Créer un flux Azure Event Hub

Compatible avec :

Ce document explique comment configurer un hub d'événements Azure pour envoyer des données de sécurité à Google Security Operations. Vous pouvez créer jusqu'à 10 flux Azure Event Hub, ce qui inclut les flux actifs et inactifs.

Pour configurer un flux Azure, procédez comme suit :

  1. Créer un hub d'événements dans Azure: configurez l' infrastructure requise dans votre environnement Azure pour recevoir et stocker le flux de données de sécurité.

  2. Configurer le flux dans Google SecOps: configurez le flux dans Google SecOps pour vous connecter à votre hub d'événements Azure et commencer à ingérer des données.

Créer un hub d'événements Azure

Pour créer un hub d'événements dans Azure, procédez comme suit :

  1. Créez un espace de noms et un hub d'événements.

    • Pour garantir une ingestion optimale des données, déployez l'espace de noms Event Hub dans la même région que votre instance Google SecOps. Le déploiement du hub d'événements dans une autre région peut réduire le débit ingéré dans Google SecOps.

    • Définissez le nombre de partitions sur 40 pour une mise à l'échelle optimale. Vous devez disposer du niveau Premium d'Azure Event Hubs pour définir plus de 32 partitions.

    • Pour éviter toute perte de données due aux limites de quota de Google SecOps, définissez une longue période de conservation pour votre hub d'événements. Cela permet de s'assurer que les journaux ne sont pas supprimés avant la reprise de l'ingestion après une limitation de quota. Pour en savoir plus sur la conservation des événements et les limites de la période de conservation, consultez Conservation des événements.

    • Pour les hubs d'événements de niveau Standard, activez Auto inflate (Gonflement automatique) afin de mettre automatiquement à l'échelle le débit selon vos besoins. Pour en savoir plus, consultez Mettre automatiquement à l'échelle les unités de débit d'Azure Event Hubs.

    • Pour les niveaux Basic et Standard, une unité de débit (TU) dans Azure Event Hub prend en charge jusqu'à 1 Mo par seconde d'ingestion de données. Si le volume d'événements entrants dépasse la capacité des TU configurées, des pertes de données peuvent se produire. Par exemple, si vous configurez 5 TU, le taux d'ingestion maximal pris en charge est de 5 Mo par seconde. Si des événements sont envoyés à 20 Mo par seconde, le hub d'événements peut se bloquer. Par conséquent, les journaux peuvent être perdus au niveau du hub d'événements avant d'atteindre Google SecOps.

  2. Obtenez la chaîne de connexion du hub d'événements requise pour que Google SecOps ingère les données du hub d'événements Azure. Cette chaîne de connexion autorise Google SecOps à accéder aux données de sécurité de votre hub d'événements et à les collecter. Vous disposez de deux options pour fournir une chaîne de connexion :

    • Niveau de l'espace de noms du hub d'événements : fonctionne pour tous les hubs d'événements de l'espace de noms. Il s'agit d'une option plus simple si vous utilisez plusieurs hubs d'événements et que vous souhaitez utiliser la même chaîne de connexion pour tous dans la configuration de votre flux.

    • Niveau du hub d'événements : s'applique à un seul hub d'événements. Il s'agit d'une option sécurisée si vous n'avez besoin d'accorder l'accès qu'à un seul hub d'événements. Assurez-vous de supprimer EntityPath à la fin de la chaîne de connexion.

    Par exemple, remplacez Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> par Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>.

  3. Configurez vos applications, telles que pare-feu d'application Web ou Microsoft Defender, pour envoyer leurs journaux au hub d'événements.

    Utilisateurs de Microsoft Defender : lorsque vous configurez la diffusion en flux continu de Microsoft Defender, assurez-vous de saisir le nom de votre hub d'événements existant. Si vous laissez ce champ vide, le système peut créer des hubs d'événements inutiles et consommer votre quota de flux limité. Pour plus d'organisation, utilisez des noms de hubs d'événements qui correspondent au type de journal.

Configurer la sécurité du réseau (facultatif)

Si vous limitez l'accès réseau à votre espace de noms Azure Event Hub (par exemple, à l'aide de pare-feu ou de points de terminaison privés), vous devez ajouter les adresses IP de Google SecOps à une liste d'autorisation pour vous assurer que Google SecOps peut se connecter et ingérer des données.

Deux options s'offrent à vous :

  • Autoriser toutes les adresses IP de Google (recommandé) : pour garantir une connectivité ininterrompue, autorisez toutes les adresses IP de Google. Vous pouvez récupérer la liste des adresses IP de Google à partir du fichier JSON public : https://gstatic.com/ipranges/goog.json.
  • Autoriser les adresses IP spécifiques à une région : si votre politique de sécurité nécessite une liste d'adresses IP plus restreinte, contactez l'assistance Google SecOps pour demander les adresses IP spécifiques à la région dans laquelle votre instance Google SecOps est déployée. Ces adresses IP peuvent changer si l'infrastructure Google SecOps est mise à jour.

Configurer le flux Azure

Pour configurer le flux Azure dans Google SecOps, procédez comme suit :

  1. Dans le menu Google SecOps, sélectionnez SIEM Settings (Paramètres SIEM), puis cliquez sur Feeds (Flux).

  2. Cliquez sur Add new (Ajouter).

  3. Dans le champ Feed name (Nom du flux), saisissez un nom pour le flux.

  4. Dans la liste Source type (Type de source), sélectionnez Microsoft Azure Event Hub.

  5. Sélectionnez le Log type (Type de journal). Par exemple, pour créer un flux pour Open Cybersecurity Schema Framework, sélectionnez Open Cybersecurity Schema Framework (OCSF) comme Log type (Type de journal).

  6. Cliquez sur Next (Suivant). La fenêtre Add feed (Ajouter un flux) s'affiche.

  7. Récupérez les informations du hub d'événements que vous avez créé précédemment dans le portail Azure pour renseigner les champs suivants :

    • Event hub name (Nom du hub d'événements) : nom du hub d'événements

    • Event hub consumer group (Groupe de consommateurs du hub d'événements) : groupe de consommateurs associé à votre hub d'événements

    • Event hub connection string (Chaîne de connexion du hub d'événements) : chaîne de connexion du hub d'événements

    • Chaîne de connexion Azure Storage : facultatif. Chaîne de connexion Blob Storage

    • Azure storage container name (Nom du conteneur Azure Storage) : facultatif. Nom du conteneur Blob Storage

    • Azure SAS token (Jeton Azure SAS) : facultatif. Jeton SAS

    • Asset namespace (Espace de noms de l'élément) : facultatif. L'espace de noms de l'élément

    • Ingestion labels (Libellés d'ingestion) : facultatif. Libellé à appliquer aux événements de ce flux

  8. Cliquez sur Next (Suivant). L'écran Finalize (Finaliser) s'affiche.

  9. Vérifiez la configuration de votre flux, puis cliquez sur Submit (Envoyer).

Vérifier le flux de données

Pour vérifier que vos données sont transmises à Google SecOps et que votre hub d'événements fonctionne correctement, vous pouvez effectuer les vérifications suivantes :

  • Dans Google SecOps, examinez les tableaux de bord et utilisez la recherche dans les journaux bruts ou le modèle de données unifié (UDM) pour vérifier que les données ingérées sont au bon format.

  • Dans le portail Azure, accédez à la page de votre hub d'événements et examinez les graphiques qui affichent les octets entrants et sortants. Assurez-vous que les taux entrants et sortants sont à peu près équivalents, ce qui indique que les messages sont traités et qu'il n'y a pas de backlog.

Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels de Google SecOps.