Traffic Analytics

Traffic Analytics is een cloudoplossing die inzicht biedt in gebruikers- en toepassingsactiviteiten in cloudnetwerken. Traffic Analytics analyseert Network Watcher stroomlogboeken van netwerkbeveiligingsgroep (NSG) om inzicht te krijgen in de verkeersstroom in uw Azure-cloud. Met Traffic Analytics kunt u het volgende doen:

• Visualiseer netwerkactiviteit in uw Azure-abonnementen en identificeer hotspots.
• Identificeer beveiligingsrisico's voor en beveilig uw netwerk, met informatie zoals open poorten, toepassingen die toegang tot internet proberen te krijgen en virtuele machines (VM's) die verbinding maken met rogue netwerken.
• Informatie over verkeersstroompatronen in Azure-regio's en internet om uw netwerkimplementatie te optimaliseren voor prestaties en capaciteit.
• Identificeer onjuiste netwerkconfiguraties die leiden tot mislukte verbindingen in uw netwerk.

Waarom Traffic Analytics?

Het is essentieel om uw eigen netwerk te bewaken, te beheren en te kennen voor niet-gecompromitteerde beveiliging, naleving en prestaties. Kennis van uw eigen omgeving is van cruciaal belang om deze te beveiligen en te optimaliseren. Vaak moet u de huidige status van het netwerk weten, wie verbinding maakt, waar ze verbinding van maken, welke poorten zijn geopend voor internet, verwacht netwerkgedrag, onregelmatig netwerkgedrag en plotselinge toename van het verkeer.

Cloudnetwerken zijn anders dan on-premises bedrijfsnetwerken, waarbij u netflow- of equivalente protocol-routers en switches hebt die de mogelijkheid bieden om IP-netwerkverkeer te verzamelen wanneer het een netwerkinterface binnenkomt of verlaat. Door verkeersstroomgegevens te analyseren, kunt u een analyse maken van de netwerkverkeersstroom en het volume.

Virtuele Azure-netwerken hebben NSG-stroomlogboeken, die u informatie geven over het ip-verkeer voor in- en uitvoeren via een netwerkbeveiligingsgroep die is gekoppeld aan afzonderlijke netwerkinterfaces, VM's of subnetten. Door onbewerkte NSG-stroomlogboeken te analyseren en intelligentie van beveiliging, topologie en geografie in te voegen, kan traffic analytics u inzicht geven in de verkeersstroom in uw omgeving. Traffic Analytics biedt informatie zoals de meeste communicerende hosts, de meeste communicerende toepassingsprotocollen, de meeste uitgaande hostparen, toegestaan/geblokkeerd verkeer, inkomende/uitgaande verkeer, open internetpoorten, de meeste blokkerende regels, verkeersdistributie per Azure-datacenter, virtueel netwerk, subnetten of rogue netwerken.

Belangrijkste onderdelen

• Netwerkbeveiligingsgroep (NSG): bevat een lijst met beveiligingsregels waarmee netwerkverkeer naar resources die zijn verbonden met een Azure-Virtual Network. NSG's kunnen worden gekoppeld aan subnetten, afzonderlijke virtuele machines (klassiek) of afzonderlijke netwerkinterfaces (NIC) die zijn gekoppeld aan VM’s (Resource Manager). Zie Overzicht van netwerkbeveiligingsgroep voor meer informatie.
• Stroomlogboeken van netwerkbeveiligingsgroep (NSG): hier kunt u informatie bekijken over ingress- en egress-IP-verkeer via een netwerkbeveiligingsgroep. NSG-stroomlogboeken worden geschreven in json-indeling en tonen uitgaande en binnenkomende stromen per regel, de NIC waar de stroom op van toepassing is, informatie met vijf tuples over de stroom (ip-adres van bron/doel, bron-/doelpoort en protocol) en of het verkeer is toegestaan of geweigerd. Zie NSG-stroomlogboeken voor meer informatie over NSG-stroomlogboeken.
• Log Analytics: een Azure-service die bewakingsgegevens verzamelt en de gegevens op slaan in een centrale opslagplaats. Deze gegevens kunnen gebeurtenissen, prestatiegegevens of aangepaste gegevens bevatten die worden geleverd via de Azure-API. Na verzameling zijn de gegevens beschikbaar voor waarschuwingen, analyse en export. Bewakingstoepassingen, zoals netwerkprestatiemeter en verkeersanalyse, worden gebouwd met behulp Azure Monitor logboeken als basis. Zie logboeken Azure Monitor meer informatie.
• Log Analytics-werkruimte: een exemplaar van Azure Monitor logboeken, waarin de gegevens met betrekking tot een Azure-account worden opgeslagen. Zie Een Log Analytics-werkruimte maken voor meer informatie over Log Analytics-werkruimten.
• Network Watcher: een regionale service waarmee u voorwaarden op netwerkscenarioniveau in Azure kunt bewaken en diagnosticeren. U kunt NSG-stroomlogboeken in- en uitschakelen met Network Watcher. Zie voor meer informatie Network Watcher.

