Este documento mostra como configurar um Hub de Eventos do Azure para enviar dados de segurança para o Google Security Operations. Pode criar até 10 feeds do Azure Event Hub, que
incluem feeds ativos e inativos.
Para configurar um feed do Azure, conclua os seguintes processos:
Crie um hub de eventos no Azure: configure a infraestrutura necessária no seu ambiente do Azure para receber e armazenar a stream de dados de segurança.
Configure o feed no Google SecOps:
configure o feed no Google SecOps para estabelecer ligação ao seu hub de eventos do Azure e começar a carregar dados.
Crie um Hub de Eventos do Azure
Para criar um hub de eventos no Azure, faça o seguinte:
Para garantir o carregamento ideal de dados, implemente o espaço de nomes do Event Hub na mesma região que a sua instância do Google SecOps. A implementação do hub de eventos numa região diferente pode reduzir o débito carregado no Google SecOps.
Defina a contagem de partições como 40 para uma escalabilidade ideal.
Para ajudar a evitar a perda de dados devido aos limites de quota do Google SecOps, defina um tempo de retenção longo para o seu hub de eventos. Isto garante que os registos não são eliminados antes de a carregamento ser retomado após uma restrição de quota. Para mais informações
sobre a retenção de eventos e as limitações do tempo de retenção, consulte o artigo Retenção de eventos.
Para os níveis básico e padrão, uma unidade de débito (TU) no Azure Event Hub suporta
até 1 MB por segundo de carregamento de dados. Se o volume de eventos recebidos exceder a capacidade das UFs configuradas, pode ocorrer perda de dados. Por exemplo, se configurar 5 UDs, a taxa de carregamento máxima suportada é de 5 MB por segundo. Se forem enviados eventos a 20 MB por segundo, o Hub de Eventos pode falhar. Como resultado, os registos podem ser perdidos ao nível do Event Hub antes de chegarem ao Google SecOps.
Obtenha a string de ligação do hub de eventos necessária para que o
Google SecOps carregue dados do hub de eventos do Azure. Esta string de ligação autoriza o Google SecOps a aceder e recolher dados de segurança do seu hub de eventos. Tem duas opções para fornecer uma string de ligação:
Nível do espaço de nomes do hub de eventos: funciona para todos os hubs de eventos no espaço de nomes. É uma opção mais simples se estiver a usar vários hubs de eventos e quiser usar a mesma string de ligação para todos na configuração do feed.
Nível do hub de eventos: aplica-se a um único hub de eventos.
Esta é uma opção segura se precisar de conceder acesso apenas a um hub de eventos.
Certifique-se de que remove EntityPath do final da string de ligação.
Por exemplo, altere Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>;EntityPath=<EVENT_HUB_NAME>
para Endpoint=<ENDPOINT>;SharedAccessKeyName=<KEY_NAME>;SharedAccessKey=<KEY>.
Utilizadores do Microsoft Defender: ao configurar o streaming do Microsoft Defender,
certifique-se de que introduz o nome do hub de eventos existente. Se deixar este campo em branco, o sistema pode criar hubs de eventos desnecessários e consumir a sua quota de feeds limitada.
Para manter tudo organizado, use nomes de hub de eventos que correspondam ao tipo de registo.
Configure o feed do Azure
Para configurar o feed do Azure no Google SecOps, faça o seguinte:
No menu do Google SecOps, selecione Definições do SIEM e, de seguida,
clique em Feeds.
Clique em Adicionar novo.
No campo Nome do feed, introduza um nome para o feed.
Na lista Tipo de origem, selecione Microsoft Azure Event Hub.
Selecione o Tipo de registo. Por exemplo, para criar um feed para o Open Cybersecurity Schema Framework, selecione Open Cybersecurity Schema Framework (OCSF) como o Tipo de registo.
Clicar em Seguinte. É apresentada a janela Adicionar feed.
Obtenha as informações do hub de eventos que criou anteriormente no portal do Azure para preencher os seguintes campos:
Nome do hub de eventos: o nome do hub de eventos
Grupo de consumidores do Hub de Eventos: o grupo de consumidores associado ao seu Hub de Eventos
String de ligação do hub de eventos: a string de ligação do hub de eventos
String de ligação do armazenamento do Azure: opcional. A string de ligação do armazenamento de blobs
Nome do contentor de armazenamento do Azure: opcional. O nome do contentor de armazenamento de blobs
Etiquetas de carregamento: opcional. A etiqueta a aplicar aos eventos deste feed
Clicar em Seguinte. É apresentado o ecrã Finalize (Finalizar).
