建立 Azure 事件中樞動態饋給

支援：

Google SecOps SIEM

本文說明如何設定 Azure 事件中樞，將安全性資料傳送至 Google Security Operations。您最多可以建立 10 個 Azure 事件中心動態饋給，包括有效和無效的動態饋給。

重要事項： Google SecOps 不支援從 Azure Sovereign Cloud 擷取資料，包括 Azure 中國 (由世紀互聯營運) 和 Azure Government。僅支援商業 Azure 端點 (例如事件中樞的 *.servicebus.windows.net 或 Blob 儲存體的 *.blob.core.windows.net)。

注意：Azure 動態饋給會持續收集資料。因此，Google SecOps 不會在這些動態饋給的「LAST SUCCEEDED ON」(上次成功時間) 欄中填入資料。

如要設定 Azure 動態饋給，請完成下列程序：

1. 在 Azure 中建立事件中樞：在 Azure 環境中設定必要的基礎架構，以便接收及儲存安全性資料串流。

   重要事項： 建立 Azure 事件中心時，請務必將清除政策設為「Delete」。請勿使用壓縮清理政策 (記錄壓縮)。記錄壓縮功能只會保留索引鍵的最新值，這可能會導致 Google SecOps 無法擷取所有歷來事件，並可能導致動態饋給停止處理。

2. 在 Google SecOps 中設定動態饋給：在 Google SecOps 中設定動態饋給，連線至 Azure 事件中樞，並開始擷取資料。

建立 Azure 事件中樞

如要在 Azure 建立事件中樞，請按照下列步驟操作：

1. 建立事件中心命名空間和事件中心。

   • 為確保資料擷取作業順利進行，請在 Google SecOps 執行個體所在的區域部署事件中心命名空間。在其他區域部署事件中樞，可能會降低擷取至 Google SecOps 的處理量。

   • 將分區數量設為 40，以達到最佳擴充效果。您必須使用 Azure 事件中心進階級，才能設定超過 32 個分區。

     注意：在標準和基本級別中，您無法在之後變更分區數量。分區數量不會影響費用。

   • 為避免因 Google SecOps 配額限制而遺失資料，請為事件中心設定較長的保留時間。這樣一來，在配額限制後恢復擷取之前，記錄就不會遭到刪除。如要進一步瞭解事件保留和保留時間限制，請參閱「事件保留」。

   • 如果是標準級事件中樞，請啟用「自動擴充」，視需要自動調整處理量。詳情請參閱「自動擴充 Azure 事件中樞輸送量單位」。

   • 在基本和標準級別中，Azure Event Hub 的一個處理量單位 (TU) 每秒最多可擷取 1 MB 的資料。如果傳入的事件量超過設定的 TU 容量，可能會遺失資料。舉例來說，如果您設定 5 個 TU，則支援的擷取速率上限為每秒 5 MB。如果事件傳送速度為每秒 20 MB，事件中心可能會當機。因此，記錄可能會在到達 Google SecOps 之前，於事件中樞層級遺失。

2. 取得事件中樞連線字串，讓 Google SecOps 從 Azure 事件中樞擷取資料。這個連線字串會授權 Google SecOps 存取及收集事件中樞的安全性資料。提供連線字串的方法有兩種：

   • 事件中心命名空間層級：適用於命名空間內的所有事件中心。如果您使用多個事件中心，且想在動態饋給設定中為所有事件中心使用相同的連線字串，這個選項會比較簡單。

   • 事件中心層級：適用於單一事件中心。如果只需要授予單一事件中樞的存取權，這個選項相當安全。請務必從連線字串結尾移除 EntityPath。

   例如，將 Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> 變更為 Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>。

3. 設定應用程式 (例如網頁應用程式防火牆或 Microsoft Defender)，將記錄傳送至事件中樞。

   Microsoft Defender 使用者：設定 Microsoft Defender 串流時，請務必輸入現有的事件中樞名稱。如果將這個欄位留空，系統可能會建立不必要的事件中樞，並耗用有限的動態饋給配額。為方便管理，請使用與記錄類型相符的事件中樞名稱。

設定網路安全 (選用)

如果您限制 Azure 事件中心命名空間的網路存取權 (例如使用防火牆或私人端點)，則必須將 Google SecOps IP 位址加入許可清單，確保 Google SecOps 可以連線及擷取資料。

您可以採用兩種方法：

• 將所有 Google IP 位址加入許可清單 (建議)：為確保連線不中斷，請將所有 Google IP 位址加入許可清單。您可以從公開 JSON 檔案擷取 Google IP 位址清單：https://gstatic.com/ipranges/goog.json。
• 將特定區域的 IP 位址加入許可清單：如果安全性政策要求更嚴格的 IP 位址清單，請與 Google SecOps 支援團隊聯絡，要求提供 Google SecOps 執行個體部署區域的特定 IP 位址。如果 Google SecOps 基礎架構更新，這些 IP 位址可能會變更。

設定 Azure 動態饋給

如要在 Google SecOps 中設定 Azure 動態饋給，請按照下列步驟操作：

1. 在 Google SecOps 選單中，依序選取「SIEM Settings」(SIEM 設定) 和「Feeds」(動態饋給)。

2. 按一下「新增」。

3. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱。

4. 在「Source type」(來源類型) 清單中，選取「Microsoft Azure Event Hub」。

5. 選取「Log type」(記錄類型)。舉例來說，如要建立 Open Cybersecurity Schema Framework 的動態饋給，請選取「Open Cybersecurity Schema Framework (OCSF)」做為「Log type」(記錄類型)。

6. 點選「下一步」。「新增動態饋給」視窗隨即顯示。

7. 從先前在 Azure 入口網站建立的事件中心擷取資訊，填入下列欄位：

   • Event hub name：事件中心名稱

   • 事件中心取用者群組：與事件中心相關聯的取用者群組

     注意： 請勿在 Azure 入口網站中，透過消費者群組的「Data Explorer」分頁，以程式輔助方式建立訂閱者或擷取資料。否則可能會導致資料遺失。

   • 事件中樞連線字串：事件中樞連線字串

   • Azure 儲存體連接字串：選用。Blob 儲存體連線字串

   • Azure 儲存體容器名稱：選填。Blob 儲存體容器名稱

   • Azure SAS 權杖：選用。SAS 權杖

   • 資產命名空間：選用。資產命名空間

   • 擷取標籤：選用。要套用至這個動態饋給事件的標籤

   注意： 從 Azure 事件中樞擷取資料時，Google SecOps 會自行管理檢查點。您只需要事件中樞連線字串。其他選填欄位不會影響檢查點。

8. 點選「下一步」。系統會顯示「Finalize」(完成) 畫面。

9. 檢查動態饋給設定，然後按一下「提交」。

驗證資料流程

如要確認資料是否傳入 Google SecOps，以及事件中樞是否正常運作，請執行下列檢查：

• 在 Google SecOps 中查看資訊主頁，並使用原始記錄掃描或 Unified Data Model (UDM) 搜尋，確認擷取的資料格式正確。

• 在 Azure 入口網站中，前往事件中樞頁面，查看顯示傳入和傳出位元組的圖表。確認傳入和傳出速率大致相同，表示訊息正在處理中，沒有待處理項目。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。