Virtual Networkフローログは、仮想ネットワーク上のIPトラフィックの入力および出力に関する情報を提供します。 これらのフロー ログには、規則ごとに送信フローと受信フロー、フローが適用されるネットワーク インターフェイス (NIC)、フローに関する 5 タプル情報 (送信元/宛先 IP、送信元/宛先ポート、プロトコル)、およびトラフィックが許可または拒否されたかどうかが表示されます。
手動でログファイルを検索してもフローログデータの洞察を得るのは難しいです。 この記事では、最新のフロー ログを視覚化して、ネットワーク上のトラフィックの詳細を確認する方法について説明します。
Important
ネットワークセキュリティグループ(NSG)フローログは2027年9月30日に廃止されます。 この機能は廃止されるため、新しいNSGフローログの作成はサポートしていません。 仮想ネットワークフローログに移行し、NSGフローログの制限に対応します。 引退後、AzureはNSGフローログで有効になっているトラフィック分析をサポートしなくなり、サブスクリプション内の既存のNSGフローログリソースを削除します。 しかし、Azureは既存のNSGフローログレコードをAzure Storageから削除せず、設定された保持ポリシーを引き続き守っています。 詳細については、公式発表を参照してください。
ネットワークセキュリティグループのフローログは、ネットワークセキュリティグループ内のIPトラフィックの入出力に関する情報を提供します。 これらのフロー ログには、規則ごとの送信フローと受信フロー、フローの適用先の NIC、フローに関する 5 組の情報 (送信元/送信先 IP、送信元/送信先ポート、プロトコル) のほか、トラフィックが許可されたか拒否されたかどうかの情報が記録されます。
手動でログファイルを検索してもフローログデータの洞察を得るのは難しいです。 この記事では、最新のフロー ログを視覚化して、ネットワーク上のトラフィックの詳細を確認する方法について説明します。
Warnung
次の手順は、フロー ログのバージョン 1 に使用できます。 詳細については、ネットワーク セキュリティ グループのフロー ログの概要に関するページを参照してください。 以下の指示は、修正なしではログファイルのバージョン2では動作しません。
前提条件
- アクティブなサブスクリプションを持つ Azure アカウント。 無料でアカウントを作成できます。
- アカウント内の 1 つ以上の仮想ネットワークで有効になっているフロー ログ。 詳細については、「 仮想ネットワーク フロー ログの管理」を参照してください。
- アカウント内の 1 つ以上のネットワーク セキュリティ グループで有効になっているフロー ログ。 詳細については、「 ネットワーク セキュリティ グループ フロー ログの管理」を参照してください。
- ストレージ アカウントに存在するログ データをダウンロードして読み込むのに十分な空き領域がある、コンピューターにインストールされている Power BI Desktop。 詳細については、「 Power BI Desktop の概要」を参照してください。
シナリオ
この場合、Power BI Desktopをフローログデータの供給源として設定したストレージアカウントに接続します。 ストレージ アカウントに接続すると、Power BI はログをダウンロードして解析し、ログに記録されたトラフィックを視覚的に表現します。
テンプレートに提供されているビジュアルを活用することで、以下の内容を確認できます:
トップ トーカー
方向とルールの決定による時系列フロー データ
ネットワーク インターフェイスの MAC アドレス別のフロー
宛先ポート別のフロー
- 仮想ネットワークとルール別のフロー
- ネットワーク セキュリティ グループとルール別のフロー
テンプレートは編集可能なので、新しいデータやビジュアルの追加、クエリの編集などが可能です。
Power BI ダッシュボードを設定する
- Power BIデスクトップで以下のPower BIテンプレートをダウンロードして開いてください:Network Watcher Power BIフローログテンプレート。
- Power BIデスクトップで以下のPower BIテンプレートをダウンロードして開いてください:Network Watcher Power BIフローログテンプレート。
必要なクエリ パラメーターを入力します。
StorageAccountName: 読み込んで視覚化するフロー ログを含むストレージ アカウントの名前。
NumberOfLogFiles: Power BI でダウンロードして視覚化するログ ファイルの数。 たとえば、「50」と入力すると、最新の 50 個のログ ファイルを表示できます。 2 つの仮想ネットワークが有効になっており、このアカウントにフロー ログを送信するように構成されている場合は、過去 25 時間のログを表示できます。
必要なクエリ パラメーターを入力します。
StorageAccountName: 読み込んで視覚化するフロー ログを含むストレージ アカウントの名前。
NumberOfLogFiles: Power BI でダウンロードして視覚化するログ ファイルの数。 例えば、50と入力すると最新の50件のログファイルを見ることができます。 もし2つのネットワークセキュリティグループを有効にして、このアカウントにフローログを送信するように設定していれば、過去25時間のログを確認できます。
ストレージ アカウントのアクセス キーを入力します。 有効なアクセス キーを見つけるには、Azure portal でストレージ アカウントに移動し、[セキュリティとネットワーク] で [アクセス キー] を選択します。
[接続] を選択して、変更を適用します。
事前に作成されたビジュアルを使用して、ログを表示します。
ビジュアルを理解する
テンプレートには、フロー ログ データの分析に役立つ一連のビジュアルが含まれています。 次のセクションでは、各ビジュアルについて詳しく説明します。サンプル 画像には、データが入力されたときのダッシュボードの外観が示されています。
ダッシュボード
トップ トーカー
トップトーカーのビジュアルは、指定された期間で最も多くの接続を始めたIPを表示します。 ボックスのサイズは、相対的な接続数に対応します。
時間経過および方向または決定によるフロー
以下の時系列グラフは、所定の期間におけるフローの数を示しています。 最初のグラフはフロー方向でセグメント化され、2 番目のグラフは行われた決定 (許可または拒否) によってセグメント化されます。 このビジュアルを使うことで、時間経過のトラフィックトレンドを把握し、異常な急増やトラフィックセグメンテーションの減少を見つけることができます。
ネットワーク インターフェイス別のフロー
次のグラフは、ネットワーク インターフェイスごとのフローを示しています。 最初のグラフはフロー方向でセグメント化され、2 番目のグラフは決定によってセグメント化されます。 この情報を活用することで、どの仮想マシン(VM)が最も多く通信を行っているか、また特定のVMへのトラフィックが許可されているか拒否されているかを把握できます。
宛先ポート別のフロー
次のホイール チャートは、宛先ポート別のフローの内訳を示しています。 この情報があれば、指定された期間内に最もよく使われる目的地ポートを閲覧できます。
仮想ネットワークとルール別のフロー
次の横棒グラフは、仮想ネットワークとルールごとのフローを示しています。 この情報を使用すると、トラフィックが最も多い仮想ネットワークと、ルール別に仮想ネットワーク上のトラフィックの内訳を確認できます。
ネットワーク セキュリティ グループとルール別のフロー
次の棒グラフは、ネットワーク セキュリティ グループとルールごとのフローを示しています。 この情報を使用すると、トラフィックが最も多いネットワーク セキュリティ グループと、ルール別のネットワーク セキュリティ グループのトラフィックの内訳を確認できます。
考慮事項
- ログはデフォルトで
https://{storageAccountName}.blob.core.windows.net/insights-logs-flowlogflowevent/に保存されます。 データが別のディレクトリに存在する場合は、クエリを変更します。
- ログはデフォルトで
https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/に保存されます。 データが別のディレクトリに存在する場合は、クエリを変更します。
提供されたテンプレートは1GB以上のログには使わないでください。
ログデータが大量なら、Data LakeやSQL Serverのような別のデータストアを使うソリューションを検討してください。