Gerenciar os logs de fluxo do NSG usando o portal do Azure

  • Artigo

Os logs de fluxo do grupo de segurança de rede são um recurso do Observador de Rede do Azure que permite registrar informações sobre o tráfego IP que flui por meio de um grupo de segurança de rede. Para obter mais informações sobre o log de fluxo do grupo de segurança de rede, confira Visão geral dos logs de fluxo do NSG.

Neste artigo, você aprenderá a criar, alterar, desabilitar ou excluir um log de fluxo do grupo de segurança de rede usando o portal do Azure. Você pode aprender a gerenciar um log de fluxo do NSG por meio do PowerShell, da CLI do Azure, da API REST ou do Modelo do ARM.

Pré-requisitos

Registrar o provedor Insights

O provedor Microsoft.Insights deve ser registrado para registrar com êxito o tráfego de log que flui por meio de um grupo de segurança de rede. Se você não tiver certeza se o provedor Microsoft.Insights está registrado, confira seu status:

  1. Na caixa de pesquisa na parte superior do portal, insira assinaturas. Selecione Assinaturas nos resultados da pesquisa.

  2. Selecione a assinatura do Azure para a qual deseja habilitar o provedor em Assinaturas.

  3. Em Configurações, selecione Provedores de recursos.

  4. Insira insight na caixa de filtro.

  5. Confirme se o status do provedor exibido é Registrado. Se o status for NotRegistered, selecione o provedor Microsoft.Insights e escolha Registrar.

    Captura de tela do registro do provedor Microsoft Insights no portal do Azure.

Criar um log de fluxo

Crie um log de fluxo para o grupo de segurança de rede. Esse log de fluxo do NSG é salvo em uma conta de armazenamento do Azure.

  1. Na caixa de pesquisa na parte superior do portal, insira Observador de Rede. Selecione Observador de Rede nos resultados da pesquisa.

  2. Em Logs, selecione Logs de fluxo.

  3. No Observador de Rede | Logs de fluxo, selecione + Criar ou o botão azul Criar log de fluxo.

    Captura de tela da página de logs de fluxo no portal do Azure.

  4. Insira ou selecione os seguintes valores em Criar um log de fluxo:

    Configuração Valor
    Detalhes do projeto
    Subscription Selecione a assinatura do Azure do seu grupo de segurança de rede que você deseja registrar.
    Grupo de segurança de rede Escolha + Selecionar recurso.
    Em Selecionar grupo de segurança de rede, selecione myNSG. Em seguida, selecione Confirmar seleção.
    Nome do Log de fluxo Insira um nome para o log de fluxo ou deixe o nome padrão. myNSG-myResourceGroup-flowlog é o nome padrão deste exemplo.
    Detalhes da instância
    Subscription Selecione a assinatura do Azure de sua conta de armazenamento.
    Contas de Armazenamento Selecione a conta de armazenamento na qual deseja salvar os logs de fluxo. Se você quiser criar uma nova conta de armazenamento, selecione Criar uma nova conta de armazenamento.
    Retenção (dias) Insira um tempo de retenção para os logs. Insira 0 se quiser reter os dados dos logs de fluxo na conta de armazenamento para sempre (até excluí-los da conta de armazenamento). Para saber mais sobre preços, confira Preços do Armazenamento do Microsoft Azure.

    Captura de tela da criação de um log de fluxo do NSG no portal do Azure.

    Observação

    Se a conta de armazenamento estiver em uma assinatura diferente, o grupo de segurança de rede e a conta de armazenamento deverão ser associados ao mesmo locatário do Azure Active Directory. A conta que você usa para cada assinatura deve ter as permissões necessárias.

  5. Selecione Examinar + criar.

  6. Examine as configurações e selecione Criar.

Criar um log de fluxo e um workspace de análise de tráfego

Crie um log de fluxo para seu grupo de segurança de rede e habilite a análise de tráfego. O log de fluxo do NSG é salvo em uma conta de armazenamento do Azure.

  1. Na caixa de pesquisa na parte superior do portal, insira Observador de Rede. Selecione Observador de Rede nos resultados da pesquisa.

  2. Em Logs, selecione Logs de fluxo.

  3. No Observador de Rede | Logs de fluxo, selecione + Criar ou o botão azul Criar log de fluxo.

    Captura de tela da página de logs de fluxo no portal do Azure.

