Crea un feed de Azure Event Hubs

Compatible con:

Google SecOps SIEM

En este documento, se muestra cómo configurar un centro de eventos de Azure para enviar datos de seguridad a Google Security Operations. Puedes crear hasta 10 feeds de Azure Event Hubs, lo que incluye feeds activos e inactivos.

Importante: Google SecOps no admite la transferencia desde nubes soberanas de Azure, incluidas Azure China (operada por 21Vianet) y Azure Government. Solo se admiten los extremos comerciales de Azure (por ejemplo, *.servicebus.windows.net para Event Hub o *.blob.core.windows.net para Blob Storage).

Nota: Los feeds de Azure recopilan datos de forma continua. Como resultado, Google SecOps no completa la columna ÚLTIMA EJECUCIÓN CORRECTA para estos feeds.

Para configurar un feed de Azure, completa los siguientes procesos:

1. Crea un centro de eventos en Azure: Configura la infraestructura necesaria en tu entorno de Azure para recibir y almacenar el flujo de datos de seguridad.

   Importante: Cuando crees el centro de eventos de Azure, asegúrate de establecer su política de limpieza en Borrar. No uses la política de limpieza Compact (compactación de registros). La compactación de registros solo conserva el valor más reciente de una clave, lo que puede impedir que Google SecOps transfiera todos los eventos históricos y puede hacer que el feed deje de procesarse.

2. Configura el feed en Google SecOps: Configura el feed en Google SecOps para conectarte a tu centro de eventos de Azure y comenzar a transferir datos.

Crea un centro de eventos de Azure

Para crear un centro de eventos en Azure, haz lo siguiente:

1. Crea un espacio de nombres de centro de eventos y un centro de eventos.

   • Para garantizar una transferencia de datos óptima, implementa el espacio de nombres de Event Hub en la misma región que tu instancia de Google SecOps. Implementar el centro de eventos en una región diferente puede reducir la capacidad de procesamiento transferida a Google SecOps.

   • Establece el recuento de particiones en 40 para obtener un escalamiento óptimo. Debes tener el nivel Premium de Azure Event Hubs para configurar más de 32 particiones.

     Nota: No puedes cambiar el recuento de particiones más adelante en los niveles estándar y básico. El recuento de particiones no afecta el costo.

   • Para evitar la pérdida de datos debido a los límites de cuota de Google SecOps, establece un tiempo de retención largo para tu centro de eventos. Esto garantiza que los registros no se borren antes de que se reanude la transferencia después de una limitación de cuota. Para obtener más información sobre la retención de eventos y las limitaciones de tiempo de retención, consulta Retención de eventos.

   • En el caso de los centros de eventos de nivel estándar, habilita la ampliación automática para escalar automáticamente la capacidad de procesamiento según sea necesario. Consulta Escalado automático de las unidades de capacidad de procesamiento de Azure Event Hubs para obtener más información.

   • En los niveles básico y estándar, una unidad de capacidad de procesamiento (TU) en Azure Event Hub admite hasta 1 MB por segundo de transferencia de datos. Si el volumen de eventos entrantes supera la capacidad de las TU configuradas, es posible que se pierdan datos. Por ejemplo, si configuras 5 TU, la tasa de transferencia máxima admitida es de 5 MB por segundo. Si los eventos se envían a 20 MB por segundo, es posible que el centro de eventos falle. Como resultado, es posible que se pierdan registros en el nivel de Event Hub antes de que lleguen a Google SecOps.

2. Obtén la cadena de conexión del centro de eventos necesaria para que Google SecOps transfiera datos desde el centro de eventos de Azure. Esta cadena de conexión autoriza a Google SecOps a acceder y recopilar datos de seguridad de tu centro de eventos. Tienes dos opciones para proporcionar una cadena de conexión:

   • Nivel de espacio de nombres del centro de eventos: funciona para todos los centros de eventos dentro del espacio de nombres. Es una opción más sencilla si usas varios centros de eventos y quieres usar la misma cadena de conexión para todos ellos en la configuración de tu feed.

   • Nivel del centro de eventos: Se aplica a un solo centro de eventos. Esta es una opción segura si necesitas otorgar acceso a un solo centro de eventos. Asegúrate de quitar EntityPath del final de la cadena de conexión.

   Por ejemplo, cambia Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> a Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>.

