Azure Event Hub フィードを作成する
このドキュメントでは、Azure Event Hub を設定してセキュリティ データを Google Security Operations に送信する方法について説明します。アクティブなフィードと非アクティブなフィードの両方を含め、最大 10 個の Azure Event Hub フィードを作成できます。
Azure フィードを設定するには、次のプロセスを完了します。Azure でイベントハブを作成する: セキュリティ データ ストリームを受信して保存するために、Azure 環境に必要なインフラストラクチャを設定します。
Google SecOps でフィードを構成する: Google SecOps でフィードを構成して、Azure イベントハブに接続し、データの取り込みを開始します。
Azure Event Hub を作成する
Azure でイベント ハブを作成する手順は次のとおりです。
Event Hubs 名前空間とイベントハブを作成します。
最適なデータの取り込みを確保するには、Google SecOps インスタンスと同じリージョンに Event Hub 名前空間をデプロイします。イベントハブを別のリージョンにデプロイすると、Google SecOps に取り込まれるスループットを削減できます。
最適なスケーリングを行うために、パーティション数を 40 に設定します。32 個を超えるパーティションを設定するには、Azure Event Hubs の Premium 階層が必要です。
Google SecOps の割り当て上限によるデータ損失を防ぐため、イベントハブの保持期間を長く設定します。これにより、割り当ての調整後に取り込みが再開される前にログが削除されることはありません。イベントの保持と保持期間の制限の詳細については、イベントの保持をご覧ください。
Standard ティアのイベントハブの場合は、[自動インフレ] を有効にして、必要に応じてスループットを自動的にスケーリングします。詳細については、Azure Event Hubs のスループット ユニットを自動的にスケールアップするをご覧ください。
基本階層と標準階層の場合、Azure Event Hub の 1 つのスループット ユニット（TU）は、1 秒あたり最大 1 MB のデータの取り込みをサポートします。受信イベントの量が構成された TU の容量を超えると、データ損失が発生する可能性があります。たとえば、5 個の TU を構成した場合、サポートされる最大取り込みレートは 1 秒あたり 5 MB です。イベントが 20 MB/秒で送信されると、Event Hub がクラッシュする可能性があります。その結果、ログが Google SecOps に到達する前に Event Hub レベルで失われる可能性があります。
Google SecOps が Azure Event Hub からデータを取り込むために必要なイベントハブ接続文字列を取得します。この接続文字列により、Google SecOps はイベントハブからセキュリティ データにアクセスして収集できるようになります。接続文字列を指定するには、次の 2 つの方法があります。
イベントハブの名前空間レベル: 名前空間内のすべてのイベントハブで機能します。複数のイベント ハブを使用しており、フィード設定ですべてのイベント ハブに同じ接続文字列を使用する場合は、このオプションがより簡単です。
イベントハブ レベル: 単一のイベントハブに適用されます。これは、1 つのイベント ハブにのみアクセス権を付与する必要がある場合に安全なオプションです。接続文字列の末尾から
EntityPathを削除してください。
たとえば、
Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME>をEndpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>に変更します。ウェブ アプリケーション ファイアウォールや Microsoft Defender などのアプリケーションを構成して、ログをイベントハブに送信します。
Microsoft Defender ユーザー: Microsoft Defender ストリーミングを構成するときは、既存のイベントハブ名を入力してください。このフィールドを空白のままにすると、システムが不要なイベントハブを作成し、限られたフィードの割り当てを消費する可能性があります。整理しやすくするために、ログタイプと一致するイベント ハブ名を使用します。
ネットワーク セキュリティを構成する（省略可）
Azure Event Hub 名前空間へのネットワーク アクセスを制限している場合（ファイアウォールやプライベート エンドポイントを使用している場合など）は、Google SecOps が接続してデータを取り込めるように、Google SecOps の IP アドレスを許可リストに追加する必要があります。
次の 2 つのオプションがあります。
- すべての Google IP アドレスを許可リストに登録する（推奨）: 接続を中断しないようにするには、すべての Google IP アドレスを許可リストに登録します。Google の IP アドレスのリストは、公開 JSON ファイル
https://gstatic.com/ipranges/goog.jsonから取得できます。 - リージョン固有の IP アドレスを許可リストに登録する: セキュリティ ポリシーでより制限された IP アドレスのリストが必要な場合は、Google SecOps サポートにお問い合わせのうえ、Google SecOps インスタンスがデプロイされているリージョンの特定の IP アドレスをリクエストしてください。これらの IP アドレスは、Google SecOps インフラストラクチャが更新されると変更される可能性があります。
Azure フィードを構成する
Google SecOps で Azure フィードを構成する手順は次のとおりです。
Google SecOps メニューで、[SIEM の設定] を選択し、[フィード] をクリックします。
[新しく追加] をクリックします。
[フィード名] フィールドに、フィードの名前を入力します。
[ソースタイプ] リストで、[Microsoft Azure Event Hub] を選択します。
[ログタイプ] を選択します。たとえば、Open Cybersecurity Schema Framework のフィードを作成するには、[ログタイプ] として [Open Cybersecurity Schema Framework（OCSF）] を選択します。
[次へ] をクリックします。[フィードを追加] ウィンドウが表示されます。
Azure portal で以前に作成したイベントハブから情報を取得して、次のフィールドに入力します。
- イベントハブ名: イベントハブ名
イベント ハブ コンシューマー グループ: イベント ハブに関連付けられているコンシューマー グループ
イベントハブ接続文字列: イベントハブ接続文字列
Azure ストレージ接続文字列: 省略可。Blob Storage の接続文字列
Azure ストレージ コンテナ名: 省略可。Blob Storage コンテナ名
Azure SAS トークン: 省略可。SAS トークン
アセットの名前空間: 省略可。アセットの名前空間
取り込みラベル: 省略可。このフィードのイベントに適用されるラベル
[次へ] をクリックします。[Finalize] 画面が表示されます。
フィードの設定を確認し、[送信] をクリックします。
データフローを確認する
データが Google SecOps に送信され、イベントハブが正しく機能していることを確認するには、次のチェックを行います。
Google SecOps で、ダッシュボードを調べ、未加工ログスキャンまたは統合データモデル（UDM）検索を使用して、取り込まれたデータが正しい形式で存在することを確認します。
Azure ポータルで、イベント ハブのページに移動し、受信バイト数と送信バイト数を表示するグラフを確認します。受信レートと送信レートがほぼ同じであることを確認します。これは、メッセージが処理され、バックログがないことを示しています。
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。