流量分析架构和数据聚合

• FlowIntervalStartTime 与 FlowIntervalEndTime 之间的所有流日志都以一分钟间隔，以 Blob 形式捕获到存储帐户中。
• 流量分析的默认处理间隔为 60 分钟，这意味着流量分析每小时都会从存储帐户中选取 Blob 进行聚合。 但是，如果选择了 10 分钟的处理间隔，则流量分析将改为每隔 10 分钟从存储帐户中选取 Blob。
• 具有相同 Source IP、Destination IP、Destination port、NSG name、NSG rule、Flow Direction 和 Transport layer protocol (TCP or UDP) 的流将由流量分析聚集成单个流（注意：聚集将排除源端口）。
• 此单条记录在经过修饰后（以下部分将提供详细信息）由流量分析引入到 Azure Monitor 日志中。 此过程最多可能需要 1 小时。
• FlowStartTime 字段指示流日志处理间隔中出现在 FlowIntervalStartTime 与 FlowIntervalEndTime 之间的第一个此类聚合流（相同的四元组）。
• 对于流量分析中的任何资源，Azure 门户中指示的流是看到的总流数，但在 Azure Monitor 日志中，用户只会看到一条简化的记录。 若要查看所有流，请使用可从存储引用的blob_id 字段。 该记录的总流数与 Blob 中出现的各个流相匹配。

以下查询有助于查看过去 30 天内与非 Azure 公共 IP 交互的所有子网。

NTANetAnalytics
| where SubType == "FlowLog" and FlowStartTime >= ago(30d) and FlowType == "ExternalPublic"
| project SrcSubnet, DestSubnet

• FlowIntervalStartTime_t 与 FlowIntervalEndTime_t 之间的网络安全组中的所有流日志都以一分钟间隔，以 Blob 形式捕获到存储帐户中。
• 流量分析的默认处理间隔为 60 分钟，这意味着流量分析每小时都会从存储帐户中选取 Blob 进行聚合。 但是，如果选择了 10 分钟的处理间隔，则流量分析将改为每隔 10 分钟从存储帐户中选取 Blob。
• 具有相同 Source IP、Destination IP、Destination port、NSG name、NSG rule、Flow Direction 和 Transport layer protocol (TCP or UDP) 的流将由流量分析聚集成单个流（注意：聚集将排除源端口）。
• 此单条记录在经过修饰后（以下部分将提供详细信息）由流量分析引入到 Azure Monitor 日志中。 此过程最多可能需要 1 小时。
• FlowStartTime_t 字段指示流日志处理间隔中出现在 FlowIntervalStartTime_t 与 FlowIntervalEndTime_t 之间的第一个此类聚合流（相同的四元组）。
• 对于流量分析中的任何资源，Azure 门户中指示的流是网络安全组看到的总流数，但在 Azure Monitor 日志中，用户只会看到一条简化的记录。 若要查看所有流，请使用可从存储引用的blob_id 字段。 该记录的总流数与 Blob 中出现的各个流相匹配。

以下查询有助于查看过去 30 天内与非 Azure 公共 IP 交互的所有子网。

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowStartTime_t >= ago(30d) and FlowType_s == "ExternalPublic"
| project Subnet1_s, Subnet2_s  

若要查看上一个查询中的流的 Blob 路径，请使用以下查询：

let TableWithBlobId =
(AzureNetworkAnalytics_CL
   | where SubType_s == "Topology" and ResourceType == "NetworkSecurityGroup" and DiscoveryRegion_s == Region_s and IsFlowEnabled_b
   | extend binTime = bin(TimeProcessed_t, 6h),
            nsgId = strcat(Subscription_g, "/", Name_s),
            saNameSplit = split(FlowLogStorageAccount_s, "/")
   | extend saName = iif(arraylength(saNameSplit) == 3, saNameSplit[2], '')
   | distinct nsgId, saName, binTime)
| join kind = rightouter (
   AzureNetworkAnalytics_CL
   | where SubType_s == "FlowLog"  
   | extend binTime = bin(FlowEndTime_t, 6h)
) on binTime, $left.nsgId == $right.NSGList_s  
| extend blobTime = format_datetime(todatetime(FlowIntervalStartTime_t), "yyyy MM dd hh")
| extend nsgComponents = split(toupper(NSGList_s), "/"), dateTimeComponents = split(blobTime, " ")
| extend BlobPath = strcat("https://", saName,
                        "@insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/", nsgComponents[0],
                        "/RESOURCEGROUPS/", nsgComponents[1],
                        "/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/", nsgComponents[2],
                        "/y=", dateTimeComponents[0], "/m=", dateTimeComponents[1], "/d=", dateTimeComponents[2], "/h=", dateTimeComponents[3],
                        "/m=00/macAddress=", replace(@"-", "", MACAddress_s),
                        "/PT1H.json")
| project-away nsgId, saName, binTime, blobTime, nsgComponents, dateTimeComponents;

TableWithBlobId
| where SubType_s == "FlowLog" and FlowStartTime_t >= ago(30d) and FlowType_s == "ExternalPublic"
| project Subnet_s , BlobPath

上一个查询构造一个用于直接访问 Blob 的 URL。 带有占位符的 URL 如下所示：

https://{storageAccountName}@insights-logs-networksecuritygroupflowevent/resoureId=/SUBSCRIPTIONS/{subscriptionId}/RESOURCEGROUPS/{resourceGroup}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{networkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

下表列出了架构中的字段及其对虚拟网络流日志的含义。 有关详细信息，请参阅 NTANetAnalytics。

下表列出了架构中的字段及其对网络安全组流日志的含义。

下表详细介绍了公共 IP 架构。 有关详细信息，请参阅 NTAIpDetails。

下表详细介绍了公共 IP 架构。