Compartilhar via

Agregação de dados e esquema de análise de tráfego

Análise de Tráfego é uma solução baseada em nuvem, que oferece visibilidade sobre atividade de usuário e aplicativo nas redes em nuvem. A análise de tráfego analisa os logs de fluxo do Observador de Rede do Azure para fornecer insights sobre o fluxo de tráfego em sua nuvem do Azure. Com a Análise de Tráfego, você pode:

  • Visualizar a atividade de rede nas assinaturas do Azure e identificar pontos de acesso.
  • Identificar ameaças à segurança e proteger sua rede com informações como portas abertas, aplicativos tentando acesso à Internet e máquinas virtuais (VMs) conectando-se a redes não autorizadas.
  • Compreender os padrões de fluxo de tráfego entre regiões do Azure e a Internet para otimizar a implantação de rede para desempenho e capacidade.
  • Identificar problemas de configuração de rede originando conexões com falha em sua rede.
  • Conheça o uso da rede em bytes, pacotes ou fluxos.

Agregação de dados

  • Todos os logs de fluxo entre FlowIntervalStartTime e FlowIntervalEndTime são capturados em intervalos de um minuto como blobs em uma conta de armazenamento.
  • O intervalo de processamento padrão da análise de tráfego é de 60 minutos, o que significa que, a cada hora, a análise de tráfego escolhe blobs da conta de armazenamento para agregação. No entanto, se um intervalo de processamento de 10 minutos for selecionado, a análise de tráfego escolherá blobs da conta de armazenamento a cada 10 minutos.
  • Os fluxos que têm o mesmo Source IP, Destination IP, Destination port, NSG name, NSG rule, Flow Direction e Transport layer protocol (TCP or UDP) são agrupados em um só fluxo pela análise de tráfego (Nota: a porta de origem é excluída para agregação).
  • Este registro único é decorado (detalhes na seção abaixo) e ingerido nos logs do Azure Monitor pela análise de tráfego. Esse processo pode levar até 1 hora.
  • O campo FlowStartTime indica a primeira ocorrência desse fluxo agregado (mesma tupla de quatro) no intervalo de processamento do log de fluxo entre FlowIntervalStartTime e FlowIntervalEndTime.
  • Para qualquer recurso na análise de tráfego, os fluxos indicados no portal do Azure são os fluxos totais vistos, mas nos logs do Azure Monitor, o usuário vê apenas o registro único, reduzido. Para ver todos os fluxos, use o campo blob_id, que pode ser referenciado do armazenamento. A contagem total de fluxo para esse registro corresponde aos fluxos individuais vistos no blob.

Esquema de análise de tráfego

A análise de tráfego é criada com base nos logs do Azure Monitor, para que você possa executar consultas personalizadas sobre os dados decorados pela análise de tráfego e definir alertas.

A tabela a seguir lista os campos no esquema e o que eles significam para os logs de fluxo da rede virtual. Para obter mais informações, consulte NTANetAnalytics.

