本文檔主要介紹如何將Azure Microsoft Entra ID 日誌、Azure Key Vault、Azure Firewall、Azure Activity Log等渠道日誌，藉助Azure EventHub，匯入到阿里雲資訊安全中心的Agentic SOC，進行統一的標準化解析和威脅檢測。
工作原理
本方案利用Azure事件中心對Apache Kafka協議的相容性，將事件中心類比為一個Kafka服務。Security Center作為Kafka用戶端，通過指定的存取點、Topic和認證資訊，從事件中心擷取日誌資料，進行統一的標準化解析和威脅檢測。配置流程如下：
在Azure準備事件中心（Event Hub）
詳細指引請參考Azure官方文檔：使用 Azure 門戶建立事件中心。
步驟一：建立資源群組
登入Azure控制台。
在左側導覽列中，選擇資源群組，然後選擇建立。
建立資源群組頁面填寫配置資訊後，單擊查看 + 建立。
訂閱：請選擇要在其中建立資源群組的 Azure 訂閱的名稱。
資源群組名稱： 自訂資源群組唯一名稱。
地區：選擇資源群組所在的地區。
確認資訊後，單擊建立。
步驟二：建立Event Hub命名空間
在左側導覽列中，選擇所有服務。在分析服務地區，單擊事件中心。
在事件中心頁面，單擊建立並參照如下說明，填寫配置資訊。
訂閱：選擇步驟一中填寫的訂閱名稱
資源群組：選擇在步驟一中建立的資源群組。
命名空間名稱：自訂命名空間的名稱，輸入框右下角即為空白間訪問地址（Kafka 存取點的服務地址）。
例如輸入
test01namespace，對應的訪問地址尾碼為.servicebus.windows.net。地區：選擇在步驟一中建立的資源群組所在地區。
定價層：根據業務需求配置，預設選擇基本 。若需將 Azure 事件中心命名空間的存取權限限制為僅 Agentic SOC 可訪問，推薦標準及以上的配置。更多操作，請參見配置事件中心白名單（可選）。
輸送量單位/處理單元（進階層）：保持預設配置即可。
說明更多輸送量單位或處理單位說明，請參見事件中心的延展性。
自動擴充：根據業務需求，決定是否啟用此功能。
在網路頁簽，選擇網路連接方式為公用訪問，然後單擊頁面底部審閱 + 建立。
重要在Azure中配置網路白名單，可實現威脅分析與響應對Event Hub命名空間的專屬訪問。具體操作，請參見配置事件中心白名單（可選）。
確認配置資訊無誤後，單擊建立並等待部署完成。
在部署完成頁，單擊轉到資源，可跳轉至命名空間詳情頁。
說明在事件中心首頁列表中，單擊空間名稱，查看並進入命名空間詳情頁。
步驟三：建立事件中心
在步驟二建立的命名空間詳情頁，單擊+ 事件中心。
在建立頁填寫下拉資訊後，單擊審閱 + 建立。
名稱：自訂Event Hub的名稱。
重要Event Hub名稱即為後續配置Kafka時對應的Topic，請設定具有代表性且易於尋找理解的名稱。
其餘配置：保持預設即可。
在資訊確認頁，單擊建立後，等待建立任務完成。
返回命名空間首頁，可在事件中心地區查看建立的資料。
步驟四：記錄重要訊息
記錄以下資訊，後續配置 Azure 診斷設定以及在 Agentic SOC 中匯入 EventHub 日誌資料時需要使用：
資訊項 | 說明 |
命名空間名稱 | Event Hub 命名空間的名稱 |
Event Hub 名稱 | 命名空間下建立的 Event Hub 執行個體名稱 |
消費者組 | 預設為 |
共用存取原則串連串 |
|
配置渠道日誌投遞到 Event Hub
根據需要採集的渠道日誌類型，在對應的 Azure 資源上配置診斷設定，將日誌投遞到步驟一建立的 Event Hub。
Microsoft Entra ID 日誌
在 Azure 門戶首頁搜尋 Microsoft Entra ID，進入服務頁面。
左側導航選擇監視 > 診斷設定。
單擊添加診斷設定，或選擇已有設定進行編輯。
勾選需要採集的日誌類別（如登入日誌、稽核線索等）。
目標位置選擇串流到事件中心，並選擇步驟一建立的命名空間和 Event Hub 執行個體。
單擊儲存。
Azure Key Vault
配置流程與 Microsoft Entra ID 基本一致：