Hoe Traffic Analytics werkt

Traffic Analytics onderzoekt de onbewerkte NSG-stroomlogboeken en legt gereduceerde logboeken vast door gemeenschappelijke stromen samen te stellen tussen hetzelfde bron-IP-adres, doel-IP-adres, doelpoort en protocol. Bijvoorbeeld: Host 1 (IP-adres: 10.10.10.10) communiceert met Host 2 (IP-adres: 10.10.20.10), 100 keer over een periode van 1 uur met behulp van poort (bijvoorbeeld 80) en protocol (bijvoorbeeld http). Het gereduceerde logboek heeft één vermelding, die Host 1 & Host 2 100 keer gecommuniceerd gedurende een periode van 1 uur met behulp van poort 80 en protocol HTTP, in plaats van 100 vermeldingen. Gereduceerde logboeken worden uitgebreid met geografie-, beveiligings- en topologiegegevens en vervolgens opgeslagen in een Log Analytics-werkruimte. In de volgende afbeelding ziet u de gegevensstroom:

Ondersteunde regio's: NSG

U kunt verkeersanalyses gebruiken voor NSG's in een van de volgende ondersteunde regio's:

Ondersteunde regio's: Log Analytics-werkruimten

De Log Analytics-werkruimte moet bestaan in de volgende regio's:

Vereisten

Vereisten voor gebruikerstoegang

Uw account moet lid zijn van een van de volgende ingebouwde Azure-rollen:

Als uw account niet is toegewezen aan een van de ingebouwde rollen, moet het worden toegewezen aan een aangepaste rol aan wie de volgende acties zijn toegewezen, op abonnementsniveau:

• Microsoft.Network/applicationGateways/read
• "Microsoft.Network/connections/read"
• Microsoft.Network/loadBalancers/read
• Microsoft.Network/localNetworkGateways/read
• Microsoft.Network/networkInterfaces/read
• Microsoft.Network/networkSecurityGroups/read
• Microsoft.Network/publicIPAddresses/read
• Microsoft.Network/routeTables/read
• Microsoft.Network/virtualNetworkGateways/read
• Microsoft.Network/virtualNetworks/read
• Microsoft.Network/expressRouteCircuits/read

Zie Veelgestelde vragen over Traffic Analytics voor meer informatie over het controleren van machtigingen voor gebruikerstoegang.

Network Watcher inschakelen

Als u verkeer wilt analyseren, moet u een bestaande netwerk-watcher hebben of een netwerk-watcher inschakelen in elke regio waar u NSG's voor wilt analyseren. Traffic Analytics kan worden ingeschakeld voor NSG's die worden gehost in een van de ondersteunde regio's.

Een netwerkbeveiligingsgroep selecteren

Voordat u NSG-stroomlogboekregistratie inschakelen, moet u een netwerkbeveiligingsgroep hebben om stromen voor te registreren. Als u geen netwerkbeveiligingsgroep hebt, zie Een netwerkbeveiligingsgroep maken om er een te maken.

Ga Azure Portal naar Network Watcher en selecteer vervolgens NSG-stroomlogboeken. Selecteer de netwerkbeveiligingsgroep voor wie u een NSG-stroomlogboek wilt inschakelen, zoals wordt weergegeven in de volgende afbeelding:

Als u Traffic Analytics wilt inschakelen voor een NSG die wordt gehost in een andere regio dan de ondersteunde regio's, ontvangt u de fout 'Niet gevonden'.

