In diesem Dokument wird beschrieben, wie Sie einen Azure Event Hub einrichten, um Sicherheitsdaten an Google Security Operations zu senden. Sie können bis zu 10 Azure Event Hub-Feeds erstellen, sowohl aktive als auch inaktive.
So richten Sie einen Azure-Feed ein:
Event Hub in Azure erstellen:Richten Sie die erforderliche Infrastruktur in Ihrer Azure-Umgebung ein, um den Sicherheitsdatenstream zu empfangen und zu speichern.
Feed in Google SecOps konfigurieren:Konfigurieren Sie den Feed in Google SecOps, um eine Verbindung zu Ihrem Azure-Event Hub herzustellen und mit der Aufnahme von Daten zu beginnen.
Für eine optimale Datenerfassung sollten Sie den Event Hub-Namespace in derselben Region wie Ihre Google SecOps-Instanz bereitstellen. Wenn Sie den Event Hub in einer anderen Region bereitstellen, kann der in Google SecOps aufgenommene Durchsatz reduziert werden.
Legen Sie die Partitionsanzahl auf 40 fest, um eine optimale Skalierung zu erzielen.
Um Datenverlust aufgrund von Google SecOps-Kontingentlimits zu vermeiden, legen Sie eine lange Aufbewahrungsdauer für Ihren Ereignishub fest. So wird verhindert, dass Logs gelöscht werden, bevor die Aufnahme nach einer Kontingentdrosselung fortgesetzt wird. Weitere Informationen zur Ereignisaufbewahrung und zu Einschränkungen der Aufbewahrungsdauer finden Sie unter Ereignisaufbewahrung.
Bei den Tarifen „Basic“ und „Standard“ unterstützt eine Durchsatz-Einheit (Throughput Unit, TU) in Azure Event Hub bis zu 1 MB Datenaufnahme pro Sekunde. Wenn das eingehende Ereignisvolumen die Kapazität der konfigurierten TUs überschreitet, kann es zu Datenverlusten kommen. Wenn Sie beispielsweise 5 TUs konfigurieren, beträgt die maximal unterstützte Erfassungsrate 5 MB pro Sekunde. Wenn Ereignisse mit 20 MB pro Sekunde gesendet werden, kann der Event Hub abstürzen. Daher können Protokolle auf Event Hub-Ebene verloren gehen, bevor sie Google SecOps erreichen.
Rufen Sie die Event Hub-Verbindungszeichenfolge ab, die für Google SecOps erforderlich ist, um Daten aus dem Azure Event Hub aufzunehmen. Mit dieser Verbindungszeichenfolge wird Google SecOps autorisiert, auf Sicherheitsdaten aus Ihrem Event Hub zuzugreifen und diese zu erheben. Sie haben zwei Möglichkeiten, einen Verbindungsstring anzugeben:
Event Hubs-Namespaceebene: Funktioniert für alle Event Hubs im Namespace. Diese Option ist einfacher, wenn Sie mehrere Event Hubs verwenden und für alle in Ihrer Feedeinrichtung denselben Verbindungsstring verwenden möchten.
Event Hub-Ebene: Gilt für einen einzelnen Event Hub.
Dies ist eine sichere Option, wenn Sie nur Zugriff auf einen Event Hub gewähren müssen.
Entfernen Sie EntityPath am Ende des Verbindungsstrings.
Ändern Sie beispielsweise Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME> in Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>.
Microsoft Defender-Nutzer:Achten Sie beim Konfigurieren des Microsoft Defender-Streamings darauf, dass Sie den Namen Ihres vorhandenen Event Hubs eingeben. Wenn Sie dieses Feld leer lassen, erstellt das System möglicherweise unnötige Event Hubs und verbraucht Ihr begrenztes Feedkontingent.
Verwenden Sie zur besseren Übersicht Event Hub-Namen, die dem Protokolltyp entsprechen.
Azure-Feed konfigurieren
So konfigurieren Sie den Azure-Feed in Google SecOps:
Wählen Sie im Google SecOps-Menü SIEM Settings (SIEM-Einstellungen) und dann Feeds aus.
Klicken Sie auf Neu hinzufügen.
Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein.
Wählen Sie in der Liste Quelltyp die Option Microsoft Azure Event Hub aus.
Wählen Sie den Logtyp aus. Wenn Sie beispielsweise einen Feed für das Open Cybersecurity Schema Framework erstellen möchten, wählen Sie Open Cybersecurity Schema Framework (OCSF) als Log-Typ aus.
Klicken Sie auf Weiter. Das Fenster Feed hinzufügen wird angezeigt.
