יצירת פיד של Azure Event Hub

נתמך ב:

במאמר הזה מוסבר איך להגדיר את Azure Event Hub כדי לשלוח נתוני אבטחה אל Google Security Operations. אפשר ליצור עד 10 פידים של Azure Event Hub, כולל פידים פעילים ולא פעילים.

כדי להגדיר פיד של Azure, צריך לבצע את התהליכים הבאים:

  1. יצירת מרכז אירועים ב-Azure: הגדרת התשתית הנדרשת בסביבת Azure כדי לקבל ולאחסן את מקור נתוני האבטחה.

  2. הגדרת הפיד ב-Google SecOps: מגדירים את הפיד ב-Google SecOps כדי להתחבר למרכז האירועים ב-Azure ולהתחיל להטמיע נתונים.

יצירת Azure Event Hub

כדי ליצור מרכז אירועים ב-Azure:

  1. יוצרים מרחב שמות של מרכז אירועים ומרכז אירועים.

    • כדי להבטיח הטמעת נתונים אופטימלית, צריך לפרוס את מרחב השמות של Event Hub באותו אזור שבו נמצא המופע של Google SecOps. פריסת מרכז האירועים באזור אחר יכולה להפחית את קצב הנתונים שמועברים אל Google SecOps.

    • כדי להשיג התאמה אופטימלית לעומס, מגדירים את מספר המחיצות ל-40. כדי להגדיר יותר מ-32 מחיצות, צריך להיות לכם מסלול פרימיום של Azure Event Hubs.

    • כדי למנוע אובדן נתונים בגלל מגבלות המכסות של Google SecOps, הגדירו זמן שמירה ארוך ל-Event Hub. כך היומנים לא יימחקו לפני שההטמעה תתחדש אחרי ויסות המכסה. מידע נוסף על שמירת אירועים ומגבלות על משך השמירה מופיע במאמר שמירת אירועים.

    • במרכזי אירועים ברמת Standard, מפעילים את האפשרות Auto inflate כדי לשנות את קצב הנתונים באופן אוטומטי לפי הצורך. מידע נוסף זמין במאמר Automatically scale up Azure Event Hubs throughput units.

    • ברמות Basic ו-Standard, יחידת תפוקה (TU) אחת ב-Azure Event Hub תומכת בהטמעת נתונים של עד 1MB לשנייה. אם נפח האירועים הנכנסים חורג מהקיבולת של יחידות ה-TU שהוגדרו, יכול להיות שנתונים יאבדו. לדוגמה, אם מגדירים 5 יחידות תפוקה, קצב ההטמעה המקסימלי שנתמך הוא 5MB לשנייה. אם האירועים נשלחים בקצב של 20MB לשנייה, יכול להיות ש-Event Hub יקרוס. כתוצאה מכך, יכול להיות שיומנים יאבדו ברמת Event Hub לפני שהם יגיעו ל-Google SecOps.

  2. משיגים את מחרוזת החיבור של מרכז האירועים שנדרשת כדי ש-Google SecOps יוכל להטמיע נתונים ממרכז האירועים של Azure. מחרוזת החיבור הזו מאשרת ל-Google SecOps לגשת לנתוני האבטחה ממרכז האירועים שלכם ולאסוף אותם. יש שתי אפשרויות לספק מחרוזת חיבור:

    • רמת מרחב השמות של מרכז האירועים: פועלת בכל מרכזי האירועים במרחב השמות. זו אפשרות פשוטה יותר אם אתם משתמשים בכמה מרכזי אירועים ורוצים להשתמש באותה מחרוזת חיבור לכולם בהגדרת הפיד.

    • רמת מרכז האירועים: חלה על מרכז אירועים אחד. זו אפשרות מאובטחת אם אתם צריכים לתת גישה רק למרכז אירועים אחד. חשוב להסיר את EntityPath מסוף מחרוזת החיבור.

    לדוגמה, משנים את Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> ל-Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>.

  3. מגדירים את האפליקציות, כמו Web Application Firewall או Microsoft Defender, כך שישלחו את היומנים שלהן למרכז האירועים.

