Logg- och tabellreferens för Microsoft Sentinel-lösningen för SAP-program

Vissa loggar, som anges i den här artikeln, skickas inte till Microsoft Sentinel som standard, men du kan lägga till dem manuellt efter behov. Mer information finns i Definiera DE SAP-loggar som skickas till Microsoft Sentinel

Alla loggar som samlas in av dataanslutningsagenten lagras först på datainsamlarens agentdator, i /opt/sapcon/<sid>/log mappen i containerinstansen. Loggarna vidarebefordras sedan till din Log Analytics-arbetsyta, där du kan visa, granska och fråga dem från Microsoft Sentinel.

Granskningsloggar samlas in och matas in varje minut, medan andra loggar kan matas in mindre ofta. Microsoft Sentinel övervakar även dataanslutningsagentens pulsslag för att säkerställa att loggar samlas in och skickas till Log Analytics-arbetsytan.

Loggar som samlas in av den agentlösa dataanslutningsappen

Följande inbyggda Log Analytics-tabeller samlas in av den agentlösa dataanslutningen:

• ABAPAuditLog
• ABAP-behörighetsdetaljer
• ABAPChangeDocsLog
• ABAPUserDetails

Loggreferens för dataanslutningsagenten

I följande avsnitt beskrivs de SAP-loggar som är tillgängliga från Microsoft Sentinel-lösningen för SAP-programdataanslutningsappen, inklusive tabellnamnen i Microsoft Sentinel, loggsyftena och detaljerade loggscheman.

Beskrivningar av schemafält baseras på fältbeskrivningarna i relevant SAP-dokumentation.

• ABAP-programlogg
• LOGG FÖR ABAP-ändringsdokument
• ABAP CR-logg
• ABAP DB-tabelldatalogg (förhandsversion)
• ABAP Gateway-logg (förhandsversion)
• ABAP ICM-logg (FÖRHANDSVERSION)
• ABAP-jobblogg
• Granskningslogg för ABAP-säkerhet
• ABAP Spool-logg
• APAB Spool-utdatalogg
• ABAP SysLog
• ABAP-arbetsflödeslogg
• ABAP WorkProcess-logg
• HANA DB-spårningslogg
• JAVA-filer
• SAP-pulsslagslogg

ABAP-programlogg

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPAppLog

• Relaterad SAP-dokumentation: SAP-hjälpportalen

• Loggsyfte: Registrerar förloppet för en programkörning så att du kan rekonstruera den senare efter behov.

  Tillgänglig med hjälp av RFC baserat på standard-SAP-tabell och standardtjänster i XBP-gränssnittet. Den här loggen genereras per klient.

  Den här loggen matas endast in med dataanslutningsagenten.

ABAPAppLog_CL loggschema

LOGG FÖR ABAP-ändringsdokument

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPChangeDocsLog

• Relaterad SAP-dokumentation: SAP-hjälpportalen

• Loggsyfte: Poster:

  • SAP NetWeaver Application Server (AS) ABAP-loggändringar till affärsdataobjekt i ändringsdokument.

  • Andra entiteter i SAP-systemet, till exempel användardata, roller, adresser.

  Tillgänglig med hjälp av RFC baserat på standard-SAP-tabeller. Den här loggen genereras per klient.

ABAPChangeDocsLog_CL loggschema

ABAP CR-logg

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPCRLog

• Relaterad SAP-dokumentation: SAP-hjälpportalen

• Loggsyfte: Innehåller loggarna för ändrings- och transportsystem (CTS), inklusive katalogobjekt och anpassningar där ändringar gjordes.

  Tillgänglig med hjälp av RFC baserat på standardtabeller och SAP-standardtjänster. Den här loggen genereras med data för alla klienter.

ABAPCRLog_CL loggschema

ABAP DB-tabelldatalogg (förhandsversion)

Om du vill att loggen ska skickas till Microsoft Sentinel måste du lägga till den manuellt i filensystemconfig.json. Den här loggen stöds inte när du använder den rekommenderade proceduren för att installera dataanslutningsagenten från portalen.

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPTableDataLog

• Relaterad SAP-dokumentation: SAP-hjälpportalen

• Loggsyfte: Tillhandahåller loggning för de tabeller som är kritiska eller känsliga för granskningar.

