Partilhar via

Solução Microsoft Sentinel para aplicativos SAP - referência de funções

  • Artigo
  • Aplica-se a:
    Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

Este artigo descreve uma seleção de funções que estão disponíveis em seu espaço de trabalho depois de instalar uma solução Microsoft Sentinel para aplicativos SAP. Descubra mais funções navegando no Microsoft Sentinel e carregando o código da função.

Encontre as funções da seguinte forma:

  • No portal do Azure, na página Logs Gerais>, na guia Funções e listado em Funções de espaço de trabalho.
  • No portal do Defender, na página Investigação e resposta > Caça avançada, na guia Funções , e listada em Funções do espaço de trabalho do Sentinel.

O conteúdo deste artigo destina-se às suas equipas de segurança .

Use funções em suas consultas em vez de logs ou tabelas subjacentes

É altamente recomendável que você use as funções listadas neste artigo como os assuntos de sua análise sempre que possível, em vez dos logs ou tabelas subjacentes.

Estas funções destinam-se a servir como a principal interface de utilizador para os dados. Eles formam a base para todas as regras de análise internas e pastas de trabalho disponíveis para você prontamente. O uso de funções permite que alterações sejam feitas na infraestrutura de dados abaixo das funções, sem interromper o conteúdo criado pelo usuário.

SAPUsersAtribuições

A função SAPUsersAssignments reúne dados de várias fontes de dados SAP e cria uma visão centrada no usuário dos dados mestre do usuário atual, incluindo as funções e perfis atribuídos atualmente.

Esta função resume as atribuições de usuário para funções e perfis e retorna os seguintes dados:

Campo Descrição Fonte de dados/notas
User ID de usuário SAP Apenas SAL
E-mail Endereço SMTP USR21 (SMTP_ADDR)
UserType Tipo de utilizador USR02 (USTYP)
Fuso horário Time zone USR02 (TZONE)
LockedStatus Estado do bloqueio USR02 (UFLAG)
LastSeenDate Data vista pela última vez USR02 (TRDAT)
LastSeenTime Hora da última visualização USR02 (LTIME)
UserGroupAuth Grupo de usuários na manutenção do mestre de usuários USR02 (CLASSE)
Perfis Conjunto de perfis (tamanho máximo padrão = 50) ["Profile 1", "Profile 2",...,"profile 50"]
DirectRoles Conjunto de funções atribuídas diretamente (tamanho máximo padrão = 50) ["Role 1", "Role 2",...,"”"Role 50"]
Papéis infantis Conjunto de funções atribuídas indiretamente (tamanho máximo padrão do conjunto = 50) ["Role 1", "Role 2",...,"”"Role 50"]
Cliente ID de Cliente
ID do Sistema ID do Sistema Conforme definido no conector

SAPUsersGetPrivileged

A função SAPUsersGetPrivileged retorna uma lista de usuários privilegiados por cliente e ID do sistema.

Os usuários são considerados privilegiados quando correspondem a qualquer uma das seguintes descrições:

  • Eles estão listados na lista de observação SAP - Privileged Users
  • Eles são atribuídos a um perfil listado no SAP - Sensitive Profiles watchlist
  • Eles são adicionados a uma função listada na lista de observação SAP - Sensitive Roles

Parâmetros:

Nome Opcional/Obrigatório Predefinido Description
TimeAgo Opcional Sete dias Determina que a função procura dados mestre do usuário desde o tempo definido pelo TimeAgo valor até o tempo definido pelo now() valor.

A função SAPUsersGetPrivileged retorna os seguintes dados:

Campo Descrição
User ID de usuário SAP
Cliente ID de Cliente
ID do Sistema ID do Sistema

SAPUsersAutorizações

A função SAPUsersAuthorizations reúne dados de várias tabelas para produzir uma visão centrada no usuário das funções e autorizações atuais atribuídas. Somente os usuários com atribuições de autorização e função ativa são retornados.

Parâmetros:

Nome Opcional/Obrigatório Predefinido Description
TimeAgo Opcional Sete dias Determina que a função procura dados mestre do usuário desde o tempo definido pelo TimeAgo valor até o tempo definido pelo now() valor.

