Häufig gestellte Fragen zu Traffic Analytics (FAQ)

Eine Liste der erforderlichen Voraussetzungen finden Sie unter Voraussetzungen für Traffic Analytics..

Informationen zum Überprüfen von Rollen, die einem Benutzer für ein Abonnement zugewiesen sind, finden Sie unter Auflisten von Azure-Rollenzuweisungen mithilfe des Azure-Portals. Wenn die Rollenzuweisungen nicht angezeigt werden, wenden Sie sich an den jeweiligen Abonnementadministrator.

Ja, Netzwerksicherheitsgruppen können sich in unterschiedlichen Regionen als in Ihrer Log Analytics-Arbeitsbereichsregion befinden.

Ja.

Nein, Traffic Analytics unterstützt keine klassischen Netzwerksicherheitsgruppen.

In der Dropdownliste für die Ressourcenauswahl auf dem Traffic Analytics-Dashboard muss die Ressourcengruppe der VNet-Ressource ausgewählt werden, nicht die Ressourcengruppe des virtuellen Computers oder der Netzwerksicherheitsgruppe.

Ja. Wenn Sie einen bestehenden Arbeitsbereich auswählen, vergewissern Sie sich, dass dieser in die neue Abfragesprache geändert wurde. Wenn Sie kein Upgrade des Arbeitsbereichs ausführen möchten, müssen Sie einen neuen Arbeitsbereich anlegen. Weitere Informationen zur Kusto-Abfragesprache (KQL) finden Sie unter Protokollabfragen in Azure Monitor.

Ja, Ihr Azure Storage-Konto kann zu einem Abonnement und Ihr Log Analytics-Arbeitsbereich zu einem anderen Abonnement gehören.

Ja. Sie können Ablaufprotokolle so konfigurieren, dass sie an ein Speicherkonto gesendet werden, das sich in einem anderen Abonnement befindet, vorausgesetzt, Sie verfügen über die entsprechenden Berechtigungen und dass sich das Speicherkonto in derselben Region wie die Netzwerksicherheitsgruppe (NSG-Flussprotokolle) oder virtuelles Netzwerk (VNet-Flussprotokolle) befindet. Das Zielspeicherkonto muss denselben Microsoft Entra-Mandanten der Netzwerksicherheitsgruppe (NSG-Flussprotokolle) oder virtuelles Netzwerk (VNet-Flussprotokolle) gemeinsam nutzen.

Nein Alle Ressourcen müssen sich im selben Mandanten befinden, einschließlich Netzwerksicherheitsgruppen (NSG-Flussprotokolle), virtuelle Netzwerke (VNet-Flussprotokolle), Flussprotokolle, Speicherkonten und Log Analytics-Arbeitsbereiche (wenn Die Datenverkehrsanalyse aktiviert ist).

Ja.

Nein Wenn Sie das Speicherkonto löschen, das für NSG/VNet-Flussprotokolle verwendet wird, sind die im Log Analytics-Arbeitsbereich gespeicherten Daten nicht betroffen. Sie können weiterhin historische Daten im Log Analytics-Arbeitsbereich anzeigen (einige Metriken werden betroffen sein), aber Traffic Analytics verarbeitet keine neuen zusätzlichen Flussprotokolle mehr, bis Sie die Ablaufprotokolle aktualisieren, um ein anderes Speicherkonto zu verwenden.

Wählen Sie eine unterstützte Region aus. Wenn Sie eine nicht unterstützte Region auswählen, erhalten Sie die Fehlermeldung „Nicht gefunden“. Weitere Informationen finden Sie unter Von Traffic Analytics unterstützte Regionen.

Der Anbieter Microsoft.Insights muss registriert sein, damit die Datenflussprotokollierung ordnungsgemäß funktioniert. Wenn Sie nicht sicher sind, ob der Microsoft.Insights-Anbieter für Ihr Abonnement registriert ist, lesen Sie die Anweisungen zum Registrieren in Azure-Portal, PowerShell oder Azure CLI.

Es kann bis zu 30 Minuten dauern, bis es zum ersten Mal Berichte angezeigt werden. Die Lösung muss zunächst genügend Daten aggregieren, um aussagekräftige Erkenntnisse zu gewinnen. Dann werden die Berichte generiert.

Versuchen Sie Folgendes:

• Ändern Sie auf der oberen Leiste den Zeitraum.
• Wählen Sie auf der oberen Leiste einen anderen Log Analytics-Arbeitsbereich aus.
• Versuchen Sie, nach 30 Minuten auf Traffic Analytics zuzugreifen, wenn es vor Kurzem aktiviert wurde.

