Registros de flujo de red virtual

Los registros de flujo de red virtual son una característica de Azure Network Watcher. Puede usarlos para registrar información sobre el flujo de tráfico IP mediante una red virtual.

Los datos de flujo de los registros de flujo de red virtual se envían a Azure Storage. Desde allí, es posible acceder a los datos y exportarlos a cualquier herramienta de visualización, solución de administración de eventos e información de seguridad (SIEM) o sistema de detección de intrusiones (IDS). Los registros de flujo de red virtual superan algunas de las limitaciones de los registros de flujo del grupo de seguridad de red y son más rentables.

¿Por qué usar registros de flujo?

Es fundamental supervisar, administrar y conocer su red para poder protegerla y optimizarla. Tal vez necesite conocer el estado actual de la red, quién se conecta y dónde se conectan los usuarios. También es posible que necesite conocer qué puertos están abiertos a Internet, qué comportamiento de red se espera, cuál es irregular y cuándo se producen aumentos de tráfico repentinos.

Los registros de flujo son la fuente confiable de toda la actividad de red en tu entorno de nube. Tanto si es una startup que intenta optimizar los recursos como si forma parte de una gran empresa que intenta detectar intrusiones, los registros de flujo les resultará de gran ayuda. Puede usarlos para optimizar flujos de red, supervisar el rendimiento, comprobar el cumplimiento, detectar intrusiones y mucho más.

Casos de uso comunes

Supervisión de redes

• Identifique el tráfico desconocido o no deseado.
• Supervise los niveles de tráfico y el consumo de ancho de banda.
• Filtre los registros de flujo por IP y puerto para comprender el comportamiento de la aplicación.
• Exporte registros de flujo a las herramientas de visualización y análisis que prefiera para configurar paneles de supervisión.

Supervisión y optimización de uso

• Identifique los principales hablantes en su red.
• Combine datos de GeoIP para identificar el tráfico entre regiones.
• Comprenda el crecimiento del tráfico para realizar previsiones de capacidad.
• Use datos para quitar reglas de tráfico excesivamente restrictivas.

Compliance

• Use los datos de flujo para comprobar el aislamiento de red y el cumplimiento de las reglas de acceso empresarial.

Análisis de seguridad y análisis forense de la red

• Analice los flujos de red de las IP e interfaces de red comprometidas.
• Exporte los registros de flujo a cualquier herramienta SIEM o IDS de su elección.

Registros de flujo de red virtual en comparación con los registros de flujo del grupo de seguridad de red

Tanto los registros de flujo de red virtual como los registros de flujo del grupo de seguridad de red registran el tráfico IP, pero difieren en su comportamiento y funcionalidades.

Los registros de flujo de red virtual simplifican el ámbito de la supervisión del tráfico porque puede habilitar el registro en redes virtuales. Se registra el tráfico a través de todas las cargas de trabajo admitidas dentro de una red virtual.

Los registros de flujo de red virtual también evitan la necesidad de habilitar el registro de flujo de varios niveles, como en los registros de flujo del grupo de seguridad de red. En los registros de flujo de grupos de seguridad de red, estos últimos se configuran tanto en la subred como en la interfaz de red (NIC).

Además de la compatibilidad existente para identificar el tráfico que las reglas de grupos de seguridad de red permiten o deniegan, los registros de flujo de red virtual admiten la identificación del tráfico que las reglas de administración de seguridad de Azure Virtual Network Manager permiten o deniegan. Los registros de flujo de red virtual también admiten la evaluación del estado de cifrado del tráfico en escenarios en los que usa cifrado de red virtual.

Reglas de plataforma

¿Qué es una regla de plataforma en los registros de flujo?

En los registros de flujo, una regla de plataforma representa el tráfico de red procesado por la propia plataforma Azure en lugar de por reglas configuradas por el usuario, como grupos de seguridad de red (NSG) o reglas de Azure Virtual Network Manager. La plataforma controla automáticamente este tráfico y no es el resultado de una regla explícita de permitir o denegar definida dentro de una implementación. Las entradas de reglas de plataforma proporcionan visibilidad sobre el tráfico de nivel de infraestructura o administrado por el sistema. Si el análisis solo se centra en el tráfico evaluado por reglas configuradas explícitamente, estas entradas se pueden filtrar durante el análisis de registros.

En algunos escenarios, el tráfico asociado a tu aplicación o a tu carga de trabajo puede aparecer en una regla de plataforma. Esto puede ocurrir en un número limitado de casos bien comprendidos, como cuando las conexiones con equilibrio de carga se vuelven a crear como parte de las operaciones normales de la plataforma, o cuando el tráfico devuelto no requiere evaluación de reglas para la ruta de respuesta. En estos casos, el tráfico se procesa según lo previsto, pero el registro de flujo puede asociarlo a una regla de plataforma en lugar de a una regla definida por el usuario.

