Crea un feed Azure Event Hubs

Supportato in:

Google SecOps SIEM

Questo documento mostra come configurare un hub eventi di Azure per inviare dati di sicurezza a Google Security Operations. Puoi creare fino a 10 feed di Azure Event Hubs, che includono sia i feed attivi che quelli inattivi.

Importante: Google SecOps non supporta l'importazione da Sovereign Cloud di Azure, inclusi Azure China (gestito da 21Vianet) e Azure Government. Sono supportati solo gli endpoint Azure commerciali (ad esempio, *.servicebus.windows.net per Event Hub o *.blob.core.windows.net per Blob Storage).

Nota: i feed di Azure raccolgono i dati in modo continuo. Di conseguenza, Google SecOps non compila la colonna ULTIMO SUCCESSO IL per questi feed.

Per configurare un feed Azure, completa i seguenti processi:

1. Crea un hub eventi in Azure: configura l'infrastruttura richiesta nel tuo ambiente Azure per ricevere e archiviare il stream di dati di sicurezza.

   Importante: quando crei l'hub eventi di Azure, assicurati di impostare la policy di pulizia su Elimina. Non utilizzare la policy di pulizia Compatta (compattazione dei log). La compattazione dei log conserva solo il valore più recente di una chiave, il che può impedire a Google SecOps di importare tutti gli eventi storici e causare l'interruzione dell'elaborazione del feed.

2. Configura il feed in Google SecOps: configura il feed in Google SecOps per connetterti all'hub eventi di Azure e iniziare l'importazione dei dati.

Crea un hub eventi di Azure

Per creare un hub eventi in Azure:

1. Crea uno spazio dei nomi dell'hub di eventi e un hub di eventi.

   • Per garantire un'importazione dati ottimale, esegui il deployment dello spazio dei nomi dell'hub eventi nella stessa regione dell'istanza di Google SecOps. Il deployment dell'hub di eventi in una regione diversa può ridurre la velocità effettiva importata in Google SecOps.

   • Imposta il conteggio delle partizioni su 40 per una scalabilità ottimale. Per impostare più di 32 partizioni, devi disporre del livello Premium di Azure Event Hubs.

     Nota: non puoi modificare il numero di partizioni in un secondo momento nei livelli Standard e Base. Il conteggio delle partizioni non influisce sul costo.

   • Per evitare la perdita di dati dovuta ai limiti di quota di Google SecOps, imposta un tempo di conservazione lungo per l'hub eventi. In questo modo, i log non vengono eliminati prima che l'importazione riprenda dopo una limitazione della quota. Per saperne di più sulla conservazione degli eventi e sulle limitazioni relative ai tempi di conservazione, consulta Conservazione degli eventi.

   • Per gli hub di eventi di livello standard, attiva Espansione automatica per scalare automaticamente il throughput in base alle necessità. Per saperne di più, consulta Scalabilità automatica delle unità di throughput di Hub eventi di Azure.

   • Per i livelli Basic e Standard, un'unità di throughput (TU) in Azure Event Hub supporta fino a 1 MB al secondo di importazione dati. Se il volume degli eventi in entrata supera la capacità delle TU configurate, potrebbe verificarsi una perdita di dati. Ad esempio, se configuri 5 TU, la frequenza di importazione massima supportata è di 5 MB al secondo. Se gli eventi vengono inviati a 20 MB al secondo, l'hub eventi potrebbe arrestarsi in modo anomalo. Di conseguenza, i log potrebbero andare persi a livello di Event Hub prima di raggiungere Google SecOps.

2. Ottieni la stringa di connessione dell'hub eventi necessaria per consentire a Google SecOps di importare i dati dall'hub eventi di Azure. Questa stringa di connessione autorizza Google SecOps ad accedere e raccogliere i dati di sicurezza dall'hub eventi. Hai due opzioni per fornire una stringa di connessione:

   • A livello di spazio dei nomi degli hub di eventi: funziona per tutti gli hub di eventi all'interno dello spazio dei nomi. È un'opzione più semplice se utilizzi più hub eventi e vuoi utilizzare la stessa stringa di connessione per tutti nella configurazione del feed.

   • Livello di hub di eventi: si applica a un singolo hub di eventi. Questa è un'opzione sicura se devi concedere l'accesso a un solo hub eventi. Assicurati di rimuovere EntityPath dalla fine della stringa di connessione.

   Ad esempio, modifica Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> in Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>.