  Tillgänglig med hjälp av RFC med en anpassad tjänst. Den här loggen genereras med data för alla klienter.

ABAPTableDataLog_CL loggschema

ABAP Gateway-logg (förhandsversion)

Om du vill att loggen ska skickas till Microsoft Sentinel måste du lägga till den manuellt i filensystemconfig.json. Den här loggen stöds inte när du använder den rekommenderade proceduren för att installera dataanslutningsagenten från portalen.

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPOS_GW

• Relaterad SAP-dokumentation: SAP-hjälpportalen

• Loggsyfte: Övervakar gatewayaktiviteter. Tillgänglig av SAP Control-webbtjänsten. Den här loggen genereras med data för alla klienter.

ABAPOS_GW_CL loggschema

ABAP ICM-logg (FÖRHANDSVERSION)

Om du vill att loggen ska skickas till Microsoft Sentinel måste du lägga till den manuellt i filensystemconfig.json. Den här loggen stöds inte när du använder den rekommenderade proceduren för att installera dataanslutningsagenten från portalen.

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPOS_ICM

• Relaterad SAP-dokumentation: SAP-hjälpportalen

• Loggsyfte: Registrerar inkommande och utgående begäranden och sammanställer statistik för HTTP-begäranden.

  Tillgänglig av SAP Control-webbtjänsten. Den här loggen genereras med data för alla klienter.

ABAPOS_ICM_CL loggschema

ABAP-jobblogg

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPJobLog

• Relaterad SAP-dokumentation: SAP-hjälpportalen

• Loggsyfte: Kombinerar alla jobbloggar för bakgrundsbearbetning (SM37).

  Tillgänglig med hjälp av RFC baserat på standard-SAP-tabell och standardtjänster för XBP-gränssnitt. Den här loggen genereras med data för alla klienter.

ABAPJobLog_CL loggschema

Granskningslogg för ABAP-säkerhet

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPAuditLog

• Relaterad SAP-dokumentation: SAP-hjälpportalen

• Loggsyfte: Registrerar följande data:

  • Säkerhetsrelaterade ändringar i SAP-systemmiljön, till exempel ändringar i huvudanvändarposter
  • Information som ger en högre datanivå, till exempel lyckade och misslyckade inloggningsförsök
  • Information som möjliggör återuppbyggnad av en serie händelser, till exempel lyckade eller misslyckade transaktioner startar

  Tillgänglig med hjälp av RFC XAL/SAL-gränssnitt. SAL är tillgängligt från version Basis 7.50. Den här loggen genereras med data för alla klienter.

ABAPAuditLog_CL loggschema

ABAP Spool-logg

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPSpoolLog

• Relaterad SAP-dokumentation: SAP-hjälpportalen

• Loggsyfte: Fungerar som huvudlogg för SAP-utskrift med historiken för buffertbegäranden. (SP01).

  Tillgänglig med hjälp av RFC baserat på standard-SAP-tabell. Den här loggen genereras med data för alla klienter.

ABAPSpoolLog_CL loggschema

APAB Spool-utdatalogg

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPSpoolOutputLog

• Relaterad SAP-dokumentation: SAP-hjälpportalen

• Loggsyfte: Fungerar som huvudlogg för SAP-utskrift med historiken för begäranden om buffertutdata. (SP02).

  Tillgänglig med hjälp av RFC med en anpassad tjänst baserat på standardtabeller. Den här loggen genereras med data för alla klienter.

ABAPSpoolOutputLog_CL loggschema

ABAP Syslog

Om du vill att loggen ska skickas till Microsoft Sentinel måste du lägga till den manuellt i filensystemconfig.json. Den här loggen stöds inte när du använder den rekommenderade proceduren för att installera dataanslutningsagenten från portalen.

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPOS_Syslog

• Relaterad SAP-dokumentation: SAP-hjälpportalen

• Loggsyfte: Registrerar alla SAP NetWeaver Application Server(SAP NetWeaver AS) ABAP-systemfel, varningar, användarlås på grund av misslyckade inloggningsförsök från kända användare och processmeddelanden.