A função SAPUsersAuthorizations retorna os seguintes dados:

Campo Descrição Notas
User ID de usuário SAP
Funções Conjunto de funções (tamanho máximo padrão = 50) ["Role 1", "Role 2",...,"Role 50"]
AutorizaçõesDetalhes Conjunto de autorizações (tamanho máximo padrão = 100) {{AuthorizationsDetails1},
{AuthorizationsDetails2},
...,
{AuthorizationsDetails100}}
Cliente ID de Cliente
ID do Sistema ID do Sistema

SAPConnectorHealth

A função SAPConnectorHealth reflete o status da conectividade do agente e do sistema SAP subjacente. Com base no SAP_HeartBeat_CL de registro de pulsação e outros indicadores de integridade, ele retorna os seguintes dados:

Campo Descrição
Agente ID do agente na configuração do agente (gerado automaticamente)
ID do Sistema ID do sistema SAP
Status Estado geral da conectividade
Detalhes Detalhes de conectividade
ExtendedDetails Detalhes estendidos de conectividade
LastSeen Carimbo de data/hora da atividade mais recente
StatusCode Código que reflete o estado do sistema

SAPConnectorVisão geral

A função SAPConnectorOverview mostra contagens de linhas de cada tabela SAP por ID do sistema. Ele retorna uma lista de registros de dados por ID do sistema e seu tempo gerado.

Parâmetros:

Nome Opcional/Obrigatório Predefinido Description
TimeAgo Opcional Sete dias Determina que a função procura dados mestre do usuário desde o tempo definido pelo TimeAgo valor até o tempo definido pelo now() valor.

A função SAPConnectorOverview retorna os seguintes dados:

Campo Descrição
TimeGenerated Um valor datetime do carimbo de data/hora da geração do registro
SystemID_s Uma cadeia de caracteres que representa o ID do sistema SAP

Use a seguinte consulta Kusto para executar uma análise de tendência diária:

SAPConnectorOverview(7d)
| summarize count() by bin(TimeGenerated, 1d), SystemID_s

SAPUsersEmail

A função SAPUsersEmail permite uma pesquisa orientada ao desempenho do endereço de e-mail de um usuário SAP por sistema SAP e cliente, normalmente usado para associá-lo a uma conta do Ative Directory.

A função SAPUsersEmail utiliza dados extraídos das tabelas SAP USR21 (User Name/Address Key Assignment) e ADR6 (E-Mail Addresses) para procurar um endereço de e-mail. Caso nenhum endereço de e-mail seja encontrado, o ID de usuário é retornado.

Esse comportamento garante que as contas de serviço SAP, como DDIC, que geralmente não estão associadas a endereços de e-mail, sejam registradas como pseudocontas AD. Isso também abre alguns recursos da UEBA, auxiliando na investigação de incidentes e atividades de caça.

A função SAPUsersEmail devolve os seguintes dados:

Campo Descrição
ID do Cliente O ID do cliente SAP
ID do Sistema O ID do sistema SAP
User O ID de usuário SAP
E-mail O endereço de e-mail do usuário SAP

SAPSystems

A função SAPSystems é usada para apresentar centralmente a configuração por sistema feita usando a lista de observação SAP - Systems .

Parâmetros:

Nome Opcional/Obrigatório Predefinido Description
Sistemas Selecionados Opcional All Systems Usado para filtrar sistemas SAP específicos
SelectedSystemRoles Opcional All System Roles Determina as funções dos sistemas SAP a serem examinadas, conforme definido na lista de observação SAP - Systems

A função SAPSystems retorna os seguintes dados:

Campo Descrição Fonte de dados/notas
Chave de pesquisa Chave de pesquisa Campo indexado para ID do sistema SAP
Função do Sistema O papel do sistema SAP Produção, UAT
Utilização do Sistema A principal utilização do sistema SAP ERP, CRM
ID do Sistema O ID do sistema SAP

SAPAuditLogConfiguration

A função SAPAuditLogConfiguration retorna a configuração local dos alertas do log de auditoria SAP para o espaço de trabalho do Log Analytics habilitado para o Microsoft Sentinel. Essa configuração é usada para alertas relacionados ao log de auditoria do SAP.