Campo Formatar Comentários
TableName NTANet Analytics Tabela para dados da análise de tráfego.
SubType FlowLog Subtipo para os logs de fluxo. Use apenas FlowLog, outros valores de SubType são para uso interno.
FASchemaVersion 3 Versão do esquema. Não reflete a versão do log de fluxo de rede virtual.
TimeProcessed Data e hora em UTC Hora em que a análise de tráfego processou os logs de fluxo brutos da conta de armazenamento.
FlowIntervalStartTime Data e hora em UTC Hora inicial do intervalo de processamento do log de fluxo (tempo do qual o intervalo de fluxo é medido).
FlowIntervalEndTime Data e hora em UTC Hora de término do intervalo de processamento do log de fluxo.
FlowStartTime Data e hora em UTC Primeira ocorrência do fluxo (que é agregada) no intervalo de processamento do log de fluxo entre FlowIntervalStartTime e FlowIntervalEndTime. Esse fluxo é agregado com base na lógica de agregação.
FlowEndTime Data e hora em UTC Última ocorrência do fluxo (que é agregada) no intervalo de processamento do log de fluxo entre FlowIntervalStartTime e FlowIntervalEndTime.
FlowType - IntraVNet
- InterVNet
- S2S
- P2S
- AzurePublic
- Público Externo
- MaliciousFlow
- Privado desconhecido
- Desconhecido		 Confira Notas para obter definições.
SrcIp Endereço IP de origem Em branco nos fluxos AzurePublic e ExternalPublic.
DestIp Endereço IP de destino Em branco nos fluxos AzurePublic e ExternalPublic.
TargetResourceId ResourceGroupName/ResourceName A ID do recurso no qual o log de fluxo e a análise de tráfego estão habilitados.
TipoDeRecursoDestino VirtualNetwork/Subnet/NetworkInterface Tipo de recurso no qual o log de fluxo e a análise de tráfego estão habilitados (rede virtual, sub-rede, NIC ou grupo de segurança de rede).
FlowLogResourceId ResourceGroupName/NetworkWatcherName/FlowLogName A ID do recurso do log de fluxo.
DestPort Porta de destino Porta na qual o tráfego é recebido.
L4Protocol - T
- U		 Protocolo de transporte. T = TCP
U = UDP
L7Protocol Nome do protocolo Derivado da porta de destino.
Direção do fluxo - I = Entrada
- O = Saída		 Direção do fluxo: dentro ou fora do recurso de destino por log de fluxo.
FlowStatus - A = Permitido
- D = Negado		 Status do fluxo: permitido ou negado pelo recurso de destino por log de fluxo.
AclList <SubscriptionID>/<resourcegroup_Name>/<NSG_Name> Grupo de segurança de rede associado ao fluxo.
AclRule NSG_Rule_Name Regra do grupo de segurança de rede que permitiu ou negou o fluxo.
MACAddress Endereço MAC Endereço MAC da NIC no qual o fluxo foi capturado.
SrcSubscription ID da assinatura ID de assinatura da rede virtual/interface de rede/máquina virtual à qual o IP de origem no fluxo pertence.
DestSubscription ID da assinatura ID de assinatura da rede virtual/interface de rede/máquina virtual à qual o IP de destino no fluxo pertence.
SrcRegion Região do Azure Região do Azure da rede virtual/interface de rede/máquina virtual à qual o IP de origem no fluxo pertence.
DestRegion Região do Azure Região do Azure da rede virtual à qual o IP de destino no fluxo pertence.
SrcNic <resourcegroup_Name>/<NetworkInterfaceName> NIC associada ao IP de origem no fluxo.
DestNic <resourcegroup_Name>/<NetworkInterfaceName> NIC associada ao IP de destino no fluxo.
SrcVm <resourcegroup_Name>/<VirtualMachineName> Máquina virtual associada ao IP de origem no fluxo.
DestVm <resourcegroup_Name>/<VirtualMachineName> Máquina virtual associada ao IP de destino no fluxo.
SrcSubnet <ResourceGroup_Name>/<VirtualNetwork_Name>/<SubnetName> Sub-rede associada ao IP de origem no fluxo.
DestSubnet <ResourceGroup_Name>/<VirtualNetwork_Name>/<SubnetName> Sub-rede associada ao IP de destino no fluxo.
SrcApplicationGateway <SubscriptionID>/<ResourceGroupName>/<ApplicationGatewayName> Gateway de aplicativo associado ao IP de origem no fluxo.
DestApplicationGateway <SubscriptionID>/<ResourceGroupName>/<ApplicationGatewayName> Gateway de aplicativo associado ao IP de destino no fluxo.
SrcExpressRouteCircuit <SubscriptionID>/<ResourceGroupName>/<ExpressRouteCircuitName> ID do circuito do ExpressRoute: quando o fluxo é enviado do site por meio do ExpressRoute.
