Crea un feed Azure Event Hub

Supportato in:

Google SecOps SIEM

Questo documento mostra come configurare un hub eventi di Azure per inviare dati di sicurezza a Google Security Operations. Puoi creare fino a 10 feed di Azure Event Hubs, che includono sia i feed attivi che quelli inattivi.

Importante: Google SecOps non supporta l'importazione dai Sovereign Cloud Azure, tra cui Azure China (gestito da 21Vianet) e Azure Government. Sono supportati solo gli endpoint Azure commerciali (ad esempio *.servicebus.windows.net per Event Hub o *.blob.core.windows.net per Blob Storage).

Nota:i feed Azure raccolgono i dati in modo continuo. Di conseguenza, Google SecOps non compila la colonna ULTIMO SUCCESSO IL GIORNO per questi feed.

Per configurare un feed Azure, completa le seguenti procedure:

1. Crea un hub eventi in Azure: configura l'infrastruttura richiesta nel tuo ambiente Azure per ricevere e archiviare il stream di dati di sicurezza.

2. Configura il feed in Google SecOps: configura il feed in Google SecOps per connetterti all'hub eventi di Azure e iniziare a importare i dati.

Crea un hub eventi Azure

Per creare un hub eventi in Azure:

1. Crea uno spazio dei nomi dell'hub eventi e un hub eventi.

   • Per garantire l'importazione ottimale dei dati, esegui il deployment dello spazio dei nomi Event Hub nella stessa regione della tua istanza di Google SecOps. Il deployment dell'hub eventi in una regione diversa può ridurre la velocità effettiva inserita in Google SecOps.

   • Imposta il conteggio delle partizioni su 40 per una scalabilità ottimale. Per impostare più di 32 partizioni, devi disporre del livello Premium di Hub eventi di Azure.

     Nota: non puoi modificare il conteggio delle partizioni in un secondo momento nei piani standard e basic. Il conteggio delle partizioni non influisce sul costo.

   • Per evitare la perdita di dati dovuta ai limiti di quota di Google SecOps, imposta un periodo di conservazione lungo per l'hub eventi. In questo modo, i log non vengono eliminati prima che l'importazione riprenda dopo una limitazione della quota. Per saperne di più sulla conservazione degli eventi e sulle limitazioni del periodo di conservazione, consulta Conservazione degli eventi.

   • Per gli hub eventi di livello standard, abilita Aumento automatico per scalare automaticamente la velocità effettiva in base alle esigenze. Per saperne di più, consulta Scalabilità automatica delle unità di throughput di Hub eventi di Azure.

   • Per i livelli Basic e Standard, un'unità di velocità effettiva (TU) in Azure Event Hub supporta fino a 1 MB al secondo di importazione dati. Se il volume di eventi in entrata supera la capacità delle TU configurate, potrebbe verificarsi una perdita di dati. Ad esempio, se configuri 5 TU, la velocità di importazione massima supportata è di 5 MB al secondo. Se gli eventi vengono inviati a 20 MB al secondo, l'hub eventi potrebbe arrestarsi in modo anomalo. Di conseguenza, i log potrebbero andare persi a livello di Event Hub prima di raggiungere Google SecOps.

2. Ottieni la stringa di connessione dell'hub eventi necessaria per consentire a Google SecOps di importare i dati dall'hub eventi di Azure. Questa stringa di connessione autorizza Google SecOps ad accedere e raccogliere i dati di sicurezza dall'hub eventi. Hai due opzioni per fornire una stringa di connessione:

   • A livello di spazio dei nomi dell'hub eventi: funziona per tutti gli hub eventi all'interno dello spazio dei nomi. È un'opzione più semplice se utilizzi più hub eventi e vuoi utilizzare la stessa stringa di connessione per tutti nella configurazione del feed.

   • Livello di hub di eventi: si applica a un singolo hub di eventi. Questa è un'opzione sicura se devi concedere l'accesso a un solo hub eventi. Assicurati di rimuovere EntityPath dalla fine della stringa di connessione.

   Ad esempio, modifica Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> in Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>.

3. Configura le tue applicazioni, ad esempio Web Application Firewall o Microsoft Defender, per inviare i log all'hub eventi.