¿Afecta la presencia de reglas de plataforma al tráfico?

N.º Las reglas de plataforma no cambian el comportamiento del tráfico, la conectividad, la posición de seguridad ni el rendimiento. Solo afectan a la forma en que determinados flujos de red se representan en los registros de flujo. Las entradas de reglas de plataforma se proporcionan con fines informativos. Excluirlos del análisis no afecta al modo en que se controla el tráfico. Si el tráfico aparece en una regla de plataforma y no se alinea con los escenarios descritos anteriormente, se puede investigar aún más el comportamiento. En tales casos, se recomienda ponerse en contacto con los canales de soporte de Azure para que los registros de flujo se puedan revisar en detalle.

Cómo funciona el registro

Entre las propiedades clave de los registros de flujo de red virtual, se incluyen los siguientes:

• Los registros de flujo funcionan en la capa 4 del modelo Interconexión de sistemas abiertos (OSI) y registran todos los flujos IP que pasan por una red virtual.
• Los registros se recopilan a intervalos de un minuto a través de la plataforma de Azure. No afectan a los recursos de Azure ni al tráfico de red.
• Los registros se escriben en el formato de notación de objetos JavaScript (JSON).
• Cada entrada del registro contiene la interfaz de red a la que se aplica el flujo, información de una tupla "5-tuple", la dirección del tráfico, el estado del flujo, el estado de cifrado y la información de rendimiento.
• Todos los flujos de tráfico de su red se evalúan mediante las reglas aplicables del grupo de seguridad de red o las reglas de administrador de seguridad de Azure Virtual Network Manager.
• Los registros de flujo de Red Virtual operan al nivel de la red virtual y, por lo tanto, capturan el tráfico para recursos como puertas de enlace de forma predeterminada. Como resultado, se incluye el tráfico que pasa por estas puertas de enlace, lo que puede provocar un mayor volumen de datos de registro.

Formato de registro

Los registros de flujo de red virtual tienen las siguientes propiedades:

• : la hora UTC en la que se registró el evento.
• : versión del registro de flujo.
• : GUID de recurso del recurso .
• : dirección MAC de la interfaz de red donde se ha capturado el evento.
• : categoría del evento. La categoría es siempre .
• : identificador de recurso del recurso .
• : identificador de recurso del recurso de destino asociado al recurso .
• : siempre .
• : recopilación de registros de flujo.
  • : recopilación de flujos. Esta propiedad tiene varias entradas para las listas de control de acceso (ACL):
    • aclID: identificador del recurso que está evaluando el tráfico, ya sea un grupo de seguridad de red o Administrador de redes virtuales. Para el tráfico denegado debido al cifrado, este valor es .
    • : recopilación de registros de flujo en un nivel de regla:
      • : nombre de la regla que ha permitido o denegado el tráfico. Para el tráfico denegado debido al cifrado, este valor es .
      • : cadena que contiene varias propiedades de la tupla de flujo en un formato separado por comas:
        • : marca de tiempo de cuando se produjo el flujo en formato de tiempo UNIX.
        • : dirección IP de origen.
        • : dirección IP de destino.
        • : puerto de origen.
        • : puerto de destino.
        • : protocolo de nivel 4 del flujo, expresado en valores asignados por IANA.
        • : Dirección del flujo de tráfico. Los valores válidos son para el correo entrante y para el saliente.
        • : estado del flujo. Los estados posibles son:
          • : Inicio, cuando se crea el flujo. No se proporcionan las estadísticas.
          • : continuación del curso de un flujo. Las estadísticas se proporcionan a intervalos de cinco minutos.
          • : fin, cuando se termina un flujo. Se proporcionan las estadísticas.
          • : denegar, cuando se deniega un flujo.
        • : estado de cifrado del flujo. En la tabla que sigue a esta lista se describen los valores posibles.
        • : número total de paquetes enviados desde el origen al destino desde la última actualización.
        • : número total de bytes de paquetes enviados desde el origen al destino desde la última actualización. Los bytes de paquete incluyen el encabezado y la carga del paquete.
        • : número total de paquetes enviados desde el destino al origen desde la última actualización.
        • : número total de bytes de paquetes enviados desde el destino al origen desde la última actualización. Los bytes de paquete incluyen el encabezado y la carga del paquete.

tiene los siguientes estados de cifrado posibles:

El tráfico en tus redes virtuales no está cifrado () por defecto. Para el tráfico cifrado, consulte el cifrado de red virtual.

