Esquema de análise de tráfego e agregação de dados

A análise de tráfego é uma solução baseada na nuvem que fornece visibilidade sobre a atividade do usuário e do aplicativo em redes de nuvem. A análise de tráfego analisa os logs de fluxo do Observador de Rede do Azure para fornecer informações sobre o fluxo de tráfego na sua nuvem do Azure. Com a análise de tráfego, você pode:

• Visualize a atividade de rede em suas assinaturas do Azure e identifique pontos de acesso.
• Identifique ameaças à segurança e proteja sua rede com informações como portas abertas, aplicativos que tentam acessar a Internet e máquinas virtuais (VMs) conectadas a redes não autorizadas.
• Compreenda os padrões de fluxo de tráfego entre as regiões do Azure e a Internet para otimizar sua implantação de rede para desempenho e capacidade.
• Identifique erros de configuração de rede que levam a conexões com falha em sua rede.
• Conheça o uso da rede em bytes, pacotes ou fluxos.

Agregação de dados

A consulta a seguir ajuda você a examinar todas as sub-redes que interagem com IPs públicos que não são do Azure nos últimos 30 dias.

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowStartTime_t >= ago(30d) and FlowType_s == "ExternalPublic"
| project Subnet1_s, Subnet2_s  

Para exibir o caminho de blob para os fluxos na consulta anterior, use a seguinte consulta:

let TableWithBlobId =
(AzureNetworkAnalytics_CL
   | where SubType_s == "Topology" and ResourceType == "NetworkSecurityGroup" and DiscoveryRegion_s == Region_s and IsFlowEnabled_b
   | extend binTime = bin(TimeProcessed_t, 6h),
            nsgId = strcat(Subscription_g, "/", Name_s),
            saNameSplit = split(FlowLogStorageAccount_s, "/")
   | extend saName = iif(arraylength(saNameSplit) == 3, saNameSplit[2], '')
   | distinct nsgId, saName, binTime)
| join kind = rightouter (
   AzureNetworkAnalytics_CL
   | where SubType_s == "FlowLog"  
   | extend binTime = bin(FlowEndTime_t, 6h)
) on binTime, $left.nsgId == $right.NSGList_s  
| extend blobTime = format_datetime(todatetime(FlowIntervalStartTime_t), "yyyy MM dd hh")
| extend nsgComponents = split(toupper(NSGList_s), "/"), dateTimeComponents = split(blobTime, " ")
| extend BlobPath = strcat("https://", saName,
                        "@insights-logs-networksecuritygroupflowevent/resoureId=/SUBSCRIPTIONS/", nsgComponents[0],
                        "/RESOURCEGROUPS/", nsgComponents[1],
                        "/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/", nsgComponents[2],
                        "/y=", dateTimeComponents[0], "/m=", dateTimeComponents[1], "/d=", dateTimeComponents[2], "/h=", dateTimeComponents[3],
                        "/m=00/macAddress=", replace(@"-", "", MACAddress_s),
                        "/PT1H.json")
| project-away nsgId, saName, binTime, blobTime, nsgComponents, dateTimeComponents;

TableWithBlobId
| where SubType_s == "FlowLog" and FlowStartTime_t >= ago(30d) and FlowType_s == "ExternalPublic"
| project Subnet_s , BlobPath

A consulta anterior constrói uma URL para acessar o blob diretamente. O URL com espaços reservados é o seguinte:

https://{storageAccountName}@insights-logs-networksecuritygroupflowevent/resoureId=/SUBSCRIPTIONS/{subscriptionId}/RESOURCEGROUPS/{resourceGroup}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{networkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

Esquema de análise de tráfego

A análise de tráfego é criada com base nos logs do Azure Monitor, para que você possa executar consultas personalizadas em dados decorados pela análise de tráfego e definir alertas.