A função SAPAuditLogConfiguration une os dados nas listas de observação SAP Dynamic Audit Log Monitor Configuration e SAP - Systems para fornecer uma configuração por sistema em um esforço por função do sistema.

Parâmetros:

Nome Opcional/Obrigatório Predefinido Description
Sistemas Selecionados Opcional All Systems Usado para filtrar sistemas SAP específicos para olhar.
SelectedSystemRoles Opcional All System Roles Determina as funções dos sistemas SAP a serem examinadas (conforme definido na lista de observação SAP - Systems ).
Severidades selecionadas Opcional [High, Medium] Usado para determinar eventos a serem observados em termos de suas gravidades. As gravidades por ID da mensagem do log de auditoria SAP e função do sistema são definidas na lista de observação SAP_Dynamic_Audit_Log_Monitor_Configuration.
SelectedRuleTypes Opcional All RuleTypes Determina quais eventos são relevantes para detetar as anomalias. Os tipos de regras por ID de mensagem do log de auditoria SAP e função do sistema são definidos na lista de observação SAP_Dynamic_Audit_Log_Monitor_Configuration.

A função SAPAuditLogConfiguration retorna os seguintes dados:

Campo Descrição Fonte de dados/notas
CategoryName Categoria de evento dada pela SAP Lista de observação de configuração do SAP Dynamic Audit Log Monitor
DestinoE-mail Endereço de e-mail da Equipa Atribuída Lista de observação de configuração do SAP Dynamic Audit Log Monitor
Descrição detalhada Um texto formatado de marcação a ser exibido em alertas Lista de observação de configuração do SAP Dynamic Audit Log Monitor
ID da mensagem O ID da mensagem do log de auditoria do SAP Lista de observação de configuração do SAP Dynamic Audit Log Monitor
MessageText Um exemplo de texto de mensagem Lista de observação de configuração do SAP Dynamic Audit Log Monitor
FunçõesTagsParaExcluir uma Função, Perfil ou marca de texto livre ABAP Lista de observação de configuração do SAP Dynamic Audit Log Monitor
Tipo de regra Anomalia ou determinística Lista de observação de configuração do SAP Dynamic Audit Log Monitor
Táticas A tática MITRE ATTA&CK Lista de observação de configuração do SAP Dynamic Audit Log Monitor
TeamsChannelID Canal Teams Lista de observação de configuração do SAP Dynamic Audit Log Monitor
ID do Sistema O ID do sistema SAP SAP - Lista de observação de sistemas
Função do Sistema O papel do sistema SAP SAP - Lista de observação de sistemas
Utilização do Sistema A principal utilização do sistema SAP SAP - Lista de observação de sistemas
IsProd Bandeira do sistema de produção SAP - Lista de observação de sistemas
Gravidade A gravidade derivada Severidade por utilização do sistema
Threshold O limiar derivado Contagem de eventos por utilização do sistema
BagOfDetalhes Saco de Detalhes Um dicionário detalhando a definição do evento

Para obter mais informações, consulte Listas de observação disponíveis.

SAPAuditLogAnomalias

A função SAPAuditLogAnomalies usa os recursos de aprendizado de máquina integrados do banco de dados Kusto subjacente do Microsoft Sentinel para ajudar a detetar eventos anômalos observados no log de auditoria do SAP.

A função SAPAuditLogAnomalies foi desenvolvida para a regra analítica SAP - (Experimental) Dynamic Anomaly Dynamic Anomaly based Audit Log Monitor Alerts . Embora o seu design original seja alertar para anomalias recentes, também pode ajudar a destacar anomalias históricas. Para obter mais informações, consulte Exemplos de usos.

A função SAPAuditLogAnomalies aprende a fatia do histórico definida pelos diferentes parâmetros de entrada, nos seguintes níveis:

  • User
  • Atributos de rede
  • Sistema
  • Sazonalidade
  • Níveis de atividade

Em seguida, a função SAPAuditLogAnomalies julga os eventos ocorridos no último DetectingTime período de tempo de acordo com o que aprendeu, aplicando limites e outros critérios de exclusão configuráveis obtidos na lista de observação de configuração do log de auditoria SAP.

