Neste documento, mostramos como configurar um Hub de Eventos do Azure para enviar dados de segurança ao Google Security Operations. É possível criar até 10 feeds do Hub de Eventos do Azure, incluindo feeds ativos e inativos.
Para configurar um feed do Azure, conclua os seguintes processos:
Crie um hub de eventos no Azure:configure a infraestrutura necessária no ambiente do Azure para receber e armazenar o fluxo de dados de segurança.
Configure o feed no Google SecOps:
configure o feed no Google SecOps para se conectar ao hub de eventos do Azure
e começar a ingerir dados.
Criar um Hub de Eventos do Azure
Para criar um hub de eventos no Azure, faça o seguinte:
Para garantir a ingestão ideal de dados, implante o namespace do Hub de Eventos na mesma região da instância do Google SecOps. Implantar o hub de eventos em uma
região diferente pode reduzir a taxa de transferência ingerida no Google SecOps.
Defina a contagem de partições como 40 para um escalonamento ideal.
Para evitar a perda de dados devido aos limites de cota do Google SecOps, defina um longo período de retenção para seu hub de eventos. Isso garante que os registros não sejam
excluídos antes que a ingestão seja retomada após uma limitação de cota. Para mais informações
sobre retenção de eventos e limitações de tempo de retenção, consulte Retenção de eventos.
Para os níveis básico e padrão, uma unidade de taxa de transferência (TU) no Azure Event Hub oferece suporte a até 1 MB por segundo de ingestão de dados. Se o volume de eventos recebidos exceder a capacidade das UCs configuradas, poderá ocorrer perda de dados. Por exemplo, se você configurar 5 TUs, a taxa máxima de ingestão será de 5 MB por segundo. Se os eventos forem enviados a 20 MB por segundo, o Hub de Eventos poderá falhar. Como resultado, os registros podem ser perdidos no nível do Hub de eventos antes de chegarem ao Google SecOps.
Extraia a string de conexão do hub de eventos necessária para que o Google SecOps ingira dados do hub de eventos do Azure. Essa string de conexão autoriza o Google SecOps a acessar e coletar dados de segurança do seu hub de eventos. Você tem duas opções para fornecer uma string de conexão:
Nível do namespace do hub de eventos: funciona para todos os hubs de eventos no namespace. É uma opção mais simples se você estiver usando vários hubs de eventos e quiser usar a mesma string de conexão para todos eles na configuração do feed.
Nível do hub de eventos: se aplica a um único hub de eventos.
Essa é uma opção segura se você precisar conceder acesso a apenas um hub de eventos.
Remova EntityPath do final da string de conexão.
Por exemplo, altere Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> para Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>.
Usuários do Microsoft Defender:ao configurar o streaming do Microsoft Defender, insira o nome do hub de eventos atual. Se você deixar esse campo em branco, o sistema poderá criar hubs de eventos desnecessários e consumir sua cota limitada de feeds.
Para manter tudo organizado, use nomes de hubs de eventos que correspondam ao tipo de registro.
Configurar o feed do Azure
Para configurar o feed do Azure no Google SecOps, faça o seguinte:
No menu do Google SecOps, selecione Configurações do SIEM e clique em Feeds.
Clique em Adicionar novo.
No campo Nome do feed, insira um nome para o feed.
Na lista Tipo de origem, selecione Hub de eventos do Microsoft Azure.
Selecione o Tipo de registro. Por exemplo, para criar um feed para o Open Cybersecurity Schema Framework, selecione Open Cybersecurity Schema Framework (OCSF) como o Tipo de registro.
Clique em Próxima. A janela Adicionar feed vai aparecer.
Recupere as informações do hub de eventos que você criou antes no portal do Azure para preencher os seguintes campos:
Nome do hub de eventos: o nome do hub de eventos
Grupo de consumidores do hub de eventos: o grupo de consumidores associado ao seu hub de eventos.
String de conexão do hub de eventos: a string de conexão do hub de eventos
String de conexão do armazenamento do Azure: opcional. A string de conexão do armazenamento de blobs
Nome do contêiner de armazenamento do Azure: opcional. O nome do contêiner de armazenamento de blobs
Rótulos de ingestão: opcional. O rótulo a ser aplicado aos eventos deste feed
Clique em Próxima. A tela Finalizar é exibida.
