创建 Azure 事件中心 Feed

支持的平台：

Google SecOps SIEM

本文档介绍了如何设置 Azure 事件中心，以将安全数据发送到 Google Security Operations。您最多可以创建 10 个 Azure 事件中心 Feed，包括有效 Feed 和无效 Feed。

注意：Azure Feed 会持续收集数据。因此，Google SecOps 不会为这些 Feed 填充上次成功时间列。

如需设置 Azure Feed，请完成以下流程：

1. 在 Azure 中创建事件中心：在 Azure 环境中设置所需的基础设施，以接收和存储安全数据流。

2. 在 Google SecOps 中配置 Feed：在 Google SecOps 中配置 Feed 以连接到您的 Azure 事件中心，并开始注入数据。

创建 Azure 事件中心

如需在 Azure 中创建事件中心，请执行以下操作：

1. 创建事件中心命名空间和事件中心。

   • 为确保最佳数据注入效果，请在与 Google SecOps 实例相同的区域中部署事件中心命名空间。在其他区域部署事件中心可能会降低提取到 Google SecOps 中的吞吐量。

   • 将分区数设置为 40，以实现最佳伸缩。您必须拥有 Azure 事件中心的高级层级，才能设置超过 32 个分区。

     注意：在标准层级和基本层级中，您之后无法更改分区数。分区数量不会影响费用。

   • 为帮助防止因 Google SecOps 配额限制而导致的数据丢失，请为您的事件中心设置较长的保留时间。这可确保在配额限制后恢复提取之前，日志不会被删除。如需详细了解事件保留和保留时间限制，请参阅事件保留。

   • 对于标准层级事件中心，请启用自动扩充，以便根据需要自动扩缩吞吐量。如需了解详情，请参阅自动扩容 Azure 事件中心吞吐量单位。

   • 对于基本层和标准层，Azure 事件中心中的一个吞吐量单位 (TU) 最多支持每秒 1 MB 的数据注入。如果传入的事件量超过配置的 TU 的容量，可能会发生数据丢失。例如，如果您配置 5 个 TU，则支持的注入速率上限为每秒 5 MB。如果以每秒 20 MB 的速度发送事件，事件中心可能会崩溃。因此，日志可能会在到达 Google SecOps 之前在事件中心级别丢失。

2. 获取事件中心连接字符串，以便 Google SecOps 从 Azure 事件中心注入数据。此连接字符串授权 Google SecOps 从您的事件中心访问和收集安全数据。您可以通过以下两种方式提供连接字符串：

   • 事件中心命名空间级：适用于命名空间内的所有事件中心。如果您使用多个事件中心，并希望在 Feed 设置中为所有事件中心使用相同的连接字符串，那么此选项会更简单。

   • Event Hub 级：适用于单个 Event Hub。 如果您只需要向一个事件中心授予访问权限，那么这是一个安全的选择。 确保从连接字符串末尾移除 EntityPath。

   例如，将 Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> 更改为 Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>。

3. 配置 Web 应用防火墙或 Microsoft Defender 等应用，以将其日志发送到事件中心。

   Microsoft Defender 用户：配置 Microsoft Defender 流式传输时，请确保输入您现有的事件中心名称。如果您将此字段留空，系统可能会创建不必要的活动中心，并消耗您有限的 Feed 配额。为保持井井有条，请使用与日志类型匹配的事件中心名称。

配置网络安全（可选）

如果您限制对 Azure 事件中心命名空间的网络访问（例如，使用防火墙或专用端点），则必须将 Google SecOps IP 地址添加到许可名单，以确保 Google SecOps 可以连接并注入数据。

您有两种选择：

• 将所有 Google IP 地址列入许可名单（推荐）：为确保连接不中断，请将所有 Google IP 地址列入许可名单。您可以从公共 JSON 文件 https://gstatic.com/ipranges/goog.json 中检索 Google IP 地址列表。
• 将特定于区域的 IP 地址列入许可名单：如果您的安全政策需要更严格的 IP 地址列表，请与 Google SecOps 支持团队联系，请求 Google SecOps 实例部署区域的特定 IP 地址。如果 Google SecOps 基础架构更新，这些 IP 地址可能会发生变化。

配置 Azure Feed

如需在 Google SecOps 中配置 Azure Feed，请执行以下操作：

1. 在 Google SecOps 菜单中，选择 SIEM 设置，然后点击Feed。

2. 点击新增。

3. 在Feed 名称字段中，输入 Feed 的名称。

4. 在来源类型列表中，选择 Microsoft Azure Event Hub。

5. 选择日志类型。例如，如需为开放网络安全架构框架创建 Feed，请选择开放网络安全架构框架 (OCSF) 作为日志类型。

6. 点击下一步。系统会显示添加 Feed 窗口。

7. 从您之前在 Azure 门户中创建的事件中心检索信息，以填写以下字段：

   • Event Hub 名称：Event Hub 名称

   • 事件中心使用方组：与您的事件中心关联的使用方组

     注意： 请勿通过 Azure 门户中的“数据资源管理器”标签页以编程方式为消费者群组创建订阅者或检索数据。这样做可能会导致数据丢失。

   • Event Hub 连接字符串：Event Hub 连接字符串

   • Azure 存储连接字符串：可选。Blob Storage 连接字符串

   • Azure 存储容器名称：可选。Blob Storage 容器名称

   • Azure SAS 令牌：可选。SAS 令牌

   • 资源命名空间：可选。资源命名空间

   • 注入标签：可选。要应用于相应 Feed 中事件的标签

   注意： Google SecOps 在从 Azure 事件中心提取数据时会自行管理检查点。只需要事件中心连接字符串。其他可选字段不会影响检查点。

8. 点击下一步。系统会显示完成界面。

9. 检查您的 Feed 配置，然后点击提交。

验证数据传输

如需验证数据是否流入 Google SecOps 以及事件中心是否正常运行，您可以执行以下检查：

• 在 Google SecOps 中，检查信息中心并使用原始日志扫描或统一数据模型 (UDM) 搜索来验证提取的数据是否以正确的格式呈现。

• 在 Azure 门户中，前往事件中心的页面，然后检查显示传入和传出字节数的图表。确保入站和出站速率大致相当，这表示消息正在处理，没有积压。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。