Azure：如何从事件中心处理 Azure 日志事件并根据条件进行过滤

Question

如何处理来自事件中心的 Azure 日志事件并根据条件进行过滤。

我们正在尝试过滤特定的关键或安全相关的诊断和活动日志，然后将其输入到我们的 Onprem SIEM 解决方案中。

有人能指导我如何过滤事件中心的数据然后重新导入另一个事件中心吗？这是否可行，或者还有其他可用的替代方案吗？

从高层次来看，流程如下所示。来源来自 Azure 活动或诊断日志（监视器）-> 事件中心 -> 筛选器/查询 -> 事件中心

Azure 事件日志数据流诊断

Answer 1

Event Hub 本身无法为您进行任何过滤，它只是一个摄取工具，因此您需要使用另一个工具来查看这些数据并过滤出您需要的内容。最简单的工具是流分析，它可以直接处理来自事件中心的数据，然后将其发送到您需要的地方。查看示例这里。