Revise a configuração do feed e clique em Enviar.
Verificar o fluxo de dados
Para verificar se os dados estão fluindo para o Google SecOps e se o hub de eventos está funcionando corretamente, faça estas verificações:
No Google SecOps, examine os painéis e use a verificação de registros brutos ou a pesquisa do modelo de dados unificado (UDM) para verificar se os dados ingeridos estão no formato correto.
No portal do Azure, navegue até a página do hub de eventos e inspecione os gráficos que mostram bytes de entrada e saída. Verifique se as taxas de entrada e saída são aproximadamente equivalentes, indicando que as mensagens estão sendo processadas e não há backlog.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-21 UTC."],[[["\u003cp\u003eThis guide explains how to set up an Azure Event Hub feed to ingest security data into Google Security Operations, allowing for a maximum of 10 feeds.\u003c/p\u003e\n"],["\u003cp\u003eCreating an Azure Event Hub involves setting up an event hub with a partition count of 32, configuring a long retention time to prevent data loss, and optionally enabling auto inflate for standard tier event hubs.\u003c/p\u003e\n"],["\u003cp\u003eConfiguring the feed in Google SecOps requires providing the event hub name, consumer group, event hub connection string, Azure storage details, and SAS token.\u003c/p\u003e\n"],["\u003cp\u003eIt is necessary to obtain both event hub and Azure blob storage connection strings, alongside a SAS token, to ensure Google SecOps can access and ingest data from the event hub correctly.\u003c/p\u003e\n"],["\u003cp\u003eVerification of the data flow can be done by checking dashboards and search functionality in Google SecOps, as well as monitoring incoming and outgoing bytes in the Azure portal for the event hub.\u003c/p\u003e\n"]]],[],null,["# Create an Azure Event Hub feed\n==============================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nThis document shows you how to set up an Azure Event Hub to send security data\nto Google Security Operations. You can create up to 10 Azure Event Hub feeds, which\nincludes both active and inactive feeds.\n| **Note:** Azure feeds collect data continuously. As a result, Google SecOps does not populate the **LAST SUCCEEDED ON** column for these feeds.\nTo set up an Azure feed, complete the following processes:\n\n\u003cbr /\u003e\n\n1. **[Create an event hub in Azure](#create-azure-event-hub):** set up the\n required infrastructure in your Azure environment to receive and store the\n security data stream.\n\n2. **[Configure the feed in Google SecOps](#configure-azure-feed):**\n configure the feed in Google SecOps to connect to your Azure\n event hub and to begin ingesting data.\n\n### Create an Azure Event Hub\n\nTo create an event hub in Azure, do the following:\n\n1. Create an [event hub namespace and event hub](https://learn.microsoft.com/en-us/azure/event-hubs/event-hubs-create).\n\n - To ensure optimal data ingestion, deploy the Event Hub namespace in the same region\n as your Google SecOps instance. Deploying the event hub in a\n different region can reduce the throughput ingested into Google SecOps.\n\n - Set the partition count to 40 for optimal scaling.\n\n | **Note:** You can't change the partition count later in the standard and basic tiers. Partition count does not affect cost.\n\n \u003cbr /\u003e\n\n - To help prevent data loss due to Google SecOps quota limits, set a\n long retention time for your event hub. This ensures that logs aren't\n deleted before ingestion resumes after a quota throttle. For more information\n about event retention and retention time limitations, see [Event retention](https://learn.microsoft.com/en-us/azure/event-hubs/event-hubs-features#event-retention).\n\n - For standard tier event hubs, enable **Auto inflate** to automatically scale\n throughput as needed. See [Automatically scale up Azure Event Hubs throughput units](https://learn.microsoft.com/en-us/azure/event-hubs/event-hubs-auto-inflate) for more information.\n\n - For basic and standard tiers, one throughput unit (TU) in Azure Event Hub supports\n up to 1 MB per second of data ingestion. If the incoming event volume exceeds\n the capacity of the configured TUs, data loss may occur. For example, if you\n configure 5 TUs, the maximum supported ingestion rate is 5 MB per second. If\n events are sent at 20 MB per second, the Event Hub may crash. As a result, logs may\n be lost at the Event Hub level before they reach Google SecOps.