Esquema de detalhes de IP público

A análise de tráfego fornece dados WHOIS e localização geográfica para todos os IPs públicos no seu ambiente. Para um IP mal-intencionado, a análise de tráfego fornece descrições de domínio DNS, tipo de ameaça e thread, conforme identificado pelas soluções de inteligência de segurança da Microsoft. Os Detalhes de IP são publicados no seu espaço de trabalho do Log Analytics para que você possa criar consultas personalizadas e colocar alertas nelas. Você também pode acessar consultas pré-preenchidas a partir do painel de análise de tráfego.

A tabela a seguir detalha o esquema IP público:

Lista de tipos de ameaça:

Notas

• No caso de e ExternalPublic fluxos, o IP da máquina virtual do Azure de propriedade do cliente é preenchido AzurePublic no VMIP_s campo, enquanto os endereços IP públicos são preenchidos no PublicIPs_s campo. Para esses dois tipos de fluxo, você deve usar VMIP_s e PublicIPs_s em vez de SrcIP_s e DestIP_s campos. Para endereços IP AzurePublic e ExternalPublic, agregamos ainda mais, para que o número de registros ingeridos no espaço de trabalho do Log Analytics seja mínimo. (Este campo será preterido. Use SrcIP_s e DestIP_s dependendo se a máquina virtual era a origem ou o destino no fluxo).
• Alguns nomes de campo são acrescentados com _s ou _d, que não significam origem e destino, mas indicam os tipos de dados string e decimal , respectivamente.
• Com base nos endereços IP envolvidos no fluxo, categorizamos os fluxos nos seguintes tipos de fluxo:
  • IntraVNet: Ambos os endereços IP no fluxo residem na mesma rede virtual do Azure.
  • InterVNet: Os endereços IP no fluxo residem em duas redes virtuais diferentes do Azure.
  • S2S (Site a Site): um dos endereços IP pertence a uma rede virtual do Azure, enquanto o outro endereço IP pertence à rede do cliente (Site) conectada à rede virtual por meio do gateway VPN ou da Rota Expressa.
  • P2S (Ponto a Site): um dos endereços IP pertence a uma rede virtual do Azure, enquanto o outro endereço IP pertence à rede do cliente (Site) conectada à Rede Virtual do Azure por meio do gateway VPN.
  • AzurePublic: Um dos endereços IP pertence a uma rede virtual do Azure, enquanto o outro endereço IP é um endereço IP público do Azure de propriedade da Microsoft. Os endereços IP públicos de propriedade do cliente não fazem parte desse tipo de fluxo. Por exemplo, qualquer VM de propriedade do cliente que envie tráfego para um serviço do Azure (ponto de extremidade de armazenamento) seria categorizada nesse tipo de fluxo.
  • ExternalPublic: Um dos endereços IP pertence a uma rede virtual do Azure, enquanto o outro endereço IP é um IP público que não está no Azure e não é relatado como mal-intencionado nos feeds ASC que a análise de tráfego consome para o intervalo de processamento entre "FlowIntervalStartTime_t" e "FlowIntervalEndTime_t".
  • MaliciousFlow: Um dos endereços IP pertence a uma rede virtual do Azure, enquanto o outro endereço IP é um IP público que não está no Azure e é relatado como mal-intencionado nos feeds ASC que a análise de tráfego consome para o intervalo de processamento entre "FlowIntervalStartTime_t" e "FlowIntervalEndTime_t".
  • UnknownPrivate: Um dos endereços IP pertence a uma rede virtual do Azure, enquanto o outro endereço IP pertence ao intervalo de IP privado definido no RFC 1918 e não pôde ser mapeado pela análise de tráfego para um site de propriedade do cliente ou rede virtual do Azure.
  • Unknown: Não é possível mapear qualquer um dos endereços IP no fluxo com a topologia do cliente no Azure e no local (site).

Conteúdos relacionados

• Para saber mais sobre a análise de tráfego, consulte Visão geral da análise de tráfego.
• Consulte Perguntas frequentes sobre análise de tráfego para obter respostas às perguntas mais frequentes sobre análise de tráfego.