Administración de registros de flujo de NSG mediante Azure Portal

Los registros de flujo de grupos de seguridad de red son una característica de Azure Network Watcher que le permite registrar información sobre el tráfico de IP que pasa por un grupo de seguridad de red. Para obtener más información sobre el registro de flujo del grupo de seguridad de red, consulte Información general sobre registros de flujo de NSG.

En este artículo se proporciona información sobre cómo crear, cambiar, deshabilitar o eliminar un registro de flujo de NSG mediante Azure Portal. Puede aprender a administrar un registro de flujo de NSG mediante PowerShell, la CLI de Azure, la API de REST o una plantilla de ARM.

Requisitos previos

• Una cuenta de Azure con una suscripción activa. Cree una cuenta gratuita.

• Proveedor de Insights. Para más información, consulte Registro del proveedor de Insights.

• Un grupo de seguridad de red. Si necesita crear un grupo de seguridad de red, vea Crear, cambiar o eliminar un grupo de seguridad de red.

• Una cuenta de almacenamiento de Azure. Si necesita crear una cuenta de almacenamiento, consulte Creación de una cuenta de almacenamiento mediante Azure Portal.

Registro del proveedor de Insights

Se debe registrar el proveedor de Microsoft.Insights para registrar correctamente el tráfico que fluye mediante un grupo de seguridad de red. Si no está seguro de si el proveedor Microsoft.Insights está registrado, puede comprobar su estado siguiendo estos pasos:

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba suscripciones. En los resultados de la búsqueda, seleccione Suscripciones.

   

2. Seleccione la suscripción de Azure para la que quiere habilitar el proveedor en Suscripciones.

3. En Configuración, seleccione Proveedores de recursos.

4. Escriba insight en el cuadro de filtro.

5. Confirme que el estado que se muestra para el proveedor es Registrado. Si el estado es NotRegistered, seleccione el proveedor Microsoft.Insights. Después, seleccione Registrar.

   

Creación de un registro de flujo

Cree un registro de flujo para el grupo de seguridad de red. Este registro de flujo de NSG se guarda en una cuenta de almacenamiento de Azure.

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba network watcher. En los resultados de la búsqueda, seleccione Network Watcher.

2. En Registros, seleccione Registros de flujo.

3. En Network Watcher | Registros de flujo, seleccione + Crear o el botón azul Crear registro de flujo.

   

4. En la pestaña Aspectos básicos de Crear un registro de flujo, escriba o seleccione los siguientes valores.

   Configuración	Value
   Detalles del proyecto
   Subscription	Seleccione la suscripción de Azure del grupo de seguridad de red que desea registrar.
   Tipo de registro de flujo	Seleccione Grupo de seguridad de red y + Seleccionar recurso de destino. Seleccione el grupo de seguridad de red para el que desea registrar el flujo y elija Confirmar selección.
   Nombre del registro de flujo	Escriba un nombre para el registro de flujo o deje el nombre predeterminado. Azure Portal usa {ResourceName}-{ResourceGroupName}-flowlog como nombre predeterminado para el registro de flujo. myNSG-myResourceGroup-flowlog es el nombre predeterminado que se usa en este artículo.
   Detalles de instancia
   Suscripción	Seleccione la suscripción de Azure de la cuenta de almacenamiento.
   Cuentas de almacenamiento	Seleccione la cuenta de almacenamiento en la que desea guardar los registros de flujo. Si desea crear una nueva cuenta de almacenamiento, seleccione Crear una nueva cuenta de almacenamiento.
   Retención (días)	Escriba un período de retención para los registros (esta opción solo está disponible con cuentas de almacenamiento Standard v2 de uso general). Escriba 0 si desea conservar los datos de los registros de flujo en la cuenta de almacenamiento para siempre (hasta que los elimine de la cuenta de almacenamiento). Para obtener información sobre los precios, consulte Precios de Azure Storage.

   

   Nota:

   Si la cuenta de almacenamiento está en otra suscripción, tanto el grupo de seguridad de red como la cuenta de almacenamiento deben estar asociados al mismo inquilino de Microsoft Entra. La cuenta que utilice para cada suscripción debe tener los permisos necesarios.

5. Para permitir el análisis de tráfico, seleccione el botón Siguiente: Análisis o seleccione la pestaña Análisis. Escriba o seleccione los siguientes valores:

   Configuración	Value
   Versión de los registros de flujo	Seleccione la versión del registro de flujo del grupo de seguridad de red; las opciones disponibles son: Versión 1 y Versión 2. La versión predeterminada es la 2. Para obtener más información, consulte Registro de flujo para grupos de seguridad de red.
   Habilitar el análisis del tráfico	Active la casilla para habilitar el análisis de tráfico para el registro de flujo.
   Intervalo de procesamiento del análisis de tráfico	Seleccione el intervalo de procesamiento que prefiera; las opciones disponibles son: Cada 1 hora y Cada 10 minutos. El intervalo de procesamiento determinado es cada hora. Para más información, consulte Análisis de tráfico.
   Subscription	Seleccione la suscripción de Azure para el área de trabajo de Log Analytics.
   Área de trabajo de Log Analytics	Seleccione el área de trabajo de Log Analytics. De manera predeterminada, Azure Portal crea el área de trabajo de Log Analytics DefaultWorkspace-{SubscriptionID}-{Region} en el grupo de recursos defaultresourcegroup-{Region}.

   

   Nota:

   Para crear y seleccionar un área de trabajo de Log Analytics que no sea la predeterminada, consulte Creación de un área de trabajo de Log Analytics.

6. Seleccione Revisar + crear.

7. Revise la configuración y, a continuación, seleccione Crear.

Habilitación o deshabilitación del análisis de tráfico

Habilite el análisis de tráfico de un registro de flujo para analizar los datos del registro de flujo. El análisis de tráfico proporciona información sobre los patrones de tráfico. Puede habilitar o deshabilitar el análisis de tráfico para un registro de flujo en cualquier momento.

Para habilitar el análisis de tráfico para un registro de flujo, siga estos pasos:

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba network watcher. En los resultados de la búsqueda, seleccione Network Watcher.

2. En Registros, seleccione Registros de flujo.

3. En Network Watcher | Registros de flujo, seleccione l registro de flujo para el que desea habilitar el análisis de tráfico.

4. En Configuración de registros de flujo, active la casilla Habilitar análisis de tráfico.

   

5. Seleccione los valores siguientes:

   Configuración	Valor
   Suscripción	Seleccione la suscripción de Azure para el área de trabajo de Log Analytics.
   Área de trabajo de Log Analytics	Seleccione el área de trabajo de Log Analytics. De manera predeterminada, Azure Portal crea el área de trabajo de Log Analytics DefaultWorkspace-{SubscriptionID}-{Region} en el grupo de recursos defaultresourcegroup-{Region}.
   Intervalo de registro de tráfico	Seleccione el intervalo de procesamiento que prefiera; las opciones disponibles son: Cada 1 hora y Cada 10 minutos. El intervalo de procesamiento determinado es cada hora. Para más información, consulte Análisis de tráfico.

   

6. Seleccione Guardar para aplicar los cambios.

Para deshabilitar el análisis de tráfico de un registro de flujo, siga los pasos anteriores del 1 al 3, luego desactive la casilla Habilitar análisis de tráfico y seleccione Guardar.

Cambio de la configuración del flujo de registros

Puede cambiar la configuración de un registro de flujo después de crearlo. Por ejemplo, puede cambiar la versión del registro de flujo o deshabilitar el análisis de tráfico.

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba network watcher. En los resultados de la búsqueda, seleccione Network Watcher.

