Analýza provozu

Analýza provozu je cloudové řešení, které poskytuje přehled o aktivitách uživatelů a aplikací v cloudových sítích. Analýza provozu analyzuje Network Watcher toku skupiny zabezpečení sítě (NSG) a poskytuje přehled o toku provozu ve vašem cloudu Azure. Díky analýze provozu můžete:

• Vizualizujte síťovou aktivitu napříč předplatným Azure a identifikujte aktivní body.
• Identifikujte bezpečnostní hrozby pro vaši síť a zabezpečte ji pomocí informací, jako jsou otevřené porty, aplikace, které se pokoušejí o přístup k internetu, a virtuálních počítačů, které se připojují k podvodným sítím.
• Porozuměli jste vzorům toku provozu napříč oblastmi Azure a internetem, abyste optimalizovali nasazení sítě pro výkon a kapacitu.
• Určit chybné konfigurace sítě, které vedlo k selhání připojení ve vaší síti

Proč analýza provozu?

Pro nenapravené zabezpečení, dodržování předpisů a výkon je důležité monitorovat, spravovat a znát vlastní síť. Znalost vlastního prostředí má prvořadý význam pro jeho ochranu a optimalizaci. Často potřebujete znát aktuální stav sítě, kdo se připojuje, odkud se připojuje, které porty jsou otevřené k internetu, očekávané chování sítě, nepravidelné chování sítě a náhlý nárůst provozu.

Cloudové sítě se liší od místních podnikových sítí, kde máte směrovače a přepínače podporující síťový tok nebo ekvivalentní protokol, které poskytují možnost shromažďovat síťový provoz protokolu IP při vstupu do síťového rozhraní nebo při jeho opuštění. Analýzou dat toku provozu můžete vytvořit analýzu toku a objemu síťového provozu.

Virtuální sítě Azure obsahují protokoly toku NSG, které poskytují informace o příchozím a příchozím provozu PROTOKOLU IP prostřednictvím skupiny zabezpečení sítě přidružené k jednotlivým síťovým rozhraním, virtuálním počítačům nebo podsítím. Analýza nezpracovaných protokolů toku NSG a vložení inteligentních informací o zabezpečení, topologii a geografické oblasti vám může poskytnout přehled o toku provozu ve vašem prostředí. Analýza provozu poskytuje informace, jako je většina komunikujících hostitelů, většina komunikujících aplikačních protokolů, většina souběžných párů hostitelů, povolený/blokovaný provoz, příchozí/odchozí provoz, otevřené internetové porty, většina pravidel blokování, distribuce provozu podle datacentra Azure, virtuální síť, podsítě nebo podvodné sítě.

Klíčové komponenty

• Skupina zabezpečení sítě (NSG): Obsahuje seznam pravidel zabezpečení, která povolují nebo zakírají síťový provoz do prostředků připojených k azure Virtual Network. Skupiny zabezpečení sítě můžou být přidružené k podsítím, jednotlivým virtuálním počítačům (klasický model) nebo jednotlivým síťovým rozhraním (síťovým kartám) připojeným k virtuálním počítačům (Resource Manager). Další informace najdete v tématu Přehled skupin zabezpečení sítě.
• Protokoly toku skupiny zabezpečení sítě (NSG): Umožňují zobrazit informace o příchozím a příchozím přenosu dat IP prostřednictvím skupiny zabezpečení sítě. Protokoly toku NSG jsou zapsané ve formátu JSON a zobrazují odchozí a příchozí toky podle pravidla, síťové rozhraní, na které se tok vztahuje, informace o toku s pěti řazenou kolekcemi členů (zdrojová/cílová IP adresa, zdrojový/cílový port a protokol) a jestli byl provoz povolený nebo odepřený. Další informace o protokolech toku NSG najdete v tématu Protokoly toku NSG.
• Log Analytics: Služba Azure, která shromažďuje data monitorování a ukládá je v centrálním úložišti. Tato data mohou zahrnovat události, údaje o výkonu nebo vlastní data poskytnutá prostřednictvím rozhraní Azure API. Po získání jsou data dostupná pro výstrahy, analýzu a export. Monitorovací aplikace, jako je monitorování výkonu sítě a analýza provozu, se Azure Monitor protokoly jako základ. Další informace najdete v Azure Monitor protokolu.
• Pracovní prostor služby Log Analytics: Instance Azure Monitor protokolů, ve kterých jsou uložená data týkající se účtu Azure. Další informace o pracovních prostorech služby Log Analytics najdete v tématu Vytvoření pracovního prostoru služby Log Analytics.
• Network Watcher: Oblastní služba, která umožňuje monitorovat a diagnostikovat podmínky na úrovni síťového scénáře v Azure. Protokoly toku NSG můžete zapnout a vypnout pomocí Network Watcher. Další informace najdete v tématu Network Watcher.

