创建 Azure 事件中心 Feed

支持：

Google SecOps SIEM

本文档介绍了如何设置 Azure 事件中心，以将安全数据发送到 Google Security Operations。您最多可以创建 10 个 Azure 事件中心 Feed，其中包括有效和无效 Feed。

重要提示： Google SecOps 不支持从 Azure Sovereign Cloud（包括 Azure 中国大陆 [由世纪互联运营] 和 Azure Government）提取数据。仅支持商业 Azure 端点（例如，Event Hub 的 *.servicebus.windows.net 或 Blob 存储的 *.blob.core.windows.net）。

注意：Azure Feed 会持续收集数据。因此，Google SecOps 不会为这些 Feed 填充上次成功时间列。

如需设置 Azure Feed，请完成以下流程：

1. 在 Azure 中创建事件中心：在 Azure 环境中设置所需的基础设施，以接收和存储安全数据流。

2. 在 Google SecOps 中配置 Feed：在 Google SecOps 中配置 Feed 以连接到您的 Azure 事件中心，并开始注入数据。

创建 Azure 事件中心

如需在 Azure 中创建事件中心，请执行以下操作：

1. 创建事件中心命名空间和事件中心。

   • 为确保最佳数据注入效果，请在 Google SecOps 实例所在的同一区域中部署事件中心命名空间。在其他区域部署事件中心可能会降低 Google SecOps 的数据提取吞吐量。

   • 将分区数设置为 40，以实现最佳伸缩。您必须拥有 Azure 事件中心的高级层级，才能设置超过 32 个分区。

     注意：在标准层级和基本层级中，您之后无法更改分区数量。分区数量不会影响费用。

   • 为防止因 Google SecOps 配额限制而导致数据丢失，请为事件中心设置较长的保留时间。这可确保在配额限制后恢复注入之前，日志不会被删除。如需详细了解事件保留和保留时间限制，请参阅事件保留。

   • 对于标准层级的事件中心，请启用自动扩充，以便根据需要自动扩缩吞吐量。如需了解详情，请参阅自动扩缩 Azure 事件中心吞吐量单位。

   • 对于基本层和标准层，Azure 事件中心中的一个吞吐量单位 (TU) 最多支持每秒 1 MB 的数据注入。如果传入的事件量超过所配置 TU 的容量，可能会发生数据丢失。例如，如果您配置 5 个 TU，则支持的最大注入速率为每秒 5 MB。如果以每秒 20 MB 的速度发送事件，事件中心可能会崩溃。因此，日志可能会在到达 Google SecOps 之前在事件中心级别丢失。

2. 获取 Google SecOps 从 Azure 事件中心注入数据所需的事件中心连接字符串。此连接字符串授权 Google SecOps 访问并收集事件中心的安全数据。您可以通过以下两种方式提供连接字符串：

   • 事件中心命名空间级：适用于命名空间中的所有事件中心。如果您使用多个事件中心，并希望在 Feed 设置中为所有事件中心使用相同的连接字符串，则此选项更简单。

   • Event Hub 级：适用于单个 Event Hub。 如果您只需要向一个事件中心授予访问权限，那么这是一个安全的选择。 确保从连接字符串末尾移除 EntityPath。

   例如，将 Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> 更改为 Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>。

3. 配置您的应用（例如 Web 应用防火墙或 Microsoft Defender），以将其日志发送到事件中心。

   Microsoft Defender 用户：配置 Microsoft Defender 流式传输时，请确保输入现有的事件中心名称。如果您将此字段留空，系统可能会创建不必要的事件中心，并消耗您有限的 Feed 配额。为保持井然有序，请使用与日志类型匹配的事件中心名称。

配置网络安全（可选）

如果您限制对 Azure 事件中心命名空间的网络访问（例如，使用防火墙或专用端点），则必须将 Google SecOps IP 地址添加到许可名单，以确保 Google SecOps 可以连接并注入数据。

您有两种选择：

• 将所有 Google IP 地址列入许可清单（推荐）：为确保连接不中断，请将所有 Google IP 地址列入许可清单。您可以从公共 JSON 文件 https://gstatic.com/ipranges/goog.json 中检索 Google IP 地址列表。
• 将特定于区域的 IP 地址列入许可名单：如果您的安全政策要求使用更严格的 IP 地址列表，请与 Google SecOps 支持团队联系，请求获取 Google SecOps 实例部署区域的特定 IP 地址。如果 Google SecOps 基础架构更新，这些 IP 地址可能会发生变化。

配置 Azure Feed

如需在 Google SecOps 中配置 Azure Feed，请执行以下操作：

1. 在 Google SecOps 菜单中，选择 SIEM 设置，然后点击 Feed。

2. 点击新增。

3. 在Feed 名称字段中，输入 Feed 的名称。

4. 在来源类型列表中，选择 Microsoft Azure 事件中心。

5. 选择日志类型。例如，如需为开放网络安全架构框架创建 Feed，请选择开放网络安全架构框架 (OCSF) 作为日志类型。

6. 点击下一步。系统随即会显示添加 Feed 窗口。

7. 从您之前在 Azure 门户中创建的事件中心检索信息，以填写以下字段：

   • Event Hub 名称：Event Hub 名称

   • 事件中心使用方组：与事件中心关联的使用方组

     注意： 请勿通过 Azure 门户中的“数据资源管理器”标签页以编程方式为个人用户群组创建订阅者或检索数据。这样做可能会导致数据丢失。

   • Event Hub 连接字符串：Event Hub 连接字符串

   • Azure 存储连接字符串：可选。Blob 存储空间连接字符串

   • Azure storage container name（Azure 存储容器名称）：可选。Blob Storage 容器名称

   • Azure SAS 令牌：可选。SAS 令牌

   • 资源命名空间：可选。资产命名空间

   • 注入标签：可选。要应用于此 Feed 中事件的标签

   注意： 从 Azure 事件中心注入数据时，Google SecOps 会管理自己的检查点。只需提供事件中心连接字符串。其他可选字段不会影响检查点设置。

8. 点击下一步。系统会显示完成界面。

9. 检查您的 Feed 配置，然后点击提交。

验证数据流

如需验证数据是否流入 Google SecOps 以及事件中心是否正常运行，您可以执行以下检查：

• 在 Google SecOps 中，检查信息中心并使用原始日志扫描或统一数据模型 (UDM) 搜索来验证注入的数据是否采用正确的格式。

• 在 Azure 门户中，前往事件中心的页面，查看显示传入和传出字节数的图表。确保入站和出站速率大致相当，这表示消息正在处理，并且没有积压。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。