進入對應的 Azure Key Vault 資源頁面。
左側導航選擇監視 > 診斷設定。
單擊添加診斷設定，或選擇已有設定進行編輯。
勾選需要採集的日誌類別，目標位置選擇串流到事件中心，並選擇步驟一建立的命名空間和 Event Hub 執行個體。
單擊儲存。
Azure Firewall
配置流程與 Microsoft Entra ID 基本一致：
進入對應的 Azure Firewall 資源頁面。
左側導航選擇監視 > 診斷設定。
單擊添加診斷設定，或選擇已有設定進行編輯。
勾選需要採集的日誌類別，目標位置選擇串流到事件中心，並選擇步驟一建立的命名空間和 Event Hub 執行個體。
單擊儲存。
Azure Activity Log
Activity Log 的配置入口與資源層級的診斷設定不同：
在 Azure 門戶首頁搜尋並進入 Azure Monitor 服務。
左側導航選擇 Activity log。
單擊頁面頂部的診斷設定。
單擊添加診斷設定，或選擇已有設定進行編輯。
勾選需要採集的活動紀錄類別，目標位置選擇串流到事件中心，並選擇步驟一建立的 Event Hub。
單擊儲存。
在Security Center配置資料匯入
步驟一：授權Security Center訪問Event Hub
訪問Security Center控制台-系統設定-功能設定，在頁面左側頂部，選擇需防護資產所在的地區：中國內地或非中國內地。
在多云配置管理頁簽，選擇多云资产後，單擊新增授权，下拉選擇IDC。在彈出的面板中進行如下配置：
配置同步策略
AK服務狀態檢查：不涉及，跳過即可。
步驟二：建立資料匯入任務
建立資料來源
為Azure日誌資料建立一個資料來源，若已建立請跳過此步驟。
-
訪問Security Center控制台-Agentic SOC-管理-接入設定，在頁面左側頂部，選擇需防護資產所在的地區：中國內地或非中國內地。
-
在資料來源頁簽，建立接收日誌的資料來源。具體操作請參見建立資料來源：日誌未接入Log Service（SLS）。
-
來源資料源類型：可選擇CTDR專屬資料擷取通道（推薦）或自訂Log Service。
-
接入執行個體：建議建立日誌庫（Logstore），進行資料隔離。
-
-
在數據匯入頁簽，單擊新增數據匯入。在彈出的面板中進行如下配置：
資料來源類型：Kafka。
終端節點：
<YOUR-NAMESPACE>.servicebus.windows.net:9093，其中<YOUR-NAMESPACE>為事件中心的命名空間名稱。Topics：即為建立事件中心時設定的Event Hub的名稱。
實值型別：json。
配置目標資料來源
資料來源名稱：選擇在本節建立資料來源步驟中建立的資料來源。
目標Logstore：選擇在本節建立資料來源步驟中設定的日誌庫（Logstore）。
單擊確定儲存配置：匯入配置完成後，Security Center將自動從Azure Event Hub擷取日誌。
配置事件中心白名單（可選）
基礎層不支援配置網路白名單。
詳細指引請參考Azure官方文檔：為現有命名空間配置 IP 防火牆。
在Event Hub命名空間的左側菜單中，單擊設定菜單下的網路。
在網路頁的公用訪問頁簽，單擊Public network access地區的Manage按鈕。
在公用網路訪問配置頁面的Default action地區，勾選Enable from selected networks。
在IP Addresses地區，填寫需要加白的IP地址，單擊儲存（Save）。操作樣本和白名單地址如下：
日誌儲存Project地區IP：
地區
VPC IP地址白名單
公網IP地址白名單
華東1（杭州）
100.104.0.0/16
114.55.8.190
47.99.57.53
114.55.85.98
47.99.212.49
120.26.169.131
118.178.236.24
47.98.173.126
華東2（上海）
100.104.0.0/16
101.133.151.144
47.102.141.56
106.15.248.175
47.102.99.12
華北1（青島）
100.104.0.0/16
47.104.146.34