Wenn Probleme bestehen, lösen Sie Bedenken in Microsoft Q&A aus.

Ggf. wird diese Meldung auf folgenden Gründen angezeigt:

• Traffic Analytics wurde vor Kurzem aktiviert, und es wurde ggf. noch keine ausreichende Datenmenge aggregiert, um aussagekräftige Erkenntnisse zu gewinnen.
• Sie verwenden die kostenlose Version des Log Analytics-Arbeitsbereichs, dessen Kontingentgrenzwerte überschritten wurden. Sie benötigen möglicherweise einen Arbeitsbereich mit größerer Kapazität.

Probieren Sie die vorgeschlagenen Lösungen für die vorherige Frage aus. Wenn Probleme bestehen, lösen Sie Bedenken in Microsoft Q&A aus.

Sie sehen die Ressourceninformationen im Dashboard, aber es gibt keine datenflussbezogenen Statistiken. Es sind ggf. keine Daten vorhanden, da keine Kommunikation zwischen den Ressourcen erfolgt. Warten Sie 60 Minuten, und überprüfen Sie dann den Status erneut. Wenn das Problem weiterhin besteht und Sie sicher sind, dass Kommunikationsflüsse zwischen Ressourcen vorhanden sind, lösen Sie Bedenken in Microsoft Q&A aus.

Sie können Traffic Analytics mithilfe von Windows PowerShell ab Version 6.2.1 konfigurieren. Informationen zum Konfigurieren der Datenflussprotokollierung und der Datenverkehrsanalyse für eine bestimmte Netzwerksicherheitsgruppe mithilfe von PowerShell finden Sie unter Aktivieren von Datenflussprotokollen und Datenverkehrsanalysen für Netzwerksicherheitsgruppen.

Ja, Sie Sie können eine Azure Resource Manager-Vorlage oder eine Bicep-Datei verwenden, um die Datenverkehrsanalyse zu konfigurieren. Weitere Informationen finden Sie unter Konfigurieren von NSG-Datenflussprotokollen mithilfe einer ARM-Vorlage (Azure Resource Manager) und Schnellstart: Konfigurieren von NSG-Datenflussprotokollen mithilfe einer Bicep-Datei.

Traffic Analytics ist getaktet. Die Taktung basiert auf der Verarbeitung von Flussprotokolldaten durch den Dienst und der Speicherung der resultierenden verbesserten Protokolle in einem Log Analytics-Arbeitsbereich.

Beispiel, gemäß den Tarifen für Network Watcher und Azure Monitor und der Region „USA, Westen-Mitte“: Wenn in einem von Datenverkehrsanalysen verarbeiteten Speicherkonto gespeicherte Datenflussprotokolldaten 10 GB und im Log Analytics-Arbeitsbereich erfasste erweiterte Protokolle 1 GB umfassen, fallen als Gebühren an: 10 x 2,3 $ + 1 x 2,76 $ = 25,76 $

Das Standardverarbeitungsintervall der Datenverkehrsanalyse beträgt 60 Minuten. Sie können jedoch die beschleunigte Verarbeitung in Intervallen von 10 Minuten auswählen. Weitere Informationen finden Sie unter Datenaggregation in Traffic Analytics.

Traffic Analytics nutzt interne Threat Intelligence-Systeme von Microsoft, um eine IP-Adresse als schädlich einzustufen. Diese Systeme nutzen verschiedenste Telemetriequellen, beispielsweise Microsoft-Produkte und -Dienste, Microsoft Digital Crimes Unit (DCU) und Microsoft Security Response Center (MSRC) sowie externe Feeds, und generieren umfassende Informationen, die weit über diese Quellen hinausgehen. Einige dieser Daten sind interne Microsoft-Daten. Falls eine bekannte IP-Adresse als „schädlich“ gekennzeichnet wird, erstellen Sie ein Supportticket, um uns die Details mitzuteilen.

Traffic Analytics bietet keine integrierte Unterstützung für Warnungen. Da Traffic Analytics-Daten in Protokollanalyseprotokollen gespeichert werden, können Sie für diese Daten jedoch benutzerdefinierte Abfragen schreiben und Benachrichtigungen festlegen. Folgen Sie diesen Schritten:

• Sie können den Log Analytics-Link in Traffic Analytics verwenden.
• Verwenden Sie das Schema für die Datenverkehrsanalyse zum Schreiben Ihrer Abfragen.
• Wählen Sie Neue Warnungsregel aus, um die Warnung zu erstellen.
• Lesen Sie Erstellen einer neuen Warnungsregel, um die Warnung zu erstellen.