Quando uma janela deslizante de atividade do usuário é considerada anômala, uma segunda consulta retorna toda a atividade do usuário como evidência que apoia a decisão.

Parâmetros:

Nome Opcional/Obrigatório Predefinido Description
Tempo de Aprendizagem Opcional 14 dias Determina o período de tempo usado para a aprendizagem do modelo.
DetectingTime Opcional Uma hora Determina o período de tempo a ser analisado para detetar anomalias. Chamar essa função com DetectingTime = 0h destaca anomalias em todo LearningTime o período de tempo.
Sistemas Selecionados Opcional All Systems Usado para filtrar sistemas SAP específicos para olhar.
SelectedSystemRoles Opcional All System Roles Determina as funções dos sistemas SAP a serem examinadas, conforme definido na lista de observação SAP - Systems
Severidades selecionadas Opcional [High, Medium] Usado para determinar eventos a serem observados em termos de suas gravidades. As gravidades por ID da mensagem do log de auditoria SAP e função do sistema são definidas na lista de observação SAP_Dynamic_Audit_Log_Monitor_Configuration.
SelectedPrefixMask Opcional 24 Usado para determinar o nível de máscara de sub-rede usado para aprender e detetar.
SelectedRuleTypes Opcional AnomaliesOnly Determina quais eventos são relevantes para detetar as anomalias. Os tipos de regras por ID de mensagem do log de auditoria SAP e função do sistema são definidos na lista de observação SAP_Dynamic_Audit_Log_Monitor_Configuration.

A função SAPAuditLogAnomalies retorna os seguintes dados:

Campo Descrição
Vários campos do SAPAuditLog Campos-chave do log de auditoria SAP
Vários campos do SAPAuditLogConfiguration Campos-chave da configuração do log de auditoria do Microsoft Sentinel for SAP
Descoberto A hora arredondada em que a anomalia foi observada em
EventCount Número de eventos contados por linha retornada
AnomalCount Número de acontecimentos observados na janela deslizante relevante
MinTime Hora do primeiro acontecimento observado
Tempo máximo Hora do último evento observado
Resultado os escores de anomalia produzidos pelo modelo de anomalia

Recomendações:

Tal como acontece com qualquer solução de aprendizagem automática, a função SAPAuditLogAnomalies tem um melhor desempenho com o tempo e pode ser ajustada conforme necessário à medida que o tempo passa.

Recomendamos restringir o tamanho do banco de dados aprendido para ser inferior a 100 milhões de registros usando os muitos parâmetros de entrada disponíveis.

Os usos de amostra incluem:

  • Para procurar anomalias para eventos de alta gravidade que ocorreram na última hora em sistemas de produção para tipos de eventos marcados como AnomaliasSomente na lista de observação SAP_Dynamic_Audit_Log_Monitor_Configuration , execute:

    SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=1h, SelectedSystemRoles= dynamic(["Production"]), 
SelectedSeverities= dynamic(["High"]), SelectedRuleTypes= dynamic(["AnomaliesOnly"]))

  • Para procurar todas as anomalias nos últimos 14 dias no sistema BIP , execute:

    SAPAuditLogAnomalies(LearningTime = 14d, DetectingTime=0h, SelectedSystems= dynamic(["BIP"]))

Para obter mais informações, consulte Regras de análise SAP integradas para monitorar o log de auditoria SAP e Deteção de anomalias no log de auditoria SAP usando a solução Microsoft Sentinel for SAP (blog).

SAPAuditLogConfigRecomendar

O SAPAuditLogConfigRecommend é uma função auxiliar projetada para oferecer recomendações para a configuração da regra de análise SAP - Dynamic Anomaly based Audit Log Monitor Alerts (PREVIEW).

Para obter mais informações, consulte Monitorar o log de auditoria do SAP.

