Trafikanalys

Trafikanalys är en molnbaserad lösning som ger insyn i användar- och programaktivitet i molnnätverk. Trafikanalys analyserar Network Watcher NSG-flödesloggar (Network Security Group) för att ge insikter om trafikflödet i ditt Azure-moln. Med trafikanalys kan du:

• Visualisera nätverksaktivitet i dina Azure-prenumerationer och identifiera hotspots.
• Identifiera säkerhetshot mot och skydda ditt nätverk med information som öppna portar, program som försöker få åtkomst till Internet och virtuella datorer (VM) som ansluter till falska nätverk.
• Förstå trafikflödesmönster mellan Azure-regioner och Internet för att optimera nätverksdistributionen för prestanda och kapacitet.
• Hitta felaktiga nätverkskonfigurationer som leder till misslyckade anslutningar i nätverket.

Varför trafikanalys?

Det är viktigt att övervaka, hantera och känna till ditt eget nätverk för att få okomprometterad säkerhet, efterlevnad och prestanda. Att känna till din egen miljö är avgörande för att skydda och optimera den. Du behöver ofta känna till nätverkets aktuella tillstånd, vem som ansluter, var de ansluter från, vilka portar som är öppna till Internet, förväntat nätverksbeteende, oregelbunden nätverksbeteende och plötslig ökning av trafik.

Molnnätverk skiljer sig från lokala företagsnätverk, där du har netflow eller motsvarande protokoll-kompatibla routrar och växlar, som ger möjlighet att samla in IP-nätverkstrafik när den kommer in i eller avslutar ett nätverksgränssnitt. Genom att analysera trafikflödesdata kan du skapa en analys av nätverkstrafikflödet och volymen.

Virtuella Azure-nätverk har NSG-flödesloggar som ger information om in- och utgående IP-trafik via en nätverkssäkerhetsgrupp som är associerad med enskilda nätverksgränssnitt, virtuella datorer eller undernät. Genom att analysera råa NSG-flödesloggar och infoga information om säkerhet, topologi och geografi kan trafikanalysen ge dig insikter om trafikflödet i din miljö. Trafikanalys innehåller information som de flesta kommunicerande värdar, de flesta kommunicerande programprotokoll, de flesta konvergerande värdpar, tillåten/blockerad trafik, inkommande/utgående trafik, öppna Internetportar, de flesta blockerande regler, trafikdistribution per Azure-datacenter, virtuellt nätverk, undernät eller falska nätverk.

Nyckelkomponenter

• Nätverkssäkerhetsgrupp (NSG): Innehåller en lista över säkerhetsregler som tillåter eller nekar nätverkstrafik till resurser som är anslutna till en Azure Virtual Network. Nätverkssäkerhetsgrupper kan kopplas till undernät, enskilda virtuella datorer (klassisk) eller enskilda nätverkskort (NIC) som är anslutna till virtuella datorer (Resource Manager). Mer information finns i Översikt över nätverkssäkerhetsgrupp.
• Flödesloggar för nätverkssäkerhetsgrupp (NSG): Gör att du kan visa information om in- och utgående IP-trafik via en nätverkssäkerhetsgrupp. NSG-flödesloggar skrivs i json-format och visar utgående och inkommande flöden per regel, det nätverkskort som flödet gäller för, femdetalsinformation om flödet (käll-/mål-IP-adress, käll-/målport och protokoll) och om trafiken tilläts eller nekades. Mer information om NSG-flödesloggar finns i NSG-flödesloggar.
• Log Analytics: En Azure-tjänst som samlar in övervakningsdata och lagrar data i en central lagringsplats. Dessa data kan omfatta händelser, prestandadata eller anpassade data som tillhandahålls via Azure-API:et. När data har samlats in är de tillgängliga för avisering, analys och export. Övervakning av program som övervakare av nätverksprestanda och trafikanalys byggs med hjälp Azure Monitor loggar som en grund. Mer information finns i Azure Monitor loggar.
• Log Analytics-arbetsyta: En instans Azure Monitor loggar, där data som rör ett Azure-konto lagras. Mer information om Log Analytics-arbetsytor finns i Skapa en Log Analytics-arbetsyta.
• Network Watcher: En regional tjänst som gör att du kan övervaka och diagnostisera villkor på nätverksnivå i Azure. Du kan aktivera och inaktivera NSG-flödesloggar med Network Watcher. Mer information finns i Network Watcher.