Jak funguje analýza provozu

Analýza provozu prozkoumá nezpracované protokoly toku NSG a zachytí snížené protokoly agregací běžných toků mezi stejnou zdrojovou IP adresou, cílovou IP adresou, cílovým portem a protokolem. Například Hostitel 1 (IP adresa: 10.10.10.10) komunikující s hostitelem 2 (IP adresa: 10.10.20.10), 100krát po dobu 1 hodiny pomocí portu (například 80) a protokolu (například http). Snížený protokol obsahuje jednu položku, kterou hostitel 1 & Host 2 komunikoval 100krát po dobu 1 hodiny pomocí portu 80 a protokolu HTTP místo toho, aby měl 100 položek. Omezené protokoly jsou rozšířené o informace o geografické oblasti, zabezpečení a topologii a pak jsou uložené v pracovním prostoru služby Log Analytics. Následující obrázek znázorňuje tok dat:

Podporované oblasti: NSG

Analýzu provozu pro NSG můžete použít v kterékoli z následujících podporovaných oblastí:

Podporované oblasti: Pracovní prostory log Analytics

Pracovní prostor služby Log Analytics musí existovat v následujících oblastech:

Požadavky

Požadavky na přístup uživatelů

Váš účet musí být členem jedné z následujících předdefinovaných rolí Azure:

Pokud váš účet není přiřazený k jedné z předdefinovaných rolí, musí být přiřazený k vlastní roli , která je přiřazená k následujícím akcím na úrovni předplatného:

• "Microsoft. Network/applicationGateways/Read"
• "Microsoft. Network/Connections/Read"
• "Microsoft. Network/loadBalancers/Read"
• "Microsoft. Network/localNetworkGateways/Read"
• "Microsoft. Network/networkInterfaces/Read"
• "Microsoft. Network/networkSecurityGroups/Read"
• "Microsoft. Network/publicIPAddresses/Read"
• "Microsoft. Network/routeTables/Read"
• "Microsoft. Network/virtualNetworkGateways/Read"
• "Microsoft. Network/virtualNetworks/Read"
• "Microsoft. Network/expressRouteCircuits/Read"

Informace o tom, jak kontrolovat přístupová oprávnění uživatelů, najdete v tématu Nejčastější dotazy k analýze provozu.

Povolení Network Watcheru

K analýze provozu potřebujete existující sledovací proces sítě nebo Povolit sledovací proces sítě v každé oblasti, které jste skupin zabezpečení sítě, pro který chcete analyzovat provoz. Pro skupin zabezpečení sítě hostované v některé z podporovaných oblastíje možné povolit analýzu provozu.

Vybrat skupinu zabezpečení sítě

Než povolíte protokolování toku NSG, musíte mít skupinu zabezpečení sítě, která bude protokolovat toky pro. Pokud nemáte skupinu zabezpečení sítě, přečtěte si téma Vytvoření skupiny zabezpečení sítě a vytvořte ji.

V Azure Portal přejít na sledovací proces sítě a pak vyberte protokoly toku NSG. Vyberte skupinu zabezpečení sítě, pro kterou chcete povolit protokol NSG flow, jak je znázorněno na následujícím obrázku:

Pokud se pokusíte povolit analýzu provozu pro NSG, která je hostovaná v jiné oblasti než podporované oblasti, zobrazí se chyba "Nenalezeno".

