Uppdatera dataanslutningsagenten för Microsoft Sentinel för SAP-program

Den här artikeln visar hur du uppdaterar en redan befintlig Microsoft Sentinel för SAP-dataanslutning till den senaste versionen så att du kan använda de senaste funktionerna och förbättringarna.

Under uppdateringsprocessen för dataanslutningsagenten kan det uppstå en kort stilleståndstid på cirka 10 sekunder. För att säkerställa dataintegriteten lagrar en databaspost tidsstämpeln för den senast hämtade loggen. När uppdateringen är klar återupptas datahämtningsprocessen från den senaste loggen som hämtades, vilket förhindrar dubbletter och säkerställer ett sömlöst dataflöde.

De automatiska eller manuella uppdateringar som beskrivs i den här artikeln är endast relevanta för SAP-anslutningsagenten och inte för Microsoft Sentinel-lösningen för SAP-program. Om du vill uppdatera lösningen måste agenten vara uppdaterad. Lösningen uppdateras separat, precis som med andra Microsoft Sentinel-lösningar.

Innehållet i den här artikeln är relevant för dina säkerhets-, infrastruktur- och SAP BASIS-team .

Förutsättningar

Innan du börjar:

• Kontrollera att du har alla förutsättningar för att distribuera Microsoft Sentinel-lösningen för SAP-program. Mer information finns i Krav för att distribuera Microsoft Sentinel-lösning för SAP-program.

• Se till att du förstår dina SAP- och Microsoft Sentinel-miljöer och -arkitektur, inklusive de datorer där dina anslutningsagenter och insamlare är installerade.

Konfigurera automatiska uppdateringar för SAP-dataanslutningsagenten (förhandsversion)

Konfigurera automatiska uppdateringar för anslutningsagenten, antingen för alla befintliga containrar eller en specifik container.

Kommandona som beskrivs i det här avsnittet skapar ett cron-jobb som körs dagligen, söker efter uppdateringar och uppdaterar agenten till den senaste GA-versionen. Containrar som kör en förhandsversion av agenten som är nyare än den senaste GA-versionen uppdateras inte. Loggfiler för automatiska uppdateringar finns på insamlingsdatorn på /var/log/sapcon-sentinel-register-autoupdate.log.

När du har konfigurerat automatiska uppdateringar för en agent en gång konfigureras den alltid för automatiska uppdateringar.

Konfigurera automatiska uppdateringar för alla befintliga containrar

Om du vill aktivera automatiska uppdateringar för alla befintliga containrar med en ansluten SAP-agent kör du följande kommando på insamlingsdatorn:

wget -O sapcon-sentinel-auto-update.sh https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Solutions/SAP/sapcon-sentinel-auto-update.sh && bash ./sapcon-sentinel-auto-update.sh 

Om du arbetar med flera containrar uppdaterar cron-jobbet agenten på alla containrar som fanns vid den tidpunkt då du körde det ursprungliga kommandot. Om du lägger till containrar när du har skapat det första cron-jobbet uppdateras inte de nya containrarna automatiskt. Om du vill uppdatera dessa containrar kör du ett extra kommando för att lägga till dem.

Konfigurera automatiska uppdateringar för en specifik container

Om du vill konfigurera automatiska uppdateringar för en specifik container eller containrar, till exempel om du har lagt till containrar efter att du har kört det ursprungliga automationskommandot, kör du följande kommando på insamlard dator:

wget -O sapcon-sentinel-auto-update.sh https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Solutions/SAP/sapcon-sentinel-auto-update.sh && bash ./sapcon-sentinel-auto-update.sh --containername <containername> [--containername <containername>]...

Alternativt kan du i filen /opt/sapcon/[SID eller Agent GUID]/settings.json definiera parametern auto_update för var och en av containrarna som true.

Inaktivera automatiska uppdateringar

Om du vill inaktivera automatiska uppdateringar för en container eller containrar öppnar du filen /opt/sapcon/[SID eller Agent GUID]/settings.json för redigering och definierar parametern auto_update för var och en av containrarna som false.

Uppdatera SAP-dataanslutningsagenten manuellt

Om du vill uppdatera anslutningsagenten manuellt kontrollerar du att du har de senaste versionerna av relevanta distributionsskript från Microsoft Sentinel GitHub-lagringsplatsen.

Mer information finns i Microsoft Sentinel-lösningen för SAP-program dataanslutningsagentens uppdateringsfilreferens.

På dataanslutningsagentdatorn kör du:

wget -O sapcon-instance-update.sh https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Solutions/SAP/sapcon-instance-update.sh && bash ./sapcon-instance-update.sh

Docker-containern för SAP-dataanslutningen på datorn uppdateras.

Kontrollera om det finns andra tillgängliga uppdateringar, till exempel SAP-ändringsbegäranden.

Verifiera din aktuella dataanslutningsagentversion

Om du vill verifiera din aktuella agentversion kör du följande fråga från sidan Microsoft Sentinel-loggar:

SAP_HeartBeat_CL
| where sap_client_category_s !contains "AH"
| summarize arg_max(TimeGenerated, agent_ver_s), make_set(system_id_s) by agent_id_g
| project
    TimeGenerated,
    SAP_Data_Connector_Agent_guid = agent_id_g,
    Connected_SAP_Systems_Ids = set_system_id_s,
    Current_Agent_Version = agent_ver_s

Mer information om följande objekt som används i föregående exempel finns i Kusto-dokumentationen:

• där operatorn
• summarize-operator
• projektoperator
• aggregeringsfunktionen arg_max()
• aggregeringsfunktionen make_set()

Mer information om KQL finns i översikten över Kusto-frågespråk (KQL).

Andra resurser:

• Snabbreferens för KQL
• Kusto-frågespråk utbildningsresurser

Relaterat innehåll

Mer information finns i:

• Distribuera Microsoft Sentinel-lösning för SAP-program
• Övervaka hälsotillståndet för ditt SAP-system
• Felsöka din Microsoft Sentinel-lösning för distribution av SAP-program