Verwenden Sie die folgende Abfrage:

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowType_s == "S2S" 
| where <Scoping condition>
| mvexpand vm = pack_array(VM1_s, VM2_s) to typeof(string)
| where isnotempty(vm) 
| extend traffic = AllowedInFlows_d + DeniedInFlows_d + AllowedOutFlows_d + DeniedOutFlows_d // For bytes use: | extend traffic = InboundBytes_d + OutboundBytes_d 
| make-series TotalTraffic = sum(traffic) default = 0 on FlowStartTime_t from datetime(<time>) to datetime(<time>) step 1 m by vm
| render timechart

Für IP-Adressen können Sie folgende Abfrage verwenden:

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowType_s == "S2S" 
//| where <Scoping condition>
| mvexpand IP = pack_array(SrcIP_s, DestIP_s) to typeof(string)
| where isnotempty(IP) 
| extend traffic = AllowedInFlows_d + DeniedInFlows_d + AllowedOutFlows_d + DeniedOutFlows_d // For bytes use: | extend traffic = InboundBytes_d + OutboundBytes_d 
| make-series TotalTraffic = sum(traffic) default = 0 on FlowStartTime_t from datetime(<time>) to datetime(<time>) step 1 m by IP
| render timechart

Verwenden Sie für die Zeit das folgende Format: jjjj-mm-tt 00:00:00

Verwenden Sie die folgende Abfrage:

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowType_s == "S2S" 
//| where <Scoping condition>
| mvexpand vm = pack_array(VM1_s, VM2_s) to typeof(string)
| where isnotempty(vm) 
| extend traffic = AllowedInFlows_d + DeniedInFlows_d + AllowedOutFlows_d + DeniedOutFlows_d // For bytes use: | extend traffic = InboundBytes_d + utboundBytes_d
| summarize deviation = stdev(traffic) by vm

Für IP-Adressen:

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and FlowType_s == "S2S" 
//| where <Scoping condition>
| mvexpand IP = pack_array(SrcIP_s, DestIP_s) to typeof(string)
| where isnotempty(IP) 
| extend traffic = AllowedInFlows_d + DeniedInFlows_d + AllowedOutFlows_d + DeniedOutFlows_d // For bytes use: | extend traffic = InboundBytes_d + OutboundBytes_d
| summarize deviation = stdev(traffic) by IP

Verwenden Sie die folgende Abfrage:

AzureNetworkAnalytics_CL
| where SubType_s == "FlowLog" and TimeGenerated between (startTime .. endTime)
| extend sourceIPs = iif(isempty(SrcIP_s), split(SrcPublicIPs_s," "), pack_array(SrcIP_s)),
destIPs = iif(isempty(DestIP_s), split(DestPublicIPs_s," "), pack_array(DestIP_s))
| mvexpand SourceIp = sourceIPs to typeof(string)
| mvexpand DestIp = destIPs to typeof(string)
| project SourceIp = tostring(split(SourceIp, "|")[0]), DestIp = tostring(split(DestIp, "|")[0]), NSGList_s, NSGRule_s, DestPort_d, L4Protocol_s, FlowStatus_s 
| summarize DestPorts= makeset(DestPort_d) by SourceIp, DestIp, NSGList_s, NSGRule_s, L4Protocol_s, FlowStatus_s

Die Seite mit der geografischen Karte enthält zwei Hauptbereiche:

• Banner: Das Banner am oberen Rand der geografischen Karte enthält Schaltflächen zur Auswahl von Verteilungsfiltern für Datenverkehr (z. B. Bereitstellung, Datenverkehr aus Ländern/Regionen und Schädliche Daten). Wenn Sie auf eine Schaltfläche klicken, wird der entsprechende Filter auf die Karte angewendet. Wenn Sie beispielsweise auf die Schaltfläche „Aktiv“ klicken, werden die aktiven Rechenzentren in Ihrer Bereitstellung auf der Karte hervorgehoben.
• Karte: Im Kartenbereich unter dem Banner wird die Verteilung des Datenverkehrs für Azure-Rechenzentren und Länder/Regionen gezeigt.

