Verwalten von NSG-Datenflussprotokollen mit der Azure-Portal

Die Datenflussprotokollierung für Netzwerksicherheitsgruppen ist ein Feature von Azure Network Watcher, mit dem Sie Informationen zu IP-Datenverkehr protokollieren können, der eine Netzwerksicherheitsgruppe durchläuft. Weitere Informationen zur Datenflussprotokollierung für Netzwerksicherheitsgruppen finden Sie unter Übersicht über NSG-Datenflussprotokolle.

In diesem Artikel erfahren Sie, wie Sie mithilfe der Azure-Portal ein NSG-Datenflussprotokoll erstellen, ändern, deaktivieren oder löschen. Sie erfahren, wie Sie ein NSG-Flussprotokoll mithilfe von PowerShell, der Azure CLI, REST-API oder ARM-Vorlage verwalten.

Voraussetzungen

• Ein Azure-Konto mit einem aktiven Abonnement. Sie können kostenlos ein Konto erstellen.

• Insights-Anbieter. Weitere Informationen finden Sie unter Registrieren von Insights-Anbietern.

• Eine Netzwerksicherheitsgruppe Weitere Informationen zum Erstellen einer Netzwerksicherheitsgruppe finden Sie unter Erstellen, Ändern oder Löschen einer Netzwerksicherheitsgruppe.

• Ein Azure-Speicherkonto. Informationen zum Erstellen eines Speicherkontos finden Sie unter Erstellen eines Speicherkontos mithilfe des Azure-Portals.

Registrieren von Insights-Anbietern

Der Microsoft.Insights-Anbieter muss registriert sein, um den Datenverkehr, der eine Netzwerksicherheitsgruppe durchläuft, erfolgreich protokollieren zu können. Wenn Sie nicht sicher sind, ob der Microsoft.Insights Anbieter registriert ist, können Sie den Status überprüfen, indem Sie die folgenden Schritte ausführen:

1. Geben Sie in das Suchfeld im oberen Bereich des Portals Abonnements ein. Wählen Sie in den Suchergebnissen Abonnements aus.

   

2. Wählen Sie unter Abonnements das Azure-Abonnement aus, für das Sie den Anbieter aktivieren möchten.

3. Klicken Sie unter Einstellungen auf Ressourcenanbieter.

4. Geben Sie Erkenntnis in das Filterfeld ein.

5. Vergewissern Sie sich, dass der angezeigte Status des Anbieters Registriert lautet. Wenn der Status NotRegistered lautet, wählen Sie den Microsoft.Insights-Anbieter aus und dann Registrieren.

   

Erstellen eines Datenflussprotokolls

Erstellen Sie ein Datenflussprotokoll für Ihre Netzwerksicherheitsgruppe. Dieses NSG-Datenflussprotokoll wird in einem Azure-Speicherkonto gespeichert.

1. Geben Sie im Suchfeld oben im Portal Network Watcher ein. Wählen Sie Network Watcher aus den Suchergebnissen aus.

2. Wählen Sie unter Protokolle die Option Datenflussprotokolle aus.

3. Wählen Sie in Network Watcher | Datenflussprotokolle die blaue Schaltfläche + Erstellen oder Datenflussprotokoll erstellen aus.

   

4. Geben Sie auf der Registerkarte Grundlagen von Datenflussprotokoll erstellen die folgenden Werte ein, oder wählen Sie sie aus:

   Einstellung	Wert
   Projektdetails
   Subscription	Wählen Sie das Azure-Abonnement Ihrer Netzwerksicherheitsgruppe aus, das Sie protokollieren möchten.
   Art des Datenflussprotokolls	Wählen Sie Netzwerksicherheitsgruppe und dann + Zielressource auswählen aus. Wählen Sie die Netzwerksicherheitsgruppe aus, für die Sie ein Datenflussprotokoll erstellen möchten, und wählen Sie dann Auswahl bestätigen aus.
   Name des Datenflussprotokolls	Geben Sie einen Namen für das Datenflussprotokoll ein, oder behalten Sie den Standardnamen bei. Das Azure-Portal verwendet {ResourceName}-{ResourceGroupName}-flowlog als Standardname für das Datenflussprotokoll. myNSG-myResourceGroup-flowlog ist der Standardname, der in diesem Artikel verwendet wird.
   Instanzendetails
   Subscription	Wählen Sie das Azure-Abonnement Ihres Speicherkontos aus.
   Speicherkonten	Wählen Sie das Speicherkonto aus, in dem Sie die Datenflussprotokolle speichern möchten. Wenn Sie ein neues Speicherkonto erstellen möchten, wählen Sie Neues Speicherkonto erstellen aus.
   Beibehaltung (Tage)	Geben Sie eine Aufbewahrungszeit für die Protokolle ein (diese Option ist nur für Standard, Universell V2-Speicherkonten verfügbar). Geben Sie 0 ein, wenn Sie die Datenflussprotokolldaten für immer im Speicherkonto aufbewahren möchten (bis Sie sie aus dem Speicherkonto löschen). Informationen zu Preisen finden Sie unter Preise für Azure Storage.