Rufen Sie die Informationen aus dem Event Hub ab, den Sie zuvor im Azure-Portal erstellt haben, um die folgenden Felder auszufüllen:
Event Hub-Name: Der Name des Event Hubs.
Consumergruppe des Event Hubs: Die Consumergruppe, die Ihrem Event Hub zugeordnet ist.
Event Hub-Verbindungsstring: Der Event Hub-Verbindungsstring
Azure Storage-Verbindungsstring: Optional. Die Blob Storage-Verbindungszeichenfolge
Name des Azure Storage-Containers: Optional. Der Name des Blob-Speichercontainers
Labels für die Datenaufnahme: Optional. Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll
Klicken Sie auf Weiter. Der Bildschirm Abschließen wird angezeigt.
Prüfen Sie die Feedkonfiguration und klicken Sie dann auf Senden.
Datenfluss prüfen
So prüfen Sie, ob Ihre Daten in Google SecOps einfließen und Ihr Event-Hub ordnungsgemäß funktioniert:
Sehen Sie sich in Google SecOps die Dashboards an und verwenden Sie die Suche nach Rohlog-Scans oder Unified Data Model (UDM), um zu prüfen, ob die aufgenommenen Daten im richtigen Format vorhanden sind.
Rufen Sie im Azure-Portal die Seite Ihres Event Hubs auf und sehen Sie sich die Diagramme für eingehende und ausgehende Bytes an. Achten Sie darauf, dass die Raten für eingehende und ausgehende Nachrichten ungefähr gleich sind. Das deutet darauf hin, dass Nachrichten verarbeitet werden und kein Rückstau vorhanden ist.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-10 (UTC)."],[[["\u003cp\u003eThis guide explains how to set up an Azure Event Hub feed to ingest security data into Google Security Operations, allowing for a maximum of 10 feeds.\u003c/p\u003e\n"],["\u003cp\u003eCreating an Azure Event Hub involves setting up an event hub with a partition count of 32, configuring a long retention time to prevent data loss, and optionally enabling auto inflate for standard tier event hubs.\u003c/p\u003e\n"],["\u003cp\u003eConfiguring the feed in Google SecOps requires providing the event hub name, consumer group, event hub connection string, Azure storage details, and SAS token.\u003c/p\u003e\n"],["\u003cp\u003eIt is necessary to obtain both event hub and Azure blob storage connection strings, alongside a SAS token, to ensure Google SecOps can access and ingest data from the event hub correctly.\u003c/p\u003e\n"],["\u003cp\u003eVerification of the data flow can be done by checking dashboards and search functionality in Google SecOps, as well as monitoring incoming and outgoing bytes in the Azure portal for the event hub.\u003c/p\u003e\n"]]],[],null,["# Create an Azure Event Hub feed\n==============================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nThis document shows you how to set up an Azure Event Hub to send security data\nto Google Security Operations. You can create up to 10 Azure Event Hub feeds, which\nincludes both active and inactive feeds.\n| **Note:** Azure feeds collect data continuously. As a result, Google SecOps does not populate the **LAST SUCCEEDED ON** column for these feeds.\nTo set up an Azure feed, complete the following processes:\n\n\u003cbr /\u003e\n\n1. **[Create an event hub in Azure](#create-azure-event-hub):** set up the\n required infrastructure in your Azure environment to receive and store the\n security data stream.\n\n2. **[Configure the feed in Google SecOps](#configure-azure-feed):**\n configure the feed in Google SecOps to connect to your Azure\n event hub and to begin ingesting data.\n\n### Create an Azure Event Hub\n\nTo create an event hub in Azure, do the following:\n\n1. Create an [event hub namespace and event hub](https://learn.microsoft.com/en-us/azure/event-hubs/event-hubs-create).\n\n - To ensure optimal data ingestion, deploy the Event Hub namespace in the same region\n as your Google SecOps instance. Deploying the event hub in a\n different region can reduce the throughput ingested into Google SecOps.\n\n - Set the partition count to 40 for optimal scaling.\n\n | **Note:** You can't change the partition count later in the standard and basic tiers. Partition count does not affect cost.\n\n \u003cbr /\u003e\n\n - To help prevent data loss due to Google SecOps quota limits, set a\n long retention time for your event hub. This ensures that logs aren't\n deleted before ingestion resumes after a quota throttle. For more information\n about event retention and retention time limitations, see [Event retention](https://learn.microsoft.com/en-us/azure/event-hubs/event-hubs-features#event-retention).\n\n - For standard tier event hubs, enable **Auto inflate** to automatically scale\n throughput as needed. See [Automatically scale up Azure Event Hubs throughput units](https://learn.microsoft.com/en-us/azure/event-hubs/event-hubs-auto-inflate) for more information.