Tastaturnavigation im Banner

• Standardmäßig ist auf der Seite mit der geografischen Karte für das Banner der Filter „Azure-Rechenzentren“ ausgewählt.
• Um zu einem anderen Filter zu wechseln, drücken Sie die Taste Tab oder Right arrow. Um wieder zum vorherigen Filter zu wechseln, drücken Sie Shift+Tab oder die Taste Left arrow. Die Navigationsrichtung ist von links nach rechts und dann von oben nach unten.
• Drücken Sie Enter oder die Pfeiltaste Down, um den ausgewählten Filter anzuwenden. Je nach Filterauswahl und Bereitstellung werden ein oder mehrere Knoten unter dem Kartenbereich hervorgehoben.
• Um zwischen Banner und Karte zu wechseln, drücken Sie Ctrl+F6.

Tastaturnavigation auf der Karte

• Nachdem Sie einen beliebigen Filter im Banner ausgewählt und Ctrl+F6 gedrückt haben, bewegt sich der Fokus zu einem der hervorgehobenen Knoten (Azure-Rechenzentrum oder Land/Region) in der Kartenansicht.
• Um zu anderen hervorgehobenen Knoten auf der Karte zu gelangen, drücken Sie für die Vorwärtsbewegung entweder die Taste Tab oder Right arrow. Drücken Sie für die Rückwärtsbewegung Shift+Tab oder die Taste Left arrow.
• Zur Auswahl eines markierten Knotens in der Karte verwenden Sie Enter oder die Taste Down arrow.
• Bei Auswahl eines solchen Knotens wird der Fokus auf die Infotoolbox des Knotens verschoben. Standardmäßig wird der Fokus auf die geschlossene Schaltfläche in der Infotoolbox verschoben. Zur weiteren Navigation in der Ansicht Box drücken Sie die Taste Right arrow und Left arrow, um vorwärts bzw. rückwärts zu navigieren. Das Drücken von Enter hat die gleiche Wirkung wie die Auswahl der fokussierten Schaltfläche in der Infotoolbox.
• Wenn Sie Tab drücken, während der Fokus auf der Infotoolbox liegt, bewegt sich der Fokus zu den Endpunkten auf demselben Kontinent wie der ausgewählte Knoten. Mit den Tasten Right arrow und Left arrow können Sie durch diese Endpunkte navigieren.
• Um zu anderen Clustern von Datenflussendpunkten bzw. Kontinenten zu wechseln, drücken Sie Tab für die Vorwärtsbewegung und Shift+Tab für die Rückwärtsbewegung.
• Sobald der Fokus auf Kontinentcluster liegt, können Sie mit Enter oder der Pfeiltaste Down die Endpunkte innerhalb des Kontinentclusters markieren. Um im Informationsfeld des Kontinentclusters zu den Endpunkten und zur Schaltfläche zum Schließen zu navigieren, drücken Sie die Taste Right arrow oder Left arrow für die Vorwärts- bzw. Rückwärtsbewegung. An jedem beliebigen Endpunkt können Sie mit Shift+L zur Verbindungslinie vom ausgewählten Knoten zum Endpunkt wechseln. Sie können erneut Shift+L drücken, um zum ausgewählten Endpunkt zu navigieren.

Tastaturnavigation in beliebiger Phase

• Mit der Taste Esc klappt die erweiterte Auswahl zu.
• Die Taste Up-arrow führt die gleiche Aktion wie Esc aus. Die Taste Down arrow führt die gleiche Aktion wie Enter aus.
• Verwenden Sie Shift+Plus zum Vergrößern und Shift+Minus zum Verkleinern.

Die Seite mit der Topologie der virtuellen Netzwerke hat zwei Hauptabschnitte:

• Banner: Das Banner in der Topologie der virtuellen Netzwerke bietet Schaltflächen zum Auswählen von Filtern für die Datenverkehrsverteilung (z.B. verbundene virtuelle Netzwerke, getrennte virtuelle Netzwerke und öffentliche IP-Adressen). Wenn Sie auf eine Schaltfläche klicken, wird der entsprechende Filter auf die Topologie angewendet. Wenn Sie beispielsweise auf die Schaltfläche „Aktiv“ klicken, werden in der Topologie die aktiven virtuellen Netzwerke in Ihrer Bereitstellung hervorgehoben.
• Topology: Im Topologiebereich unter dem Banner wird die Verteilung des Datenverkehrs unter den virtuellen Netzwerken gezeigt.

Tastaturnavigation im Banner

• Standardmäßig ist die Auswahl auf der Seite mit der Topologie der virtuellen Netzwerke für das Banner der Filter „Verbundene VNets“.
• Um zu einem anderen Filter zu wechseln, drücken Sie die Taste Tab für die Vorwärtsbewegung. Um wieder zum vorherigen Filter zu wechseln, drücken Sie Shift+Tab. Die Navigationsrichtung ist von links nach rechts und dann von oben nach unten.
• Drücken Sie Enter, um den ausgewählten Filter anzuwenden. Je nach Filterauswahl und Bereitstellung werden ein oder mehrere Knoten (virtuelle Netzwerke) unter dem Topologiebereich hervorgehoben.
• Um zwischen dem Banner und der Topologie zu wechseln, drücken Sie Ctrl+F6.