SAPUsersGetVIP

A solução Microsoft Sentinel para aplicativos SAP usa um conceito de marcação de usuário central e exclusões explícitas, projetado para ajudá-lo a reduzir falsos positivos com o mínimo de esforço.

Use a função SAPUsersGetVIP para excluir usuários de disparar alertas especificando funções de usuário SAP, funções de usuário SAP ou tags que representam esses usuários. Para obter mais informações, consulte Manipular falsos positivos no Microsoft Sentinel.

As tags especificadas como entrada para a função SAPUsersGetVIP excluem todos os usuários com uma tag listada na lista de observação SAP_User_Config. A mesma funcionalidade é estendida para trabalhar com curingas, permitindo que você atribua uma única tag a um grupo de usuários com a mesma sintaxe de nomenclatura.

  1. Marque os usuários na lista de observação do SAP_User_Config da seguinte maneira:

    • Adicione várias tags a cada usuário na lista de observação do SAP_User_Config , conforme necessário para cobrir vários cenários. Cada regra de alerta tem suas próprias tags relevantes, se houver, e você pode adicionar tags personalizadas conforme necessário.

    • Use um asterisco (*) como curinga para incluir usuários com um modelo de sintaxe de nomenclatura específico.

  2. Adicione a função SAPUsersGetVIP em suas regras de análise para solicitar que as listas de usuários que você definiu sejam excluídas dos alertas. Na chamada de função, adicione uma matriz com as tags, funções SAP e perfis SAP que você deseja excluir.

Por exemplo, use a seguinte consulta KQL em sua regra de análise para excluir todos os usuários configurados com a tag RunObsoleteProgOK na lista de observação do SAP_User_Config ou quaisquer usuários com a função de SAP_BASIS_ADMIN_ROLE de exemplo ou o perfil de SAP_ADMIN_PROFILE de exemplo.

Ao copiar esta chamada de função de exemplo, substitua SAP_BASIS_ADMIN_ROLE função e SAP_ADMIN_PROFILE perfil por suas próprias funções ou perfis SAP, conforme necessário.

Por exemplo:

// Execution of Obsolete/Insecure Program
let ObsoletePrograms = _GetWatchlist("SAP - Obsolete Programs");
// here you can exclude system users which are OK to run obsolete/ sensitive programs
// by adding those users in the SAP_User_Config watchlist with a tag of 'RunObsoleteProgOK'
// can also specify SAP roles or SAP profiles that group the users you would like to exclude
let excludeUsersTagsRolesProfiles= dynamic(["RunObsoleteProgOK","SAP_BASIS_ADMIN_ROLE", "SAP_ADMIN_PROFILE"]);
let excludedUsers= SAPUsersGetVIP(SearchForTags= excludeUsersTagsRolesProfiles)| summarize by User2Exclude=SAPUser;
// Query logic
SAPAuditLog
| where MessageID == 'AUW'
| where ABAPProgramName in (ObsoletePrograms) // The program is obsolete
| join kind=leftantisemi excludedUsers on $left.User == $right.User2Exclude

A função SAPUsersGetVIP é comumente usada em alertas do Monitor de Log de Auditoria Determinística e Anômalo. Associe uma tag a um ID de mensagem de log de auditoria SAP ou estenda o modelo de regra para uma regra personalizada que corresponda às necessidades da sua organização.

Gorjeta

Recomendamos entrar em contato com o administrador do sistema SAP para entender quais usuários, funções e perfis SAP devem ser incluídos em sua lista de observação SAP_User_Config .

Parâmetros:

Nome Opcional/Obrigatório Predefinido Description
SearchForTags Opcional dynamic('All Tags') Quando SearchForTags igual , todos os usuários são retornados All Tagsjunto com suas tags.

Caso contrário, somente os usuários com as tags, funções SAP ou perfis SAP especificados serão SearchForTags retornados. TagsIntersect Mostra as tags encontradas e IntersectionSize contém o número de tags encontradas.
SpecialFocusTags Opcional Do not return any in-focus users Retorna todos os usuários com as tags especificadas em SpecialFocusTagse marcadas com specialFocusTagged = true.