   

   Hinweis

   Wenn sich das Speicherkonto in einem anderen Abonnement befindet, müssen die Netzwerksicherheitsgruppe und das Speicherkonto demselben Microsoft Entra-Mandanten zugeordnet sein. Die für die beiden Abonnements verwendeten Konten müssen über die erforderlichen Berechtigungen verfügen.

5. Um Die Datenverkehrsanalyse zu aktivieren, wählen Sie die Schaltfläche Weiter: Analyse aus, oder wählen Sie die Registerkarte Analyse aus. Geben Sie folgende Werte ein bzw. wählen diese aus:

   Einstellung	Wert
   Datenflussprotokollversion	Wählen Sie die Version des Datenflussprotokolls für Netzwerksicherheitsgruppen aus. Die verfügbaren Optionen sind: Version 1 und Version 2. Die Standardversion ist Version 2. Weitere Informationen finden Sie unter Datenflussprotokollierung für eine Netzwerksicherheitsgruppe.
   Aktivieren von Traffic Analytics	Aktivieren Sie das Kontrollkästchen, um die Datenverkehrsanalyse für Ihr Datenflussprotokoll zu aktivieren.
   Verarbeitungsintervall der Datenverkehrsanalyse	Wählen Sie das von Ihnen bevorzugte Verarbeitungsintervall aus. Verfügbare Optionen sind: Jede Stunde und Alle 10 Minuten. Das Standardverarbeitungsintervall ist jede Stunde. Weitere Informationen finden Sie unter Datenverkehrsanalyse.
   Subscription	Wählen Sie das Azure-Abonnement für Ihren Log Analytics-Arbeitsbereich aus.
   Log Analytics-Arbeitsbereich	Wählen Sie Ihren Log Analytics-Arbeitsbereich aus. Standardmäßig erstellt Azure-Portal den Log Analytics-Arbeitsbereich DefaultWorkspace-{SubscriptionID}-{Region} in der Ressourcengruppe defaultresourcegroup-{Region}.

   

   Hinweis

   Informationen zum Erstellen und Auswählen eines anderen Log Analytics-Arbeitsbereichs als dem Standardarbeitsbereich finden Sie unter Erstellen eines Log Analytics-Arbeitsbereichs.

6. Klicken Sie auf Überprüfen + erstellen.

7. Überprüfen Sie die Einstellungen, und wählen Sie dann die Option Erstellen.

Aktivieren oder Deaktivieren von Datenverkehrsanalysen

Aktivieren Sie die Datenverkehrsanalyse für ein Datenflussprotokoll, um die Daten des Datenflussprotokolls zu analysieren. Datenverkehrsanalysen bieten Einblicke in Ihre Datenverkehrsmuster. Sie können die Datenverkehrsanalyse für ein Datenflussprotokoll jederzeit aktivieren oder deaktivieren.

Führen Sie die folgenden Schritte aus, um die Datenverkehrsanalyse für ein Datenflussprotokoll zu aktivieren:

1. Geben Sie im Suchfeld oben im Portal Network Watcher ein. Wählen Sie Network Watcher aus den Suchergebnissen aus.

2. Wählen Sie unter Protokolle die Option Datenflussprotokolle aus.

3. Wählen Sie in Network Watcher | Datenflussprotokolle das Datenflussprotokoll aus, für das Sie die Datenverkehrsanalyse aktivieren möchten.