Povolit nastavení protokolu toku

Než povolíte nastavení protokolu flow, musíte provést následující úlohy:

zaregistrovat poskytovatele služby Azure Přehledy, pokud ještě není zaregistrovaný pro vaše předplatné:

Register-AzResourceProvider -ProviderNamespace Microsoft.Insights

pokud ještě nemáte účet Azure Storage k uložení protokolů toku NSG v nástroji, musíte vytvořit účet úložiště. Účet úložiště můžete vytvořit pomocí příkazu, který následuje. Před spuštěním příkazu nahraďte <replace-with-your-unique-storage-account-name> názvem, který je jedinečný v rámci všech umístění Azure, mezi 3-24 znaků, a to pomocí jenom číslic a malých písmen. V případě potřeby můžete také změnit název skupiny prostředků.

New-AzStorageAccount `
  -Location westcentralus `
  -Name <replace-with-your-unique-storage-account-name> `
  -ResourceGroupName myResourceGroup `
  -SkuName Standard_LRS `
  -Kind StorageV2

Vyberte následující možnosti, jak je znázorněno na obrázku:

1. Vybrat pro stav
2. vyberte verzi 2 pro protokol Flow verze. Verze 2 obsahuje statistiku relací toků (bajty a pakety).
3. Vyberte existující účet úložiště, do kterého se budou ukládat protokoly toku. ujistěte se, že ve vašem úložišti není nastavená možnost Data Lake Storage Gen2 hierarchický obor názvů enabled na hodnotu true.
4. Nastavte dobu uchování na počet dní, pro které chcete ukládat data. Pokud chcete data ukládat trvale, nastavte hodnotu na 0. za účet úložiště se účtují Azure Storage poplatky.
5. Pro Analýza provozu stav vyberte zapnuto .
6. Vyberte interval zpracování. Na základě vašeho výběru budou protokoly toků shromažďovány z účtu úložiště a zpracovány Analýza provozu. Můžete zvolit interval zpracování každé 1 hodiny nebo každých 10 minut.
7. Vyberte pracovní prostor existující Log Analytics (OMS) nebo vyberte vytvořit nový pracovní prostor a vytvořte nový. Log Analytics pracovní prostor používá Analýza provozu k ukládání agregovaných a indexovaných dat, která se pak používají ke generování analýz. Pokud vyberete existující pracovní prostor, musí existovat v některé z podporovaných oblastí a byl upgradován na nový dotazovací jazyk. Pokud nechcete upgradovat existující pracovní prostor nebo nemáte pracovní prostor v podporované oblasti, vytvořte nový. Další informace o jazycích dotazů naleznete v tématu Azure Log Analytics upgrade na nové prohledávání protokolu.

8. Vyberte Uložit.

   

Předchozí kroky opakujte pro všechny ostatní skupin zabezpečení sítě, pro které chcete povolit analýzu provozu pro. Data z protokolů toků se odesílají do pracovního prostoru, takže zajistěte, aby místní zákony a předpisy ve vaší zemi nebo oblasti povolovaly ukládání dat v oblasti, kde pracovní prostor existuje. Pokud jste pro různé skupin zabezpečení sítě nastavili různé intervaly zpracování, budou se data shromažďovat v různých intervalech. Například: můžete povolit interval zpracování 10 minut pro kritické virtuální sítě a 1 hodinu pro Nekritická virtuální sítě.

Analýzu provozu můžete nakonfigurovat taky pomocí rutiny set-AzNetworkWatcherConfigFlowLog prostředí PowerShell v Azure PowerShell. Pokud Get-Module -ListAvailable Az chcete najít nainstalovanou verzi, spusťte příkaz. Pokud potřebujete upgrade, přečtěte si téma Instalace modulu Azure PowerShell.

