建立 Azure 事件中樞動態饋給

支援：

Google SecOps SIEM

本文說明如何設定 Azure 事件中樞，將安全性資料傳送至 Google Security Operations。您最多可以建立 10 個 Azure 事件中心動態饋給，包括有效和無效的動態饋給。

重要事項： Google SecOps 不支援從 Azure Sovereign Cloud 擷取資料，包括 Azure 中國 (由世紀互聯營運) 和 Azure Government。系統僅支援商用 Azure 端點 (例如事件中樞的 *.servicebus.windows.net或 Blob 儲存體的 *.blob.core.windows.net)。

注意：Azure 資訊提供會持續收集資料。因此，Google SecOps 不會為這些動態消息填入「上次成功時間」欄位。

如要設定 Azure 動態饋給，請完成下列程序：

1. 在 Azure 中建立事件中樞：在 Azure 環境中設定必要的基礎架構，以便接收及儲存安全性資料串流。

2. 在 Google SecOps 中設定動態饋給：在 Google SecOps 中設定動態饋給，連線至 Azure 事件中心並開始擷取資料。

建立 Azure 事件中樞

如要在 Azure 中建立事件中樞，請按照下列步驟操作：

1. 建立事件中樞命名空間和事件中樞。

   • 為確保資料擷取作業順利進行，請在 Google SecOps 執行個體所在的區域部署事件中樞命名空間。在不同區域部署事件中樞，可減少 Google SecOps 擷取的輸送量。

   • 將分區數量設為 40，以達到最佳擴充效果。如要設定超過 32 個分割區，您必須使用 Azure 事件中樞的進階級。

     注意：在標準和基本層級中，您無法在之後變更分割區計數。分區數量不會影響費用。

   • 為避免因 Google SecOps 配額限制而遺失資料，請為事件中樞設定較長的保留時間。這樣一來，系統就不會在配額用盡導致節流後，於重新擷取記錄前刪除記錄。如要進一步瞭解事件保留和保留時間限制，請參閱「事件保留」一文。

   • 如果是標準級事件中樞，請啟用「自動擴充」，視需要自動調整處理量。詳情請參閱「自動擴充 Azure 事件中樞輸送量單位」。

   • 在 Azure 事件中樞的基本和標準層級，一個輸送量單位 (TU) 最多支援每秒 1 MB 的資料擷取量。如果傳入的事件量超過設定的 TU 容量，可能會發生資料遺失情形。舉例來說，如果設定 5 個 TU，支援的最高擷取率為每秒 5 MB。如果以每秒 20 MB 的速度傳送事件，事件中樞可能會當機。因此，記錄檔可能在抵達 Google SecOps 之前，就已在事件中樞層級遺失。

2. 取得事件中樞連線字串，讓 Google SecOps 從 Azure 事件中樞擷取資料。這個連線字串會授權 Google SecOps 從事件中樞存取及收集安全性資料。您有兩種提供連線字串的方式：

   • 事件中心命名空間層級：適用於命名空間內的所有事件中心。如果您使用多個事件中心，且想在動態饋給設定中為所有事件中心使用相同的連線字串，這個選項會比較簡單。

   • 事件中心層級：適用於單一事件中心。如果您只需要授權存取單一事件中樞，這是安全選項。 請務必從連線字串結尾移除 EntityPath。

   例如，將 Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> 變更為 Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>。

3. 設定應用程式 (例如 Web Application Firewall 或 Microsoft Defender)，將記錄傳送至事件中樞。

   Microsoft Defender 使用者：設定 Microsoft Defender 串流時，請務必輸入現有的事件中樞名稱。如果將這個欄位留空，系統可能會建立不必要的事件中樞，並耗用有限的動態饋給配額。為方便管理，請使用與記錄類型相符的事件中樞名稱。

設定網路安全性 (選用)

如果限制 Azure 事件中樞命名空間的網路存取權 (例如使用防火牆或私人端點)，請務必將 Google SecOps IP 位址新增至許可清單，確保 Google SecOps 可以連線及擷取資料。

您可以採用兩種方法：

• 將所有 Google IP 位址加入許可清單 (建議)：為確保連線不中斷，請將所有 Google IP 位址加入許可清單。您可以從公開的 JSON 檔案 (https://gstatic.com/ipranges/goog.json) 擷取 Google IP 位址清單。
• 將特定區域的 IP 位址加入許可清單：如果安全性政策要求更嚴格的 IP 位址清單，請與 Google SecOps 支援團隊聯絡，要求提供 Google SecOps 執行個體部署區域的特定 IP 位址。如果 Google SecOps 基礎架構更新，這些 IP 位址可能會變更。

設定 Azure 動態饋給

如要在 Google SecOps 中設定 Azure 動態饋給，請按照下列步驟操作：

1. 在 Google SecOps 選單中，依序選取「SIEM Settings」(SIEM 設定) 和「Feeds」(動態饋給)。

2. 按一下「新增」。

3. 在「動態饋給名稱」欄位中，輸入動態饋給名稱。

4. 在「來源類型」清單中，選取「Microsoft Azure Event Hub」。

5. 選取「記錄類型」。舉例來說，如要為開放式網路安全架構建立動態饋給，請選取「開放式網路安全架構 (OCSF)」做為「記錄類型」。

6. 點選「下一步」。系統會隨即顯示「新增動態消息」視窗。

7. 從先前在 Azure 入口網站建立的事件中心擷取資訊，填入下列欄位：

   • 事件中心名稱：事件中心名稱

   • 事件中樞消費者群組：與事件中樞相關聯的消費者群組

     注意： 請勿透過 Azure 入口網站的「資料探索工具」分頁，以程式輔助方式建立訂閱者或擷取用戶群組的資料。否則可能會導致資料遺失。

   • 事件中心連線字串：事件中心連線字串

   • Azure 儲存體連線字串：選用。Blob 儲存體連線字串

   • Azure 儲存體容器名稱：選填。Blob 儲存體容器名稱

   • Azure SAS 權杖：選用。SAS 權杖

   • 資產命名空間：選填。資產命名空間

   • 擷取標籤：選用。要套用至這個動態饋給事件的標籤

   注意： 從 Azure 事件中樞擷取資料時，Google SecOps 會管理自己的檢查點。您只需要事件中樞連線字串。其他選填欄位不會影響檢查點。

8. 點選「下一步」。系統會顯示「Finalize」畫面。

9. 檢查動態饋給設定，然後按一下「提交」。

驗證資料流程

如要確認資料會傳送至 Google SecOps，且事件中樞運作正常，請執行下列檢查：

• 在 Google SecOps 中檢查資訊主頁，並使用原始記錄掃描或通用資料模型 (UDM) 搜尋，確認擷取的資料格式是否正確。

• 在 Azure 入口網站中，前往事件中樞的頁面，並檢查顯示傳入和傳出位元組的圖表。確認傳入和傳出速率大致相同，表示訊息正在處理中，沒有待處理項目。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。