  4. Insira ou selecione os seguintes valores em Criar um log de fluxo:

    Configuração Valor
    Detalhes do projeto
    Subscription Selecione a assinatura do Azure do seu grupo de segurança de rede que você deseja registrar.
    Grupo de segurança de rede Escolha + Selecionar recurso.
    Em Selecionar grupo de segurança de rede, selecione myNSG. Em seguida, selecione Confirmar seleção.
    Nome do Log de fluxo Insira um nome para o log de fluxo ou deixe o nome padrão. Por padrão, o portal do Azure cria o log de fluxo de {network-security-group}-{resource-group}-flowlog no grupo de recursos NetworkWatcherRG.
    Detalhes da instância
    Subscription Selecione a assinatura do Azure de sua conta de armazenamento.
    Contas de Armazenamento Selecione a conta de armazenamento na qual deseja salvar os logs de fluxo. Se você quiser criar uma nova conta de armazenamento, selecione Criar uma nova conta de armazenamento.
    Retenção (dias) Insira um tempo de retenção para os logs. Insira 0 se quiser reter os dados dos logs de fluxo na conta de armazenamento para sempre (até excluí-los da conta de armazenamento). Para saber mais sobre preços, confira Preços do Armazenamento do Microsoft Azure.

    Captura de tela da guia Noções Básicas para Criar um log de fluxo no portal do Azure.

    Observação

    Se a conta de armazenamento estiver em uma assinatura diferente, o grupo de segurança de rede e a conta de armazenamento deverão ser associados ao mesmo locatário do Azure Active Directory. A conta que você usa para cada assinatura deve ter as permissões necessárias.

  5. Selecione o botão Avançar: Análise ou selecione a guia Análise. Em seguida, insira ou selecione os seguintes valores:

    Configuração Valor
    Versão dos logs de fluxo Selecione a versão do log de fluxo. A versão 2 é selecionada por padrão quando você cria um log de fluxo usando o portal do Azure. Para obter mais informações sobre as versões de logs de fluxo, confira Formato de log dos logs de fluxo do NSG.
    Análise de Tráfego
    Habilitar Análise de Tráfego Marque a caixa de seleção para habilitar a análise de tráfego do log de fluxo.
    Intervalo de processamento da Análise de Tráfego Selecione o intervalo de processamento que preferir, as opções disponíveis são: De 1 em 1 hora e de 10 em 10 minutos. O intervalo de processamento padrão é de uma em uma hora. Para obter mais informações, confira Análise de Tráfego.
    Subscription Selecione a assinatura do Azure para o workspace do Log Analytics.
    Workspace do Log Analytics Selecione seu espaço de trabalho do Log Analytics. Por padrão, portal do Azure cria e seleciona o workspace do Log Analytics DefaultWorkspace-{subscription-id}-{region} no grupo de recursos defaultresourcegroup-{Region}.

    Captura de tela da habilitação da análise de tráfego de um log de fluxo no portal do Azure.

  6. Selecione Examinar + criar.

  7. Examine as configurações e selecione Criar.

Alterar um log de fluxo

Você pode alterar as propriedades de um log de fluxo depois de criá-lo. Por exemplo, você pode alterar a versão do log de fluxo ou desabilitar a análise de tráfego.

  1. Na caixa de pesquisa na parte superior do portal, insira Observador de Rede. Selecione Observador de Rede nos resultados da pesquisa.

  2. Em Logs, selecione Logs de fluxo.

  3. Em Observador de Rede | Logs de fluxo, selecione o log de fluxo que você deseja alterar.

  4. Em Configurações de logs de fluxo, você pode alterar qualquer uma das seguintes configurações:

    • Versão dos Logs de Fluxo: altere a versão do log de fluxo. As versões disponíveis são: versão 1 e versão 2. A versão 2 é selecionada por padrão quando você cria um log de fluxo usando o portal do Azure. Para obter mais informações sobre as versões de logs de fluxo, confira Formato de log dos logs de fluxo do NSG.
    • Conta de Armazenamento: altere a conta de armazenamento na qual deseja salvar os logs de fluxo. Se você quiser criar uma nova conta de armazenamento, selecione Criar uma nova conta de armazenamento.
    • Retenção (dias): altere o tempo de retenção na conta de armazenamento. Insira 0 se quiser reter os dados dos logs de fluxo na conta de armazenamento para sempre (até excluir manualmente os dados da conta de armazenamento).
    • Análise de Tráfego: habilite ou desabilite a análise de tráfego do log de fluxo. Para obter mais informações, confira Análise de Tráfego.
    • Intervalo de processamento da Análise de Tráfego: altere o intervalo de processamento da análise de tráfego (se a análise de tráfego estiver habilitada). As opções disponíveis são: uma hora e 10 minutos. O intervalo de processamento padrão é de uma em uma hora. Para obter mais informações, confira Análise de Tráfego.
    • Workspace do Log Analytics: altere o workspace do Log Analytics no qual você deseja salvar os logs de fluxo (se a análise de tráfego estiver habilitada).