Zobrazit analýzu provozu

Pokud chcete zobrazit Analýza provozu, vyhledejte Network Watcher na panelu hledání na portálu. Když jste v Network Watcher prozkoumali analýzu provozu a její možnosti, vyberte v nabídce vlevo možnost Analýza provozu .

První zobrazení řídicího panelu může trvat až 30 minut, protože Analýza provozu musí nejdřív agregovat dostatek dat, aby bylo možné odvodit smysluplné poznatky, než může vygenerovat jakékoli sestavy.

Scénáře použití

Některé přehledy, které můžete chtít získat po úplné konfiguraci Analýza provozu, jsou následující:

Najít provozní hotspoty

Hledat

• Které hostitele, podsítě, virtuální sítě a sada škálování virtuálních počítačů odesílají nebo dostávají nejvíc přenosů, přecházejí mezi maximálním škodlivým provozem a blokují významné toky?
  • Ověřte srovnávací graf pro hostitele, podsíť, virtuální síť a sadu škálování virtuálních počítačů. Porozumění hostitelům, podsítím, virtuálním sítím a virtuálním počítačům s škálováním na více systémů poslouží k identifikaci hostitelů, kteří zpracovávají většinu přenosů, a také to, jestli se distribuce provozu provádí správně.
  • Můžete vyhodnotit, jestli je objem přenosů vhodný pro hostitele. Znamená to, že se jedná o objem normálního provozního provozu nebo o další šetření?
• Kolik příchozích a odchozích přenosů?
  • Očekává se, že hostitel obdrží více příchozích přenosů, než je odchozí, nebo naopak?
• Statistika blokovaného provozu.
  • Proč hostitel blokuje značný objem neškodných přenosů? Toto chování vyžaduje další šetření a pravděpodobně optimalizaci konfigurace.
• Statistika škodlivého povoleného/blokovaného provozu

  • Proč hostitel přijímá škodlivý provoz a proč jsou povoleny toky ze škodlivých zdrojů? Toto chování vyžaduje další šetření a pravděpodobně optimalizaci konfigurace.

    V části IP adresa vyberte Zobrazit vše, jak je znázorněno na následujícím obrázku:

    

    Následující obrázek znázorňuje časový trend pro prvních pět komunikujících hostitelů a podrobné informace o toku (povolené – příchozí/odchozí a zakázané příchozí nebo odchozí toky) pro hostitele:

    Vyberte Zobrazit více, v části Podrobnosti prvních 5 rozhovorových IP adres, jak je znázorněno na následujícím obrázku, abyste získali přehled o všech hostitelích:

    

Hledat

• Které jsou konverzující dvojice hostitelů?

  • Očekávalo se chování, jako je například komunikace front-end nebo back-end, nebo nepravidelný způsob, jako je back-end internetový přenos.

• Statistika povoleného a blokovaného provozu

  • Proč hostitel povoluje nebo blokuje významný objem provozu

• Nejčastěji používaný aplikační protokol mezi největší páry hostitelů konverzující:

  • Jsou tyto aplikace v této síti povoleny?

  • Jsou aplikace správně nakonfigurovány? Používají odpovídající protokol pro komunikaci? V části častá konverzace vyberte Zobrazit vše , jak je znázorněno na následujícím obrázku:

    

• Následující obrázek znázorňuje čas trendu pěti nejoblíbenějších konverzací a podrobné informace o toku, například povolené a zakázané příchozí a odchozí toky pro pár konverzací:

  

Hledat

• Který aplikační protokol se ve vašem prostředí nejvíce používá a jaké páry hostitelů konverzující používají aplikační protokol nejvíc?

  • Jsou tyto aplikace v této síti povoleny?

  • Jsou aplikace správně nakonfigurovány? Používají odpovídající protokol pro komunikaci? Očekávané chování jsou běžné porty, například 80 a 443. Pokud se pro standardní komunikaci zobrazují nějaké neobvyklé porty, může to vyžadovat změnu konfigurace. V části port aplikace vyberte Zobrazit vše a na následujícím obrázku:

    

• Následující obrázky znázorňují trendy času pro pět protokolů L7 a podrobnosti související s tokem (například povolené a zakázané toky) pro protokol L7:

  

  

Hledat

• Trendy využití kapacity u brány VPN ve vašem prostředí.