Instellingen voor stroomlogboek inschakelen

Voordat u instellingen voor stroomlogboek inschakelen, moet u de volgende taken uitvoeren:

Registreer de Azure Insights provider als deze nog niet is geregistreerd voor uw abonnement:

Register-AzResourceProvider -ProviderNamespace Microsoft.Insights

Als u nog geen account Azure Storage voor het opslaan van NSG-stroomlogboeken, moet u een opslagaccount maken. U kunt een opslagaccount maken met de volgende opdracht. Voordat u de opdracht gaat uitvoeren, vervangt u door een naam die uniek is op alle <replace-with-your-unique-storage-account-name> Azure-locaties, tussen de 3 en 24 tekens lang, met alleen cijfers en kleine letters. U kunt indien nodig ook de naam van de resourcegroep wijzigen.

New-AzStorageAccount `
  -Location westcentralus `
  -Name <replace-with-your-unique-storage-account-name> `
  -ResourceGroupName myResourceGroup `
  -SkuName Standard_LRS `
  -Kind StorageV2

Selecteer de volgende opties, zoals wordt weergegeven in de afbeelding:

1. Selecteer Aan bij Status
2. Selecteer Versie 2 voor Flow Versie van logboeken. Versie 2 bevat statistische gegevens over stroomsessies (bytes en pakketten)
3. Selecteer een bestaand opslagaccount om de stroomlogboeken in op te slaan. Zorg ervoor dat voor uw opslag 'Data Lake Storage Gen2 Hierarchical Namespace Enabled' niet is ingesteld op true.
4. Stel Retentie in op het aantal dagen dat u gegevens wilt opslaan. Als u de gegevens voor altijd wilt opslaan, stelt u de waarde in op 0. Er worden kosten Azure Storage voor het opslagaccount.
5. Selecteer Aan voor Traffic Analytics Status.
6. Selecteer verwerkingsinterval. Op basis van uw keuze worden stroomlogboeken verzameld uit het opslagaccount en verwerkt door Traffic Analytics. U kunt elk uur of elke tien minuten een verwerkingsinterval kiezen.
7. Selecteer een bestaande Log Analytics-werkruimte (OMS) of selecteer Nieuwe werkruimte maken om een nieuwe werkruimte te maken. Een Log Analytics-werkruimte wordt gebruikt door Traffic Analytics de geaggregeerde en geïndexeerde gegevens op te slaan die vervolgens worden gebruikt om de analyse te genereren. Als u een bestaande werkruimte selecteert, moet deze aanwezig zijn in een van de ondersteunde regio's en zijn bijgewerkt naar de nieuwe querytaal. Als u een bestaande werkruimte niet wilt upgraden of geen werkruimte in een ondersteunde regio wilt hebben, maakt u een nieuwe. Zie Azure Log Analytics upgrade to new log search (Azure Log Analytics upgraden naar nieuwe zoekopdrachten in logboeken) voor meer informatie over querytalen.

8. Selecteer Opslaan.

   

Herhaal de vorige stappen voor alle andere NSG's waarvoor u verkeersanalyse wilt inschakelen. Gegevens uit stroomlogboeken worden verzonden naar de werkruimte, dus zorg ervoor dat de lokale wetten en voorschriften in uw land/regio gegevensopslag toestaan in de regio waarin de werkruimte zich bevindt. Als u verschillende verwerkingsintervallen hebt ingesteld voor verschillende NSG's, worden gegevens met verschillende intervallen verzameld. Bijvoorbeeld: u kunt ervoor kiezen om een verwerkingsinterval van 10 minuten in te stellen voor kritieke VT's en 1 uur voor niet-kritieke V VNET's.

U kunt traffic analytics ook configureren met behulp van de PowerShell-cmdlet Set-AzNetworkWatcherConfigFlowLog in Azure PowerShell. Voer Get-Module -ListAvailable Az uit om de geïnstalleerde versie te vinden. Als u PowerShell wilt upgraden, raadpleegt u De Azure PowerShell-module installeren.

Verkeersanalyses weergeven

Als u Traffic Analytics wilt weergeven, zoekt u Network Watcher in de zoekbalk van de portal. Als u Network Watcher en de mogelijkheden ervan wilt verkennen, selecteert Traffic Analytics in het menu links.