   Utenti di Microsoft Defender:quando configuri lo streaming di Microsoft Defender, assicurati di inserire il nome dell'hub eventi esistente. Se lasci vuoto questo campo, il sistema potrebbe creare hub eventi non necessari e consumare la quota limitata di feed. Per mantenere l'organizzazione, utilizza nomi di hub eventi che corrispondano al tipo di log.

Configura la sicurezza di rete (facoltativo)

Se limiti l'accesso alla rete allo spazio dei nomi di Azure Event Hub (ad esempio utilizzando firewall o endpoint privati), devi aggiungere gli indirizzi IP di Google SecOps a una lista consentita per assicurarti che Google SecOps possa connettersi e importare i dati.

Sono disponibili due opzioni:

• Inserisci nella lista consentita tutti gli indirizzi IP di Google (consigliato): per garantire una connettività ininterrotta, inserisci nella lista consentita tutti gli indirizzi IP di Google. Puoi recuperare l'elenco degli indirizzi IP di Google dal file JSON pubblico: https://gstatic.com/ipranges/goog.json.
• Inserisci nella lista consentita indirizzi IP specifici per la regione:se la tua policy di sicurezza richiede un elenco più ristretto di indirizzi IP, contatta l'assistenza Google SecOps per richiedere gli indirizzi IP specifici per la regione in cui è implementata la tua istanza Google SecOps. Questi indirizzi IP possono cambiare se l'infrastruttura di Google SecOps viene aggiornata.

Configurare il feed Azure

Per configurare il feed di Azure in Google SecOps, segui questi passaggi:

1. Nel menu Google SecOps, seleziona Impostazioni SIEM e poi fai clic su Feed.

2. Fai clic su Aggiungi nuovo.

3. Nel campo Nome feed, inserisci un nome per il feed.

4. Nell'elenco Tipo di origine, seleziona Hub eventi di Microsoft Azure.

5. Seleziona il Tipo di log. Ad esempio, per creare un feed per Open Cybersecurity Schema Framework, seleziona Open Cybersecurity Schema Framework (OCSF) come Tipo di log.

6. Fai clic su Avanti. Viene visualizzata la finestra Aggiungi feed.

7. Recupera le informazioni dall'hub eventi che hai creato in precedenza nel portale Azure per compilare i seguenti campi:

   • Nome hub di eventi: il nome dell'hub di eventi

   • Gruppo di consumer dell'hub eventi: il gruppo di consumer associato al tuo hub eventi

     Attenzione: non creare abbonati o recuperare dati a livello di programmazione tramite la scheda Esplora dati nel portale Azure per il gruppo di consumatori. Questa operazione potrebbe causare la perdita di dati.

   • Stringa di connessione dell'hub di eventi: la stringa di connessione dell'hub di eventi

   • Stringa di connessione ad Azure Storage: facoltativa. Stringa di connessione dell'archiviazione blob

   • Nome del container di archiviazione Azure: facoltativo. Il nome del container Blob Storage

   • Token SAS di Azure: facoltativo. Il token SAS

   • Spazio dei nomi dell'asset: facoltativo. Lo spazio dei nomi dell'asset

   • Etichette di importazione: facoltativo. L'etichetta da applicare agli eventi di questo feed

   Nota: Google SecOps gestisce il proprio checkpoint durante l'importazione dei dati da Azure Event Hubs. È necessaria solo la stringa di connessione dell'hub eventi. Gli altri campi facoltativi non influiscono sul checkpoint.

8. Fai clic su Avanti. Viene visualizzata la schermata Finalizza.

9. Controlla la configurazione del feed e poi fai clic su Invia.

Verifica il flusso di dati

Per verificare che i dati vengano inviati a Google SecOps e che l'hub eventi funzioni correttamente, puoi eseguire questi controlli:

• In Google SecOps, esamina i dashboard e utilizza la ricerca Raw Log Scan o Unified Data Model (UDM) per verificare che i dati importati siano presenti nel formato corretto.

• Nel portale Azure, vai alla pagina dell'hub eventi e controlla i grafici che mostrano i byte in entrata e in uscita. Assicurati che i tassi di messaggi in entrata e in uscita siano più o meno equivalenti, il che indica che i messaggi vengono elaborati e non c'è un backlog.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.