Créer un flux Azure Event Hubs

Compatible avec :

Google SecOps SIEM

Ce document explique comment configurer un hub d'événements Azure pour envoyer des données de sécurité à Google Security Operations. Vous pouvez créer jusqu'à 10 flux Azure Event Hubs, y compris les flux actifs et inactifs.

Important : Google SecOps n'est pas compatible avec l'ingestion depuis les Sovereign Clouds Azure, y compris Azure China (exploité par 21Vianet) et Azure Government. Seuls les points de terminaison Azure commerciaux (par exemple, *.servicebus.windows.net pour Event Hub ou *.blob.core.windows.net pour Blob Storage) sont acceptés.

Remarque : Les flux Azure collectent des données en continu. Par conséquent, Google SecOps ne renseigne pas la colonne DERNIÈRE RÉUSSITE LE pour ces flux.

Pour configurer un flux Azure, procédez comme suit :

1. Créer un hub d'événements dans Azure : configurez l'infrastructure requise dans votre environnement Azure pour recevoir et stocker le flux de données de sécurité.

   Important : Lorsque vous créez Azure Event Hub, veillez à définir sa règle de nettoyage sur Supprimer. N'utilisez pas la règle de nettoyage Compact (compactage des journaux). La compression des journaux ne conserve que la dernière valeur d'une clé, ce qui peut empêcher Google SecOps d'ingérer tous les événements historiques et entraîner l'arrêt du traitement du flux.

2. Configurer le flux dans Google SecOps : configurez le flux dans Google SecOps pour vous connecter à votre hub d'événements Azure et commencer à ingérer des données.

Créer un hub d'événements Azure

Pour créer un hub d'événements dans Azure, procédez comme suit :

1. Créez un espace de noms Event Hubs et un hub d'événements.

   • Pour garantir une ingestion optimale des données, déployez l'espace de noms Event Hub dans la même région que votre instance Google SecOps. Le déploiement du hub d'événements dans une autre région peut réduire le débit ingéré dans Google SecOps.

   • Définissez le nombre de partitions sur 40 pour un scaling optimal. Vous devez disposer du niveau Premium d'Azure Event Hubs pour définir plus de 32 partitions.

     Remarque : Vous ne pouvez pas modifier le nombre de partitions ultérieurement dans les niveaux Standard et Basic. Le nombre de partitions n'a pas d'incidence sur le coût.

   • Pour éviter toute perte de données due aux limites de quota de Google SecOps, définissez une durée de conservation longue pour votre hub d'événements. Cela garantit que les journaux ne sont pas supprimés avant la reprise de l'ingestion après une limitation de quota. Pour en savoir plus sur la conservation des événements et les limites de durée de conservation, consultez Conservation des événements.

   • Pour les hubs d'événements de niveau standard, activez l'augmentation automatique pour adapter automatiquement le débit selon les besoins. Pour en savoir plus, consultez Effectuer un scaling à la hausse automatique des unités de débit Azure Event Hubs.

   • Pour les niveaux de base et standard, une unité de débit (TU) dans Azure Event Hub accepte jusqu'à 1 Mo par seconde d'ingestion de données. Si le volume d'événements entrants dépasse la capacité des UT configurées, des pertes de données peuvent se produire. Par exemple, si vous configurez cinq unités de débit, le taux d'ingestion maximal accepté est de 5 Mo par seconde. Si les événements sont envoyés à un débit de 20 Mo par seconde, Event Hubs peut planter. Par conséquent, des journaux peuvent être perdus au niveau d'Event Hubs avant d'atteindre Google SecOps.

2. Obtenez la chaîne de connexion du hub d'événements requise pour que Google SecOps ingère les données du hub d'événements Azure. Cette chaîne de connexion autorise Google SecOps à accéder aux données de sécurité de votre hub d'événements et à les collecter. Vous disposez de deux options pour fournir une chaîne de connexion :

   • Niveau de l'espace de noms du hub d'événements : fonctionne pour tous les hubs d'événements de l'espace de noms. Cette option est plus simple si vous utilisez plusieurs hubs d'événements et que vous souhaitez utiliser la même chaîne de connexion pour tous dans la configuration de votre flux.

   • Au niveau du hub d'événements : s'applique à un seul hub d'événements. Cette option est sécurisée si vous ne devez accorder l'accès qu'à un seul hub d'événements. Veillez à supprimer EntityPath à la fin de la chaîne de connexion.

   Par exemple, remplacez Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> par Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>.