Registro de ejemplo

En el ejemplo siguiente de registros de flujo de red virtual, varios registros siguen la lista de propiedades que se ha descrito anteriormente.

{
    "records": [
        {
            "time": "2022-09-14T09:00:52.5625085Z",
            "flowLogVersion": 4,
            "flowLogGUID": "66aa66aa-bb77-cc88-dd99-00ee00ee00ee",
            "macAddress": "112233445566",
            "category": "FlowLogFlowEvent",
            "flowLogResourceID": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/NETWORKWATCHERRG/PROVIDERS/MICROSOFT.NETWORK/NETWORKWATCHERS/NETWORKWATCHER_EASTUS2EUAP/FLOWLOGS/VNETFLOWLOG",
            "targetResourceID": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Network/virtualNetworks/myVNet",
            "operationName": "FlowLogFlowEvent",
            "flowRecords": {
                "flows": [
                    {
                        "aclID": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
                        "flowGroups": [
                            {
                                "rule": "DefaultRule_AllowInternetOutBound",
                                "flowTuples": [
                                    "1663146003599,10.0.0.6,192.0.2.180,23956,443,6,O,B,NX,0,0,0,0",
                                    "1663146003606,10.0.0.6,192.0.2.180,23956,443,6,O,E,NX,3,767,2,1580",
                                    "1663146003637,10.0.0.6,203.0.113.17,22730,443,6,O,B,NX,0,0,0,0",
                                    "1663146003640,10.0.0.6,203.0.113.17,22730,443,6,O,E,NX,3,705,4,4569",
                                    "1663146004251,10.0.0.6,203.0.113.17,22732,443,6,O,B,NX,0,0,0,0",
                                    "1663146004251,10.0.0.6,203.0.113.17,22732,443,6,O,E,NX,3,705,4,4569",
                                    "1663146004622,10.0.0.6,203.0.113.17,22734,443,6,O,B,NX,0,0,0,0",
                                    "1663146004622,10.0.0.6,203.0.113.17,22734,443,6,O,E,NX,2,134,1,108",
                                    "1663146017343,10.0.0.6,198.51.100.84,36776,443,6,O,B,NX,0,0,0,0",
                                    "1663146022793,10.0.0.6,198.51.100.84,36776,443,6,O,E,NX,22,2217,33,32466"
                                ]
                            }
                        ]
                    },
                    {
                        "aclID": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
                        "flowGroups": [
                            {
                                "rule": "BlockHighRiskTCPPortsFromInternet",
                                "flowTuples": [
                                    "1663145998065,101.33.218.153,10.0.0.6,55188,22,6,I,D,NX,0,0,0,0",
                                    "1663146005503,192.241.200.164,10.0.0.6,35276,119,6,I,D,NX,0,0,0,0"
                                ]
                            },
                            {
                                "rule": "Internet",
                                "flowTuples": [
                                    "1663145989563,192.0.2.10,10.0.0.6,50557,44357,6,I,D,NX,0,0,0,0",
                                    "1663145989679,203.0.113.81,10.0.0.6,62797,35945,6,I,D,NX,0,0,0,0",
                                    "1663145989709,203.0.113.5,10.0.0.6,51961,65515,6,I,D,NX,0,0,0,0",
                                    "1663145990049,198.51.100.51,10.0.0.6,40497,40129,6,I,D,NX,0,0,0,0",
                                    "1663145990145,203.0.113.81,10.0.0.6,62797,30472,6,I,D,NX,0,0,0,0",
                                    "1663145990175,203.0.113.5,10.0.0.6,51961,28184,6,I,D,NX,0,0,0,0",
                                    "1663146015545,192.0.2.10,10.0.0.6,50557,31244,6,I,D,NX,0,0,0,0"
                                ]
                            }
                        ]
                    }
                ]
            }
        }
    ]
}

Cálculo de tupla y ancho de banda de registro

Tabla que muestra el formato de un registro de flujo de red virtual.

Este es un cálculo de ancho de banda de ejemplo para las tuplas de flujo de una conversación TCP entre y :

1708978215,203.0.113.105,10.0.0.5,35370,23,6,I,B,NX,,,, 1708978215,203.0.113.105,10.0.0.5,35370,23,6,I,C,NX,1021,588096,8005,4610880 1708978215,203.0.113.105,10.0.0.5,35370,23,6,I,E,NX,52,29952,47,27072

Para los estados de continuación () y de finalización (), los recuentos de paquetes y bytes son recuentos agregados desde el momento del registro de la tupla de flujo anterior. En la conversación de ejemplo, el número total de paquetes transferidos es 1,021 + 52 + 8,005 + 47 = 9,125. El número total de bytes transferidos es 588,096 + 29,952 + 4,610,880 + 27,072 = 5,256,000.