120.27.20.55
華北2（北京）
100.104.0.0/16
59.110.6.146
39.105.19.110
47.93.61.189
182.92.187.76
華北3（張家口）
100.104.0.0/16
8.142.80.93
47.92.90.166
8.142.152.234
39.100.37.56
華北5（呼和浩特）
100.104.0.0/16
39.104.61.213
華北6（烏蘭察布）
100.104.0.0/16
8.130.10.99
39.101.66.131
華南1（深圳）
100.104.0.0/16
120.76.47.88
119.23.150.175
華南2（河源）
100.104.0.0/16
47.113.195.162
47.113.192.163
華南3（廣州）
100.104.0.0/16
8.134.56.134
西南1（成都）
100.104.0.0/16
47.108.26.166
中國（香港）
100.104.0.0/16
8.210.69.249
47.52.240.106
新加坡
100.104.0.0/16
47.241.44.82
47.88.153.120
韓國（首爾）
100.104.0.0/16
8.213.130.255
日本（東京）
100.104.0.0/16
47.74.56.187
馬來西亞（吉隆坡）
100.104.0.0/16
47.254.195.145
印尼（雅加達）
100.104.0.0/16
149.129.233.70
菲律賓（馬尼拉）
100.104.0.0/16
8.212.131.139
泰國（曼穀）
100.104.0.0/16
8.213.194.187
德國（法蘭克福）
100.104.0.0/16
47.91.76.65
47.91.89.173
英國（倫敦）
100.104.0.0/16
8.208.86.103
8.208.3.16
美國（維吉尼亞）
100.104.0.0/16
47.253.208.218
47.90.252.237
美國（矽谷）
100.104.0.0/16
47.88.8.7
47.88.7.168
威脅分析與響應地區IP：
地區
公網IP地址白名單
中國內地
106.14.241.32
非中國內地
8.222.217.173
分析匯入資料
資料成功接入後，需配置相應的解析和檢測規則，才能讓Security Center對這些日誌進行分析。
-
建立新的接入策略
參考產品接入，建立新的接入策略，配置如下：
-
資料來源：選擇資料匯入任務中配置的目標資料來源。
-
標準化規則：Agentic SOC提供了適配部分雲產品的內建標準化規則，可直接選用。
-
標準化方式：當接入日誌標準化為警示日誌時，僅支援“即時消費”方式標準化。
-
-
配置威脅檢測規則
根據安全需求，在規則管理中啟用或建立日誌檢測規則，才能對日誌進行分析、產出警示並產生安全事件。具體操作，請參見檢測規則。
例如，篩選廠商為 Azure 時，可看到兩條預定義的標準化規則：微軟雲活動目錄審計日誌標準化規則和微軟雲活動目錄登入審計日誌標準化規則，標準化方式均為即時消費。
費用與成本
本方案會涉及以下服務的費用，實施前請仔細閱讀各產品的計費文檔，做好成本預估。
Azure側：事件中心定價。
-
阿里雲側：費用組成取決於選擇的資料存放區方式。
說明Agentic SOC計費說明，請參見Agentic SOC訂用帳戶、Agentic SOC隨用隨付。
Log Service（SLS）計費說明，請參見計費概述。
資料來源類型
Agentic SOC 計費項目
SLS 計費項目
特別說明
CTDR專屬資料擷取通道
-
日誌接入費用。
-
日誌儲存、寫入費用。
說明以上均消耗日志接入流量。
除日誌儲存和寫入外的其他費用（如公網流量等）。
由Agentic SOC 建立並管理 SLS 資源，因此日誌庫儲存和寫入費用由Agentic SOC出賬。
自訂Log Service
日誌接入費用，消耗日志接入流量。
日誌相關所有費用（包含日誌儲存和寫入、公網流量費用等）。
日誌資源全部由Log Service（SLS）管理，因此日誌相關費用，均由SLS出賬。
-