流量分析架构和数据聚合

流量分析是一种基于云的解决方案，可用于洞察云网络中的用户和应用程序活动。 流量分析可以分析 Azure 网络观察程序流日志，帮助洞察 Azure 云中的流量流。 使用流量分析可以：

• 直观查看各个 Azure 订阅中的网络活动，以及识别热点。
• 参考有关开放的端口、尝试访问 Internet 的应用程序以及连接到恶意网络的虚拟机 (VM) 的信息，识别网络安全威胁和保护网络。
• 了解 Azure 区域与 Internet 之间的流量流模式，优化网络部署以提高性能和容量。
• 查明导致网络连接失败的不当网络配置。
• 了解网络用量（字节、数据包或流）。

数据聚合

以下查询有助于查看过去 30 天内与非 Azure 公共 IP 交互的所有子网。

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowStartTime_t >= ago(30d) and FlowType_s == "ExternalPublic"
| project Subnet1_s, Subnet2_s  

若要查看上一个查询中的流的 Blob 路径，请使用以下查询：

let TableWithBlobId =
(AzureNetworkAnalytics_CL
   | where SubType_s == "Topology" and ResourceType == "NetworkSecurityGroup" and DiscoveryRegion_s == Region_s and IsFlowEnabled_b
   | extend binTime = bin(TimeProcessed_t, 6h),
            nsgId = strcat(Subscription_g, "/", Name_s),
            saNameSplit = split(FlowLogStorageAccount_s, "/")
   | extend saName = iif(arraylength(saNameSplit) == 3, saNameSplit[2], '')
   | distinct nsgId, saName, binTime)
| join kind = rightouter (
   AzureNetworkAnalytics_CL
   | where SubType_s == "FlowLog"  
   | extend binTime = bin(FlowEndTime_t, 6h)
) on binTime, $left.nsgId == $right.NSGList_s  
| extend blobTime = format_datetime(todatetime(FlowIntervalStartTime_t), "yyyy MM dd hh")
| extend nsgComponents = split(toupper(NSGList_s), "/"), dateTimeComponents = split(blobTime, " ")
| extend BlobPath = strcat("https://", saName,
                        "@insights-logs-networksecuritygroupflowevent/resoureId=/SUBSCRIPTIONS/", nsgComponents[0],
                        "/RESOURCEGROUPS/", nsgComponents[1],
                        "/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/", nsgComponents[2],
                        "/y=", dateTimeComponents[0], "/m=", dateTimeComponents[1], "/d=", dateTimeComponents[2], "/h=", dateTimeComponents[3],
                        "/m=00/macAddress=", replace(@"-", "", MACAddress_s),
                        "/PT1H.json")
| project-away nsgId, saName, binTime, blobTime, nsgComponents, dateTimeComponents;

TableWithBlobId
| where SubType_s == "FlowLog" and FlowStartTime_t >= ago(30d) and FlowType_s == "ExternalPublic"
| project Subnet_s , BlobPath

上一个查询构造一个用于直接访问 Blob 的 URL。 带有占位符的 URL 如下所示：

https://{storageAccountName}@insights-logs-networksecuritygroupflowevent/resoureId=/SUBSCRIPTIONS/{subscriptionId}/RESOURCEGROUPS/{resourceGroup}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{networkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

流量分析架构

流量分析构建在 Azure Monitor 日志的基础之上，因此你可以针对流量分析修饰的数据运行自定义查询，并设置警报。

公共 IP 详细信息架构

流量分析为环境中的所有公共 IP 提供 WHOIS 数据和地理位置。 针对恶意 IP，流量分析提供由 Azure 安全智能解决方案识别的 DNS 域、威胁类型和线程说明。 我们已将 IP 详细信息发布到 Log Analytics 工作区，以便你可以创建自定义查询并在其中放置警报。 你还可以通过流量分析仪表板访问已预填充的查询。

下表详细介绍了公共 IP 架构：

威胁类型列表：

注释

• 对于 AzurePublic 和 ExternalPublic 流，客户拥有的 Azure 虚拟机 IP 将在 VMIP_s 字段中填充，而公共 IP 地址则在 PublicIPs_s 字段中填充。 对于这两种流类型，应该使用 VMIP_s 和 PublicIPs_s，而不是 SrcIP_s 和 DestIP_s 字段。 对于 AzurePublic 和 ExternalPublic IP 地址，我们将进一步聚合，以便将引入到 Log Analytics 工作区的记录数降至最低。 （此字段将弃用。请使用 SrcIP_s 和 DestIP_s，具体取决于虚拟机是流中的源还是目标）。
• 某些字段名称追加了 _s 或 _d，它们并不表示源和目标，而是分别指示数据类型“字符串”和“十进制”。
• 根据流中涉及的 IP 地址，我们将流分类为以下流类型：
  • IntraVNet：流中的两个 IP 地址位于同一个 Azure 虚拟网络中。
  • InterVNet：流中的 IP 地址位于两个不同的 Azure 虚拟网络中。
  • S2S（站点到站点）：一个 IP 地址属于 Azure 虚拟网络，而另一个 IP 地址属于通过 VPN 网关或 Express Route 连接到虚拟网络的客户网络（站点）。
  • P2S（点到站点）：一个 IP 地址属于 Azure 虚拟网络，而另一个 IP 地址属于通过 VPN 网关连接到 Azure 虚拟网络的客户网络（站点）。
  • AzurePublic：一个 IP 地址属于 Azure 虚拟网络，而另一个 IP 地址是 Microsoft 拥有的 Azure 公共 IP 地址。 客户拥有的公共 IP 地址不属于此流类型。 例如，将流量发送到 Azure 服务（存储终结点）的任何客户拥有的 VM 都将划分到此流类型。
  • ExternalPublic：一个 IP 地址属于 Azure 虚拟网络，而另一个 IP 地址是不在 Azure 中的公共 IP 地址，流量分析在处理间隔期间在“FlowIntervalStartTime_t”与“FlowIntervalEndTime_t”之间使用的 ASC 源中不会将此地址报告为恶意地址。
  • MaliciousFlow：一个 IP 地址属于 Azure 虚拟网络，而另一个 IP 地址是不在 Azure 中的公共 IP 地址，流量分析在处理间隔期间在“FlowIntervalStartTime_t”与“FlowIntervalEndTime_t”之间使用的 ASC 源中会将此地址报告为恶意地址。
  • UnknownPrivate：一个 IP 地址属于 Azure 虚拟网络，而另一个 IP 地址属于 RFC 1918 中定义的专用 IP 范围，无法由流量分析映射到客户拥有的站点或 Azure 虚拟网络。
  • Unknown：无法将流中的任一 IP 地址映射到 Azure 中的客户拓扑和本地（站点）。

相关内容

• 若要详细了解流量分析，请参阅流量分析概述。
• 请参阅流量分析常见问题解答，以获取针对流量分析最常见问题的解答。