DestExpressRouteCircuit <SubscriptionID>/<ResourceGroupName>/<ExpressRouteCircuitName> ID do circuito do ExpressRoute: quando o fluxo é recebido da nuvem pelo ExpressRoute.
ExpressRouteCircuitPeeringType - AzurePrivatePeering
- AzurePublicPeering
- MicrosoftPeering		 Tipo de emparelhamento do ExpressRoute envolvido no fluxo.
SrcLoadBalancer <SubscriptionID>/<ResourceGroupName>/<LoadBalancerName> Balanceador de carga associado ao IP de origem no fluxo.
DestLoadBalancer <SubscriptionID>/<ResourceGroupName>/<LoadBalancerName> Balanceador de carga associado ao IP de destino no fluxo.
SrcLocalNetworkGateway <SubscriptionID>/<ResourceGroupName>/<LocalNetworkGatewayName> Gateway de rede local associado ao IP de origem no fluxo.
DestLocalNetworkGateway <SubscriptionID>/<ResourceGroupName>/<LocalNetworkGatewayName> Gateway de rede local associado ao IP de destino no fluxo.
Tipo de Conexão - VNetPeering
- VpnGateway
- ExpressRoute		 O tipo de conexão.
ConnectionName <SubscriptionID>/<ResourceGroupName>/<ConnectionName> O nome da conexão. Para o tipo de fluxo P2S, é formatado como <GatewayName>_<VPNClientIP>
ConnectingVNets Lista separada por espaços de nomes da rede virtual. Na topologia hub e spoke, as redes virtuais de hub são preenchidas aqui.
Country O código de duas letras do país/região (ISO 3166-1 alpha-2) Preenchido para o tipo de fluxo ExternalPublic. Todos os endereços IP no campo PublicIPs terão o mesmo código de país/região.
AzureRegion Locais da região do Azure Preenchido para o tipo de fluxo AzurePublic. Todos os endereços IP no campo PublicIPs terão a região do Azure.
AllowedInFlows - Contagem de fluxos de entrada permitidos, que representa o número de fluxos que compartilhavam a mesma entrada de quatro tuplas para a interface de rede na qual o fluxo foi capturado.
DeniedInFlows - Contagem de fluxos de entrada negados. (Entrada para o adaptador de rede no qual o fluxo foi capturado).
AllowedOutFlows - Contagem de fluxos de saída permitidos (Saída para o adaptador de rede no qual o fluxo foi capturado).
DeniedOutFlows - Contagem de fluxos de saída negados (a saída para o adaptador de rede no qual o fluxo foi capturado).
PacketsDestToSrc - Representa os pacotes enviados do destino para a origem do fluxo.
PacketsSrcToDest - Representa os pacotes enviados da origem para o destino do fluxo.
BytesDestToSrc - Representa os bytes enviados do destino para a origem do fluxo.
BytesSrcToDest - Representa os bytes enviados da origem para o destino do fluxo.
CompletedFlows - Número total de fluxos concluídos (preenchidos com valor diferente de zero quando um fluxo obtém um evento concluído).
SrcPublicIPs <SOURCE_PUBLIC_IP>|<FLOW_STARTED_COUNT>|<FLOW_ENDED_COUNT>|<OUTBOUND_PACKETS>|<INBOUND_PACKETS>|<OUTBOUND_BYTES>|<INBOUND_BYTES> Entradas separadas por barras.
DestPublicIPs <DESTINATION_PUBLIC_IP>|<FLOW_STARTED_COUNT>|<FLOW_ENDED_COUNT>|<OUTBOUND_PACKETS>|<INBOUND_PACKETS>|<OUTBOUND_BYTES>|<INBOUND_BYTES> Entradas separadas por barras.
FlowEncryption - Criptografado
- Não criptografado
- Hardware sem suporte
- Software não pronto
- Descartar por não ter nenhuma criptografia
- Descoberta sem suporte
- Destino no mesmo host
- Fallback para nenhuma criptografia.		 Nível de criptografia dos fluxos.
PrivateEndpointResourceId <ResourceGroup/privateEndpointResource> A ID de recurso do recurso de ponto de extremidade privado. Preenchido quando o tráfego está fluindo para ou de um recurso de ponto de extremidade privado.
PrivateLinkResourceId <ResourceGroup/ResourceType/privateLinkResource> ID do recurso do serviço de link privado. Preenchido quando o tráfego está fluindo para ou de um recurso de ponto de extremidade privado.
PrivateLinkResourceName Texto sem formatação Nome do recurso do serviço de link privado. Preenchido quando o tráfego está fluindo para ou de um recurso de ponto de extremidade privado.
IsFlowCapturedAtUDRHop - Verdade
- Falso		 Se o fluxo tiver sido capturado em um salto de UDR, o valor será True.