3. Configura tus aplicaciones, como firewall de aplicación web o Microsoft Defender, para enviar sus registros al centro de eventos.

   Usuarios de Microsoft Defender: Cuando configures la transmisión de Microsoft Defender, asegúrate de ingresar el nombre de tu centro de eventos existente. Si dejas este campo en blanco, el sistema podría crear centros de eventos innecesarios y consumir tu cuota de feed limitada. Para mantener todo organizado, usa nombres de centros de eventos que coincidan con el tipo de registro.

Configura la seguridad de redes (opcional)

Si restringes el acceso de red a tu espacio de nombres de Azure Event Hub (por ejemplo, con firewalls o extremos privados), debes agregar las direcciones IP de Google SecOps a una lista de entidades permitidas para asegurarte de que Google SecOps pueda conectarse y transferir datos.

Tienes estas dos opciones:

• Incluye todas las direcciones IP de Google en la lista de entidades permitidas (recomendado): Para garantizar una conectividad sin interrupciones, incluye todas las direcciones IP de Google en la lista de entidades permitidas. Puedes recuperar la lista de direcciones IP de Google del archivo JSON público: https://gstatic.com/ipranges/goog.json.
• Agrega direcciones IP específicas de la región a la lista de entidades permitidas: Si tu política de seguridad requiere una lista más restringida de direcciones IP, comunícate con el equipo de asistencia de Google SecOps para solicitar las direcciones IP específicas de la región en la que se implementa tu instancia de Google SecOps. Estas direcciones IP pueden cambiar si se actualiza la infraestructura de Google SecOps.

Configura el feed de Azure

Para configurar el feed de Azure en Google SecOps, haz lo siguiente:

1. En el menú de Google SecOps, selecciona Configuración de SIEM y, luego, haz clic en Feeds.

2. Haz clic en Agregar nueva.

3. En el campo Nombre del feed, ingresa un nombre para el feed.

4. En la lista Tipo de fuente, selecciona Centro de eventos de Microsoft Azure.

5. Selecciona el Tipo de registro. Por ejemplo, para crear un feed para Open Cybersecurity Schema Framework, selecciona Open Cybersecurity Schema Framework (OCSF) como el Tipo de registro.

6. Haz clic en Siguiente. Aparecerá la ventana Agregar feed.

7. Recupera la información del centro de eventos que creaste antes en el portal de Azure para completar los siguientes campos:

   • Nombre del centro de eventos: Es el nombre del centro de eventos.

   • Grupo de consumidores del centro de eventos: Es el grupo de consumidores asociado con tu centro de eventos.

     Precaución: No crees suscriptores ni recuperes datos de manera programática a través de la pestaña Explorador de datos en el portal de Azure para el grupo de consumidores. Si lo haces, es posible que se pierdan datos.

   • Cadena de conexión del centro de eventos: Es la cadena de conexión del centro de eventos.

   • Cadena de conexión de Azure Storage: Opcional. La cadena de conexión del almacenamiento de BLOB

   • Nombre del contenedor de almacenamiento de Azure: Es opcional. El nombre del contenedor de Blob Storage

   • Token SAS de Azure: Opcional. El token de SAS

   • Espacio de nombres del recurso: Opcional. El espacio de nombres del recurso

   • Etiquetas de transferencia: Opcional. Es la etiqueta que se aplicará a los eventos de este feed.

   Nota: Google SecOps administra sus propios puntos de control cuando transfiere datos desde Azure Event Hub. Solo se requiere la cadena de conexión del centro de eventos. Los demás campos opcionales no afectan la creación de puntos de control.

8. Haz clic en Siguiente. Aparecerá la pantalla Finalizar.

9. Revisa la configuración de tu feed y, luego, haz clic en Enviar.

Verifica el flujo de datos

Para verificar que tus datos fluyan a Google SecOps y que tu centro de eventos funcione correctamente, puedes realizar estas verificaciones:

• En Google SecOps, examina los paneles y usa la búsqueda de análisis de registros sin procesar o del modelo de datos unificado (UDM) para verificar que los datos transferidos estén presentes en el formato correcto.

• En el portal de Azure, navega a la página de tu centro de eventos y, luego, inspecciona los gráficos que muestran los bytes entrantes y salientes. Asegúrate de que las tasas de entrada y salida sean aproximadamente equivalentes, lo que indica que los mensajes se están procesando y no hay trabajos pendientes.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.