  • Každá SKU sítě VPN umožňuje určité množství šířky pásma. Jsou brány VPN nevyužité?
  • Dosahují vaše brány kapacitu? Měli byste upgradovat na další vyšší SKU?

• Které jsou konverzující hostitelé přes kterou bránu VPN, přes který port?

  • Je tento vzor normální? V části Brána sítě VPN vyberte Zobrazit vše , jak je znázorněno na následujícím obrázku:

    

• Následující obrázek znázorňuje čas trendu využití kapacity VPN Gateway Azure a podrobností souvisejících s tokem (například povolené toky a porty):

  

Vizualizace distribuce provozu geograficky

Hledat

• Distribuce provozu na datové centrum, jako jsou například hlavní zdroje provozu do datového centra, hlavní neautorizovaných sítí konverzující s datovým centrem a hlavními konverzující protokoly aplikací.

  • Pokud budete v datovém centru sledovat více zátěží, můžete naplánovat efektivní distribuci provozu.

  • Pokud se v datovém centru konverzující podvodné sítě, pak správné pravidla NSG zablokuje jejich blokování.

    Ve svém prostředí vyberte Zobrazit mapu , jak je znázorněno na následujícím obrázku:

    

• Geografické mapování zobrazuje horní pás karet pro výběr parametrů, jako jsou datová centra (nasazené/bez nasazení/aktivní/neaktivní/Analýza provozu povoleno Analýza provozu/Nepovoleno), a země nebo oblasti přispívající k aktivnímu nasazení neškodný/škodlivý provoz:

  

• Geografické mapování ukazuje distribuci přenosů dat do datového centra ze zemí nebo oblastí a kontinentů, které na něj budou v modré (neškodné přenosy) a červené (škodlivý provoz) barevné linky:

  

  

• V okně Další informace o oblasti Azure se také zobrazuje celkový počet zbývajících přenosů v této oblasti (tj. zdroj a cíl ve stejné oblasti). Další informace o provozu vyměňovaném mezi zónami dostupnosti v datacentru najdete dál.

  

Vizualizace distribuce provozu pomocí virtuálních sítí

Hledat

• Distribuce provozu na virtuální síť, topologii, hlavní zdroje provozu do virtuální sítě, hlavní neautorizovaných sítí konverzující do virtuální sítě a hlavních aplikačních protokolů konverzující.

  • Znalost toho, která virtuální síť je konverzující k virtuální síti. Pokud se konverzace neočekává, můžete ji opravit.

  • Pokud jsou podvodné sítě konverzující s virtuální sítí, můžete opravit pravidla NSG pro blokování neautorizovaných sítí.

    Ve svém prostředí vyberte zobrazení virtuální sítě , jak je znázorněno na následujícím obrázku:

    

• Virtual Network topologie znázorňuje horní pás karet pro výběr parametrů, jako jsou virtuální síť (mezi virtuálními nebo aktivními a neaktivními), externí připojení, aktivní toky a škodlivé toky virtuální sítě.

• Topologii Virtual Network můžete filtrovat podle předplatných, pracovních prostorů, skupin prostředků a časového intervalu. mezi další filtry, které vám pomůžou pochopit, jsou tyto: Flow typ (mezi virtuálními sítěmi, IntraVNET atd.), Flow směr (příchozí, odchozí), Flow stav (povolené, blokované), virtuální sítě (cílený a připojený), typ připojení (partnerský vztah nebo brána-P2S a S2S) a NSG. Pomocí těchto filtrů se můžete soustředit na virtuální sítě, které chcete podrobněji prošetřit.

• Virtual Network topologie znázorňuje distribuci provozu do virtuální sítě s ohledem na toky (povolený/blokovaný/příchozí/odchozí/neškodný/škodlivý), aplikační protokol a skupiny zabezpečení sítě, například:

  

  

  

Hledat

• Distribuce provozu na podsíť, topologii, hlavní zdroje provozu do podsítě, hlavní neautorizovaných sítí konverzující do podsítě a hlavní aplikační protokoly konverzující.

