共用方式為

流量分析概觀

  • 發行項

流量分析是雲端解決方案，可對您雲端網路中的使用者與應用程式活動提供可見度。 具體而言，流量分析可以分析 Azure 網路監看員流量記錄，讓您深入解析 Azure 雲端中的流量。 使用流量分析，您可以:

  • 將 Azure 訂用帳戶上的網路活動視覺化。

  • 識別作用點。

  • 使用下列元件的相關資訊來識別威脅，保護您的網路：

    • 開啟連接埠
    • 嘗試存取網際網路的應用程式
    • 連線到 Rogue 網路的虛擬機器 (VM)

  • 透過了解跨 Azure 區域和網際網路的流量流程模式，以針對效能和容量最佳化網路部署。

  • 找出可能導致網路中連線失敗的網路設定錯誤。

為何要使用流量分析？

要保有穩固的安全性、合規性和效能，監視、管理及了解您本身的網路，是很重要的。 了解您本身的環境，是保護和最佳化環境的第一要務。 您通常需要知道網路的目前狀態，包括下列資訊：

  • 誰正在連線到網路？
  • 從何處連線？
  • 哪些連接埠會開放至網際網路？
  • 預期的網路行為為何？
  • 是否有任何不規則的網路行為？
  • 流量是否突然增加？

雲端網路與內部部署企業網路不同。 在內部部署網路中，路由器和交換器支援 NetFlow 和其他對等通訊協定。 您可以使用這些裝置，在 IP 網路流量進入或退出網路介面時收集資料。 藉由分析流量資料，您將可建立網路流量和規模的分析。

使用 Azure 虛擬網路時，流量記錄會收集有關該網路的資料。 這些記錄提供透過網路安全性群組或虛擬網路輸入和輸出 IP 流量的資訊。 流量分析會分析原始流量記錄，將記錄資料與安全性、拓撲和地理位置的情報結合。 接著，流量分析可讓您深入了解環境中的流量。

流量分析提供下列資訊：

  • 通訊量最多的主機
  • 通訊量最多的應用程式通訊協定
  • 交談量最多的主機配對
  • 允許和封鎖的流量
  • 輸入和輸出的流量
  • 開啟網際網路連接埠
  • 封鎖量最多的規則
  • 每個 Azure 資料中心、虛擬網路、子網路或 Rogue 網路流量分佈

主要元件

若要使用流量分析，您需要下列元件：

  • 網路監看員：一項區域性服務，您可以用來監視與診斷 Azure 中的網路案例層級情況。 您可以使用網路監看員來開啟和關閉網路安全性群組流量記錄。 如需詳細資訊，請參閱什麼是 Azure 網路監看員？

  • Log Analytics：您用來處理 Azure 監視器記錄資料的 Azure 入口網站工具。 Azure 監視器記錄是一項 Azure 服務，會收集監視資料並將其儲存在中央存放庫中。 此資料可能包含事件、效能資料，或透過 Azure API 提供的自訂資料。 收集資料之後，即可將其用於警示、分析和匯出。 網路效能監視器和流量分析等監視應用程式皆是使用 Azure 監視器記錄作為基礎。 如需詳細資訊，請參閱 Azure 監視器記錄。 Log Analytics 提供在記錄上編輯和執行查詢的方法。 您也可以使用此工具來分析查詢結果。 如需詳細資訊，請參閱 Azure 監視器中的 Log Analytics 概觀。

  • Log Analytics 工作區：儲存與 Azure 帳戶相關的 Azure 監視器記錄資料的環境。 如需 Log Analytics 工作區的詳細資訊，請參閱 Log Analytics 工作區概觀。

  • 此外，如果您使用流量分析來分析網路安全性群組流量記錄，您需要已啟用流量記錄的網路安全性群組，或是如果您使用流量分析來分析虛擬網路流量記錄，則您需要已啟用流量記錄的虛擬網路：

    • 網路安全性群組 (NSG)：其中包含安全性規則清單的資源，針對已連線至 Azure 虛擬網路的資源，允許或拒絕該資源的輸入或輸出流量。 網路安全性群組可與子網路、(Resource Manager) 連接至 VM 的網路介面 (NIC) 或 (傳統) 個別 VM 建立關聯。 如需詳細資訊，請參閱網路安全性群組概觀。

    • 網路安全性群組流量記錄：記錄通過網路安全性群組的輸入和輸出 IP 流量的相關資訊。 網路安全性群組流量記錄是以 JSON 格式寫入，並且包含：

      • 每個規則的輸出和輸入流量。
      • 套用流量的 NIC。
      • 流量的資訊，例如來源和目的地 IP 位址、來源和目的地連接埠，以及通訊協定。
      • 流量的狀態，例如允許或拒絕。

