Gerenciar logs de fluxo NSG usando o Azure PowerShell

O log de fluxo do grupo de segurança de rede é um recurso do Observador de Rede do Azure que permite registrar informações sobre o tráfego IP que flui através de um grupo de segurança de rede. Para obter mais informações sobre o log de fluxo do grupo de segurança de rede, consulte Visão geral dos logs de fluxo do NSG.

Neste artigo, você aprenderá a criar, alterar, desabilitar ou excluir um log de fluxo NSG usando o Azure PowerShell. Você pode aprender a gerenciar um log de fluxo NSG usando o portal do Azure, a CLI do Azure, a API REST ou o modelo ARM.

Pré-requisitos

• Uma conta do Azure com uma subscrição ativa. Crie uma conta gratuitamente.

• Provedor de insights. Para obter mais informações, consulte Registrar provedor do Insights.

• Um grupo de segurança de rede. Se você precisar criar um grupo de segurança de rede, consulte Criar, alterar ou excluir um grupo de segurança de rede.

• Uma conta de armazenamento do Azure. Se você precisar criar uma conta de armazenamento, consulte Criar uma conta de armazenamento usando o PowerShell.

• Azure Cloud Shell ou Azure PowerShell instalado localmente.

  • As etapas neste artigo executam os cmdlets do Azure PowerShell interativamente no Azure Cloud Shell. Para executar os comandos no Cloud Shell, selecione Open Cloud Shell no canto superior direito de um bloco de código. Selecione Copiar para copiar o código e cole-o no Cloud Shell para executá-lo. Você também pode executar o Cloud Shell de dentro do portal do Azure.

  • Você também pode instalar o Azure PowerShell localmente para executar os cmdlets. Este artigo requer o módulo Az PowerShell. Para obter mais informações, consulte Como instalar o Azure PowerShell. Para localizar a versão instalada, execute Get-InstalledModule -Name Az. Se você executar o PowerShell localmente, entre no Azure usando o cmdlet Connect-AzAccount .

Registrar provedor de insights

O provedor Microsoft.Insights deve ser registrado para registrar com êxito o tráfego que flui através de um grupo de segurança de rede. Se você não tiver certeza se o provedor Microsoft.Insights está registrado, use Register-AzResourceProvider para registrá-lo.

# Register Microsoft.Insights provider.
Register-AzResourceProvider -ProviderNamespace 'Microsoft.Insights'

Criar um log de fluxo

1. Obtenha as propriedades do grupo de segurança de rede para o qual você deseja criar o log de fluxo e a conta de armazenamento que deseja usar para armazenar o log de fluxo criado usando Get-AzNetworkSecurityGroup e Get-AzStorageAccount, respectivamente.

   # Place the network security group properties into a variable.
   $nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'
   
   # Place the storage account properties into a variable.
   $sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'
   

   Nota

   • Se a conta de armazenamento estiver em uma assinatura diferente, o grupo de segurança de rede e a conta de armazenamento deverão estar associados ao mesmo locatário do Azure Ative Directory. A conta que você usa para cada assinatura deve ter as permissões necessárias.

2. Crie o log de fluxo usando New-AzNetworkWatcherFlowLog. O log de fluxo é criado no grupo de recursos padrão do Inspetor de Rede NetworkWatcherRG.

   # Create a version 1 NSG flow log.
   New-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -Enabled $true
   

Criar um log de fluxo e um espaço de trabalho de análise de tráfego

1. Obtenha as propriedades do grupo de segurança de rede para o qual você deseja criar o log de fluxo e a conta de armazenamento que deseja usar para armazenar o log de fluxo criado usando Get-AzNetworkSecurityGroup e Get-AzStorageAccount, respectivamente.

   # Place the network security group properties into a variable.
   $nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'
   
   # Place the storage account properties into a variable.
   $sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'
   

   Nota

   • A conta de armazenamento não pode ter regras de rede que restrinjam o acesso à rede apenas a serviços da Microsoft ou redes virtuais específicas.
   • Se a conta de armazenamento estiver em uma assinatura diferente, o grupo de segurança de rede e a conta de armazenamento deverão estar associados ao mesmo locatário do Azure Ative Directory. A conta que você usa para cada assinatura deve ter as permissões necessárias.

2. Crie um espaço de trabalho de análise de tráfego usando New-AzOperationalInsightsWorkspace.

   # Create a traffic analytics workspace and place its properties into a variable.
   $workspace = New-AzOperationalInsightsWorkspace -Name 'myWorkspace' -ResourceGroupName 'myResourceGroup' -Location 'eastus'
   

3. Crie o log de fluxo usando New-AzNetworkWatcherFlowLog. O log de fluxo é criado no grupo de recursos padrão do Inspetor de Rede NetworkWatcherRG.

   # Create a version 1 NSG flow log with traffic analytics.
   New-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -Enabled $true -EnableTrafficAnalytics -TrafficAnalyticsWorkspaceId $workspace.ResourceId
   

Alterar um log de fluxo

Você pode usar Set-AzNetworkWatcherFlowLog para alterar as propriedades de um log de fluxo. Por exemplo, você pode alterar a versão do log de fluxo ou desabilitar a análise de tráfego.

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account properties into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -Enabled $true -FormatVersion 2 

Listar todos os logs de fluxo em uma região

Use Get-AzNetworkWatcherFlowLog para listar todos os recursos do log de fluxo NSG em uma região específica em sua assinatura.

# Get all NSG flow logs in East US region.
Get-AzNetworkWatcherFlowLog -Location 'eastus' | format-table Name

Exibir detalhes de um recurso de log de fluxo

Use Get-AzNetworkWatcherFlowLog para ver detalhes de um recurso de log de fluxo.

# Get the details of a flow log.
Get-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus'

Baixar um registro de fluxo

O local de armazenamento de um log de fluxo é definido na criação. Para acessar e baixar logs de fluxo de sua conta de armazenamento, você pode usar o Gerenciador de Armazenamento do Azure. Para obter mais informações, consulte Introdução ao Gerenciador de Armazenamento.

Os arquivos de log de fluxo NSG salvos em uma conta de armazenamento seguem este caminho:

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

Para obter informações sobre a estrutura de um log de fluxo, consulte Formato de log de logs de fluxo NSG.

Desativar um registo de fluxo

Para desativar temporariamente um log de fluxo sem excluí-lo, use Set-AzNetworkWatcherFlowLog com o -Enabled $false parâmetro. A desativação de um log de fluxo interrompe o log de fluxo para o grupo de segurança de rede associado. No entanto, o recurso de log de fluxo permanece com todas as suas configurações e associações. Você pode reativá-lo a qualquer momento para retomar o log de fluxo para o grupo de segurança de rede configurado.

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account properties into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $false -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id

Excluir um log de fluxo

Para excluir permanentemente um log de fluxo NSG, use o comando Remove-AzNetworkWatcherFlowLog . A exclusão de um log de fluxo exclui todas as suas configurações e associações. Para iniciar o log de fluxo novamente para o mesmo grupo de segurança de rede, você deve criar um novo log de fluxo para ele.

# Delete the flow log.
Remove-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus'

Conteúdos relacionados

• Para saber como usar as políticas internas do Azure para auditar ou implantar logs de fluxo do NSG, consulte Gerenciar logs de fluxo do NSG usando a Política do Azure.
• Para saber mais sobre a análise de tráfego, consulte Análise de tráfego.