Azure Event Hub-Feed erstellen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie einen Azure Event Hub einrichten, um Sicherheitsdaten an Google Security Operations zu senden. Sie können bis zu 10 Azure Event Hub-Feeds erstellen, die sowohl aktive als auch inaktive Feeds umfassen.

So richten Sie einen Azure-Feed ein:

  1. Event Hub in Azure erstellen: Richten Sie die erforderliche Infrastruktur in Ihrer Azure-Umgebung ein, um den Sicherheitsdatenstream zu empfangen und zu speichern.

  2. Feed in Google SecOps konfigurieren: Konfigurieren Sie den Feed in Google SecOps, um eine Verbindung zu Ihrem Azure Event Hub herzustellen und mit der Datenerfassung zu beginnen.

Azure Event Hub erstellen

So erstellen Sie einen Event Hub in Azure:

  1. Erstellen Sie einen Event Hub-Namespace und einen Event Hub.

    • Um eine optimale Datenaufnahme zu gewährleisten, stellen Sie den Event Hub-Namespace in derselben Region wie Ihre Google SecOps-Instanz bereit. Wenn Sie den Event Hub in einer anderen Region bereitstellen, kann der Durchsatz, der in Google SecOps erfasst wird, geringer sein.

    • Legen Sie die Anzahl der Partitionen auf 40 fest, um eine optimale Skalierung zu erzielen. Sie benötigen die Premium-Stufe von Azure Event Hubs, um mehr als 32 Partitionen festzulegen.

    • Um Datenverlust aufgrund von Google SecOps-Kontingentlimits zu vermeiden, legen Sie eine lange Aufbewahrungszeit für Ihren Event Hub fest. So wird sichergestellt, dass Logs nicht gelöscht werden, bevor die Erfassung nach einer Kontingentdrosselung wieder aufgenommen wird. Weitere Informationen zur Ereignisaufbewahrung und zu Einschränkungen der Aufbewahrungszeit finden Sie unter Ereignisaufbewahrung.

    • Aktivieren Sie für Event Hubs der Standard-Stufe die Option Auto inflate (Automatisch erhöhen), um den Durchsatz bei Bedarf automatisch zu skalieren. Weitere Informationen finden Sie unter Durchsatzeinheiten von Azure Event Hubs automatisch hochskalieren.

    • Für die Stufen „Basic“ und „Standard“ unterstützt eine Durchsatzeinheit (TU) in Azure Event Hub bis zu 1 MB pro Sekunde an Datenaufnahme. Wenn das eingehende Ereignisvolumen die Kapazität der konfigurierten TUs übersteigt, kann es zu Datenverlust kommen. Wenn Sie beispielsweise 5 TUs konfigurieren, beträgt die maximal unterstützte Erfassungsrate 5 MB pro Sekunde. Wenn Ereignisse mit 20 MB pro Sekunde gesendet werden, kann der Event Hub abstürzen. Infolgedessen können Logs auf Event Hub-Ebene verloren gehen, bevor sie Google SecOps erreichen.

  2. Rufen Sie die Event Hub-Verbindungszeichenfolge ab, die für Google SecOps benötigt wird, um Daten aus dem Azure Event Hub zu erfassen. Mit dieser Verbindungszeichenfolge wird Google SecOps autorisiert, auf Sicherheitsdaten in Ihrem Event Hub zuzugreifen und diese zu erfassen. Sie haben zwei Möglichkeiten, eine Verbindungszeichenfolge anzugeben:

    • Event Hub-Namespace-Ebene: Funktioniert für alle Event Hubs im Namespace. Dies ist eine einfachere Option, wenn Sie mehrere Event Hubs verwenden und für alle in Ihrer Feed-Einrichtung dieselbe Verbindungszeichenfolge verwenden möchten.

    • Event Hub-Ebene: Gilt für einen einzelnen Event Hub. Dies ist eine sichere Option, wenn Sie nur einem Event Hub Zugriff gewähren müssen. Entfernen Sie EntityPath am Ende der Verbindungszeichenfolge.

    Ändern Sie beispielsweise Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> in Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>.

  3. Konfigurieren Sie Ihre Anwendungen wie Web Application Firewall oder Microsoft Defender, so dass ihre Logs an den Event Hub gesendet werden.