Het kan tot 30 minuten duren voordat het dashboard de eerste keer wordt weergegeven, omdat Traffic Analytics eerst voldoende gegevens moeten samenvoegen om zinvolle inzichten af te leiden, voordat er rapporten kunnen worden gegenereerd.

Gebruiksscenario's

Enkele van de inzichten die u mogelijk wilt verkrijgen nadat Traffic Analytics volledig is geconfigureerd, zijn als volgt:

Verkeers-hotspots zoeken

Zoeken

• Welke hosts, subnetten, virtuele netwerken en virtuele-machineschaalset verzenden of ontvangen het meeste verkeer, waarbij maximaal schadelijk verkeer wordt doorkruist en aanzienlijke stromen worden geblokkeerd?
  • Controleer de vergelijkende grafiek voor hosts, subnet, virtueel netwerk en virtuele-machineschaalset. Inzicht in welke hosts, subnetten, virtuele netwerken en virtuele-machineschaalset het meeste verkeer verzenden of ontvangen, kan u helpen bij het identificeren van de hosts die het meeste verkeer verwerken en of de verkeersdistributie goed wordt uitgevoerd.
  • U kunt evalueren of het volume van het verkeer geschikt is voor een host. Is de hoeveelheid verkeer normaal gedrag of is verder onderzoek nodig?
• Hoeveel inkomende/uitgaande verkeer is er?
  • Wordt verwacht dat de host meer inkomende verkeer ontvangt dan uitgaand verkeer, of omgekeerd?
• Statistieken van geblokkeerd verkeer.
  • Waarom blokkeert een host een aanzienlijke hoeveelheid goedaardig verkeer? Dit gedrag vereist verder onderzoek en waarschijnlijk optimalisatie van de configuratie
• Statistieken van schadelijk toegestaan/geblokkeerd verkeer

  • Waarom ontvangt een host schadelijk verkeer en waarom zijn stromen van schadelijke bronnen toegestaan? Dit gedrag vereist verder onderzoek en waarschijnlijk optimalisatie van de configuratie.

    Selecteer Alles bekijken onder IP, zoals wordt weergegeven in de volgende afbeelding:

    

    In de volgende afbeelding ziet u een trend in de tijd voor de vijf belangrijkste gesprekshosts en de stroomgerelateerde details (toegestaan : inkomende/uitgaande en geweigerde stromen - inkomende/uitgaande stromen) voor een host:

    Selecteer Meer bekijken onder Details van de top 5 van gespreks-IP's, zoals wordt weergegeven in de volgende afbeelding, om inzicht te krijgen in alle hosts:

    

Zoeken

• Wat zijn de meest voorkomende hostparen?

  • Verwacht gedrag zoals front-end- of back-endcommunicatie of onregelmatig gedrag, zoals back-end internetverkeer.

• Statistieken van toegestaan/geblokkeerd verkeer

  • Waarom een host aanzienlijke verkeersvolumes toestaat of blokkeert

• Meest gebruikte toepassingsprotocol voor de meeste hostparen die worden gebruikt:

  • Zijn deze toepassingen toegestaan in dit netwerk?

  • Zijn de toepassingen correct geconfigureerd? Gebruiken ze het juiste protocol voor communicatie? Selecteer Alles bekijken onder Veelgebruikt gesprek, zoals wordt weer geven in de volgende afbeelding:

    

• In de volgende afbeelding ziet u een trend in de tijd voor de top vijf gesprekken en de stroomgerelateerde details, zoals toegestane en geweigerde inkomende en uitgaande stromen voor een gesprekspaar:

  

Zoeken

• Welk toepassingsprotocol wordt het meest gebruikt in uw omgeving en welke hostparen gebruiken het toepassingsprotocol het meest?

  • Zijn deze toepassingen toegestaan in dit netwerk?

