Traffic Analytics – gyakori kérdések (GYIK)

Ha tudni szeretné, hogyan ellenőrizheti a felhasználóhoz hozzárendelt szerepköröket egy előfizetéshez, olvassa el az Azure-szerepkör-hozzárendelések listázása az Azure Portalon című témakört. Ha nem látja a szerepkör-hozzárendeléseket, forduljon az adott előfizetés rendszergazdájához.

Igen, a hálózati biztonsági csoportok különböző régiókban lehetnek, mint a Log Analytics-munkaterület régiója.

Igen.

Nem, a forgalomelemzés nem támogatja a klasszikus hálózati biztonsági csoportokat.

A forgalomelemzési irányítópult erőforrás-kiválasztási legördülő listájában a virtuális hálózati erőforrás erőforráscsoportját kell kijelölni, nem pedig a virtuális gép vagy a hálózati biztonsági csoport erőforráscsoportját.

Igen. Ha kiválaszt egy meglévő munkaterületet, győződjön meg arról, hogy az át lett migrálva az új lekérdezési nyelvre. Ha nem szeretné frissíteni a munkaterületet, létre kell hoznia egy újat. A Kusto lekérdezésnyelv (KQL) kapcsolatos további információkért lásd: Naplólekérdezések az Azure Monitorban.

Igen, az Azure Storage-fiókja egy előfizetésben lehet, a Log Analytics-munkaterület pedig egy másik előfizetésben.

Igen. Konfigurálhatja, hogy a folyamatnaplók egy másik előfizetésben található tárfiókba legyenek elküldve, feltéve, hogy rendelkezik a megfelelő jogosultságokkal, és hogy a tárfiók ugyanabban a régióban található, mint a hálózati biztonsági csoport (hálózati biztonsági csoport folyamatnaplói) vagy a virtuális hálózat (virtuális hálózati folyamatnaplók). A céltárfióknak a hálózati biztonsági csoport vagy virtuális hálózat ugyanazon Microsoft Entra-bérlőjével kell rendelkeznie.

Szám Minden erőforrásnak ugyanabban a bérlőben kell lennie, beleértve a hálózati biztonsági csoportokat (hálózati biztonsági csoport folyamatnaplóit), a virtuális hálózatokat (virtuális hálózati folyamatnaplókat), a folyamatnaplókat, a tárfiókokat és a Log Analytics-munkaterületeket (ha a forgalomelemzés engedélyezve van).

Igen.

Szám Ha törli a folyamatnaplókhoz használt tárfiókot, a Log Analytics-munkaterületen tárolt adatokra nem lesz hatással. Továbbra is megtekintheti az előzményadatokat a Log Analytics-munkaterületen (egyes metrikákra hatással lesz), de a forgalomelemzés nem dolgoz fel új további folyamatnaplókat, amíg nem frissíti a folyamatnaplókat egy másik tárfiók használatára.

Válasszon egy támogatott régiót. Ha nem támogatott régiót választ, "Nem található" hibaüzenet jelenik meg. További információ: Traffic Analytics által támogatott régiók.

A Microsoft.Insights szolgáltatónak regisztrálnia kell a folyamatnaplózás megfelelő működéséhez. Ha nem biztos abban, hogy a Microsoft.Insights szolgáltató regisztrálva van-e az előfizetéséhez, olvassa el az Azure Portalon, a PowerShellben vagy az Azure CLI-ben a regisztrációval kapcsolatos utasításokat.

Az irányítópult első alkalommal akár 30 percet is igénybe vehet a jelentések megjelenítéséhez. A megoldásnak először elegendő adatot kell összesítenie ahhoz, hogy értelmes megállapításokat nyerjen, majd jelentéseket hoz létre.

Próbálja ki a következő lehetőségeket:

• Módosítsa az időintervallumot a felső sávon.
• Válasszon egy másik Log Analytics-munkaterületet a felső sávon.
• Próbálja meg elérni a forgalomelemzést 30 perc után, ha nemrég engedélyezve volt.

Ha a problémák továbbra is fennállnak, aggályokat vet fel a Microsoft Q&A-ban.

Ez az üzenet a következő esetekben jelenhet meg:

• A traffic analytics nemrég engedélyezve lett, és lehet, hogy még nem összesít elegendő adatot ahhoz, hogy értelmes megállapításokat nyerjen.
• A Log Analytics-munkaterület ingyenes verzióját használja, és túllépte a kvótakorlátokat. Előfordulhat, hogy nagyobb kapacitású munkaterületet kell használnia.

Próbálja ki az előző kérdés javasolt megoldásait. Ha a problémák továbbra is fennállnak, aggályokat vet fel a Microsoft Q&A-ban.

Az erőforrások adatait az irányítópulton látja; azonban nincsenek áramlással kapcsolatos statisztikák. Előfordulhat, hogy az adatok nem lehetnek jelen, mert nincsenek kommunikációs folyamatok az erőforrások között. Várjon 60 percet, és ellenőrizze újra az állapotot. Ha a probléma továbbra is fennáll, és biztos benne, hogy az erőforrások közötti kommunikációs folyamatok léteznek, aggályokat vethet fel a Microsoft Q&A-ban.

A forgalomelemzést a Windows PowerShell 6.2.1-es és újabb verziójával konfigurálhatja. Ha egy adott hálózati biztonsági csoport folyamatnaplózását és forgalomelemzését szeretné konfigurálni a PowerShell használatával, olvassa el a hálózati biztonsági csoportok folyamatnaplóinak és forgalomelemzésének engedélyezése című témakört.

