Azure Event Hub フィードを作成する
このドキュメントでは、Google Security Operations にセキュリティ データを送信するように Azure Event Hub を設定する方法について説明します。作成できる Azure Event Hub フィードは最大 10 個です。これには、アクティブなフィードと非アクティブなフィードの両方が含まれます。
Azure フィードを設定するには、次のプロセスを完了します。Azure でイベントハブを作成する: Azure 環境で必要なインフラストラクチャを設定して、セキュリティ データ ストリームを受信して保存します。
Google SecOps でフィードを構成する: Google SecOps でフィードを構成して、Azure イベントハブに接続し、データの取り込みを開始します。
Azure Event Hub を作成する
Azure でイベントハブを作成する手順は次のとおりです。
Event Hubs 名前空間とイベントハブを作成します。
最適なデータの取り込みを実現するには、Google SecOps インスタンスと同じリージョンに Event Hub 名前空間をデプロイします。イベントハブを別のリージョンにデプロイすると、Google SecOps に取り込まれるスループットを削減できます。
最適なスケーリングのために、パーティション数を 40 に設定します。32 個を超えるパーティションを設定するには、Azure Event Hubs のプレミアム ティアが必要です。
Google SecOps の割り当て制限によるデータ損失を防ぐため、イベントハブの保持期間を長く設定します。これにより、割り当てスロットルの後に取り込みが再開される前にログが削除されることがなくなります。イベントの保持と保持期間の制限の詳細については、イベントの保持をご覧ください。
標準ティアのイベントハブの場合は、[自動インフレ] を有効にして、必要に応じてスループットを自動的にスケーリングします。詳細については、Azure Event Hubs のスループット ユニットを自動的にスケールアップするをご覧ください。
基本階層と標準階層の場合、Azure Event Hub の 1 つのスループット ユニット（TU）は、1 秒あたり最大 1 MB のデータの取り込みをサポートします。受信イベントの量が構成された TU の容量を超えると、データが失われる可能性があります。たとえば、5 TU を構成した場合、サポートされる最大取り込みレートは 1 秒あたり 5 MB です。イベントが 20 MB/秒で送信されると、Event Hub がクラッシュする可能性があります。その結果、ログが Google SecOps に到達する前に Event Hub レベルで失われる可能性があります。
Google SecOps が Azure イベントハブからデータを取り込むために必要なイベントハブ接続文字列を取得します。この接続文字列により、Google SecOps はイベントハブからセキュリティ データにアクセスして収集することを許可されます。接続文字列を指定するには、次の 2 つの方法があります。
イベントハブの名前空間レベル: 名前空間内のすべてのイベントハブで機能します。複数のイベントハブを使用していて、フィード設定ですべてのイベントハブに同じ接続文字列を使用する場合は、このオプションの方が簡単です。
イベントハブ レベル: 単一のイベントハブに適用されます。これは、1 つのイベントハブにのみアクセス権を付与する必要がある場合に安全なオプションです。接続文字列の末尾から
EntityPathを削除してください。
たとえば、
Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME>をEndpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>に変更します。ウェブ アプリケーション ファイアウォールや Microsoft Defender などのアプリケーションを構成して、ログをイベントハブに送信します。
Microsoft Defender ユーザー: Microsoft Defender ストリーミングを構成するときは、既存のイベントハブ名を入力してください。このフィールドを空白のままにすると、システムが不要なイベントハブを作成し、限られたフィード割り当てを消費する可能性があります。整理しやすいように、ログタイプに一致するイベントハブ名を使用します。
ネットワーク セキュリティを構成する（省略可）
Azure Event Hubs 名前空間へのネットワーク アクセスを制限する場合（ファイアウォールやプライベート エンドポイントを使用する場合など）は、Google SecOps の IP アドレスを許可リストに追加して、Google SecOps が接続してデータを取り込めるようにする必要があります。
次の 2 つのオプションがあります。
- すべての Google IP アドレスを許可リストに登録する（推奨）: 接続が中断されないように、すべての Google IP アドレスを許可リストに登録します。Google の IP アドレスのリストは、公開 JSON ファイル
https://gstatic.com/ipranges/goog.jsonから取得できます。 - リージョン固有の IP アドレスを許可リストに登録する: セキュリティ ポリシーで IP アドレスのリストをさらに制限する必要がある場合は、Google SecOps サポートに連絡して、Google SecOps インスタンスがデプロイされているリージョンの特定の IP アドレスをリクエストしてください。これらの IP アドレスは、Google SecOps インフラストラクチャが更新されると変更される可能性があります。
Azure フィードを構成する
Google SecOps で Azure フィードを構成する手順は次のとおりです。
Google SecOps メニューで [SIEM の設定] を選択し、[フィード] をクリックします。
[新しく追加] をクリックします。
[フィード名] フィールドに、フィードの名前を入力します。
[ソースタイプ] リストで、[Microsoft Azure Event Hub] を選択します。
[ログタイプ] を選択します。たとえば、Open Cybersecurity Schema Framework のフィードを作成するには、[ログタイプ] として [Open Cybersecurity Schema Framework（OCSF）] を選択します。
[次へ] をクリックします。[フィードを追加] ウィンドウが表示されます。
Azure ポータルで作成したイベントハブから情報を取得して、次のフィールドに入力します。
- イベントハブ名: イベントハブ名
イベントハブ コンシューマー グループ: イベントハブに関連付けられているコンシューマー グループ
イベントハブの接続文字列: イベントハブの接続文字列
Azure ストレージ接続文字列: 省略可。blob ストレージの接続文字列
Azure ストレージ コンテナ名: 省略可。Blob Storage のコンテナ名
Azure SAS トークン: 省略可。SAS トークン
アセットの名前空間: 省略可。アセットの名前空間
取り込みラベル: 省略可。このフィードのイベントに適用されるラベル
[次へ] をクリックします。[Finalize] 画面が表示されます。
フィードの設定を確認し、[送信] をクリックします。
データフローを確認する
データが Google SecOps に送信され、イベントハブが正しく機能していることを確認するには、次のチェックを行います。
Google SecOps で、ダッシュボードを調べ、未加工ログスキャンまたは統合データモデル（UDM）検索を使用して、取り込まれたデータが正しい形式で存在することを確認します。
Azure ポータルで、イベントハブのページに移動し、受信バイトと送信バイトを表示するグラフを調べます。受信レートと送信レートがほぼ同じであることを確認します。これは、メッセージが処理されており、バックログがないことを示します。
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。