  • Zijn de toepassingen correct geconfigureerd? Gebruiken ze het juiste protocol voor communicatie? Verwacht gedrag is algemene poorten, zoals 80 en 443. Als voor standaardcommunicatie ongebruikelijke poorten worden weergegeven, is er mogelijk een configuratiewijziging vereist. Selecteer Alles bekijken onder Toepassingspoort in de volgende afbeelding:

    

• In de volgende afbeeldingen ziet u een trend in de tijd voor de top vijf L7-protocollen en de stroomgerelateerde details (bijvoorbeeld toegestane en geweigerde stromen) voor een L7-protocol:

  

  

Zoeken

• Trends in capaciteitsgebruik van een VPN-gateway in uw omgeving.

  • Elke VPN-SKU maakt een bepaalde hoeveelheid bandbreedte mogelijk. Worden de VPN-gateways onderbelegd?
  • Bereiken uw gateways de capaciteit? Moet u upgraden naar de volgende hogere SKU?

• Wat zijn de meest voorkomende hosts, via welke VPN-gateway, via welke poort?

  • Is dit patroon normaal? Selecteer Alles bekijken onder VPN-gateway, zoals wordt weergegeven in de volgende afbeelding:

    

• In de volgende afbeelding ziet u een trend in de tijd voor het capaciteitsgebruik van een Azure-VPN Gateway en de stroomgerelateerde details (zoals toegestane stromen en poorten):

  

Verkeersdistributie per geografie visualiseren

Zoeken

• Verkeersdistributie per datacenter, zoals de belangrijkste bronnen van verkeer naar een datacenter, de belangrijkste rogue netwerken die met het datacenter werken en de belangrijkste toepassingsprotocollen.

  • Als u meer belasting van een datacenter ziet, kunt u een efficiënte verkeersdistributie plannen.

  • Als rogue netwerken in het datacenter werken, corrigeert u NSG-regels om deze te blokkeren.

    Selecteer Kaart weergeven onder Uw omgeving, zoals wordt weergegeven in de volgende afbeelding:

    

• Op de geokaart wordt het bovenste lint weergegeven voor de selectie van parameters, zoals datacenters (Geïmplementeerd/Geen implementatie/Actief/Inactief/Traffic Analytics Ingeschakeld/Traffic Analytics Niet ingeschakeld) en landen/regio's die goedaardig/schadelijk verkeer bijdragen aan de actieve implementatie:

  

• De geokaart toont de verkeersdistributie naar een datacentrum vanuit landen/regio's en continents die er in blauw (goedaardig verkeer) en rode (schadelijk verkeer) gekleurde lijnen naar communiceren:

  

  

• Op de blade Meer inzicht van een Azure-regio wordt ook het totale verkeer in die regio (bron en bestemming in dezelfde regio) weer gegeven. Het biedt meer inzicht in verkeer dat wordt uitgewisseld tussen beschikbaarheidszones van een datacenter

  

Verkeersdistributie door virtuele netwerken visualiseren

Zoeken

• Verkeersdistributie per virtueel netwerk, topologie, belangrijkste bronnen van verkeer naar het virtuele netwerk, de belangrijkste rogue netwerken die naar het virtuele netwerk gaan en de belangrijkste toepassingsprotocollen.

  • Weten welk virtueel netwerk naar welk virtueel netwerk wordt doorverzenderd. Als het gesprek niet wordt verwacht, kan dit worden gecorrigeerd.

  • Als rogue netwerken met een virtueel netwerk werken, kunt u NSG-regels corrigeren om de rogue netwerken te blokkeren.

    Selecteer VNets weergeven onder Uw omgeving, zoals wordt weergegeven in de volgende afbeelding:

    

• De Virtual Network-topologie toont het bovenste lint voor de selectie van parameters, zoals de van een virtueel netwerk (Inter virtual network Connections/Active/Inactive), External Connections, Active Flows en Malicious flows van het virtuele netwerk.

• U kunt de Virtual Network filteren op basis van abonnementen, werkruimten, resourcegroepen en tijdsinterval. Aanvullende filters die u inzicht geven in de stroom zijn: Flow Type (InterVNet, IntraVNET, en meer), Flow Direction (inbound, outbound), Flow Status (Allowed, Blocked), VNETs (Targeted and Connected), Connection Type (Peering or Gateway - P2S and S2S) en NSG. Gebruik deze filters om u te richten op VNets die u in detail wilt onderzoeken.