Reveja a configuração do feed e, de seguida, clique em Enviar.
Valide o fluxo de dados
Para verificar se os seus dados estão a fluir para o Google SecOps e se o hub de eventos está a funcionar corretamente, pode efetuar estas verificações:
No Google SecOps, examine os painéis de controlo e use a análise de registos não processados ou a pesquisa do modelo de dados unificado (UDM) para verificar se os dados carregados estão no formato correto.
No portal do Azure, navegue para a página do hub de eventos e inspecione os gráficos que apresentam os bytes recebidos e enviados. Certifique-se de que as taxas de entrada e saída são aproximadamente equivalentes, o que indica que as mensagens estão a ser processadas e não existe um atraso.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-20 UTC."],[[["\u003cp\u003eThis guide explains how to set up an Azure Event Hub feed to ingest security data into Google Security Operations, allowing for a maximum of 10 feeds.\u003c/p\u003e\n"],["\u003cp\u003eCreating an Azure Event Hub involves setting up an event hub with a partition count of 32, configuring a long retention time to prevent data loss, and optionally enabling auto inflate for standard tier event hubs.\u003c/p\u003e\n"],["\u003cp\u003eConfiguring the feed in Google SecOps requires providing the event hub name, consumer group, event hub connection string, Azure storage details, and SAS token.\u003c/p\u003e\n"],["\u003cp\u003eIt is necessary to obtain both event hub and Azure blob storage connection strings, alongside a SAS token, to ensure Google SecOps can access and ingest data from the event hub correctly.\u003c/p\u003e\n"],["\u003cp\u003eVerification of the data flow can be done by checking dashboards and search functionality in Google SecOps, as well as monitoring incoming and outgoing bytes in the Azure portal for the event hub.\u003c/p\u003e\n"]]],[],null,["# Create an Azure Event Hub feed\n==============================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nThis document shows you how to set up an Azure Event Hub to send security data\nto Google Security Operations. You can create up to 10 Azure Event Hub feeds, which\nincludes both active and inactive feeds.\n| **Note:** Azure feeds collect data continuously. As a result, Google SecOps does not populate the **LAST SUCCEEDED ON** column for these feeds.\nTo set up an Azure feed, complete the following processes:\n\n\u003cbr /\u003e\n\n1. **[Create an event hub in Azure](#create-azure-event-hub):** set up the\n required infrastructure in your Azure environment to receive and store the\n security data stream.\n\n2. **[Configure the feed in Google SecOps](#configure-azure-feed):**\n configure the feed in Google SecOps to connect to your Azure\n event hub and to begin ingesting data.\n\n### Create an Azure Event Hub\n\nTo create an event hub in Azure, do the following:\n\n1. Create an [event hub namespace and event hub](https://learn.microsoft.com/en-us/azure/event-hubs/event-hubs-create).\n\n - To ensure optimal data ingestion, deploy the Event Hub namespace in the same region\n as your Google SecOps instance. Deploying the event hub in a\n different region can reduce the throughput ingested into Google SecOps.\n\n - Set the partition count to 40 for optimal scaling.\n\n | **Note:** You can't change the partition count later in the standard and basic tiers. Partition count does not affect cost.\n\n \u003cbr /\u003e\n\n - To help prevent data loss due to Google SecOps quota limits, set a\n long retention time for your event hub. This ensures that logs aren't\n deleted before ingestion resumes after a quota throttle. For more information\n about event retention and retention time limitations, see [Event retention](https://learn.microsoft.com/en-us/azure/event-hubs/event-hubs-features#event-retention).\n\n - For standard tier event hubs, enable **Auto inflate** to automatically scale\n throughput as needed. See [Automatically scale up Azure Event Hubs throughput units](https://learn.microsoft.com/en-us/azure/event-hubs/event-hubs-auto-inflate) for more information.\n\n - For basic and standard tiers, one throughput unit (TU) in Azure Event Hub supports\n up to 1 MB per second of data ingestion. If the incoming event volume exceeds\n the capacity of the configured TUs, data loss may occur. For example, if you\n configure 5 TUs, the maximum supported ingestion rate is 5 MB per second. If\n events are sent at 20 MB per second, the Event Hub may crash. As a result, logs may\n be lost at the Event Hub level before they reach Google SecOps.