Membuat feed Azure Event Hub

Didukung di:

Google SecOps SIEM

Dokumen ini menunjukkan cara menyiapkan Azure Event Hub untuk mengirim data keamanan ke Google Security Operations. Anda dapat membuat hingga 10 feed Azure Event Hub, yang mencakup feed aktif dan tidak aktif.

Penting: Google SecOps tidak mendukung penyerapan dari Sovereign Cloud Azure, termasuk Azure China (dioperasikan oleh 21Vianet) dan Azure Government. Hanya endpoint Azure komersial (misalnya, *.servicebus.windows.net untuk Event Hub atau *.blob.core.windows.net untuk Blob Storage) yang didukung.

Catatan: Feed Azure mengumpulkan data secara terus-menerus. Akibatnya, Google SecOps tidak mengisi kolom LAST SUCCEEDED ON untuk feed ini.

Untuk menyiapkan feed Azure, selesaikan proses berikut:

1. Buat event hub di Azure: siapkan infrastruktur yang diperlukan di lingkungan Azure Anda untuk menerima dan menyimpan aliran data keamanan.

   Penting: Saat membuat Azure Event Hub, pastikan Anda menetapkan Kebijakan Pembersihannya ke Delete. Jangan gunakan kebijakan pembersihan Compact (Log Compaction). Pemadatan log hanya mempertahankan nilai terbaru dari kunci, yang dapat mencegah Google SecOps menyerap semua peristiwa historis dan dapat menyebabkan feed berhenti diproses.

2. Konfigurasi feed di Google SecOps: konfigurasi feed di Google SecOps untuk terhubung ke Azure event hub dan mulai menyerap data.

Membuat Azure Event Hub

Untuk membuat event hub di Azure, lakukan langkah berikut:

1. Buat namespace hub peristiwa dan hub peristiwa.

   • Untuk memastikan penyerapan data yang optimal, deploy namespace Event Hub di region yang sama dengan instance Google SecOps Anda. Men-deploy event hub di region yang berbeda dapat mengurangi throughput yang diserap ke Google SecOps.

   • Tetapkan jumlah partisi ke 40 untuk penskalaan yang optimal. Anda harus memiliki Paket Premium Azure Event Hubs untuk menetapkan lebih dari 32 partisi.

     Catatan: Anda tidak dapat mengubah jumlah partisi nanti di paket standar dan dasar. Jumlah partisi tidak memengaruhi biaya.

   • Untuk membantu mencegah kehilangan data akibat batas kuota Google SecOps, tetapkan waktu retensi yang lama untuk event hub Anda. Hal ini memastikan bahwa log tidak dihapus sebelum penyerapan dilanjutkan setelah throttling kuota. Untuk mengetahui informasi selengkapnya tentang retensi peristiwa dan batasan waktu retensi, lihat Retensi peristiwa.

   • Untuk event hub paket standar, aktifkan Auto inflate untuk menskalakan throughput secara otomatis sesuai kebutuhan. Lihat Menskalakan unit throughput Azure Event Hubs secara otomatis untuk mengetahui informasi selengkapnya.

   • Untuk paket dasar dan standar, satu unit throughput (TU) di Azure Event Hub mendukung penyerapan data hingga 1 MB per detik. Jika volume peristiwa yang masuk melebihi kapasitas TU yang dikonfigurasi, kehilangan data dapat terjadi. Misalnya, jika Anda mengonfigurasi 5 TU, tingkat penyerapan maksimum yang didukung adalah 5 MB per detik. Jika peristiwa dikirim dengan kecepatan 20 MB per detik, Event Hub mungkin akan error. Akibatnya, log mungkin hilang di tingkat Event Hub sebelum mencapai Google SecOps.

2. Dapatkan string koneksi event hub yang diperlukan Google SecOps untuk menyerap data dari event hub Azure. String koneksi ini memberi otorisasi kepada Google SecOps untuk mengakses dan mengumpulkan data keamanan dari hub peristiwa Anda. Anda memiliki dua opsi untuk menyediakan string koneksi:

   • Tingkat namespace event hub: berfungsi untuk semua event hub dalam namespace. Ini adalah opsi yang lebih sederhana jika Anda menggunakan beberapa event hub dan ingin menggunakan string koneksi yang sama untuk semuanya dalam penyiapan feed Anda.