\n\n - For basic and standard tiers, one throughput unit (TU) in Azure Event Hub supports\n up to 1 MB per second of data ingestion. If the incoming event volume exceeds\n the capacity of the configured TUs, data loss may occur. For example, if you\n configure 5 TUs, the maximum supported ingestion rate is 5 MB per second. If\n events are sent at 20 MB per second, the Event Hub may crash. As a result, logs may\n be lost at the Event Hub level before they reach Google SecOps.\n\n2. [Obtain the event hub connection string](https://learn.microsoft.com/en-us/azure/event-hubs/event-hubs-get-connection-string#azure-portal) required for\n Google SecOps to ingest data from the Azure event hub. This\n connection string authorizes Google SecOps to access and collect\n security data from your event hub. You have two options for providing a\n connection string:\n\n - **Event hub namespace level**: works for all event\n hubs within the namespace. It's a simpler option if you're using multiple\n event hubs and want to use the same connection string for all of them in\n your feed setup.\n\n - **Event hub level** : applies to a single event hub.\n This is a secure option if you need to grant access to only one event hub.\n Ensure that you remove `EntityPath` from the end of the connection string.\n\n For example, change `Endpoint=\u003cENDPOINT\u003e;SharedAccessKeyName=\u003cKEY_NAME\u003e;SharedAccessKey=\u003cKEY\u003e;EntityPath=\u003cEVENT_HUB_NAME\u003e`\n to `Endpoint=\u003cENDPOINT\u003e;SharedAccessKeyName=\u003cKEY_NAME\u003e;SharedAccessKey=\u003cKEY\u003e`.\n3. Configure your applications, such as [Web Application Firewall](https://docs.microsoft.com/en-us/azure/web-application-firewall/afds/waf-front-door-monitor) or [Microsoft Defender](https://learn.microsoft.com/en-us/defender),\n to send their logs to the event hub.\n\n **Microsoft Defender users:** When configuring Microsoft Defender streaming,\n ensure that you enter your existing event hub name. If you leave this field blank, the\n system might create unnecessary event hubs and consume your limited feed quota.\n To keep things organized, use event hub names that match the log type.\n\n### Configure the Azure feed\n\nTo configure the Azure feed in Google SecOps, do the following:\n\n1. In the Google SecOps menu, select **SIEM Settings** , and then\n click **Feeds**.\n\n2. Click **Add new**.\n\n3. In the **Feed name** field, enter a name for the feed.\n\n4. In the **Source type** list, select **Microsoft Azure Event Hub**.\n\n5. Select the **Log type** . For example, to create a feed for Open Cybersecurity\n Schema Framework, select **Open Cybersecurity Schema Framework (OCSF)** as the\n **Log type**.\n\n6. Click **Next** . The **Add feed** window appears.\n\n7. Retrieve the information from the event hub that you created earlier in the\n Azure portal to fill in the following fields:\n\n - **Event hub name**: the event hub name\n - **Event hub consumer group**: the consumer group associated with your\n event hub\n\n | **Caution:** Don't create subscribers or retrieve data programmatically through the Data Explorer tab in the Azure portal for the consumer group. Doing so may result in data loss.\n - **Event hub connection string**: the event hub connection string\n\n - **Azure storage connection string**: Optional. The blob storage connection string\n\n - **Azure storage container name**: Optional. The blob storage container name\n\n - **Azure SAS token**: Optional. The SAS token\n\n - **Asset namespace** : Optional. The [asset namespace](/chronicle/docs/investigation/asset-namespaces)\n\n - **Ingestion labels**: Optional. The label to be applied to the events from this feed\n\n | **Note:** Google SecOps manages its own checkpointing when ingesting data from Azure Event Hub. Only the event hub connection string is required. The other optional fields don't affect the checkpointing.\n8. Click **Next** . The **Finalize** screen appears.\n\n9. Review your feed configuration, and then click **Submit**.\n\n### Verify data flow\n\nTo verify that your data is flowing into Google SecOps and your\nevent hub is functioning correctly, you can perform these checks:\n\n- In Google SecOps, examine the dashboards and use the Raw Log Scan\n or Unified Data Model (UDM) search to verify that the ingested data\n is present in the correct format.\n\n- In the Azure portal, navigate to your event hub's page and inspect the\n graphs that display incoming and outgoing bytes. Ensure that the incoming and\n outgoing rates are roughly equivalent, indicating that messages are being\n processed and there is no backlog.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