Så här fungerar trafikanalys

Trafikanalys undersöker rådata för NSG-flödesloggar och samlar in minskade loggar genom att aggregera vanliga flöden mellan samma käll-IP-adress, mål-IP-adress, målport och protokoll. Exempel: Värd 1 (IP-adress: 10.10.10.10) som kommunicerar med värd 2 (IP-adress: 10.10.20.10), 100 gånger under en period på en timme med hjälp av port (till exempel 80) och protokoll (till exempel http). Den minskade loggen har en post, som Värd 1 & Host 2 kommunicerade 100 gånger under en period på en timme med port 80 och protokollet HTTP, i stället för att ha 100 poster. Minskade loggar förbättras med information om geografi, säkerhet och topologi och lagras sedan på en Log Analytics-arbetsyta. Följande bild visar dataflödet:

Regioner som stöds: NSG

Du kan använda trafikanalys för NSG:er i någon av följande regioner som stöds:

Regioner som stöds: Log Analytics-arbetsytor

Log Analytics-arbetsytan måste finnas i följande regioner:

Förutsättningar

Krav för användaråtkomst

Ditt konto måste vara medlem i någon av följande inbyggda Azure-roller:

Om ditt konto inte har tilldelats någon av de inbyggda rollerna måste det tilldelas en anpassad roll som har tilldelats följande åtgärder på prenumerationsnivå:

• "Microsoft.Network/applicationGateways/read"
• "Microsoft.Network/connections/read"
• "Microsoft.Network/loadBalancers/read"
• "Microsoft.Network/localNetworkGateways/read"
• "Microsoft.Network/networkInterfaces/read"
• "Microsoft.Network/networkSecurityGroups/read"
• "Microsoft.Network/publicIPAddresses/read"
• "Microsoft.Network/routeTables/read"
• "Microsoft.Network/virtualNetworkGateways/read"
• "Microsoft.Network/virtualNetworks/read"
• "Microsoft.Network/expressRouteCircuits/read"

Information om hur du kontrollerar behörigheter för användaråtkomst finns i Vanliga frågor och svar om trafikanalys.

Aktivera Network Watcher

Om du vill analysera trafik måste du ha en befintlig nätverksserare eller aktivera en nätverksserare i varje region som du har NSG:er som du vill analysera trafik för. Trafikanalys kan aktiveras för NSG:er som finns i någon av de regioner som stöds.

Välj en nätverkssäkerhetsgrupp

Innan du aktiverar NSG-flödesloggning måste du ha en nätverkssäkerhetsgrupp att logga flöden för. Om du inte har någon nätverkssäkerhetsgrupp kan du gå till Skapa en nätverkssäkerhetsgrupp för att skapa en.

I Azure Portal du till Network watcher och väljer sedan NSG-flödesloggar. Välj den nätverkssäkerhetsgrupp som du vill aktivera en NSG-flödeslogg för, enligt följande bild:

Om du försöker aktivera trafikanalys för en NSG som finns i någon annan region än de regioner som stöds fårdu felet "Hittades inte".

Aktivera flödeslogginställningar

Innan du aktiverar flödeslogginställningar måste du utföra följande uppgifter:

Registrera Azure Insights providern om den inte redan är registrerad för din prenumeration:

Register-AzResourceProvider -ProviderNamespace Microsoft.Insights

Om du inte redan har ett Azure Storage att lagra NSG-flödesloggar i måste du skapa ett lagringskonto. Du kan skapa ett lagringskonto med kommandot som följer. Innan du kör kommandot ersätter du med ett namn som är unikt på alla Azure-platser, mellan 3 och 24 tecken långt, med endast siffror och <replace-with-your-unique-storage-account-name> gemener. Du kan också ändra resursgruppens namn om det behövs.

New-AzStorageAccount `
  -Location westcentralus `
  -Name <replace-with-your-unique-storage-account-name> `
  -ResourceGroupName myResourceGroup `
  -SkuName Standard_LRS `
  -Kind StorageV2

Välj följande alternativ, som du ser i bilden:

1. Välj På för Status
2. Välj Version 2 för Flow logs version. Version 2 innehåller flödessessionsstatistik (byte och paket)
3. Välj ett befintligt lagringskonto där flödesloggarna ska lagras. Se till att lagringen inte har "Data Lake Storage Gen2 Hierarkisk namnrymd aktiverad" inställd på sant.
4. Ange Kvarhållning till det antal dagar som du vill lagra data för. Om du vill lagra data för alltid anger du värdet till 0. Du kan Azure Storage avgifter för lagringskontot.
5. Välj På för Trafikanalys Status.
6. Välj bearbetningsintervall. Baserat på ditt val samlas flödesloggar in från lagringskontot och bearbetas av Trafikanalys. Du kan välja bearbetningsintervallet var 1 timme eller var 10:e minut.
7. Välj en befintlig Log Analytics-arbetsyta (OMS) eller välj Skapa ny arbetsyta för att skapa en ny. En Log Analytics-arbetsyta används av Trafikanalys för att lagra aggregerade och indexerade data som sedan används för att generera analyserna. Om du väljer en befintlig arbetsyta måste den finnas i någon av de regioner som stöds och ha uppgraderats till det nya frågespråket. Om du inte vill uppgradera en befintlig arbetsyta eller inte har en arbetsyta i en region som stöds skapar du en ny. Mer information om frågespråk finns i Azure Log Analytics upgrade to new log search (Azure Log Analytics-uppgradering till ny loggsökning).

8. Välj Spara.

   

Upprepa föregående steg för alla andra NSG:er som du vill aktivera trafikanalys för. Data från flödesloggar skickas till arbetsytan, så se till att lokala lagar och föreskrifter i ditt land/din region tillåter datalagring i den region där arbetsytan finns. Om du har angett olika bearbetningsintervall för olika NSG:er samlas data in med olika intervall. Exempel: Du kan välja att aktivera bearbetningsintervall på 10 minuter för kritiska virtuella datorer och 1 timme för icke-kritiska virtuella datorer.

Du kan också konfigurera trafikanalys med hjälp av PowerShell-cmdleten Set-AzNetworkWatcherConfigFlowLog i Azure PowerShell. Kör Get-Module -ListAvailable Az för att hitta den installerade versionen. Om du behöver uppgradera kan du läsa Install Azure PowerShell module (Installera Azure PowerShell-modul).

Visa trafikanalys

Om du Trafikanalys kan du söka Network Watcher i portalens sökfält. När du Network Watcher kan du utforska trafikanalys och dess funktioner genom att Trafikanalys på den vänstra menyn.

Det kan ta upp till 30 minuter innan instrumentpanelen visas första gången eftersom Trafikanalys först måste aggregera tillräckligt med data för att kunna härleda meningsfulla insikter innan den kan generera rapporter.

Användningsscenarier

Några av de insikter som du kanske vill få när Trafikanalys har konfigurerats är följande:

Hitta trafikpunkter

Titta efter

• Vilka värdar, undernät, virtuella nätverk och VM-skalningsuppsättning skickar eller tar emot mest trafik, går igenom maximal skadlig trafik och blockerar viktiga flöden?
  • Kontrollera jämförelsediagram för värdar, undernät, virtuella nätverk och VM-skalningsuppsättning. Att förstå vilka värdar, undernät, virtuella nätverk och VM-skalningsuppsättning som skickar eller tar emot mest trafik kan hjälpa dig att identifiera de värdar som bearbetar mest trafik och om trafikdistributionen utförs korrekt.
  • Du kan utvärdera om trafikvolymen är lämplig för en värd. Är mängden trafik normalt beteende eller behöver den undersökas ytterligare?
• Hur mycket inkommande/utgående trafik finns det?
  • Förväntas värden ta emot mer inkommande trafik än utgående eller tvärtom?
• Statistik över blockerad trafik.
  • Varför blockerar en värd en betydande mängd ofarlig trafik? Det här beteendet kräver ytterligare undersökning och förmodligen optimering av konfigurationen
• Statistik över skadlig tillåten/blockerad trafik

  • Varför tar en värd emot skadlig trafik och varför tillåts flöden från skadliga källor? Det här beteendet kräver ytterligare undersökning och förmodligen optimering av konfigurationen.

    Välj Visa alla, under IP, enligt följande bild:

    

    I följande bild visas trendande tid för de fem främsta samtalsvärdarna och flödesrelaterad information (tillåten – inkommande/utgående och nekad – inkommande/utgående flöden) för en värd:

    Välj Visa mer under Information om de 5 översta tal-IP-adresser som visas i följande bild för att få insikter om alla värdar:

    

Titta efter

• Vilka är de mest konvergerande värdparen?

  • Förväntat beteende som frontend- eller backend-kommunikation eller oregelbunden beteende, till exempel internettrafik på serversidan.

• Statistik över tillåten/blockerad trafik

  • Varför en värd tillåter eller blockerar betydande trafikvolym

• Det vanligaste programprotokollet bland de mest konvergerande värdparen:

  • Tillåts dessa program i det här nätverket?

  • Är programmen korrekt konfigurerade? Använder de lämpligt protokoll för kommunikation? Välj Visa alla under Frekvent konversation, som du ser i följande bild:

    

• Följande bild visar tidstrender för de fem främsta konversationerna och flödesrelaterad information som tillåtna och nekade inkommande och utgående flöden för ett konversationspar:

  

Titta efter

• Vilket programprotokoll används mest i din miljö och vilka konvergerande värdpar använder programprotokollet mest?

  • Tillåts dessa program i det här nätverket?

  • Är programmen korrekt konfigurerade? Använder de lämpligt protokoll för kommunikation? Förväntat beteende är vanliga portar som 80 och 443. För standardkommunikation kan det krävas en konfigurationsändring om några ovanliga portar visas. Välj Visa alla under Programport i följande bild:

    

• Följande bilder visar trendande tid för de fem främsta L7-protokollen och flödesrelaterad information (till exempel tillåtna och nekade flöden) för ett L7-protokoll:

  

  

Titta efter

• Trender för kapacitetsutnyttjande för en VPN-gateway i din miljö.

  • Varje VPN-SKU tillåter en viss mängd bandbredd. Underutnyttjas VPN-gatewayerna?
  • Når dina gatewayer kapacitet? Bör du uppgradera till nästa högre SKU?

• Vilka är de mest konvergerande värdarna, via vilken VPN-gateway, över vilken port?

  • Är det här mönstret normalt? Välj Visa alla under VPN-gateway, som du ser i följande bild:

    

• Följande bild visar tidstrender för kapacitetsutnyttjande för en Azure VPN Gateway och flödesrelaterad information (till exempel tillåtna flöden och portar):

  

Visualisera trafikdistribution efter geografiskt område

Titta efter

• Trafikdistribution per datacenter, till exempel de främsta trafikkällorna till ett datacenter, de främsta falska nätverken som konvergerar med datacentret och de främsta konvergerande programprotokollen.

  • Om du ser mer belastning på ett datacenter kan du planera för effektiv trafikdistribution.

  • Om falska nätverk konvergerar i datacentret korrigerar du NSG-reglerna för att blockera dem.

    Välj Visa karta under Din miljö enligt följande bild:

    

• Geokartan visar det översta menyfliksområdet för val av parametrar, till exempel datacenter (distribuerad/ingen distribution/aktiv/inaktiv/Trafikanalys aktiverad/Trafikanalys inte aktiverad) och länder/regioner som bidrar godartad/skadlig trafik till den aktiva distributionen:

  

• Geokartan visar trafikfördelningen till ett datacenter från länder/regioner och kontinenter som kommunicerar med det i blått (godartad trafik) och röda (skadlig trafik) färgade linjer:

  

  

• Bladet Mer insikt i en Azure-region visar också den totala trafiken som är kvar i den regionen (dvs. källa och mål i samma region). Det ger ytterligare insikter om trafik som utbyts mellan tillgänglighetszoner i ett datacenter

  

Visualisera trafikdistribution efter virtuella nätverk

Titta efter

• Trafikdistribution per virtuellt nätverk, topologi, de främsta trafikkällorna till det virtuella nätverket, de främsta falska nätverken som konvergerar till det virtuella nätverket och de främsta konvergerande programprotokollen.

  • Att veta vilket virtuellt nätverk som konvergerar till vilket virtuellt nätverk. Om konversationen inte förväntas kan den korrigeras.

  • Om falska nätverk konvergerar med ett virtuellt nätverk kan du korrigera NSG-regler för att blockera falska nätverk.

    Välj Visa virtuella nätverk under Din miljö enligt följande bild:

    

• Den Virtual Network topologin visar det översta menyfliksområdet för val av parametrar som ett virtuellt nätverk (anslutningar mellan virtuella nätverk/aktiv/inaktiv), externa anslutningar, aktiva flöden och skadliga flöden i det virtuella nätverket.