    Microsoft Defender-Nutzer:Wenn Sie das Streaming von Microsoft Defender konfigurieren, geben Sie den Namen Ihres vorhandenen Event Hubs ein. Wenn Sie dieses Feld leer lassen, erstellt das System möglicherweise unnötige Event Hubs und verbraucht Ihr begrenztes Feed-Kontingent. Verwenden Sie Event Hub-Namen, die dem Logtyp entsprechen, um die Übersicht zu behalten.

Netzwerksicherheit konfigurieren (optional)

Wenn Sie den Netzwerkzugriff auf Ihren Azure Event Hub-Namespace einschränken (z. B. mithilfe von Firewalls oder privaten Endpunkten), müssen Sie die Google SecOps-IP-Adressen einer Zulassungsliste hinzufügen, damit Google SecOps eine Verbindung herstellen und Daten erfassen kann.

Es stehen zwei Optionen zur Verfügung:

  • Alle Google-IP-Adressen auf die Zulassungsliste setzen (empfohlen) : Um eine ununterbrochene Verbindung zu gewährleisten, setzen Sie alle Google-IP-Adressen auf die Zulassungsliste. Sie können die Liste der Google-IP-Adressen aus der öffentlichen JSON-Datei abrufen: https://gstatic.com/ipranges/goog.json.
  • Regionsspezifische IP-Adressen auf die Zulassungsliste setzen:Wenn Ihre Sicherheitsrichtlinie eine eingeschränktere Liste von IP-Adressen erfordert, wenden Sie sich an den Google SecOps-Support, um die spezifischen IP-Adressen für die Region anzufordern, in der Ihre Google SecOps-Instanz bereitgestellt wird. Diese IP-Adressen können sich ändern, wenn die Google SecOps-Infrastruktur aktualisiert wird.

Azure-Feed konfigurieren

So konfigurieren Sie den Azure-Feed in Google SecOps:

  1. Wählen Sie im Google SecOps-Menü SIEM-Einstellungen und dann Feeds aus.

  2. Klicken Sie auf Neu hinzufügen.

  3. Geben Sie im Feld Feedname einen Namen für den Feed ein.

  4. Wählen Sie in der Liste Quelltyp die Option Microsoft Azure Event Hub aus.

  5. Wählen Sie den Logtyp aus. Wenn Sie beispielsweise einen Feed für Open Cybersecurity Schema Framework erstellen möchten, wählen Sie Open Cybersecurity Schema Framework (OCSF) als Logtyp aus.

  6. Klicken Sie auf Weiter. Das Fenster Feed hinzufügen wird angezeigt.

  7. Rufen Sie die Informationen aus dem Event Hub ab, den Sie zuvor im Azure-Portal erstellt haben, um die folgenden Felder auszufüllen:

    • Event Hub-Name: Der Name des Event Hubs

    • Event Hub-Consumergruppe: Die Consumergruppe, die mit Ihrem Event Hub verknüpft ist

    • Event Hub-Verbindungszeichenfolge: Die Event Hub-Verbindungszeichenfolge

    • Azure Storage-Verbindungszeichenfolge: Optional. Die Blob Storage-Verbindungszeichenfolge

    • Name des Azure Storage-Containers: Optional. Der Name des Blob Storage-Containers

    • Azure SAS-Token: Optional. Das SAS-Token

    • Asset-Namespace: Optional. Der Asset-Namespace

    • Erfassungs-Labels: Optional. Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll

  8. Klicken Sie auf Weiter. Der Bildschirm Abschließen wird angezeigt.

  9. Prüfen Sie die Feed-Konfiguration und klicken Sie dann auf Senden.

Datenfluss prüfen

So prüfen Sie, ob Ihre Daten in Google SecOps fließen und Ihr Event Hub ordnungsgemäß funktioniert:

  • Prüfen Sie in Google SecOps die Dashboards und verwenden Sie die Suche nach Rohlogs oder Unified Data Model (UDM), um zu prüfen, ob die erfassten Daten im richtigen Format vorhanden sind.

  • Rufen Sie im Azure-Portal die Seite Ihres Event Hubs auf und prüfen Sie die Diagramme, in denen die eingehenden und ausgehenden Byte angezeigt werden. Achten Sie darauf, dass die Raten für eingehende und ausgehende Daten ungefähr gleich sind. Das bedeutet, dass Nachrichten verarbeitet werden und kein Rückstand vorhanden ist.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten