Azure 監視器中的 Wire Data 2.0 (預覽版) 解決方案 (已淘汰)

Wire Data 符號

注意

Wire Data 解決方案已取代為 VM 深入解析服務對應解決方案。 兩者都使用 Log Analytics 代理程式和相依性代理程式,以將網路連線資料收集至 Azure 監視器。

Wire Data 解決方案的支援將於「2022 年 3 月 31 日」結束。 在淘汰日期之前,使用 Wire Data 2.0 (預覽版) 解決方案的現有客戶可能還是會繼續使用。

新的和現有的客戶應該安裝 VM 深入解析服務對應解決方案。 他們所收集的地圖資料集相當於 Wire Data 2.0 (預覽版) 資料集。 VM 深入解析包括服務對應資料集,以及用於分析的其他效能資料和功能。 這兩個供應項目都有與 Microsoft Sentinel 的連線

連線資料是彙總的網路和效能資料,使用 Log Analytics 代理程式從 Windows 連線和 Linux 連線的電腦收集,包括您的環境中由 Operations Manager 監視的資料。 網路資料結合其他記錄資料可協助您將資料相互關聯。

除了 Log Analytics 代理程式,Wire Data 解決方案還會使用您在 IT 基礎結構的電腦上所安裝的 Microsoft 相依性代理程式。 相依性代理程式會監視往返於您電腦傳送的網路資料 (屬於 OSI 模型中的網路層級 2-3),包括使用的各種通訊協定和連接埠。 然後,使用代理程式將資料傳送至 Azure 監視器。

移轉至 Azure 監視器 VM 深入解析或服務對應

在許多情況下,我們會看到客戶通常已在相同的 VM 上同時啟用 Wire Data 2.0 (預覽版) 和 VM 深入解析服務對應解決方案。 這表示您已在 VM 上啟用取代供應項目。 您只要從 Log Analytics 工作區移除 Wire Data 2.0 (預覽版) 解決方案即可。

如果您的 VM 只啟用 Wire Data 2.0 (預覽版),則可以將 VM 上線至 VM 深入解析服務對應解決方案,然後從 Log Analytics 工作區中移除 Wire Data 2.0 (預覽版) 解決方案

將查詢從 Azure 監視器 VM 深入解析移轉至 VMConnection 資料表

提供資料的代理程式

Wire Data 2.0 查詢

WireData
| summarize AggregatedValue = sum(TotalBytes) by Computer
| limit 500000

VM 深入解析和服務對應查詢

VMConnection
| summarize AggregatedValue = sum(BytesReceived + BytesSent) by Computer
| limit 500000

提供資料之代理程式的 IP 位址

Wire Data 2.0 查詢

WireData
| summarize AggregatedValue = count() by LocalIP

VM 深入解析和服務對應查詢

VMComputer
| distinct Computer, tostring(Ipv4Addresses)

遠端 IP 位址的所有輸出通訊

Wire Data 2.0 查詢

WireData
| where Direction == "Outbound"
| summarize AggregatedValue = count() by RemoteIP

VM 深入解析和服務對應查詢

VMConnection
| where Direction == "outbound"
| summarize AggregatedValue = count() by RemoteIp

通訊協定名稱收到的位元組

Wire Data 2.0 查詢

WireData 
| where Direction == "Inbound"
| summarize AggregatedValue = sum(ReceivedBytes) by ProtocolName

VM 深入解析和服務對應查詢

VMConnection
| where Direction == "inbound"
| summarize AggregatedValue = sum(BytesReceived) by Protocol

程序的網路流量 (位元組)

Wire Data 2.0 查詢

WireData
| summarize AggregatedValue = sum(TotalBytes) by ProcessName

VM 深入解析和服務對應查詢

VMConnection
| summarize sum(BytesReceived), sum(BytesSent) by ProcessName

更多範例查詢

如需其他範例查詢,請參閱 VM 深入解析記錄搜尋文件VM 深入解析警示文件

解除安裝 Wire Data 2.0 解決方案

若要解除安裝 Wire Data 2.0,您只需要從 Log Analytics 工作區中移除解決方案即可。 這將會導致下列項目:

  • 從連線至工作區的 VM 中移除 Wire Data Management 組件。
  • Wire Data 資料類型不再出現於工作區中

遵循這些指示來移除 Wire Data 解決方案。

注意

如果您的工作區上有服務對應或 VM 深入解析解決方案,則將不會移除管理組件,因為這些解決方案也會使用此管理組件。

Wire Data 2.0 管理組件

在 Log Analytics 工作區中啟動 Wire Data 時,會將 300 KB 的管理組件傳送至該工作區中的所有 Windows 伺服器。 如果您是在連線的管理群組中使用 System Center Operations Manager 代理程式,則會從 System Center Operations Manager 部署相依性監視管理組件。 如果直接連線代理程式,則 Azure 監視器會提供管理組件。

管理組件名稱為 Microsoft.IntelligencePacks.ApplicationDependencyMonitor。 它會寫入至 %Programfiles%\Microsoft Monitoring Agent\Agent\Health Service State\Management Packs。 管理組件所使用的資料來源是 %Program files%\Microsoft Monitoring Agent\Agent\Health Service State\Resources<自動產生的識別碼>\Microsoft.EnterpriseManagement.Advisor.ApplicationDependencyMonitorDataSource.dll。

解除安裝相依性代理程式

注意

如果您打算將 Wire Data 取代為服務對應或 VM 深入解析,則不應該移除相依性代理程式。

請使用下列各節來協助您移除相依性代理程式。

在 Windows 上解除安裝相依性代理程式

系統管理員可透過控制台解除安裝 Windows Dependency Agent。

系統管理員也可以執行 %Programfiles%\Microsoft Dependency Agent\Uninstall.exe,以解除安裝 Dependency Agent。

在 Linux 上解除安裝相依性代理程式

若要從 Linux 中完全解除安裝相依性代理程式,您必須移除代理程式本身以及隨代理程式自動安裝的連接器。 您可以使用下列單一命令同時解除安裝這兩者:

rpm -e dependency-agent dependency-agent-connector

使用 Wire Data 2.0 解決方案

在 Azure 入口網站 Log Analytics 工作區的 [概觀] 頁面中,按一下 [Wire Data 2.0] 磚以開啟 [Wire Data] 儀表板。 此儀表板包含下表中的刀鋒視窗。 每個刀鋒視窗最多會列出 10 個與該刀鋒視窗中指定範圍和時間範圍的準則相符的項目。 您可以按一下刀鋒視窗底部的 [查看全部],或按一下刀鋒視窗標頭,以執行記錄搜尋來傳回所有記錄。

刀鋒視窗 說明
擷取網路流量的代理程式數 顯示擷取網路流量的代理程式數,並列出擷取最多流量的前 10 部電腦。 按一下此數字可執行記錄搜尋,以搜尋 WireData | summarize sum(TotalBytes) by Computer | take 500000。 按一下清單中的電腦可執行記錄搜尋,以傳回擷取的位元組總數。
區域子網路數 顯示代理程式探索到的區域子網路數。 按一下此數字可執行記錄搜尋,以搜尋 WireData | summarize sum(TotalBytes) by LocalSubnet,其中列出所有子網路及透過每個子網路傳送的位元組數目。 按一下清單中的子網路可執行記錄搜尋,以傳回透過子網路傳送的位元組總數。
應用程式層級通訊協定數 顯示代理程式探索到的使用中應用程式層級通訊協定數。 按一下此數字可執行記錄搜尋,以搜尋 WireData | summarize sum(TotalBytes) by ApplicationProtocol。 按一下通訊協定可執行記錄搜尋,以傳回使用該通訊協定傳送的位元組總數。

Wire Data 儀表板

您可以使用 [擷取網路流量的代理程式數] 刀鋒視窗,來判斷電腦所耗用的網路頻寬量。 此刀鋒視窗可協助您輕鬆找到環境中「通訊量最大」的電腦。 這類電腦可能超載、運作異常,或使用的網路資源不尋常地過多。

螢幕擷取畫面:Wire Data 2.0 儀表板中的 [擷取網路流量的代理程式數] 刀鋒視窗,其中顯示每部電腦所使用的網路頻寬。

同樣地,您可以使用 [區域子網路數] 刀鋒視窗,來判斷透過子網路移動的網路流量。 使用者通常會為其應用程式定義重要區域周圍的子網路。 此刀鋒視窗會提供這些區域的檢視。

螢幕擷取畫面:Wire Data 2.0 儀表板中的 [區域子網路數] 刀鋒視窗,其中顯示每個 LocalSubnet 所使用的網路頻寬。

[應用程式層級通訊協定數] 刀鋒視窗可協助了解使用中的通訊協定,因此很有用。 例如,您可能預期 SSH 不會用於網路環境中。 藉由檢視刀鋒視窗中可用的資訊,即可快速確認或否認您的預期。

螢幕擷取畫面:Wire Data 2.0 儀表板中的 [應用程式層級通訊協定數] 刀鋒視窗,其中顯示每個通訊協定所使用的網路頻寬。

它也有助於了解通訊協定流量是否隨時間增加或減少。 例如,如果應用程式所傳輸的資料量增加,可能有應該注意或值得關注的問題。

輸入資料

連線資料會使用您已啟用的代理程式,來收集有關網路流量的中繼資料。 每個代理程式約每隔 15 秒傳送一次資料。

輸出資料

對於每種類型的輸入資料,系統會建立 WireData 類型的記錄。 WireData 記錄具有下表所示的屬性:

屬性 描述
電腦 收集資料所在的電腦名稱
TimeGenerated 記錄的時間
LocalIP 本機電腦的 IP 位址
SessionState 已連線或已中斷連線
ReceivedBytes 接收的位元組數目
ProtocolName 使用的網路通訊協定名稱
IPVersion IP 版本
方向 輸入或輸出
MaliciousIP 已知惡意來源的 IP 位址
嚴重性 可疑惡意程式碼嚴重性
RemoteIPCountry 遠端 IP 位址的國家/區域
ManagementGroupName Operations Manager 管理群組的名稱
SourceSystem 收集資料所在的來源
SessionStartTime 工作階段的開始時間
SessionEndTime 工作階段的結束時間
LocalSubnet 收集資料所在的子網路
LocalPortNumber 本機連接埠號碼
RemoteIP 遠端電腦所使用的遠端 IP 位址
RemotePortNumber 遠端 IP 位址所使用的連接埠號碼
SessionID 識別兩個 IP 位址之間通訊工作階段的唯一值
SentBytes 傳送的位元組數目
TotalBytes 工作階段期間傳送的位元組總數
ApplicationProtocol 使用的網路通訊協定類型
ProcessID Windows 處理序識別碼
ProcessName 處理序的路徑和檔案名稱
RemoteIPLongitude IP 經度值
RemoteIPLatitude IP 緯度值

下一步