por meio do conector de nuvem (versão prévia).

  2. Na área Configuração, em Conectar um SAP Integration Suite ao Microsoft Sentinel, selecione Adicionar conexão.

  3. No painel lateral Conexão sem agente, insira os seguintes detalhes:

    Campo Descrição
    Nome do destino RFC O nome do destino RFC, obtido do destino BTP.
    ID do cliente do SAP sem agente O valor clientid obtido do arquivo JSON da chave de serviço do Process Integration Runtime.
    Segredo do cliente do SAP sem agente O valor clientsecret obtido do arquivo JSON da chave de serviço do Process Integration Runtime.
    URL do servidor de autorização O valor tokenurlurl obtido do arquivo JSON da chave de serviço do Process Integration Runtime. Por exemplo: https://your-tenant.authentication.region.hana.ondemand.com/oauth/token
    Ponto de extremidade do Integration Suite O valor url obtido do arquivo JSON da chave de serviço do Process Integration Runtime. Por exemplo: https://your-tenant.it-account-rt.cfapps.region.hana.ondemand.com

Verifique a conectividade e a integridade

Após implantar o conector de dados SAP, verifique a integridade e a conectividade do agente. Para obter mais informações, confira Monitorar a integridade e a função dos seus sistemas SAP.

Próxima etapa

Depois que o conector for implantado, prossiga para configurar o conteúdo de aplicativos da Solução do Microsoft Sentinel para SAP. Especificamente, a configuração de detalhes nas listas de observação é uma etapa essencial para permitir detecções e proteção contra ameaças.

Habilitar detecções SAP e proteção contra ameaças