• De Virtual Network-topologie toont de verkeersdistributie naar een virtueel netwerk met betrekking tot stromen (toegestaan/geblokkeerd/inkomende/uitgaande/goedaardige/schadelijke), toepassingsprotocollen en netwerkbeveiligingsgroepen, bijvoorbeeld:

  

  

  

Zoeken

• Verkeersdistributie per subnet, topologie, belangrijkste bronnen van verkeer naar het subnet, de belangrijkste rogue netwerken die naar het subnet gaan en de belangrijkste toepassingsprotocollen.

  • Weten welk subnet naar welk subnet gaat. Als u onverwachte gesprekken ziet, kunt u uw configuratie corrigeren.
  • Als rogue netwerken werken met een subnet, kunt u dit corrigeren door NSG-regels te configureren om de rogue netwerken te blokkeren.

• De subnettopologie toont het bovenste lint voor het selecteren van parameters, zoals actief/inactief subnet, externe verbindingen, actieve stromen en schadelijke stromen van het subnet.

• De subnettopologie toont de verkeersdistributie naar een virtueel netwerk met betrekking tot stromen (Toegestaan/Geblokkeerd/Inbound/Uitgaand/Goedaardig/Schadelijk), toepassingsprotocol en NSG's, bijvoorbeeld:

  

Zoeken

Distributie van verkeer per Application Gateway & Load Balancer, topologie, belangrijkste verkeersbronnen, belangrijkste rogue netwerken die naar de Application Gateway-& Load Balancer gaan en de meest prioriterende toepassingsprotocollen.

• Weten welk subnet naar welke toepassingsgateway of welke Load Balancer. Als u onverwachte gesprekken bekijkt, kunt u uw configuratie corrigeren.

• Als rogue netwerken werken met een toepassingsgateway of Load Balancer, kunt u dit corrigeren door NSG-regels te configureren om de rogue netwerken te blokkeren.

  

Poorten en virtuele machines weergeven die verkeer van internet ontvangen

Zoeken

• Welke open poorten zijn toegankelijk via internet?

  • Als er onverwachte poorten worden gevonden, kunt u de configuratie corrigeren:

    

    

Zoeken

Hebt u schadelijk verkeer in uw omgeving? Waar komt het vandaan? Waar is het bestemd voor?

Informatie weergeven over openbare IP's die interactie hebben met uw implementatie

Zoeken

• Welke openbare IP's werken met mijn netwerk? Wat zijn de WHOIS-gegevens en geografische locatie van alle openbare IP's?
• Welke kwaadwillende IP's verzenden verkeer naar mijn implementaties? Wat is het bedreigingstype en de beschrijving van bedreigingen voor kwaadwillende IP's?

  • In de sectie Openbare IP-gegevens vindt u een overzicht van alle typen openbare IP-adressen die aanwezig zijn in uw netwerkverkeer. Selecteer het openbare IP-type dat u wilt gebruiken om details weer te geven. In dit schemadocument worden de weergegeven gegevensvelden gedefinieerd.

    

  • Klik in het dashboard van Traffic Analytics op een IP-adres om de gegevens ervan weer te geven

    

    

De trends in NSG-/NSG-regels visualiseren

Zoeken

• Welke NSG/NSG-regels hebben de meeste treffers in vergelijkende grafieken met stromendistributie?

• Wat zijn de belangrijkste bron- en doelgespreksparen per NSG/NSG-regels?

  

• In de volgende afbeeldingen ziet u een trend in de tijd voor treffers van NSG-regels en stroomdetails van de bronbestemming voor een netwerkbeveiligingsgroep:

  • Snel detecteren welke NSG's en NSG-regels schadelijke stromen doorlopen en welke de meest schadelijke IP-adressen zijn die toegang hebben tot uw cloudomgeving

  • Bepalen welke NSG/NSG-regels belangrijk netwerkverkeer toestaan/blokkeren

  • Selecteer de belangrijkste filters voor gedetailleerde inspectie van een NSG- of NSG-regels

    

    

Veelgestelde vragen

Zie Veelgestelde vragen over Traffic Analytics voor antwoorden op veelgestelde vragen.

Volgende stappen

• Zie NSG-stroomlogboeken inschakelen voor meer informatie over het inschakelen van stroomlogboeken.
• Zie Verkeersanalyseschema voor meer informatie over het schema en Traffic Analytics van gegevens.