A função SAPUsersGetVIP retorna a seguinte saída:

Origem Campo Descrição Notas
A lista de observação SAP_User_Config SearchKey Chave de pesquisa
A lista de observação SAP_User_Config SAPUser O usuário SAP OSS, DDIC
A lista de observação SAP_User_Config Tags Cadeia de caracteres de tags atribuídas ao usuário RunObsoleteProgOK
A lista de observação SAP_User_Config ID do objeto Microsoft Entra do usuário ID do objeto Microsoft Entra
A lista de observação SAP_User_Config Identificador de utilizador Identificador de usuário do Diretório do Azure
A lista de observação SAP_User_Config SID local do usuário
A lista de observação SAP_User_Config Nome principal do usuário
A lista de observação SAP_User_Config TagsList Uma lista de tags atribuídas ao usuário ChangeUserMasterDataOK;RunObsoleteProgOK
Lógica TagsIntersect Um conjunto de tags que correspondem SearchForTags ["ChangeUserMasterDataOK","RunObsoleteProgOK"]
Lógica EspecialFocusTagged Indicação de foco especial True, False
Lógica IntersectionSize O número de tags interseccionadas

SAPUsersHeader

A função SAPUsersHeader foi projetada para fornecer uma visão de alto nível do usuário SAP. Ele usa dados extraídos das tabelas de dados mestre do usuário SAP e da atividade recente no log de auditoria do SAP para coletar endereços de e-mail e IP. Em seguida, retorna o último e-mail conhecido e endereços IP, juntamente com e-mail principal e endereços IP.

Parâmetros:

Nome Opcional/Obrigatório Predefinido Description
Sistemas Selecionados Opcional All Systems Usado para filtrar sistemas SAP específicos para examinar
SelectedSystemRoles Opcional All System Roles Determina as funções dos sistemas SAP a serem examinadas, conforme definido na lista de observação SAP - Systems .
SelectedUsers Opcional All Users Pode inserir listas de usuários.
SelectedUser Opcional All Users Aceita apenas um único usuário.

Por exemplo:

SelectedSystemRoles:dynamic = dynamic(["All System Roles"]) SelectedSystems:dynamic = dynamic(["All Systems"]) SelectedUsers:dynamic = dynamic(["All Users"]) SelectedUser:string = "All Users"

Gorjeta

Para considerações de desempenho, são considerados apenas alguns dias de atividade de auditoria. Para obter um histórico completo da atividade do usuário, execute uma consulta KQL personalizada na função SAPAuditLog .

A função SAPUsersHeader retorna a seguinte saída:

Origem Campo Descrição Notas
User O usuário SAP
Tabelas SAP ADR6 e USR21 E-mail Extraído dos dados mestre do usuário OSS, DDIC
Tabela SAP USR02 UserType Cadeia de caracteres de tags atribuídas ao usuário RunObsoleteProgOK
Tabela SAP USR02 Fuso horário ID do objeto Microsoft Entra
Tabela SAP USR02 LockedStatus Identificador de usuário do Diretório do Azure
Log de auditoria SAP LastSeen Um carimbo de data/hora Último evento de auditoria observado para o usuário
Log de auditoria SAP LastSeenDaysAgo Dias se passaram desde então LastSeen
Log de auditoria SAP IP primário Endereço IP usado com mais freqüência ChangeUserMasterDataOK;RunObsoleteProgOK
Log de auditoria SAP LastKnownIP Endereço IP usado mais recentemente ["ChangeUserMasterDataOK","RunObsoleteProgOK"]
Log de auditoria SAP PrimaryEmail Endereço de e-mail usado com mais frequência True, False
Log de auditoria SAP IPs conhecidos Lista de endereços IP conhecidos Ordenado por mais frequente primeiro
Log de auditoria SAP E-mails conhecidos Lista de endereços de e-mail conhecidos Ordenado por mais frequente primeiro
Cliente O ID do cliente SAP
ID do Sistema O ID do sistema SAP
Função do Sistema O papel do sistema SAP Produção, UAT
Utilização do Sistema A principal utilização do sistema SAP ERP, CRM

Conteúdos relacionados

Para obter mais informações, consulte: