Schema di analisi del traffico e aggregazione dei dati

Analisi del traffico è una soluzione basata sul cloud che fornisce visibilità delle attività di utenti e applicazioni nelle reti cloud. Analisi del traffico analizza i log dei flussi di Azure Network Watcher per fornire informazioni dettagliate sul flusso del traffico nel cloud di Azure. Con Analisi del traffico è possibile:

• Visualizzare l'attività della rete nelle sottoscrizioni di Azure e identificare le aree sensibili.
• Identificare le minacce alla sicurezza e proteggere la rete con informazioni quali porte aperte, applicazioni che tentano l'accesso a Internet e macchine virtuali (VM) che si connettono a reti non autorizzate.
• Conoscere i modelli di flusso di traffico nelle aree di Azure e in Internet per ottimizzare le prestazioni e la capacità della distribuzione della rete.
• Trovare le configurazioni di rete errate che comportano connessioni non riuscite nella rete.
• Conoscere l'utilizzo della rete in byte, pacchetti o flussi.

Aggregazione dei dati

La query seguente consente di esaminare tutte le subnet che hanno interagito negli ultimi 30 giorni con gli IP pubblici che non sono di Azure.

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowStartTime_t >= ago(30d) and FlowType_s == "ExternalPublic"
| project Subnet1_s, Subnet2_s  

Per visualizzare il percorso BLOB dei flussi nella query precedente, usare la query seguente:

let TableWithBlobId =
(AzureNetworkAnalytics_CL
   | where SubType_s == "Topology" and ResourceType == "NetworkSecurityGroup" and DiscoveryRegion_s == Region_s and IsFlowEnabled_b
   | extend binTime = bin(TimeProcessed_t, 6h),
            nsgId = strcat(Subscription_g, "/", Name_s),
            saNameSplit = split(FlowLogStorageAccount_s, "/")
   | extend saName = iif(arraylength(saNameSplit) == 3, saNameSplit[2], '')
   | distinct nsgId, saName, binTime)
| join kind = rightouter (
   AzureNetworkAnalytics_CL
   | where SubType_s == "FlowLog"  
   | extend binTime = bin(FlowEndTime_t, 6h)
) on binTime, $left.nsgId == $right.NSGList_s  
| extend blobTime = format_datetime(todatetime(FlowIntervalStartTime_t), "yyyy MM dd hh")
| extend nsgComponents = split(toupper(NSGList_s), "/"), dateTimeComponents = split(blobTime, " ")
| extend BlobPath = strcat("https://", saName,
                        "@insights-logs-networksecuritygroupflowevent/resoureId=/SUBSCRIPTIONS/", nsgComponents[0],
                        "/RESOURCEGROUPS/", nsgComponents[1],
                        "/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/", nsgComponents[2],
                        "/y=", dateTimeComponents[0], "/m=", dateTimeComponents[1], "/d=", dateTimeComponents[2], "/h=", dateTimeComponents[3],
                        "/m=00/macAddress=", replace(@"-", "", MACAddress_s),
                        "/PT1H.json")
| project-away nsgId, saName, binTime, blobTime, nsgComponents, dateTimeComponents;

TableWithBlobId
| where SubType_s == "FlowLog" and FlowStartTime_t >= ago(30d) and FlowType_s == "ExternalPublic"
| project Subnet_s , BlobPath

La query precedente costruisce un URL per accedere direttamente al BLOB. L'URL con segnaposto è il seguente:

https://{storageAccountName}@insights-logs-networksecuritygroupflowevent/resoureId=/SUBSCRIPTIONS/{subscriptionId}/RESOURCEGROUPS/{resourceGroup}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{networkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

Schema di analisi del traffico

L'analisi del traffico si basa sui log di Monitoraggio di Azure, quindi è possibile eseguire query personalizzate sui dati decorati dall'analisi del traffico e impostare avvisi.

Schema dei dettagli dell'IP pubblico

Analisi del traffico fornisce i dati WHOIS e la posizione geografica per tutti gli IP pubblici nell'ambiente in uso. Per un IP dannoso, Analisi del traffico fornisce descrizioni di dominio DNS, tipo di minaccia e thread identificati dalle soluzioni di Intelligence per la sicurezza Microsoft. I dettagli IP vengono pubblicati nell'area di lavoro Log Analytics in modo da poter creare query personalizzate e inserire avvisi. È anche possibile accedere alle query prepopolate dal dashboard di analisi del traffico.

La tabella seguente illustra in dettaglio lo schema IP pubblico:

Elenco dei tipi di minaccia:

Note

• In caso di flussi AzurePublic e ExternalPublic, l'indirizzo IP della macchina virtuale di Azure di proprietà del cliente viene popolato nel campo VMIP_s, mentre gli indirizzi IP pubblici vengono popolati nel campo PublicIPs_s. Per questi due tipi di flusso, è consigliabile usare VMIP_s e PublicIPs_s anziché i campi SrcIP_s e DestIP_s. Per gli indirizzi IP AzurePublic ed ExternalPublic, viene effettuata un'ulteriore aggregazione, in modo che il numero di record inseriti nell'area di lavoro Log Analytics sia minimo. Questo campo verrà deprecato. Usare SrcIP_s e DestIP_s a seconda che la macchina virtuale sia l'origine o la destinazione nel flusso.
• Ad alcuni nomi di campo vengono accodati _s o _d, che non indicano l'origine e la destinazione, ma indicano, rispettivamente, la stringa e il decimal dei tipi di dati.
• In base agli indirizzi IP coinvolti nel flusso, i flussi vengono classificati nei tipi di flusso seguenti:
  • IntraVNet: entrambi gli indirizzi IP nel flusso si trovano nella stessa rete virtuale di Azure.
  • InterVNet: gli indirizzi IP nel flusso si trovano in due reti virtuali di Azure diverse.
  • S2S (Da sito a sito): uno degli indirizzi IP appartiene a una rete virtuale di Azure, mentre l'altro indirizzo IP appartiene alla rete del cliente (sito) connessa alla rete virtuale tramite gateway VPN o ExpressRoute.
  • P2S (Da punto a sito): uno degli indirizzi IP appartiene a una rete virtuale di Azure, mentre l'altro indirizzo IP appartiene alla rete del cliente (sito) connessa alla rete virtuale di Azure tramite gateway VPN.
  • AzurePublic: uno degli indirizzi IP appartiene a una rete virtuale di Azure, mentre l'altro indirizzo IP è un IP pubblico di Azure di proprietà di Microsoft. Gli indirizzi IP pubblici di proprietà del cliente non fanno parte di questo tipo di flusso. Ad esempio, qualsiasi macchina virtuale di proprietà del cliente che invia traffico a un servizio di Azure (endpoint di archiviazione) viene categorizzata in questo tipo di flusso.
  • ExternalPublic: uno degli indirizzi IP appartiene a una rete virtuale di Azure, mentre l'altro indirizzo IP è un IP pubblico che non si trova in Azure e non viene segnalato come dannoso nei feed del Centro sicurezza di Azure usati dall'analisi del traffico per l'intervallo di elaborazione tra "FlowIntervalStartTime_t" e "FlowIntervalEndTime_t".
  • MaliciousFlow: uno degli indirizzi IP appartiene a una rete virtuale di Azure, mentre l'altro indirizzo IP è un IP pubblico che non è in Azure e viene segnalato come dannoso nei feed del Centro sicurezza di Azure usati dall'analisi del traffico per l'intervallo di elaborazione tra "FlowIntervalStartTime_t" e "FlowIntervalEndTime_t".
  • UnknownPrivate: uno degli indirizzi IP appartiene a una rete virtuale di Azure, mentre l'altro indirizzo IP appartiene all'intervallo IP privato definito in RFC 1918 e non è stato possibile eseguire il mapping dall'analisi del traffico a un sito di proprietà del cliente o a una rete virtuale di Azure.
  • Unknown: non è possibile eseguire il mapping di uno degli indirizzi IP nel flusso con la topologia del cliente in Azure e in locale (sito).

Contenuto correlato

• Per altre informazioni sull'analisi del traffico, vedere Panoramica di Analisi del traffico.
• Per le risposte relative all'analisi del traffico, vedere Domande frequenti su Analisi del traffico.