트래픽 분석 스키마 및 데이터 집계

• FlowIntervalStartTime 및 FlowIntervalEndTime 사이의 모든 흐름 로그는 스토리지 계정의 BLOB으로 1분 간격으로 캡처됩니다.
• 트래픽 분석의 기본 처리 간격은 60분입니다. 즉, 매시간 트래픽 분석은 집계를 위해 스토리지 계정에서 BLOB을 선택합니다. 그러나 처리 간격이 10분인 경우 트래픽 분석은 대신 10분마다 스토리지 계정에서 BLOB을 선택합니다.
• 동일한 Source IP, Destination IP, Destination port, NSG name, NSG rule, Flow Direction 및 Transport layer protocol (TCP or UDP)가 있는 흐름은 트래픽 분석을 통해 단일 흐름으로 연결됩니다(참고: 집계를 위해 원본 포트는 제외됨).
• 이 단일 레코드는 트래픽 분석을 통해 Azure Monitor 로그에 데코레이팅되고(아래 섹션의 세부 정보) 수집됩니다. 이 프로세스는 최대 1시간까지 걸릴 수 있습니다.
• FlowStartTime 필드는 FlowIntervalStartTime과 FlowIntervalEndTime 사이의 흐름 로그 처리 간격에서 이러한 집계 흐름(동일한 4튜플)이 처음 발생했음을 나타냅니다.
• 트래픽 분석의 모든 리소스에 대해 Azure Portal에 표시된 흐름은 보여지는 총 흐름이지만 Azure Monitor 로그에서 사용자는 축소된 단일 레코드만 볼 수 있습니다. 모든 흐름을 보려면 스토리지에서 참조할 수 있는 blob_id 필드를 사용합니다. 해당 레코드의 총 흐름 수는 BLOB에 있는 개별 흐름과 일치합니다.

다음 쿼리는 지난 30일 동안 Azure가 아닌 공용 IP와 상호 작용한 모든 서브넷을 확인하는 데 도움이 됩니다.

NTANetAnalytics
| where SubType == "FlowLog" and FlowStartTime >= ago(30d) and FlowType == "ExternalPublic"
| project SrcSubnet, DestSubnet

• FlowIntervalStartTime_t 및 FlowIntervalEndTime_t 사이의 네트워크 보안 그룹의 모든 흐름 로그는 스토리지 계정의 BLOB으로 1분 간격으로 캡처됩니다.
• 트래픽 분석의 기본 처리 간격은 60분입니다. 즉, 매시간 트래픽 분석은 집계를 위해 스토리지 계정에서 BLOB을 선택합니다. 그러나 처리 간격이 10분인 경우 트래픽 분석은 대신 10분마다 스토리지 계정에서 BLOB을 선택합니다.
• 동일한 Source IP, Destination IP, Destination port, NSG name, NSG rule, Flow Direction 및 Transport layer protocol (TCP or UDP)가 있는 흐름은 트래픽 분석을 통해 단일 흐름으로 연결됩니다(참고: 집계를 위해 원본 포트는 제외됨).
• 이 단일 레코드는 트래픽 분석을 통해 Azure Monitor 로그에 데코레이팅되고(아래 섹션의 세부 정보) 수집됩니다. 이 프로세스는 최대 1시간까지 걸릴 수 있습니다.
• FlowStartTime_t 필드는 FlowIntervalStartTime_t와 FlowIntervalEndTime_t 사이의 흐름 로그 처리 간격에서 이러한 집계 흐름(동일한 4튜플)이 처음 발생했음을 나타냅니다.
• 트래픽 분석의 모든 리소스에 대해 Azure Portal에 표시된 흐름은 네트워크 보안 그룹에서 볼 수 있는 총 흐름이지만 Azure Monitor 로그에서 사용자는 축소된 단일 레코드만 볼 수 있습니다. 모든 흐름을 보려면 스토리지에서 참조할 수 있는 blob_id 필드를 사용합니다. 해당 레코드의 총 흐름 수는 BLOB에 있는 개별 흐름과 일치합니다.

다음 쿼리는 지난 30일 동안 Azure가 아닌 공용 IP와 상호 작용한 모든 서브넷을 확인하는 데 도움이 됩니다.

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowStartTime_t >= ago(30d) and FlowType_s == "ExternalPublic"
| project Subnet1_s, Subnet2_s  

이전 쿼리에서 흐름의 BLOB 경로를 보려면 다음 쿼리를 사용합니다.

let TableWithBlobId =
(AzureNetworkAnalytics_CL
   | where SubType_s == "Topology" and ResourceType == "NetworkSecurityGroup" and DiscoveryRegion_s == Region_s and IsFlowEnabled_b
   | extend binTime = bin(TimeProcessed_t, 6h),
            nsgId = strcat(Subscription_g, "/", Name_s),
            saNameSplit = split(FlowLogStorageAccount_s, "/")
   | extend saName = iif(arraylength(saNameSplit) == 3, saNameSplit[2], '')
   | distinct nsgId, saName, binTime)
| join kind = rightouter (
   AzureNetworkAnalytics_CL
   | where SubType_s == "FlowLog"  
   | extend binTime = bin(FlowEndTime_t, 6h)
) on binTime, $left.nsgId == $right.NSGList_s  
| extend blobTime = format_datetime(todatetime(FlowIntervalStartTime_t), "yyyy MM dd hh")
| extend nsgComponents = split(toupper(NSGList_s), "/"), dateTimeComponents = split(blobTime, " ")
| extend BlobPath = strcat("https://", saName,
                        "@insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/", nsgComponents[0],
                        "/RESOURCEGROUPS/", nsgComponents[1],
                        "/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/", nsgComponents[2],
                        "/y=", dateTimeComponents[0], "/m=", dateTimeComponents[1], "/d=", dateTimeComponents[2], "/h=", dateTimeComponents[3],
                        "/m=00/macAddress=", replace(@"-", "", MACAddress_s),
                        "/PT1H.json")
| project-away nsgId, saName, binTime, blobTime, nsgComponents, dateTimeComponents;

TableWithBlobId
| where SubType_s == "FlowLog" and FlowStartTime_t >= ago(30d) and FlowType_s == "ExternalPublic"
| project Subnet_s , BlobPath

이전 쿼리는 BLOB에 직접 액세스하기 위한 URL을 생성합니다. 자리 표시자가 있는 URL은 다음과 같습니다.

https://{storageAccountName}@insights-logs-networksecuritygroupflowevent/resoureId=/SUBSCRIPTIONS/{subscriptionId}/RESOURCEGROUPS/{resourceGroup}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{networkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

다음 표에는 스키마의 필드와 가상 네트워크 흐름 로그에 대한 의미가 나열되어 있습니다. 자세한 내용은 NTANetAnalytics를 참조하세요.

다음 표에는 스키마의 필드와 해당 필드가 네트워크 보안 그룹 흐름 로그에 대해 의미하는 내용이 나열되어 있습니다.

다음 표에서는 공용 IP 스키마에 대해 자세히 설명합니다. 자세한 내용은 NTAIpDetails를 참조하세요.

다음 표에서는 공용 IP 스키마에 대해 자세히 설명합니다.