Membuat feed Azure Event Hub

Didukung di:

Google SecOps SIEM

Dokumen ini menunjukkan cara menyiapkan Azure Event Hub untuk mengirim data keamanan ke Google Security Operations. Anda dapat membuat hingga 10 feed Azure Event Hub, yang mencakup feed aktif dan tidak aktif.

Penting: Google SecOps tidak mendukung penyerapan dari Sovereign Cloud Azure, termasuk Azure China (dioperasikan oleh 21Vianet) dan Azure Government. Hanya endpoint Azure komersial (misalnya, *.servicebus.windows.net untuk Event Hub atau *.blob.core.windows.net untuk Blob Storage) yang didukung.

Catatan: Feed Azure mengumpulkan data secara berkelanjutan. Akibatnya, Google SecOps tidak mengisi kolom LAST SUCCEEDED ON untuk feed ini.

Untuk menyiapkan feed Azure, selesaikan proses berikut:

1. Buat event hub di Azure: siapkan infrastruktur yang diperlukan di lingkungan Azure Anda untuk menerima dan menyimpan aliran data keamanan.

2. Konfigurasi feed di Google SecOps: konfigurasi feed di Google SecOps untuk terhubung ke Azure Event Hub Anda dan mulai menyerap data.

Membuat Azure Event Hub

Untuk membuat hub peristiwa di Azure, lakukan langkah-langkah berikut:

1. Buat namespace hub peristiwa dan hub peristiwa.

   • Untuk memastikan penyerapan data yang optimal, deploy namespace Event Hub di region yang sama dengan instance Google SecOps Anda. Men-deploy event hub di region yang berbeda dapat mengurangi throughput yang diserap ke Google SecOps.

   • Tetapkan jumlah partisi ke 40 untuk penskalaan yang optimal. Anda harus memiliki Paket Premium Azure Event Hubs untuk menetapkan lebih dari 32 partisi.

     Catatan: Anda tidak dapat mengubah jumlah partisi nanti di tingkat standar dan dasar. Jumlah partisi tidak memengaruhi biaya.

   • Untuk membantu mencegah kehilangan data akibat batas kuota Google SecOps, tetapkan waktu retensi yang lama untuk event hub Anda. Hal ini memastikan bahwa log tidak dihapus sebelum penyerapan dilanjutkan setelah throttling kuota. Untuk mengetahui informasi selengkapnya tentang retensi peristiwa dan batasan waktu retensi, lihat Retensi peristiwa.

   • Untuk hub peristiwa tingkat standar, aktifkan Peningkatan otomatis untuk menskalakan throughput secara otomatis sesuai kebutuhan. Lihat Melakukan penskalaan otomatis unit throughput Azure Event Hubs untuk mengetahui informasi selengkapnya.

   • Untuk paket dasar dan standar, satu unit throughput (TU) di Azure Event Hub mendukung penyerapan data hingga 1 MB per detik. Jika volume peristiwa masuk melebihi kapasitas TU yang dikonfigurasi, kehilangan data dapat terjadi. Misalnya, jika Anda mengonfigurasi 5 TU, kecepatan penyerapan maksimum yang didukung adalah 5 MB per detik. Jika peristiwa dikirim pada kecepatan 20 MB per detik, Event Hub dapat mengalami error. Akibatnya, log mungkin hilang di tingkat Event Hub sebelum mencapai Google SecOps.

2. Dapatkan string koneksi hub peristiwa yang diperlukan agar Google SecOps dapat menyerap data dari hub peristiwa Azure. String koneksi ini memberi otorisasi Google SecOps untuk mengakses dan mengumpulkan data keamanan dari hub peristiwa Anda. Anda memiliki dua opsi untuk menyediakan string koneksi:

   • Tingkat namespace event hub: berfungsi untuk semua event hub dalam namespace. Opsi ini lebih sederhana jika Anda menggunakan beberapa hub peristiwa dan ingin menggunakan string koneksi yang sama untuk semuanya dalam penyiapan feed.

   • Tingkat hub peristiwa: berlaku untuk satu hub peristiwa. Opsi ini aman jika Anda hanya perlu memberikan akses ke satu hub peristiwa. Pastikan Anda menghapus EntityPath dari akhir string koneksi.

   Misalnya, ubah Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> menjadi Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>.