Tastaturnavigation in der Topologie

• Nachdem Sie einen beliebigen Filter im Banner ausgewählt und Ctrl+F6 gedrückt haben, bewegt sich der Fokus zum hervorgehobenen Knoten (VNet) in der Topologieansicht.
• Um zu anderen hervorgehobenen Knoten in der Topologieansicht zu gelangen, drücken Sie für die Vorwärtsbewegung Shift+Right arrow.
• Bei hervorgehobenen Knoten wird der Fokus zur Infotoolbox des Knotens verschoben. Standardmäßig wird der Fokus zur Schaltfläche Weitere Details in der Infotoolbox verschoben. Zur weiteren Navigation in der Ansicht Box drücken Sie die Taste Right arrow oder Left arrow, um vorwärts bzw. rückwärts zu navigieren. Das Drücken von Enter hat die gleiche Wirkung wie die Auswahl der fokussierten Schaltfläche in der Infotoolbox.
• Wenn Sie einen solchen Knoten auswählen, können Sie alle seine Verbindungen nacheinander aufrufen, indem Sie Shift+Left arrow drücken. Der Fokus wird zur Infotoolbox dieser Verbindung verschoben. Jederzeit kann der Fokus durch erneutes Drücken von Shift+Right arrow zurück zum Knoten verschoben werden.

Die Seite mit der Topologie der Subnetze hat zwei Hauptabschnitte:

• Banner: Das Banner in der Topologie der Subnetze bietet Schaltflächen zum Auswählen von Filtern für die Datenverkehrsverteilung (z.B. „Aktiv“, „Mittel“ und „Gatewaysubnetze“). Wenn Sie auf eine Schaltfläche klicken, wird der entsprechende Filter auf die Topologie angewendet. Wenn Sie beispielsweise auf die Schaltfläche „Aktiv“ klicken, werden in der Topologie die aktiven Subnetze in Ihrer Bereitstellung hervorgehoben.
• Topology: Im Topologiebereich unter dem Banner wird die Verteilung des Datenverkehrs unter den virtuellen Subnetzen gezeigt.

Tastaturnavigation im Banner

• Standardmäßig ist die Auswahl auf der Seite mit der Topologie der virtuellen Subnetze für das Banner der Filter „Subnetze“.
• Um zu einem anderen Filter zu wechseln, drücken Sie die Taste Tab für die Vorwärtsbewegung. Um wieder zum vorherigen Filter zu wechseln, drücken Sie Shift+Tab. Die Navigationsrichtung ist von links nach rechts und dann von oben nach unten.
• Drücken Sie Enter, um den ausgewählten Filter anzuwenden. Je nach Filterauswahl und Bereitstellung werden ein oder mehrere Knoten (Subnetze) unter dem Topologiebereich hervorgehoben.
• Um zwischen dem Banner und der Topologie zu wechseln, drücken Sie Ctrl+F6.

Tastaturnavigation in der Topologie

• Nachdem Sie einen beliebigen Filter im Banner ausgewählt und Ctrl+F6 gedrückt haben, bewegt sich der Fokus zu einem der hervorgehobenen Knoten (Subnetz) in der Topologieansicht.
• Um zu anderen hervorgehobenen Knoten in der Topologieansicht zu gelangen, drücken Sie für die Vorwärtsbewegung Shift+Right arrow.
• Bei hervorgehobenen Knoten wird der Fokus zur Infotoolbox des Knotens verschoben. Standardmäßig wird der Fokus zur Schaltfläche Weitere Details in der Infotoolbox verschoben. Zur weiteren Navigation in der Ansicht Box drücken Sie die Taste Right arrow und Left arrow, um vorwärts bzw. rückwärts zu navigieren. Das Drücken von Enter hat die gleiche Wirkung wie die Auswahl der fokussierten Schaltfläche in der Infotoolbox.
• Wenn Sie einen solchen Knoten auswählen, können Sie alle seine Verbindungen nacheinander aufrufen, indem Sie Shift+Left arrow drücken. Der Fokus wird zur Infotoolbox dieser Verbindung verschoben. Jederzeit kann der Fokus durch erneutes Drücken von Shift+Right arrow zurück zum Knoten verschoben werden.