Nota

O NTANetAnalytics nos logs de fluxo de rede virtual substitui o AzureNetworkAnalytics_CL usado nos logs de fluxo de grupo de segurança de rede.

Esquema de detalhes de IP público

A Análise de Tráfego fornece dados de whois e localização geográfica para todos os IPs públicos no seu ambiente. Para um IP malicioso, a análise de tráfego fornece o domínio DNS, o tipo de ameaça e as descrições da ameaça conforme identificados pelas soluções de segurança da Microsoft. Os detalhes do IP são publicados no workspace da Análise de Logs para que você possa criar consultas personalizadas e colocar alertas nelas. Você também pode acessar consultas já preenchidas no painel de análise de tráfego.

A tabela a seguir detalha o esquema ip público. Para obter mais informações, consulte NTAIpDetails.

Campo Formatar Comentários
TableName NTAIpDetails Tabela que contém os dados de detalhes de IP da análise de tráfego.
SubType FlowLog Subtipo para os logs de fluxo. Use apenas FlowLog. Outros valores de SubType são para o funcionamento interno do produto.
FASchemaVersion 3 Versão do esquema. Não reflete a versão do log de fluxo de rede virtual.
FlowIntervalStartTime Data e hora em UTC Hora inicial do intervalo de processamento do log de fluxo (o tempo do qual o intervalo de fluxo é medido).
FlowIntervalEndTime Data e hora em UTC Hora de término do intervalo de processamento do log de fluxo.
FlowType - AzurePublic
- ExternalPublic
- MaliciousFlow		 Confira Notas para obter definições.
IP IP público IP público cujas informações são fornecidas no registro.
PublicIPDetails Informações sobre IP Para IP do AzurePublic: Serviço do Azure que tem o IP ou IP público virtual da Microsoft para o IP 168.63.129.16.
IP ExternalPublic/Mal-intencionado: informações WhoIS do IP.
ThreatType Ameaça apresentada por IP mal-intencionado Somente para IPs mal-intencionados. Uma das ameaças da lista de valores permitidos no momento. Para obter mais informações, confira Observações.
DNSDomain Domínio DNS Somente para IPs mal-intencionados. Nome de domínio associado a este IP.
ThreatDescription Descrição da ameaça Somente para IPs mal-intencionados. Descrição da ameaça apresentada pelo IP mal-intencionado.
Localização Localização do IP Para IP público do Azure: região do Azure de rede virtual/interface de rede/máquina virtual à qual o IP pertence ou Global para IP 168.63.129.16.
Para IP público externo e IP mal-intencionado: código de duas letras do país/região (ISO 3166-1 alfa-2) onde o IP está localizado.
URL URL correspondente ao IP mal-intencionado Somente para IPs mal-intencionados.
Porta Porta correspondente ao IP mal-intencionado Somente para IPs mal-intencionados.

Nota

  • O NTAIPDetails em logs de fluxo de rede virtual substitui AzureNetworkAnalyticsIPDetails_CL usado nos logs de fluxo do grupo de segurança de rede.

  • A análise de tráfego pode registrar qualquer FQDN mal-intencionado associado ao IP para fluxos mal-intencionados. Para filtrar, use os campos de porta, URL e domínio conforme necessário.

Tipos de ameaça

A tabela a seguir lista os valores atualmente permitidos para o ThreatType campo no esquema de detalhes de IP da análise de tráfego.