      如需網路安全性群組流量記錄的詳細資訊，請參閱網路安全性群組流量記錄概觀。

    • 虛擬網路 (VNet)：可讓許多類型的 Azure 資源安全地與彼此、網際網路和內部部署網路進行通訊的資源。 如需詳細資訊，請參閱虛擬網路概觀。

    • 虛擬網路流量記錄：記錄通過虛擬網路的輸入和輸出 IP 流量的相關資訊。 虛擬網路流量記錄是以 JSON 格式寫入，並且包含：

      • 輸出和輸入流量。
      • 流量的資訊，例如來源和目的地 IP 位址、來源和目的地連接埠，以及通訊協定。
      • 流量的狀態，例如允許或拒絕。

      如需虛擬網路流量記錄的詳細資訊，請參閱虛擬網路流量記錄概觀。

      注意

      如需網路安全組流量記錄與虛擬網路流量記錄之間差異的相關資訊，請參閱網路安全性群組流量記錄與虛擬網路流量記錄的比較。

流量分析的運作方式

流量分析檢查原始流量記錄。 然後，會藉由彙總具有通用來源 IP 位址、目的地 IP 位址、目的地連接埠和通訊協定的流量來減少記錄磁碟區。

範例可能牽涉 IP 位址 10.10.10.10 的主機 1 和 IP 位址 10.10.20.10 的主機 2。 假設這兩部主機在一小時的期間通訊 100 次。 在此案例中，原始流量記錄有 100 個項目。 如果這些主機針對這 100 個互動都在連接埠 80 上使用 HTTP 通訊協定，則縮減的記錄只有一個項目。 該項目指出主機 1 和主機 2 在連接埠 80 上使用 HTTP 通訊協定，在一小時的期間通訊 100 次。

縮減記錄會增列地理位置、安全性與拓撲資訊，然後儲存在 Log Analytics 工作區中。 下圖顯示資料流程：

此圖顯示網路流量資料如何從網路安全性群組記錄流向分析儀表板。中間步驟包括彙總和加強。

必要條件

流量分析需要下列必要條件：

  • 已啟用網路監看員的訂用帳戶。 如需詳細資訊，請參閱啟用或停用 Azure 網路監看員。

  • 針對您要監視的網路安全性群組啟用網路安全性群組流量記錄，或針對您要監視的虛擬網路啟用虛擬網路流量記錄。 如需詳細資訊，請參閱建立網路安全性群組流量記錄或建立虛擬網路流量記錄。

  • 具有讀取和寫入存取權的 Azure Log Analytics 工作區。 如需詳細資訊，請參閱建立 Log Analytics 工作區。

  • 下列其中一個 Azure 內建角色必須指派給您的帳戶：

    部署模型 角色
    Resource Manager 擁有者
    參與者
    網路參與者 1 和監視參與者 2

    如果未將上述任何內建角色指派給您的帳戶，請將自訂角色指派給您的帳戶。 自訂角色應該在訂用帳戶層級支援下列動作：

    • Microsoft.Network/applicationGateways/read
    • Microsoft.Network/connections/read
    • Microsoft.Network/loadBalancers/read
    • Microsoft.Network/localNetworkGateways/read
    • Microsoft.Network/networkInterfaces/read
    • Microsoft.Network/networkSecurityGroups/read
    • Microsoft.Network/publicIPAddresses/read
    • Microsoft.Network/routeTables/read
    • Microsoft.Network/virtualNetworkGateways/read
    • Microsoft.Network/virtualNetworks/read
    • Microsoft.Network/expressRouteCircuits/read
    • Microsoft.OperationalInsights/workspaces/read 1
    • Microsoft.OperationalInsights/workspaces/sharedkeys/action 1
    • Microsoft.Insights/dataCollectionRules/read 2
    • Microsoft.Insights/dataCollectionRules/write 2
    • Microsoft.Insights/dataCollectionRules/delete 2
    • Microsoft.Insights/dataCollectionEndpoints/read 2
    • Microsoft.Insights/dataCollectionEndpoints/write 2
    • Microsoft.Insights/dataCollectionEndpoints/delete 2

    1 網路參與者未涵蓋 Microsoft.OperationalInsights/workspaces/* 動作。

    2 只有在使用流量分析來分析虛擬網路流量記錄時才需要。 如需詳細資訊，請參閱 Azure 監視器中的資料收集規則和 Azure 監視器中的資料收集端點。

    若要了解如何檢查指派給訂用帳戶中使用者的角色，請參閱使用 Azure 入口網站列出 Azure 角色指派。 如果您無法看見角色指派，請連絡個別的訂用帳戶管理員。

    警告

    資料收集規則和資料收集端點資源由流量分析建立和管理。 如果您對這些資源執行任何作業，流量分析可能無法如預期般運作。

可用性

下表列出您可以針對流量記錄啟用使用分析的支持區域，以及您可以使用的Log Analytics 工作區。

區域 網路安全性群組流量記錄 虛擬網路流量記錄 流量分析 Log Analytics 工作區
巴西南部 ✓ ✓ ✓ ✓
巴西東南部 ✓ ✓ ✓ ✓
加拿大中部 ✓ ✓ ✓ ✓
加拿大東部 ✓ ✓ ✓ ✓
美國中部 ✓ ✓ ✓ ✓
美國東部 ✓ ✓ ✓ ✓
美國東部 2 ✓ ✓ ✓ ✓
墨西哥中部 ✓ ✓ ✓
美國中北部 ✓ ✓ ✓ ✓
美國中南部 ✓ ✓ ✓ ✓
美國中西部 ✓ ✓ ✓ ✓
美國西部 ✓ ✓ ✓ ✓
美國西部 2 ✓ ✓ ✓ ✓
美國西部 3 ✓ ✓ ✓ ✓

注意

如果區域中支援流量記錄，但該區域不支援Log Analytics工作區進行使用分析，您可以使用來自任何其他支持區域的Log Analytics工作區。 在此情況下，使用來自另一個區域的Log Analytics工作區時，不會有任何額外的跨區域數據傳輸費用。

定價

如需定價詳細資料，請參閱網路監看員定價和 Azure 監視器定價。

流量分析常見問題集

若要取得流量分析最常見問題集的解答，請參閱流量分析 FAQ。

相關內容