   • Tingkat Event hub: berlaku untuk satu event hub. Ini adalah opsi yang aman jika Anda hanya perlu memberikan akses ke satu event hub. Pastikan Anda menghapus EntityPath dari akhir string koneksi.

   Misalnya, ubah Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> menjadi Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>.

3. Konfigurasikan aplikasi Anda, seperti firewall aplikasi web atau Microsoft Defender, untuk mengirim log-nya ke event hub.

   Pengguna Microsoft Defender: Saat mengonfigurasi streaming Microsoft Defender, pastikan Anda memasukkan nama event hub yang ada. Jika Anda mengosongkan kolom ini, sistem mungkin akan membuat hub peristiwa yang tidak diperlukan dan menggunakan kuota feed Anda yang terbatas. Agar tetap teratur, gunakan nama hub peristiwa yang sesuai dengan jenis log.

Mengonfigurasi keamanan jaringan (opsional)

Jika Anda membatasi akses jaringan ke namespace Azure Event Hub (misalnya, menggunakan firewall atau endpoint pribadi), Anda harus menambahkan alamat IP Google SecOps ke daftar yang diizinkan untuk memastikan bahwa Google SecOps dapat terhubung dan menyerap data.

Anda memiliki dua opsi:

• Mengizinkan semua alamat IP Google (direkomendasikan): Untuk memastikan konektivitas tanpa gangguan, izinkan semua alamat IP Google. Anda dapat mengambil daftar alamat IP Google dari file JSON publik: https://gstatic.com/ipranges/goog.json.
• Izinkan alamat IP khusus region: Jika kebijakan keamanan Anda memerlukan daftar alamat IP yang lebih ketat, hubungi Dukungan Google SecOps untuk meminta alamat IP tertentu untuk region tempat instance Google SecOps Anda di-deploy. Alamat IP ini dapat berubah jika infrastruktur Google SecOps diupdate.

Mengonfigurasi feed Azure

Untuk mengonfigurasi feed Azure di Google SecOps, lakukan hal berikut:

1. Di menu Google SecOps, pilih SIEM Settings, lalu klik Feeds.

2. Klik Tambahkan baru.

3. Di kolom Feed name, masukkan nama untuk feed.

4. Dalam daftar Source type, pilih Microsoft Azure Event Hub.

5. Pilih Jenis log. Misalnya, untuk membuat feed Open Cybersecurity Schema Framework, pilih Open Cybersecurity Schema Framework (OCSF) sebagai Log type.

6. Klik Berikutnya. Jendela Tambahkan feed akan muncul.

7. Ambil informasi dari hub peristiwa yang Anda buat sebelumnya di portal Azure untuk mengisi kolom berikut:

   • Nama Event hub: nama Event hub

   • Grup konsumen event hub: grup konsumen yang terkait dengan event hub Anda

     Perhatian: Jangan membuat pelanggan atau mengambil data secara terprogram melalui tab Data Explorer di portal Azure untuk grup konsumen. Melakukannya dapat menyebabkan hilangnya data.

   • String koneksi Event hub: string koneksi Event hub

   • String koneksi penyimpanan Azure: Opsional. String koneksi penyimpanan blob

   • Nama container penyimpanan Azure: Opsional. Nama penampung tersimpan blob

   • Token Azure SAS: Opsional. Token SAS

   • Namespace aset: Opsional. Namespace aset

   • Label penyerapan: Opsional. Label yang akan diterapkan ke peristiwa dari feed ini

   Catatan: Google SecOps mengelola checkpoint-nya sendiri saat menyerap data dari Azure Event Hub. Hanya string koneksi event hub yang diperlukan. Kolom opsional lainnya tidak memengaruhi checkpointing.

8. Klik Berikutnya. Layar Finalize akan muncul.

9. Tinjau konfigurasi feed Anda, lalu klik Kirim.

Memverifikasi aliran data

Untuk memverifikasi bahwa data Anda mengalir ke Google SecOps dan event hub Anda berfungsi dengan benar, Anda dapat melakukan pemeriksaan berikut:

• Di Google SecOps, periksa dasbor dan gunakan Raw Log Scan atau penelusuran Unified Data Model (UDM) untuk memverifikasi bahwa data yang diserap ada dalam format yang benar.

• Di portal Azure, buka halaman event hub Anda dan periksa grafik yang menampilkan byte masuk dan keluar. Pastikan rasio masuk dan keluar kira-kira setara, yang menunjukkan bahwa pesan sedang diproses dan tidak ada backlog.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.