3. Configurez vos applications, telles que pare-feu d'application Web ou Microsoft Defender, pour qu'elles envoient leurs journaux au hub d'événements.

   Utilisateurs de Microsoft Defender : lorsque vous configurez le streaming Microsoft Defender, veillez à saisir le nom de votre hub d'événements existant. Si vous laissez ce champ vide, le système risque de créer des hubs d'événements inutiles et de consommer votre quota de flux limité. Pour que tout reste organisé, utilisez des noms de hubs d'événements qui correspondent au type de journal.

Configurer la sécurité réseau (facultatif)

Si vous limitez l'accès réseau à votre espace de noms Azure Event Hubs (par exemple, à l'aide de pare-feu ou de points de terminaison privés), vous devez ajouter les adresses IP Google SecOps à une liste d'autorisation pour vous assurer que Google SecOps peut se connecter et ingérer des données.

Deux possibilités s'offrent à vous :

• Ajouter toutes les adresses IP Google à la liste d'autorisation (recommandé) : pour garantir une connectivité ininterrompue, ajoutez toutes les adresses IP Google à la liste d'autorisation. Vous pouvez récupérer la liste des adresses IP de Google à partir du fichier JSON public : https://gstatic.com/ipranges/goog.json.
• Ajouter des adresses IP spécifiques à une région à la liste d'autorisation : si votre politique de sécurité nécessite une liste d'adresses IP plus restreinte, contactez l'assistance Google SecOps pour demander les adresses IP spécifiques à la région où votre instance Google SecOps est déployée. Ces adresses IP peuvent changer si l'infrastructure Google SecOps est mise à jour.

Configurer le flux Azure

Pour configurer le flux Azure dans Google SecOps, procédez comme suit :

1. Dans le menu Google SecOps, sélectionnez Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.

2. Cliquez sur Ajouter un flux d'actualités.

3. Dans le champ Nom du flux, saisissez un nom pour le flux.

4. Dans la liste Type de source, sélectionnez Microsoft Azure Event Hub.

5. Sélectionnez le type de journal. Par exemple, pour créer un flux pour Open Cybersecurity Schema Framework, sélectionnez Open Cybersecurity Schema Framework (OCSF) comme Type de journal.

6. Cliquez sur Suivant. La fenêtre Ajouter un flux s'affiche.

7. Récupérez les informations du hub d'événements que vous avez créé précédemment sur le portail Azure pour renseigner les champs suivants :

   • Nom du hub d'événements : nom du hub d'événements

   • Groupe de consommateurs du hub d'événements : groupe de consommateurs associé à votre hub d'événements.

     Attention : Ne créez pas d'abonnés et ne récupérez pas de données de manière programmatique via l'onglet "Explorateur de données" du portail Azure pour le groupe de consommateurs. Cela pourrait entraîner une perte de données.

   • Chaîne de connexion du hub d'événements : chaîne de connexion du hub d'événements.

   • Chaîne de connexion de stockage Azure : facultatif. Chaîne de connexion au stockage d'objets blob

   • Nom du conteneur de stockage Azure : facultatif. Nom du conteneur de stockage d'objets blob

   • Jeton Azure SAS : facultatif. Le jeton SAS

   • Espace de noms de l'élément : facultatif. L'espace de noms de l'élément

   • Étiquettes d'ingestion : facultatif. Libellé à appliquer aux événements de ce flux

   Remarque : Google SecOps gère ses propres points de contrôle lors de l'ingestion de données depuis Azure Event Hub. Seule la chaîne de connexion du hub d'événements est requise. Les autres champs facultatifs n'affectent pas les points de contrôle.

8. Cliquez sur Suivant. L'écran Finaliser s'affiche.

9. Vérifiez la configuration de votre flux, puis cliquez sur Envoyer.

Vérifier le flux de données

Pour vérifier que vos données sont transmises à Google SecOps et que votre hub d'événements fonctionne correctement, vous pouvez effectuer les vérifications suivantes :

• Dans Google SecOps, examinez les tableaux de bord et utilisez l'analyse des journaux bruts ou la recherche dans le modèle de données unifié (UDM) pour vérifier que les données ingérées sont présentes au bon format.

• Dans le portail Azure, accédez à la page de votre hub d'événements et inspectez les graphiques qui affichent les octets entrants et sortants. Assurez-vous que les taux d'entrée et de sortie sont à peu près équivalents, ce qui indique que les messages sont traités et qu'il n'y a pas de retard.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.