\n\n2. [Obtain the event hub connection string](https://learn.microsoft.com/en-us/azure/event-hubs/event-hubs-get-connection-string#azure-portal) required for\n Google SecOps to ingest data from the Azure event hub. This\n connection string authorizes Google SecOps to access and collect\n security data from your event hub. You have two options for providing a\n connection string:\n\n - **Event hub namespace level**: works for all event\n hubs within the namespace. It's a simpler option if you're using multiple\n event hubs and want to use the same connection string for all of them in\n your feed setup.\n\n - **Event hub level** : applies to a single event hub.\n This is a secure option if you need to grant access to only one event hub.\n Ensure that you remove `EntityPath` from the end of the connection string.\n\n For example, change `Endpoint=\u003cENDPOINT\u003e;SharedAccessKeyName=\u003cKEY_NAME\u003e;SharedAccessKey=\u003cKEY\u003e;EntityPath=\u003cEVENT_HUB_NAME\u003e`\n to `Endpoint=\u003cENDPOINT\u003e;SharedAccessKeyName=\u003cKEY_NAME\u003e;SharedAccessKey=\u003cKEY\u003e`.\n3. Configure your applications, such as [Web Application Firewall](https://docs.microsoft.com/en-us/azure/web-application-firewall/afds/waf-front-door-monitor) or [Microsoft Defender](https://learn.microsoft.com/en-us/defender),\n to send their logs to the event hub.\n\n **Microsoft Defender users:** When configuring Microsoft Defender streaming,\n ensure that you enter your existing event hub name. If you leave this field blank, the\n system might create unnecessary event hubs and consume your limited feed quota.\n To keep things organized, use event hub names that match the log type.\n\n### Configure the Azure feed\n\nTo configure the Azure feed in Google SecOps, do the following:\n\n1. In the Google SecOps menu, select **SIEM Settings** , and then\n click **Feeds**.\n\n2. Click **Add new**.\n\n3. In the **Feed name** field, enter a name for the feed.\n\n4. In the **Source type** list, select **Microsoft Azure Event Hub**.\n\n5. Select the **Log type** . For example, to create a feed for Open Cybersecurity\n Schema Framework, select **Open Cybersecurity Schema Framework (OCSF)** as the\n **Log type**.\n\n6. Click **Next** . The **Add feed** window appears.\n\n7. Retrieve the information from the event hub that you created earlier in the\n Azure portal to fill in the following fields:\n\n - **Event hub name**: the event hub name\n - **Event hub consumer group**: the consumer group associated with your\n event hub\n\n | **Caution:** Don't create subscribers or retrieve data programmatically through the Data Explorer tab in the Azure portal for the consumer group. Doing so may result in data loss.\n - **Event hub connection string**: the event hub connection string\n\n - **Azure storage connection string**: Optional. The blob storage connection string\n\n - **Azure storage container name**: Optional. The blob storage container name\n\n - **Azure SAS token**: Optional. The SAS token\n\n - **Asset namespace** : Optional. The [asset namespace](/chronicle/docs/investigation/asset-namespaces)\n\n - **Ingestion labels**: Optional. The label to be applied to the events from this feed\n\n | **Note:** Google SecOps manages its own checkpointing when ingesting data from Azure Event Hub. Only the event hub connection string is required. The other optional fields don't affect the checkpointing.\n8. Click **Next** . The **Finalize** screen appears.\n\n9. Review your feed configuration, and then click **Submit**.\n\n### Verify data flow\n\nTo verify that your data is flowing into Google SecOps and your\nevent hub is functioning correctly, you can perform these checks:\n\n- In Google SecOps, examine the dashboards and use the Raw Log Scan\n or Unified Data Model (UDM) search to verify that the ingested data\n is present in the correct format.\n\n- In the Azure portal, navigate to your event hub's page and inspect the\n graphs that display incoming and outgoing bytes. Ensure that the incoming and\n outgoing rates are roughly equivalent, indicating that messages are being\n processed and there is no backlog.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