Valor Descrição
Rede de bots Indicador detalhando um nó ou membro de botnet.
C2 O indicador detalhando um nó de comando e controle de um botnet.
CryptoMining O tráfego que envolve esse endereço de rede ou URL é uma indicação de abuso de CyrptoMining ou de recurso.
DarkNet O indicador de um nó ou uma rede Darknet.
DDoS Indicadores relacionados a uma campanha de DDoS ativa ou futura.
URL Maliciosa URL que está atendendo o malware.
Software malicioso Indicador que descreve um arquivo ou arquivos mal-intencionados.
Phishing Indicadores relacionados a uma campanha de phishing.
Proxy O indicador de um serviço proxy.
PUA Aplicativo Potencialmente Indesejado.
WatchList Um bucket genérico no qual os indicadores são colocados quando não é possível determinar exatamente qual é a ameaça ou quando há necessidade de interpretação manual. WatchList não deve ser usada pelos parceiros que enviam dados ao sistema.

Observações

  • No caso de fluxos de AzurePublic e ExternalPublic, o IP da máquina virtual do Azure de propriedade do cliente é preenchido no campo VMIP_s, enquanto os endereço IP Públicos são preenchidos no campo PublicIPs_s. Para esses dois tipos de fluxo, você deve usar os campos VMIP_s e PublicIPs_s em vez de SrcIP_s e DestIP_s. Para endereços IP AzurePublic e ExternalPublic, agregamos ainda mais, para que o número de registros ingeridos no workspace do Log Analytics seja mínimo. (Este campo será preterido. Use SrcIP_s e DestIP_s dependendo se a máquina virtual era a origem ou o destino no fluxo).
  • Alguns nomes de campo são acrescentados com _s ou _d, que não significam origem e destino, mas indicam os tipos de dados cadeia de caracteres e decimal, respectivamente.
  • Com base nos endereços IP envolvidos no fluxo, categorizamos os fluxos entre os seguintes tipos de fluxo:
    • IntraVNet: ambos os endereços IP no fluxo residem na mesma rede virtual do Azure.
    • InterVNet: os endereços IP no fluxo residem nas duas redes virtuais do Azure diferentes.
    • S2S (site a site): um dos endereços IP pertence à rede virtual do Azure enquanto o outro endereço IP pertence à rede do cliente (site) conectada à rede virtual por meio do gateway de VPN ou do ExpressRoute.
    • P2S (ponto a site): um dos endereços IP pertence à rede virtual do Azure enquanto o outro endereço IP pertence à rede do cliente (site) conectada à Rede Virtual do Azure por meio do gateway de VPN.
    • AzurePublic: um dos endereços IP pertence a uma rede virtual do Azure, enquanto o outro endereço IP é um endereço IP público do Azure pertencente à Microsoft. Os endereços IP públicos de propriedade do cliente não fazem parte desse tipo de fluxo. Por exemplo, qualquer VM de propriedade do cliente que envie tráfego a um Serviço do Azure (ponto de extremidade do Armazenamento) será categorizada sob esse tipo de fluxo.
    • ExternalPublic: Um dos endereços IP pertence a uma rede virtual do Azure, enquanto o outro endereço IP é um IP público que não pertence à Microsoft nem faz parte de uma assinatura de cliente visível para a análise de tráfego e não é relatado como malicioso nos feeds do ASC que a análise de tráfego consome durante o intervalo de processamento entre FlowIntervalStartTime_teFlowIntervalEndTime_t.
    • MaliciousFlow: Um dos endereços IP pertence a uma rede virtual do Azure, enquanto o outro endereço IP é um IP público que não pertence à Microsoft nem faz parte de uma assinatura de cliente visível para a análise de tráfego e é relatado como malicioso nos feeds do ASC que a análise de tráfego consome durante o intervalo de processamento entre FlowIntervalStartTime_teFlowIntervalEndTime_t.
    • UnknownPrivate: um dos endereços IP pertence a uma rede Virtual do Azure enquanto o outro endereço IP pertence ao intervalo de IP privado, conforme definido no RFC 1918, e não pôde ser mapeado pela análise de tráfego até um site de propriedade do cliente ou até uma rede virtual do Azure.
    • Unknown: não é possível mapear um dos endereços IP nos fluxos com a topologia do cliente no Azure e no local (site).

Nota

Uma assinatura ficará visível para a análise de tráfego em um workspace do Log Analytics se contiver um log de fluxo configurado para esse workspace.

Conteúdo relacionado

  • Last updated on