2. En Registros, seleccione Registros de flujo.

3. En Network Watcher | Registros de flujo, seleccione el registro de flujo que desea cambiar.

4. En Configuración de registros de flujo, puede cambiar cualquiera de las siguientes opciones:

   Configuración	Valor
   Cuenta de almacenamiento
   Subscription	Cambie la suscripción de la cuenta de almacenamiento que desea usar.
   Cuenta de almacenamiento	Cambie la cuenta de almacenamiento en la que desea guardar los registros de flujo. Si desea crear una nueva cuenta de almacenamiento, seleccione Crear una nueva cuenta de almacenamiento.
   Retención (días)	Cambie el tiempo de retención en la cuenta de almacenamiento. Escriba 0 si desea conservar los datos de los registros de flujo en la cuenta de almacenamiento para siempre (hasta que elimine manualmente los datos de la cuenta de almacenamiento).
   Análisis de tráfico
   Habilitar el análisis del tráfico	Habilite o deshabilite el análisis de tráfico activando o desactivando la casilla.
   Subscription	Cambie la suscripción de Azure del área de trabajo de Log Analytics que desea usar.
   Área de trabajo de Log Analytics	Cambie el área de trabajo de Log Analytics en la que desea guardar los registros de flujo (si el análisis de tráfico está habilitado).
   Intervalo de registro de tráfico	Cambie el intervalo de procesamiento del análisis de tráfico (si el análisis de tráfico está habilitado). Las opciones disponibles son: una hora y 10 minutos. El intervalo de procesamiento determinado es cada hora. Para más información, consulte Análisis de tráfico.

   

5. Seleccione Guardar para aplicar los cambios o Cancelar para salir sin guardarlos.

Enumeración de todos los registros de flujo

Puede enumerar todos los registros de flujo de una suscripción o un grupo de suscripciones. También puede enumerar todos los registros de flujo de una región.

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba network watcher. En los resultados de la búsqueda, seleccione Network Watcher.

2. En Registros, seleccione Registros de flujo.

3. Seleccione el filtro Igualdad de suscripción para elegir una o varias de las suscripciones. Puede aplicar otros filtros como Igualdad de ubicación para enumerar todos los registros de flujo de una región.

   

Visualización de los detalles de un recurso de registro de flujo

Puede ver los detalles de un registro de flujo en una suscripción o un grupo de suscripciones. También puede enumerar todos los registros de flujo de una región.

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba network watcher. En los resultados de la búsqueda, seleccione Network Watcher.

2. En Registros, seleccione Registros de flujo.

3. En Network Watcher | Registros de flujo, seleccione el registro de flujo que desea ver.

4. En Configuración de registros de flujo, puede ver la configuración del recurso de registro de flujo.

   

5. Seleccione Cancelar para cerrar la página de configuración sin realizar cambios.

Descarga de un registro de flujo

La ubicación de almacenamiento de un registro de flujo se define en el momento de la creación. Para acceder y descargar registros de flujo desde la cuenta de almacenamiento, puede usar el Explorador de Azure Storage. Para más información, vea Introducción al Explorador de Storage.

Los archivos de registro de flujo del NSG guardados en una cuenta de almacenamiento siguen esta ruta:

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

Para obtener información sobre la estructura de un registro de flujo, consulte Formato de registro o Registros de flujo de NSG.

Deshabilitar un registro de flujo

Puede deshabilitar temporalmente un registro de flujo de NSG sin eliminarlo. Al deshabilitar un registro de flujo, este se detiene para el grupo de seguridad de red asociado. Sin embargo, el recurso del registro de flujo permanece con todas sus configuraciones y asociaciones. Puede volver a habilitarlo en cualquier momento para reanudar el registro de flujo para el grupo de seguridad de red configurado.

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba network watcher. En los resultados de la búsqueda, seleccione Network Watcher.

2. En Registros, seleccione Registros de flujo.

3. En Network Watcher | Registros de flujo, seleccione la casilla del registro de flujo que desea deshabilitar.

4. Seleccione Deshabilitar.

   

Eliminación de un registro de flujo

Puede eliminar permanentemente un registro de flujo de NSG. Al eliminar un registro de flujo, se eliminan todas sus configuraciones y asociaciones. Para volver a iniciar el registro de flujo para el mismo grupo de seguridad de red, debe crear un nuevo registro de flujo para este.

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba network watcher. En los resultados de la búsqueda, seleccione Network Watcher.

2. En Registros, seleccione Registros de flujo.

3. En Network Watcher | Registros de flujo, seleccione la casilla del registro de flujo que desea eliminar.

4. Seleccione Eliminar.

   

Contenido relacionado

• Para descubrir cómo usar directivas integradas de Azure a fin de auditar o implementar registros de flujo de NSG, vea Administración de registros de flujo de NSG mediante Azure Policy.
• Para más información sobre el análisis de tráfico, vea Análisis de tráfico.