  • Poznáte, která podsíť se konverzující do které podsítě. Pokud se zobrazí neočekávaná konverzace, můžete konfiguraci opravit.
  • Pokud jsou podvodné sítě konverzující s podsítí, je možné ji opravit konfigurací pravidel NSG pro blokování neautorizovaných sítí.

• Topologie podsítí zobrazuje horní pás karet pro výběr parametrů, jako je aktivní nebo neaktivní podsíť, externí připojení, aktivní toky a škodlivé toky podsítě.

• Topologie podsítě znázorňuje distribuci provozu do virtuální sítě s ohledem na toky (povolený/blokovaný/příchozí/odchozí/neškodný/škodlivý), aplikační protokol a skupin zabezpečení sítě, například:

  

Hledat

Distribuce provozu na aplikační bránu & Load Balancer, topologii, hlavních zdrojů přenosů, hlavních neautorizovaných sítích, které se konverzující do aplikační brány & Load Balancer a hlavních aplikačních protokolů konverzující.

• Poznáte, která podsíť je konverzující, na kterou Aplikační bránu nebo Load Balancer. Pokud si nejste všimnout neočekávaných konverzací, můžete konfiguraci opravit.

• Pokud se podvodné sítě konverzující s aplikační bránou nebo Load Balancer, můžete je opravit tak, že nakonfigurujete pravidla NSG pro blokování neautorizovaných sítí.

  

Zobrazit porty a virtuální počítače, které přijímají provoz z Internetu

Hledat

• Které otevřené porty se konverzující přes Internet?

  • Pokud se najde neočekávané porty, můžete konfiguraci opravit:

    

    

Hledat

Máte ve svém prostředí škodlivý provoz? Kde to pochází? Kde je určeno?

Zobrazit informace o veřejných IP adresách komunikujících s vaším nasazením

Hledat

• Které veřejné IP adresy se konverzující se sítí? Jaká jsou data a geografické umístění všech veřejných IP adres?
• Které škodlivé IP adresy odesílají do mých nasazení provoz? Jaký je typ hrozby a popis hrozby pro škodlivé IP adresy?

  • Část veřejné IP adresy poskytuje souhrn všech typů veřejných IP adres, které jsou k dispozici ve vašem síťovém provozu. Chcete-li zobrazit podrobnosti, vyberte typ veřejné IP adresy, který vás zajímá. Tento dokument schématu definuje zobrazená datová pole.

    

  • Na řídicím panelu Analýza provozu klikněte na libovolnou IP adresu a zobrazí se její informace.

    

    

Vizualizace trendů v NSG/NSG – přístupy k pravidlům

Hledat

• Která pravidla NSG/NSG mají nejvíc přístupů do srovnávacího grafu s distribucí toků?

• Jaké jsou horní páry zdrojové a cílové konverzace na pravidla NSG/NSG?

  

• Na následujících obrázcích je znázorněno časové trendy pro přístupy k NSG pravidlům a podrobnostem toku zdroje a cíle pro skupinu zabezpečení sítě:

  • Rychle zjistíte, která pravidla skupin zabezpečení sítě a NSG přecházejí ze škodlivých toků a které jsou nejčastějšími škodlivými IP adresami, které přistupují ke cloudovém prostředí

  • Určení, která pravidla NSG/NSG povolují nebo blokují významný síťový provoz

  • Výběr horních filtrů pro detailní kontrolu pravidel NSG nebo NSG

    

    

Nejčastější dotazy

Odpovědi na nejčastější dotazy najdete v tématu Nejčastější dotazy k analýze provozu.

Další kroky

• Informace o tom, jak povolit protokoly toku, najdete v tématu Povolení protokolování toku NSG.
• Podrobnosti o schématu a zpracování Analýza provozu najdete v tématu schéma analýzy provozu.