  Tillgänglig av SAP Control-webbtjänsten. Den här loggen genereras med data för alla klienter.

ABAPOS_Syslog_CL loggschema

ABAP-arbetsflödeslogg

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPWorkflowLog

• Relaterad SAP-dokumentation: SAP-hjälpportalen

• Loggsyfte: Med SAP Business Workflow (WebFlow Engine) kan du definiera affärsprocesser som ännu inte har mappats i SAP-systemet.

  Ommappade affärsprocesser till exempel kan vara enkla lanserings- eller godkännandeprocedurer, eller mer komplexa affärsprocesser som att skapa basmaterial och sedan samordna de associerade avdelningarna.

  Tillgänglig med hjälp av RFC baserat på standard-SAP-tabeller. Den här loggen genereras per klient.

ABAPWorkflowLog_CL loggschema

ABAP WorkProcess-logg

Om du vill att loggen ska skickas till Microsoft Sentinel måste du lägga till den manuellt i filensystemconfig.json. Den här loggen stöds inte när du använder den rekommenderade proceduren för att installera dataanslutningsagenten från portalen.

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPOS_WP

• Relaterad SAP-dokumentation: SAP-hjälpportalen

• Loggsyfte: Kombinerar alla arbetsprocessloggar. (standard: dev_*).

  Tillgänglig av SAP Control-webbtjänsten. Den här loggen genereras med data för alla klienter.

ABAPOS_WP_CL loggschema

HANA DB-spårningslogg

Att samla in HANA DB-spårningsloggen är ett exempel på hur Microsoft Sentinel samlar in databaslageraktiviteter. Om du vill att den här loggen ska skickas till Microsoft Sentinel måste du distribuera Azure Monitor-agenten för att samla in Syslog-data från datorn som kör HANA DB.

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPSyslog

• Relaterad SAP-dokumentation: Allmän | spårningslogg

• Loggsyfte: Registrerar användaråtgärder eller försök till åtgärder i SAP HANA-databasen. Du kan till exempel logga och övervaka läsåtkomst till känsliga data.

  Tillgänglig av Microsoft Sentinel Linux-agenten för Syslog. Den här loggen genereras med data för alla klienter.

Syslog-loggschema

JAVA-filer

Om du vill att loggen ska skickas till Microsoft Sentinel måste du lägga till den manuellt i filensystemconfig.json. Den här loggen stöds inte när du använder den rekommenderade proceduren för att installera dataanslutningsagenten från portalen.

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPJAVAFilesLogs

• Relaterad SAP-dokumentation: Allmän | Granskningslogg för Java-säkerhet

• Loggsyfte: Kombinerar alla Java-filbaserade loggar, inklusive säkerhetsgranskningsloggen och system (kluster- och serverprocess), prestanda- och gatewayloggar. Innehåller även utvecklarspårningar och standardspårningsloggar.

  Tillgänglig av SAP Control-webbtjänsten. Den här loggen genereras med data för alla klienter.

Loggschema för JavaFilesLogsCL

SAP-pulsslagslogg

• Microsoft Sentinel-funktion för att fråga den här loggen: SAPConnectorHealth

• Loggsyfte: Ger pulsslag och annan hälsoinformation om anslutningen mellan agenterna och de olika SAP-systemen.

  Skapas automatiskt för alla agenter i Microsoft Sentinel för SAP-dataanslutningen.

SAP_HeartBeat_CL loggschema

Referens för tabeller som hämtats direkt från SAP-system

I det här avsnittet visas de datatabeller som hämtas direkt från SAP-systemet och matas in i Microsoft Sentinel precis som de är.

De data som hämtas från dessa tabeller ger en tydlig vy över auktoriseringsstrukturen, gruppmedlemskapet och användarprofilerna. Du kan också spåra processen med auktoriseringsbidrag och återkallanden samt identifiera och styra de risker som är kopplade till dessa processer.

Tabellerna nedan krävs för att aktivera funktioner som identifierar privilegierade användare, mappar användare till roller, grupper och auktoriseringar.

För bästa resultat, se dessa tabeller med hjälp av namnet i kolumnen Microsoft Sentinel-funktionsnamn i följande tabell: