Schema di analisi del traffico e aggregazione dei dati

• Tutti i log dei flussi tra FlowIntervalStartTime e FlowIntervalEndTime vengono acquisiti a intervalli di un minuto come BLOB in un account di archiviazione.
• L'intervallo di elaborazione predefinito dell'analisi del traffico è di 60 minuti, ovvero ogni ora l'analisi del traffico seleziona i BLOB dall'account di archiviazione per effettuare l'aggregazione. Tuttavia, se viene selezionato un intervallo di elaborazione di 10 minuti, l'analisi del traffico selezionerà invece i BLOB dall'account di archiviazione ogni 10 minuti.
• I flussi con gli stessi Source IP, Destination IP, Destination port, NSG name, NSG rule, Flow Direction e Transport layer protocol (TCP or UDP) vengono suddivisi in un singolo flusso tramite l'analisi del traffico (nota: la porta di origine è esclusa per l'aggregazione).
• Questo singolo record è decorato (dettagli nella sezione seguente) e inserito nei log di Monitoraggio di Azure dall'analisi del traffico. L'operazione può richiedere fino a un'ora.
• Il campo FlowStartTime indica la prima occorrenza di tale flusso aggregato (con la stessa tupla a quattro) nell'intervallo di elaborazione del log dei flussi tra FlowIntervalStartTime e FlowIntervalEndTime.
• Per tutte le risorse nell'analisi del traffico i flussi indicati nel portale di Azure rappresentano i flussi totali visualizzati, ma nei log di Monitoraggio di Azure l'utente vede solo il singolo record ridotto. Per visualizzare tutti i flussi, usare il campo blob_id a cui è possibile fare riferimento dalla risorsa di archiviazione. Il numero totale di flussi per tale record corrisponde ai singoli flussi visualizzati nel BLOB.

La query seguente consente di esaminare tutte le subnet che hanno interagito negli ultimi 30 giorni con gli IP pubblici che non sono di Azure.

NTANetAnalytics
| where SubType == "FlowLog" and FlowStartTime >= ago(30d) and FlowType == "ExternalPublic"
| project SrcSubnet, DestSubnet

• Tutti i log dei flussi in un gruppo di sicurezza di rete tra FlowIntervalStartTime_t e FlowIntervalEndTime_t vengono acquisiti a intervalli di un minuto come BLOB in un account di archiviazione.
• L'intervallo di elaborazione predefinito dell'analisi del traffico è di 60 minuti, ovvero ogni ora l'analisi del traffico seleziona i BLOB dall'account di archiviazione per effettuare l'aggregazione. Tuttavia, se viene selezionato un intervallo di elaborazione di 10 minuti, l'analisi del traffico selezionerà invece i BLOB dall'account di archiviazione ogni 10 minuti.
• I flussi con gli stessi Source IP, Destination IP, Destination port, NSG name, NSG rule, Flow Direction e Transport layer protocol (TCP or UDP) vengono suddivisi in un singolo flusso tramite l'analisi del traffico (nota: la porta di origine è esclusa per l'aggregazione).
• Questo singolo record è decorato (dettagli nella sezione seguente) e inserito nei log di Monitoraggio di Azure dall'analisi del traffico. L'operazione può richiedere fino a un'ora.
• Il campo FlowStartTime_t indica la prima occorrenza di tale flusso aggregato (con la stessa tupla a quattro) nell'intervallo di elaborazione del log dei flussi tra FlowIntervalStartTime_t e FlowIntervalEndTime_t.
• Per tutte le risorse nell'analisi del traffico i flussi indicati nel portale di Azure rappresentano i flussi totali visualizzati dal gruppo di sicurezza di rete, ma nei log di Monitoraggio di Azure l'utente vede solo il singolo record ridotto. Per visualizzare tutti i flussi, usare il campo blob_id a cui è possibile fare riferimento dalla risorsa di archiviazione. Il numero totale di flussi per tale record corrisponde ai singoli flussi visualizzati nel BLOB.

La query seguente consente di esaminare tutte le subnet che hanno interagito negli ultimi 30 giorni con gli IP pubblici che non sono di Azure.

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowStartTime_t >= ago(30d) and FlowType_s == "ExternalPublic"
| project Subnet1_s, Subnet2_s  

Per visualizzare il percorso BLOB dei flussi nella query precedente, usare la query seguente:

let TableWithBlobId =
(AzureNetworkAnalytics_CL
   | where SubType_s == "Topology" and ResourceType == "NetworkSecurityGroup" and DiscoveryRegion_s == Region_s and IsFlowEnabled_b
   | extend binTime = bin(TimeProcessed_t, 6h),
            nsgId = strcat(Subscription_g, "/", Name_s),
            saNameSplit = split(FlowLogStorageAccount_s, "/")
   | extend saName = iif(arraylength(saNameSplit) == 3, saNameSplit[2], '')
   | distinct nsgId, saName, binTime)
| join kind = rightouter (
   AzureNetworkAnalytics_CL
   | where SubType_s == "FlowLog"  
   | extend binTime = bin(FlowEndTime_t, 6h)
) on binTime, $left.nsgId == $right.NSGList_s  
| extend blobTime = format_datetime(todatetime(FlowIntervalStartTime_t), "yyyy MM dd hh")
| extend nsgComponents = split(toupper(NSGList_s), "/"), dateTimeComponents = split(blobTime, " ")
| extend BlobPath = strcat("https://", saName,
                        "@insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/", nsgComponents[0],
                        "/RESOURCEGROUPS/", nsgComponents[1],
                        "/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/", nsgComponents[2],
                        "/y=", dateTimeComponents[0], "/m=", dateTimeComponents[1], "/d=", dateTimeComponents[2], "/h=", dateTimeComponents[3],
                        "/m=00/macAddress=", replace(@"-", "", MACAddress_s),
                        "/PT1H.json")
| project-away nsgId, saName, binTime, blobTime, nsgComponents, dateTimeComponents;

TableWithBlobId
| where SubType_s == "FlowLog" and FlowStartTime_t >= ago(30d) and FlowType_s == "ExternalPublic"
| project Subnet_s , BlobPath

La query precedente costruisce un URL per accedere direttamente al BLOB. L'URL con segnaposto è il seguente:

https://{storageAccountName}@insights-logs-networksecuritygroupflowevent/resoureId=/SUBSCRIPTIONS/{subscriptionId}/RESOURCEGROUPS/{resourceGroup}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{networkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

Nella tabella seguente sono elencati i campi dello schema e ciò che indicano per i log dei flussi di rete virtuale. Per altre informazioni, vedere NTANetAnalytics.

Nella tabella seguente sono elencati i campi nello schema e ciò che indicano rispetto ai log dei flussi dei gruppi di sicurezza di rete.

La tabella seguente illustra in dettaglio lo schema IP pubblico. Per altre informazioni, vedere NTAIpDetails.

La tabella seguente illustra in dettaglio lo schema IP pubblico.