    Captura de tela da página de configurações de logs de fluxo no portal do Azure, onde você pode alterar algumas configurações.

Listar todos os logs de fluxo

Você pode listar todos os logs de fluxo em uma assinatura ou em um grupo de assinaturas. Você também pode listar todos os logs de fluxo em uma região.

  1. Na caixa de pesquisa na parte superior do portal, insira Observador de Rede. Selecione Observador de Rede nos resultados da pesquisa.

  2. Em Logs, selecione Logs de fluxo.

  3. Selecione o filtro Assinatura igual a para escolher uma ou mais de suas assinaturas. Você pode aplicar outros filtros como Localização igual a para listar todos os logs de fluxo em uma região.

    A captura de tela mostra como usar os filtros para listar todos os logs de fluxo existentes em uma assinatura usando o portal do Azure.

Exibir detalhes de um recurso de log de fluxo

Você pode exibir os detalhes de um log de fluxo em uma assinatura ou em um grupo de assinaturas. Você também pode listar todos os logs de fluxo em uma região.

  1. Na caixa de pesquisa na parte superior do portal, insira Observador de Rede. Selecione Observador de Rede nos resultados da pesquisa.

  2. Em Logs, selecione Logs de fluxo.

  3. Em Observador de Rede | Logs de fluxo, selecione o log de fluxo que você deseja ver.

  4. Em Configurações de logs de fluxo, exiba as configurações do recurso de log de fluxo.

    Captura de tela da página de configurações dos logs de fluxo no portal do Azure.

Baixar um log de fluxo

O local de armazenamento de um log de fluxo é definido no momento da criação. Para acessar e baixar logs de fluxo de sua conta de armazenamento, você pode usar o Gerenciador de Armazenamento do Azure. Para obter mais informações, confira Introdução ao Gerenciador de Armazenamento.

Os arquivos de log de fluxo do NSG salvos em uma conta de armazenamento seguem este caminho:

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

Para obter informações sobre a estrutura de um log de fluxo, consulte Formato de log dos logs de fluxo do NSG.

Desabilitar um log de fluxo

Você pode desabilitar temporariamente um log de fluxo do NSG sem excluí-lo. Desabilitar um log de fluxo interrompe o log de fluxo para o grupo de segurança de rede associado. No entanto, o recurso de log de fluxo permanece com todas as suas configurações e associações. Você pode habilitá-lo novamente a qualquer momento para retomar o log de fluxo para o grupo de segurança de rede configurado.

  1. Na caixa de pesquisa na parte superior do portal, insira Observador de Rede. Selecione Observador de Rede nos resultados da pesquisa.

  2. Em Logs, selecione Logs de fluxo.

  3. Em Observador de Rede | Logs de fluxo, marque a caixa de seleção do log de fluxo que você deseja desabilitar.

  4. Selecione Desabilitar.

    A captura de tela mostra como desabilitar um log de fluxo no portal do Azure.

Observação

Se a análise de tráfego estiver habilitada para um log de fluxo, ela deverá ser desabilitada antes que você possa desabilitar o log de fluxo. Para desabilitar a análise de tráfego, confira Alterar um log de fluxo.

Excluir um log de fluxo

Você pode excluir permanentemente um log de fluxo do NSG. Excluir um log de fluxo exclui todas as suas configurações e associações. Para iniciar o registro em log de fluxo novamente para o mesmo grupo de segurança de rede, você deve criar um novo log de fluxo para ele.

  1. Na caixa de pesquisa na parte superior do portal, insira Observador de Rede. Selecione Observador de Rede nos resultados da pesquisa.

  2. Em Logs, selecione Logs de fluxo.

  3. Em Observador de Rede | Logs de fluxo, marque a caixa de seleção do log de fluxo que você deseja excluir.

  4. Selecione Excluir.

    A captura de tela mostra como excluir um log de fluxo no portal do Azure.

Observação

Excluir um log de fluxo não exclui os dados de log de fluxo da conta de armazenamento. Os dados de logs de fluxo armazenados na conta de armazenamento seguem a política de retenção configurada ou permanecem armazenados na conta de armazenamento até serem excluídos manualmente (caso nenhuma política de retenção esteja configurada).

Próximas etapas