    משתמשי Microsoft Defender: כשמגדירים את הסטרימינג של Microsoft Defender, חשוב להזין את השם של מרכז האירועים הקיים. אם תשאירו את השדה הזה ריק, יכול להיות שהמערכת תיצור מרכזי אירועים מיותרים ותנצל את מכסת הפידים המוגבלת שלכם. כדי לשמור על הסדר, כדאי להשתמש בשמות של מרכזי אירועים שתואמים לסוג היומן.

הגדרת אבטחת הרשת (אופציונלי)

אם אתם מגבילים את הגישה של הרשת למרחב השמות של Azure Event Hub (לדוגמה, באמצעות חומות אש או נקודות קצה פרטיות), אתם צריכים להוסיף את כתובות ה-IP של Google SecOps לרשימת היתרים כדי לוודא ש-Google SecOps יכול להתחבר ולהטמיע נתונים.

יש שתי אפשרויות:

  • הוספה של כל כתובות ה-IP של Google לרשימת ההיתרים (מומלץ): כדי להבטיח קישוריות רציפה, כדאי להוסיף את כל כתובות ה-IP של Google לרשימת ההיתרים. אתם יכולים לאחזר את רשימת כתובות ה-IP של Google מקובץ ה-JSON הציבורי: https://gstatic.com/ipranges/goog.json.
  • הוספת כתובות IP ספציפיות לאזור לרשימת ההיתרים: אם דרישות המדיניות שלכם דורשות רשימה מוגבלת יותר של כתובות IP, פנו לתמיכה של Google SecOps כדי לבקש את כתובות ה-IP הספציפיות לאזור שבו נפרס המכונה של Google SecOps. כתובות ה-IP האלה יכולות להשתנות אם התשתית של Google SecOps מתעדכנת.

הגדרת הפיד של Azure

כדי להגדיר את הפיד של Azure ב-Google SecOps:

  1. בתפריט של Google SecOps, לוחצים על SIEM Settings ואז על Feeds.

  2. לוחצים על הוספה.

  3. בשדה שם הפיד, מזינים שם לפיד.

  4. ברשימה Source type, בוחרים באפשרות Microsoft Azure Event Hub.

  5. בוחרים את סוג היומן. לדוגמה, כדי ליצור פיד ל-Open Cybersecurity Schema Framework, בוחרים באפשרות Open Cybersecurity Schema Framework (OCSF)‎ בתור Log type.

  6. לוחצים על הבא. מופיע החלון הוספת פיד.

  7. כדי למלא את השדות הבאים, מאחזרים את המידע ממרכז האירועים שיצרתם קודם בפורטל Azure:

    • Event hub name (שם מרכז האירועים): שם מרכז האירועים

    • Event hub consumer group: קבוצת הצרכנים שמשויכת למרכז האירועים שלכם

    • מחרוזת חיבור של Event Hub: מחרוזת החיבור של Event Hub

    • מחרוזת חיבור לאחסון ב-Azure: אופציונלי. מחרוזת החיבור של Blob Storage

    • Azure storage container name: אופציונלי. השם של מאגר ה-Blob Storage

    • ‫Azure SAS token: אופציונלי. טוקן ה-SAS

    • מרחב השמות של הנכס: אופציונלי. מרחב השמות של הנכס

    • תוויות הטמעה: אופציונלי. התווית שתתווסף לאירועים מהפיד הזה

  8. לוחצים על הבא. מופיע המסך סיום.

  9. בודקים את הגדרות הפיד ולוחצים על שליחה.

אימות זרימת הנתונים

כדי לוודא שהנתונים זורמים ל-Google SecOps ושהמרכז לאירועים פועל כמו שצריך, אתם יכולים לבצע את הבדיקות הבאות:

  • ב-Google SecOps, בודקים את מרכזי הבקרה ומשתמשים בסריקת יומנים גולמיים או בחיפוש במודל נתונים מאוחד (UDM) כדי לוודא שהנתונים שהועברו נמצאים בפורמט הנכון.

  • בפורטל Azure, עוברים לדף של מרכז האירועים ובודקים את התרשימים שמציגים את הבייטים הנכנסים והיוצאים. מוודאים שקצב ההודעות הנכנסות והיוצאות זהה פחות או יותר, מה שמעיד על כך שההודעות מעובדות ואין צבר של הודעות.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.