4. Aktivieren Sie in den Datenflussprotokoll-Einstellungen das Kontrollkästchen Datenverkehrsanalyse aktivieren.

   

5. Wählen Sie die folgenden Werte aus:

   Einstellung	Wert
   Abonnement	Wählen Sie das Azure-Abonnement für Ihren Log Analytics-Arbeitsbereich aus.
   Log Analytics-Arbeitsbereich	Wählen Sie Ihren Log Analytics-Arbeitsbereich aus. Standardmäßig erstellt Azure-Portal den Log Analytics-Arbeitsbereich DefaultWorkspace-{SubscriptionID}-{Region} in der Ressourcengruppe defaultresourcegroup-{Region}.
   Intervall der Datenverkehrsprotokollierung	Wählen Sie das von Ihnen bevorzugte Verarbeitungsintervall aus. Verfügbare Optionen sind: Jede Stunde und Alle 10 Minuten. Das Standardverarbeitungsintervall ist jede Stunde. Weitere Informationen finden Sie unter Datenverkehrsanalyse.

   

6. Klicken Sie auf Speichern, um die Änderungen zu übernehmen.

Um die Datenverkehrsanalyse für ein Datenflussprotokoll zu deaktivieren, führen Sie die vorherigen Schritte 1–3 aus, deaktivieren Sie dann das Kontrollkästchen Datenverkehrsanalyse aktivieren, und wählen Sie Speichern aus.

Ändern der Flussprotokolleinstellungen

Sie können die Einstellungen eines Datenflussprotokoll ändern, nachdem Sie es erstellt haben. Beispielsweise können Sie die Version des Datenflussprotokolls ändern oder die Datenverkehrsanalyse deaktivieren.

1. Geben Sie im Suchfeld oben im Portal Network Watcher ein. Wählen Sie Network Watcher aus den Suchergebnissen aus.

2. Wählen Sie unter Protokolle die Option Datenflussprotokolle aus.

3. Wählen Sie in Network Watcher | Datenflussprotokolle das Datenflussprotokoll aus, das Sie ändern möchten.

4. In den Einstellungen für Datenflussprotokolle können Sie die folgenden Einstellungen ändern:

   Einstellung	Wert
   Speicherkonto
   Abonnement	Ändern Sie das Azure-Abonnement des Speicherkontos, das Sie verwenden möchten.
   Speicherkonto	Ändern Sie das Speicherkonto, in dem Sie die Datenflussprotokolle speichern möchten. Wenn Sie ein neues Speicherkonto erstellen möchten, wählen Sie Neues Speicherkonto erstellen aus.
   Beibehaltung (Tage)	Ändern Sie die Aufbewahrungszeit im Speicherkonto. Geben Sie 0 ein, wenn Sie die Datenflussprotokolldaten für immer im Speicherkonto aufbewahren möchten (bis Sie die Daten manuell aus dem Speicherkonto löschen).
   Traffic Analytics
   Aktivieren von Traffic Analytics	Aktivieren oder deaktivieren Sie die Datenverkehrsanalyse mithilfe des Kontrollkästchens.
   Abonnement	Ändern Sie das Azure-Abonnement des Log Analytics-Arbeitsbereichs, den Sie verwenden möchten.
   Log Analytics-Arbeitsbereich	Ändern Sie den Log Analytics-Arbeitsbereich, in dem Sie die Datenflussprotokolle speichern möchten, wenn die Datenverkehrsanalyse aktiviert ist.
   Intervall der Datenverkehrsprotokollierung	Ändern Sie das Verarbeitungsintervall der Datenverkehrsanalyse, wenn die Datenverkehrsanalyse aktiviert ist. Verfügbare Optionen sind: eine Stunde und 10 Minuten. Das Standardverarbeitungsintervall ist jede Stunde. Weitere Informationen finden Sie unter Traffic Analytics.

   

5. Wählen Sie Speichern aus, um die Änderungen anzuwenden, oder Abbrechen, um ohne Speichern zu beenden.

Auflisten aller Datenflussprotokolle

Sie können alle Datenflussprotokolle in einem Abonnement oder einer Gruppe von Abonnements auflisten. Sie können auch alle Datenflussprotokolle in einer Region auflisten.