Consideraciones para los registros de flujo de red virtual

Cuenta de almacenamiento

• Ubicación: la cuenta de almacenamiento debe estar en la misma región que la red virtual.
• Suscripción: la cuenta de almacenamiento debe estar en la misma suscripción que la red virtual o en una suscripción asociada con la misma entidad de Microsoft Entra de la suscripción de la red virtual.
• Nivel de rendimiento: la cuenta de almacenamiento debe ser estándar. No se admiten cuentas de almacenamiento prémium.
• Rotación de claves autoadministradas: si cambia o gira las claves de cifrado administradas por el cliente a la cuenta de almacenamiento, los registros de flujo de red virtual dejan de funcionar. Para solucionar este problema, se deben deshabilitar y volver a habilitar los registros de flujos de red virtual.
• Reglas de directiva de retención: Actualmente, una cuenta de almacenamiento admite 100 reglas y cada regla puede acomodar 10 prefijos de blob. Para obtener más información, consulte ¿Cuántas reglas de directivas de retención puede tener una cuenta de almacenamiento?
• Operaciones de blob: los registros de flujo de red virtual se ingieren en un blob de bloques a intervalos de un minuto mediante la anexión de bloques. Mientras la ingesta está en curso, no realice operaciones que modifiquen la estructura de bloques del blob, como editar, sobrescribir o eliminar el contenido del blob. Estas operaciones pueden hacer que todas las operaciones de escritura del registro de flujo posteriores generen un error en el blob de esa hora específica.

Tráfico de puerta de enlace de ExpressRoute

Los flujos salientes de máquinas virtuales (VM) al circuito de ExpressRoute no se registran si el registro de flujo está habilitado en la subred de puerta de enlace de ExpressRoute. Estos flujos deben registrarse en la subred o la NIC de la máquina virtual. El tráfico también omite la puerta de enlace de ExpressRoute cuando FastPath está habilitado y no se registra si el registro de flujo está habilitado en la subred de puerta de enlace de ExpressRoute.

Tráfico de punto de conexión privado

El tráfico no se puede registrar en el propio punto de conexión privado. Puede capturar el tráfico a un punto de conexión privado en la máquina virtual de origen. El tráfico se registra con la dirección IP de origen de la máquina virtual y la dirección IP de destino del punto de conexión privado. Puede usar el campo para identificar el tráfico que fluye a un punto de conexión privado. Para más información, consulte Esquema del análisis de tráfico.

Servicios incompatibles

Actualmente, estos servicios Azure no admiten registros de flujo de red virtual:

• Azure Container Instances
• Azure Container Apps
• Azure Logic Apps
• Azure Functions
• Azure DNS Resolver Privado
• Servicio de Aplicaciones
• Azure Database for MariaDB
• Azure Database for MySQL
• Azure Database for PostgreSQL
• Azure SQL Managed Instance
• Azure NetApp Files
• Microsoft Power Platform

Pricing

• Los registros de flujo de red virtual se cobran por gigabyte (GB) según los registros de flujo de red recopilados e incluyen un plan gratuito de 5 GB/mes por suscripción.

• Si se activa el análisis de tráfico con los registros de flujo de red virtual, el precio del análisis de tráfico se aplica en función de las tasas de procesamiento por gigabyte. El análisis de tráfico no se ofrece con un plan gratuito de precios. Para obtener más información, consulte precios Network Watcher.

• El almacenamiento de registros se cobra por separado. Para obtener más información, consulte precios Azure Blob Storage.

• Los registros de flujo de Red Virtual amplían la cobertura de registro más allá de los límites de seguridad de la red para incluir escenarios de tráfico a nivel de plataforma y aplicación. Este ámbito más amplio admite casos de uso adicionales y patrones de tráfico, lo que puede dar lugar a volúmenes de registro más altos en comparación con configuraciones de registro de flujo de ámbito más estrecha.

Escenarios admitidos

En la siguiente tabla se describe el ámbito de compatibilidad de los registros de flujo.

Availability

En las tablas siguientes se enumeran las regiones admitidas en las que puede habilitar los registros de flujo de red virtual.

Contenido relacionado

• Tutorial: registre el tráfico de red hacia y desde una red virtual mediante el portal de Azure
• Creación, cambio, habilitación, deshabilitación o eliminación de registros de flujo de red virtual
• Introducción al análisis de tráfico