\n\n2. [Obtain the event hub connection string](https://learn.microsoft.com/en-us/azure/event-hubs/event-hubs-get-connection-string#azure-portal) required for\n Google SecOps to ingest data from the Azure event hub. This\n connection string authorizes Google SecOps to access and collect\n security data from your event hub. You have two options for providing a\n connection string:\n\n - **Event hub namespace level**: works for all event\n hubs within the namespace. It's a simpler option if you're using multiple\n event hubs and want to use the same connection string for all of them in\n your feed setup.\n\n - **Event hub level** : applies to a single event hub.\n This is a secure option if you need to grant access to only one event hub.\n Ensure that you remove `EntityPath` from the end of the connection string.\n\n For example, change `Endpoint=\u003cENDPOINT\u003e;SharedAccessKeyName=\u003cKEY_NAME\u003e;SharedAccessKey=\u003cKEY\u003e;EntityPath=\u003cEVENT_HUB_NAME\u003e`\n to `Endpoint=\u003cENDPOINT\u003e;SharedAccessKeyName=\u003cKEY_NAME\u003e;SharedAccessKey=\u003cKEY\u003e`.\n3. Configure your applications, such as [Web Application Firewall](https://docs.microsoft.com/en-us/azure/web-application-firewall/afds/waf-front-door-monitor) or [Microsoft Defender](https://learn.microsoft.com/en-us/defender),\n to send their logs to the event hub.\n\n **Microsoft Defender users:** When configuring Microsoft Defender streaming,\n ensure that you enter your existing event hub name. If you leave this field blank, the\n system might create unnecessary event hubs and consume your limited feed quota.\n To keep things organized, use event hub names that match the log type.\n\n### Configure the Azure feed\n\nTo configure the Azure feed in Google SecOps, do the following:\n\n1. In the Google SecOps menu, select **SIEM Settings** , and then\n click **Feeds**.\n\n2. Click **Add new**.\n\n3. In the **Feed name** field, enter a name for the feed.\n\n4. In the **Source type** list, select **Microsoft Azure Event Hub**.\n\n5. Select the **Log type** . For example, to create a feed for Open Cybersecurity\n Schema Framework, select **Open Cybersecurity Schema Framework (OCSF)** as the\n **Log type**.\n\n6. Click **Next** . The **Add feed** window appears.\n\n7. Retrieve the information from the event hub that you created earlier in the\n Azure portal to fill in the following fields:\n\n - **Event hub name**: the event hub name\n - **Event hub consumer group**: the consumer group associated with your\n event hub\n\n | **Caution:** Don't create subscribers or retrieve data programmatically through the Data Explorer tab in the Azure portal for the consumer group. Doing so may result in data loss.\n - **Event hub connection string**: the event hub connection string\n\n - **Azure storage connection string**: Optional. The blob storage connection string\n\n - **Azure storage container name**: Optional. The blob storage container name\n\n - **Azure SAS token**: Optional. The SAS token\n\n - **Asset namespace** : Optional. The [asset namespace](/chronicle/docs/investigation/asset-namespaces)\n\n - **Ingestion labels**: Optional. The label to be applied to the events from this feed\n\n | **Note:** Google SecOps manages its own checkpointing when ingesting data from Azure Event Hub. Only the event hub connection string is required. The other optional fields don't affect the checkpointing.\n8. Click **Next** . The **Finalize** screen appears.\n\n9. Review your feed configuration, and then click **Submit**.\n\n### Verify data flow\n\nTo verify that your data is flowing into Google SecOps and your\nevent hub is functioning correctly, you can perform these checks:\n\n- In Google SecOps, examine the dashboards and use the Raw Log Scan\n or Unified Data Model (UDM) search to verify that the ingested data\n is present in the correct format.\n\n- In the Azure portal, navigate to your event hub's page and inspect the\n graphs that display incoming and outgoing bytes. Ensure that the incoming and\n outgoing rates are roughly equivalent, indicating that messages are being\n processed and there is no backlog.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