Igen, használhat egy Azure Resource Manager-sablont vagy egy Bicep-fájlt a forgalomelemzés konfigurálásához. További információ: NSG-folyamatnaplók konfigurálása Azure Resource Manager-sablonnal (ARM) és NSG-folyamatnaplók konfigurálása Bicep-fájl használatával.

A forgalomelemzés mérése történik. A mérés a nyers folyamat naplóadatainak szolgáltatás általi feldolgozásán alapul. További információkért lásd a Network Watcher díjszabását.
A Log Analytics-munkaterületen betöltött bővített naplók legfeljebb az első 31 napig (vagy 90 napig, ha a Microsoft Sentinel engedélyezve van a munkaterületen) ingyenesen megőrizhetők. További információkért tekintse meg az Azure Monitor díjszabását.

A forgalomelemzés alapértelmezett feldolgozási időköze 60 perc, de a gyorsított feldolgozást 10 perces időközönként választhatja ki. További információ: Adatösszesítés a forgalomelemzésben.

A traffic analytics a Microsoft belső fenyegetésintelligencia-rendszereire támaszkodik, hogy rosszindulatúnak minősítse az IP-címet. Ezek a rendszerek különböző telemetriai forrásokat használnak, például Microsoft-termékeket és -szolgáltatásokat, a Microsoft Digital Crimes Unit (DCU), a Microsoft Security Response Centert (MSRC) és külső hírcsatornákat, és ezekre építik az intelligenciát. Ezen adatok némelyike a Microsoft Internal. Ha egy ismert IP-címet rosszindulatúként jelölnek meg, a részletek megismeréséhez támogatási jegyet kell létrehoznia.

A Traffic Analytics nem támogatja a riasztásokat. Mivel azonban a forgalomelemzési adatok a Log Analyticsben vannak tárolva, egyéni lekérdezéseket írhat, és riasztásokat állíthat be rajtuk. Tegye a következők egyikét:

• A Log Analytics-hivatkozást a forgalomelemzésben használhatja.
• A lekérdezések írásához használja a traffic analytics sémát .
• Válassza az Új riasztási szabály lehetőséget a riasztás létrehozásához.
• A riasztás létrehozásához lásd : Új riasztási szabály létrehozása.

Használja a következő lekérdezést:

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowType_s == "S2S" 
| where <Scoping condition>
| mvexpand vm = pack_array(VM1_s, VM2_s) to typeof(string)
| where isnotempty(vm) 
| extend traffic = AllowedInFlows_d + DeniedInFlows_d + AllowedOutFlows_d + DeniedOutFlows_d // For bytes use: | extend traffic = InboundBytes_d + OutboundBytes_d 
| make-series TotalTraffic = sum(traffic) default = 0 on FlowStartTime_t from datetime(<time>) to datetime(<time>) step 1 m by vm
| render timechart

IP-címek esetén használja a következő lekérdezést:

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowType_s == "S2S" 
//| where <Scoping condition>
| mvexpand IP = pack_array(SrcIP_s, DestIP_s) to typeof(string)
| where isnotempty(IP) 
| extend traffic = AllowedInFlows_d + DeniedInFlows_d + AllowedOutFlows_d + DeniedOutFlows_d // For bytes use: | extend traffic = InboundBytes_d + OutboundBytes_d 
| make-series TotalTraffic = sum(traffic) default = 0 on FlowStartTime_t from datetime(<time>) to datetime(<time>) step 1 m by IP
| render timechart

Idő szerint használja a következő formátumot: yyyy-mm-dd 00:00:00

Használja a következő lekérdezést:

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowType_s == "S2S" 
//| where <Scoping condition>
| mvexpand vm = pack_array(VM1_s, VM2_s) to typeof(string)
| where isnotempty(vm) 
| extend traffic = AllowedInFlows_d + DeniedInFlows_d + AllowedOutFlows_d + DeniedOutFlows_d // For bytes use: | extend traffic = InboundBytes_d + utboundBytes_d
| summarize deviation = stdev(traffic) by vm

IP-címek esetén:

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowType_s == "S2S" 
//| where <Scoping condition>
| mvexpand IP = pack_array(SrcIP_s, DestIP_s) to typeof(string)
| where isnotempty(IP) 
| extend traffic = AllowedInFlows_d + DeniedInFlows_d + AllowedOutFlows_d + DeniedOutFlows_d // For bytes use: | extend traffic = InboundBytes_d + OutboundBytes_d
| summarize deviation = stdev(traffic) by IP

Használja a következő lekérdezést:

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and TimeGenerated between (startTime .. endTime)
| extend sourceIPs = iif(isempty(SrcIP_s), split(SrcPublicIPs_s," "), pack_array(SrcIP_s)),
destIPs = iif(isempty(DestIP_s), split(DestPublicIPs_s," "), pack_array(DestIP_s))
| mvexpand SourceIp = sourceIPs to typeof(string)
| mvexpand DestIp = destIPs to typeof(string)
| project SourceIp = tostring(split(SourceIp, "|")[0]), DestIp = tostring(split(DestIp, "|")[0]), NSGList_s, NSGRule_s, DestPort_d, L4Protocol_s, FlowStatus_s 
| summarize DestPorts= makeset(DestPort_d) by SourceIp, DestIp, NSGList_s, NSGRule_s, L4Protocol_s, FlowStatus_s