3. Konfigurasi aplikasi Anda, seperti firewall aplikasi web atau Microsoft Defender, untuk mengirim lognya ke hub peristiwa.

   Pengguna Microsoft Defender: Saat mengonfigurasi streaming Microsoft Defender, pastikan Anda memasukkan nama hub peristiwa yang ada. Jika Anda mengosongkan kolom ini, sistem dapat membuat hub peristiwa yang tidak perlu dan menggunakan kuota feed terbatas Anda. Agar tetap teratur, gunakan nama hub peristiwa yang cocok dengan jenis log.

Mengonfigurasi keamanan jaringan (opsional)

Jika Anda membatasi akses jaringan ke namespace Azure Event Hub (misalnya, menggunakan firewall atau endpoint pribadi), Anda harus menambahkan alamat IP Google SecOps ke daftar yang diizinkan untuk memastikan Google SecOps dapat terhubung dan menyerap data.

Anda memiliki dua opsi:

• Masukkan semua alamat IP Google ke daftar yang diizinkan (direkomendasikan): Untuk memastikan konektivitas tidak terganggu, masukkan semua alamat IP Google ke daftar yang diizinkan. Anda dapat mengambil daftar alamat IP Google dari file JSON publik: https://gstatic.com/ipranges/goog.json.
• Izinkan alamat IP khusus wilayah: Jika kebijakan keamanan Anda memerlukan daftar alamat IP yang lebih ketat, hubungi Dukungan Google SecOps untuk meminta alamat IP spesifik untuk wilayah tempat instance Google SecOps Anda di-deploy. Alamat IP ini dapat berubah jika infrastruktur Google SecOps diupdate.

Mengonfigurasi feed Azure

Untuk mengonfigurasi feed Azure di Google SecOps, lakukan hal berikut:

1. Di menu Google SecOps, pilih SIEM Settings, lalu klik Feeds.

2. Klik Tambahkan baru.

3. Di kolom Feed name, masukkan nama untuk feed.

4. Dalam daftar Source type, pilih Microsoft Azure Event Hub.

5. Pilih Jenis log. Misalnya, untuk membuat feed untuk Open Cybersecurity Schema Framework, pilih Open Cybersecurity Schema Framework (OCSF) sebagai Jenis log.

6. Klik Berikutnya. Jendela Tambahkan feed akan muncul.

7. Ambil informasi dari hub peristiwa yang Anda buat sebelumnya di portal Azure untuk mengisi kolom berikut:

   • Nama event hub: nama event hub

   • Grup konsumen hub peristiwa: grup konsumen yang terkait dengan hub peristiwa Anda

     Perhatian: Jangan membuat pelanggan atau mengambil data secara terprogram melalui tab Data Explorer di portal Azure untuk grup konsumen. Melakukannya dapat menyebabkan hilangnya data.

   • String koneksi Event hub: string koneksi Event hub

   • String koneksi penyimpanan Azure: Opsional. String koneksi penyimpanan blob

   • Nama container penyimpanan Azure: Opsional. Nama penampung tersimpan blob storage

   • Token SAS Azure: Opsional. Token SAS

   • Namespace aset: Opsional. Namespace aset

   • Label penyerapan: Opsional. Label yang akan diterapkan ke acara dari feed ini

   Catatan: Google SecOps mengelola checkpointing-nya sendiri saat menyerap data dari Azure Event Hub. Hanya string koneksi hub peristiwa yang diperlukan. Kolom opsional lainnya tidak memengaruhi pembuatan titik pemeriksaan.

8. Klik Berikutnya. Layar Finalize akan muncul.

9. Tinjau konfigurasi feed Anda, lalu klik Kirim.

Memverifikasi alur data

Untuk memverifikasi bahwa data Anda masuk ke Google SecOps dan hub peristiwa Anda berfungsi dengan benar, Anda dapat melakukan pemeriksaan berikut:

• Di Google SecOps, periksa dasbor dan gunakan penelusuran Pemindaian Log Mentah atau Model Data Terpadu (UDM) untuk memverifikasi bahwa data yang di-ingest ada dalam format yang benar.

• Di portal Azure, buka halaman hub peristiwa Anda dan periksa grafik yang menampilkan byte masuk dan keluar. Pastikan bahwa kecepatan pesan masuk dan keluar hampir sama, yang menunjukkan bahwa pesan sedang diproses dan tidak ada backlog.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.