3. Configura le tue applicazioni, ad esempio Web Application Firewall o Microsoft Defender, per inviare i log all'hub eventi.

   Utenti di Microsoft Defender: quando configuri lo streaming di Microsoft Defender, assicurati di inserire il nome dell'hub eventi esistente. Se lasci vuoto questo campo, il sistema potrebbe creare hub di eventi non necessari e consumare la quota limitata di feed. Per mantenere l'organizzazione, utilizza nomi di hub eventi che corrispondono al tipo di log.

Configura la sicurezza di rete (facoltativo)

Se limiti l'accesso di rete allo spazio dei nomi di Azure Event Hub (ad esempio, utilizzando firewall o endpoint privati), devi aggiungere gli indirizzi IP di Google SecOps a una lista consentita per assicurarti che Google SecOps possa connettersi e importare i dati.

Sono disponibili due opzioni:

• Inserisci nella lista consentita tutti gli indirizzi IP di Google (consigliato): per garantire una connettività senza interruzioni, inserisci nella lista consentita tutti gli indirizzi IP di Google. Puoi recuperare l'elenco degli indirizzi IP di Google dal file JSON pubblico: https://gstatic.com/ipranges/goog.json.
• Inserisci nella lista consentita gli indirizzi IP specifici della regione: se la tua policy di sicurezza richiede un elenco più limitato di indirizzi IP, contatta l'assistenza Google SecOps per richiedere gli indirizzi IP specifici della regione in cui è stato eseguito il deployment della tua istanza Google SecOps. Questi indirizzi IP possono cambiare se l'infrastruttura di Google SecOps viene aggiornata.

Configura il feed di Azure

Per configurare il feed di Azure in Google SecOps, segui questi passaggi:

1. Nel menu Google SecOps, seleziona Impostazioni SIEM e poi fai clic su Feed.

2. Fai clic su Aggiungi nuovo.

3. Nel campo Nome feed, inserisci un nome per il feed.

4. Nell'elenco Tipo di origine, seleziona Hub eventi di Microsoft Azure.

5. Seleziona il Tipo di log. Ad esempio, per creare un feed per Open Cybersecurity Schema Framework, seleziona Open Cybersecurity Schema Framework (OCSF) come Tipo di log.

6. Fai clic su Avanti. Viene visualizzata la finestra Add feed (Aggiungi feed).

7. Recupera le informazioni dall'hub di eventi che hai creato in precedenza nel portale di Azure per compilare i seguenti campi:

   • Nome hub di eventi: il nome dell'hub di eventi

   • Gruppo di consumer dell'hub eventi: il gruppo di consumer associato al tuo hub eventi

     Attenzione: non creare sottoscrittori o recuperare dati in modo programmatico tramite la scheda Esplora dati nel portale di Azure per il gruppo di consumer. In caso contrario, potrebbero verificarsi perdite di dati.

   • Stringa di connessione dell'hub di eventi: la stringa di connessione dell'hub di eventi

   • Stringa di connessione ad Azure Storage: facoltativa. La stringa di connessione dello spazio di archiviazione blob

   • Nome container Azure Storage: facoltativo. Il nome del container di archiviazione blob

   • Token SAS di Azure: facoltativo. Il token SAS

   • Spazio dei nomi dell'asset: facoltativo. Lo spazio dei nomi dell'asset

   • Etichette di importazione: facoltativo. L'etichetta da applicare agli eventi di questo feed

   Nota: Google SecOps gestisce il proprio checkpoint durante l'importazione dei dati da Azure Event Hub. È richiesta solo la stringa di connessione dell'hub di eventi. Gli altri campi facoltativi non influiscono sul checkpoint.

8. Fai clic su Avanti. Viene visualizzata la schermata Finalizza.

9. Esamina la configurazione del feed e poi fai clic su Invia.

Verifica il flusso di dati

Per verificare che i dati vengano inviati a Google SecOps e che l'hub eventi funzioni correttamente, puoi eseguire questi controlli:

• In Google SecOps, esamina le dashboard e utilizza la scansione dei log non elaborati o la ricerca Unified Data Model (UDM) per verificare che i dati importati siano presenti nel formato corretto.

• Nel portale di Azure, vai alla pagina dell'hub di eventi e controlla i grafici che mostrano i byte in entrata e in uscita. Assicurati che le frequenze in entrata e in uscita siano approssimativamente equivalenti, il che indica che i messaggi vengono elaborati e non esiste un backlog.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.