• Du kan filtrera Virtual Network baserat på prenumerationer, arbetsytor, resursgrupper och tidsintervall. Ytterligare filter som hjälper dig att förstå flödet är: Flow-typ (InterVNet, IntraVNET och så vidare), Flow riktning (inkommande, utgående), Flow-status (tillåten, blockerad), virtuella nätverk (riktade och anslutna), anslutningstyp (peering eller gateway – P2S och S2S) och NSG. Använd dessa filter för att fokusera på virtuella nätverk som du vill undersöka i detalj.

• I Virtual Network-topologin visas trafikdistributionen till ett virtuellt nätverk med avseende på flöden (tillåten/blockerad/inkommande/utgående/godartad/skadlig), programprotokoll och nätverkssäkerhetsgrupper, till exempel:

  

  

  

Titta efter

• Trafikdistribution per undernät, topologi, de främsta trafikkällorna till undernätet, de främsta falska nätverken som konvergerar till undernätet och de viktigaste konvergerande programprotokollen.

  • Veta vilket undernät som konvergerar till vilket undernät. Om du ser oväntade konversationer kan du korrigera konfigurationen.
  • Om falska nätverk konvergerar med ett undernät kan du korrigera det genom att konfigurera NSG-regler för att blockera falska nätverk.

• Undernätstopologin visar det översta menyfliksområdet för val av parametrar, till exempel aktiva/inaktiva undernät, externa anslutningar, aktiva flöden och skadliga flöden i undernätet.

• Undernätstopologin visar trafikfördelningen till ett virtuellt nätverk med avseende på flöden (tillåten/blockerad/inkommande/utgående/godartad/skadlig), programprotokoll och NSG:er, till exempel:

  

Titta efter

Trafikdistribution per Application gateway & Load Balancer, topologi, de främsta trafikkällorna, de främsta falska nätverken som konvergerar till Application Gateway-& Load Balancer och de främsta konvergerande programprotokollen.

• Att veta vilket undernät som konvergerar till vilken Programgateway eller Load Balancer. Om du ser oväntade konversationer kan du korrigera konfigurationen.

• Om falska nätverk konvergerar med en Application Gateway eller Load Balancer, kan du korrigera det genom att konfigurera NSG-regler för att blockera falska nätverk.

  

Visa portar och virtuella datorer som tar emot trafik från Internet

Titta efter

• Vilka öppna portar konvergerar via Internet?

  • Om oväntade portar hittas öppna kan du korrigera konfigurationen:

    

    

Titta efter

Har du skadlig trafik i din miljö? Varifrån kommer den? Vart är det avsett?

Visa information om offentliga IP-adresser som interagerar med distributionen

Titta efter

• Vilka offentliga IP-adresser konvergerar med mitt nätverk? Vad är WHOIS-data och geografisk plats för alla offentliga IP-adresser?
• Vilka skadliga IP-adresser skickar trafik till mina distributioner? Vad är hottyp och hotbeskrivning för skadliga IP-adresser?

  • Avsnittet Offentlig IP-information innehåller en sammanfattning av alla typer av offentliga IP-adresser som finns i nätverkstrafiken. Välj den offentliga IP-typen av intresse för att visa information. Det här schemadokumentet definierar de datafält som visas.

    

  • På instrumentpanelen för trafikanalys klickar du på en IP-adress för att visa dess information

    

    

Visualisera trender i NSG/NSG-regelträffar

Titta efter

• Vilka NSG/NSG-regler har flest träffar i jämförelsediagram med flödesdistribution?

• Vilka är de främsta käll- och målkonversationsparen per NSG/NSG-regler?

  

• Följande bilder visar tidstrender för träffar på NSG-regler och källmålflödesinformation för en nätverkssäkerhetsgrupp:

  • Identifiera snabbt vilka NSG:er och NSG-regler som går igenom skadliga flöden och vilka som är de främsta skadliga IP-adresserna som kommer åt din molnmiljö

  • Identifiera vilka NSG/NSG-regler som tillåter/blockerar betydande nätverkstrafik

  • Välj de främsta filtren för detaljerad granskning av en NSG- eller NSG-regel

    

    

Vanliga frågor och svar

Svar på vanliga frågor finns i Vanliga frågor och svar om trafikanalys.

Nästa steg

• Information om hur du aktiverar flödesloggar finns i Aktivera NSG-flödesloggning.
• Information om schema- och bearbetningsinformation för Trafikanalys finns i Trafikanalysschema.