1. Geben Sie im Suchfeld oben im Portal Network Watcher ein. Wählen Sie Network Watcher aus den Suchergebnissen aus.

2. Wählen Sie unter Protokolle die Option Datenflussprotokolle aus.

3. Wählen Sie den Filter Abonnement gleich aus, um eines oder mehrere Ihrer Abonnements auszuwählen. Sie können andere Filter wie Standort gleich anwenden, um alle Datenflussprotokolle in einer Region auflisten zu können.

   

Anzeigen von Details einer Datenflussprotokollressource

Sie können die Details eines Datenflussprotokolls in einem Abonnement oder einer Gruppe von Abonnements anzeigen. Sie können auch alle Datenflussprotokolle in einer Region auflisten.

1. Geben Sie im Suchfeld oben im Portal Network Watcher ein. Wählen Sie Network Watcher aus den Suchergebnissen aus.

2. Wählen Sie unter Protokolle die Option Datenflussprotokolle aus.

3. Wählen Sie in Network Watcher | Datenflussprotokolle das Datenflussprotokoll aus, das Sie anzeigen möchten.

4. Unter Einstellungen für Datenflussprotokolle können Sie die Einstellungen der Datenflussprotokollressource anzeigen.

   

5. Wählen Sie Abbrechen aus, um die Einstellungsseite zu schließen, ohne Änderungen vorzunehmen.

Herunterladen eines Flowprotokolls

Bei der Erstellung wird der Speicherort eines Flowprotokolls definiert. Sie können Azure Storage-Explorer verwenden, um auf Datenflussprotokolle in Ihrem Speicherkonto zuzugreifen und diese herunterzuladen. Weitere Informationen finden Sie unter Erste Schritte mit Storage-Explorer.

NSG-Datenflussprotokoll-Dateien werden unter dem folgenden Pfad in einem Speicherkonto gespeichert:

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

Informationen zur Struktur eines Datenflussprotokolls finden Sie unter Protokollformat von NSG-Datenflussprotokollen.

Deaktivieren eines Datenflussprotokolls

Sie können ein NSG-Datenflussprotokoll vorübergehend deaktivieren, ohne es zu löschen. Durch das Deaktivieren eines Datenflussprotokolls wird die Datenflussprotokollierung für die zugeordnete Netzwerksicherheitsgruppe beendet. Die Datenflussprotokoll-Ressource bleibt jedoch mit all ihren Einstellungen und Zuordnungen erhalten. Sie können das Datenflussprotokoll jederzeit wieder aktivieren, um mit der Datenflussprotokollierung für die konfigurierte Netzwerksicherheitsgruppe fortzufahren.

1. Geben Sie im Suchfeld oben im Portal Network Watcher ein. Wählen Sie Network Watcher aus den Suchergebnissen aus.

2. Wählen Sie unter Protokolle die Option Datenflussprotokolle aus.

3. Aktivieren Sie in Network Watcher | Datenflussprotokolle das Kontrollkästchen des Datenflussprotokolls, das Sie deaktivieren möchten.

4. Wählen Sie Deaktivieren aus.

   

Löschen eines Datenflussprotokolls

Sie können ein NSG-Datenflussprotokoll dauerhaft löschen. Beim Löschen eines Datenflussprotokolls werden alle zugehörigen Einstellungen und Zuordnungen gelöscht. Wenn Sie für die gleiche Netzwerksicherheitsgruppe wieder mit der Datenflussprotokollierung beginnen möchten, muss eine neue Datenflussprotokoll-Ressource erstellt werden.

1. Geben Sie im Suchfeld oben im Portal Network Watcher ein. Wählen Sie Network Watcher aus den Suchergebnissen aus.

2. Wählen Sie unter Protokolle die Option Datenflussprotokolle aus.

3. Aktivieren Sie in Network Watcher | Datenflussprotokolle das Kontrollkästchen des Datenflussprotokolls, das Sie löschen möchten.

4. Klicken Sie auf Löschen.

   

Zugehöriger Inhalt

• Weitere Informationen zur Verwendung integrierter Azure-Richtlinien zum Überwachen oder Bereitstellen von NSG-Datenflussprotokollen finden Sie unter Verwalten von NSG-Datenflussprotokollen mit Azure Policy.
• Weitere Informationen zur Datenverkehrsanalyse finden Sie unter Azure Network Watcher-Datenverkehrsanalysen.