仮想ネットワークフローログ

[アーティクル]
04/28/2024

仮想ネットワークフローログは、Azure Network Watcher の機能です。これらを使用して、仮想ネットワークを通過する IP トラフィックに関する情報をログに記録できます。

仮想ネットワークフローログからのフローデータは、Azure Storage に送信されます。そこからデータにアクセスし、任意の視覚化ツール、セキュリティ情報イベント管理 (SIEM) ソリューション、または侵入検出システム (IDS) にエクスポートできます。仮想ネットワークフローログは、ネットワークセキュリティグループフローログの制限の一部を克服します。

フローログを使用する理由

ネットワークを保護して最適化できるように、ネットワークを監視、管理、把握することは重要です。ネットワークの現在の状態、接続しているユーザー、ユーザーの接続先を把握することが必要な場合があります。また、インターネットに対して開かれているポート、予想されるネットワーク動作、不規則なネットワーク動作、トラフィックが急激に増加するタイミングを把握することが必要な場合もあります。

フローログは、クラウド環境内のすべてのネットワークアクティビティの信頼できるソースです。リソースを最適化しようとしているスタートアップ企業でも、侵入を検出しようとしている大企業でも、フローログは役立ちます。フローログは、ネットワークフローの最適化、スループットの監視、コンプライアンスの検証、侵入の検出などに使用できます。

一般的なユースケース

ネットワーク監視

不明または不要なトラフィックを特定します。
トラフィックレベルと帯域幅の消費を監視します。
アプリケーションの動作を把握するために、フローログを IP およびポートでフィルター処理します。
任意の分析ツールや視覚化ツールにフローログをエクスポートして、監視ダッシュボードを設定します。

使用状況の監視と最適化

ネットワークのトップトーカーを特定します。
GeoIP データと組み合わせて、リージョン間のトラフィックを識別します。
容量の予測用にトラフィックの増加について把握します。
データを使用して、過度に制限されたトラフィック規則を削除します。

コンプライアンス

フローデータを使用して、ネットワークの分離とエンタープライズアクセス規則への準拠を確認します。

ネットワークフォレンジクスとセキュリティ分析

侵害された IP とネットワークインターフェイスからのネットワークフローを分析します。
選択した SIEM または IDS ツールにフローログをエクスポートします。

仮想ネットワークフローログとネットワークセキュリティグループフローログの比較

仮想ネットワークフローログとネットワークセキュリティグループフローログの両方で IP トラフィックが記録されますが、その動作と機能は異なります。

仮想ネットワークフローログを使用すると、仮想ネットワークでログ記録を有効にできるため、トラフィック監視のスコープが簡略化されます。仮想ネットワーク内でサポートされているすべてのワークロードを通過するトラフィックが記録されます。

また、仮想ネットワークフローログでは、ネットワークセキュリティグループフローログの場合のような、複数レベルのフローログを有効にする必要がなくなります。ネットワークセキュリティグループフローログでは、ネットワークセキュリティグループはサブネットとネットワークインターフェイス (NIC) の両方で構成されます。

ネットワークセキュリティグループ規則によって許可または拒否されるトラフィックを識別するための既存のサポートに加えて、仮想ネットワークフローログでは、Azure Virtual Network Manager セキュリティ管理規則によって許可または拒否されるトラフィックの識別がサポートされます。仮想ネットワークフローログでは、仮想ネットワーク暗号化を使用しているシナリオでのネットワークトラフィックの暗号化状態の評価もサポートされています。

重要

トラフィックの重複記録や追加コストを避けるために、同じ基になるワークロードで仮想ネットワークフローログを有効にする前に、ネットワークセキュリティグループフローログを無効にすることをお勧めします。サブネットのネットワークセキュリティグループでネットワークセキュリティグループフローログを有効にした場合、同じサブネットまたは親仮想ネットワークで仮想ネットワークフローログを有効にすると、重複したログが取得される可能性があります (ネットワークセキュリティグループフローログと仮想ネットワークフローログの両方が、その特定のサブネットでサポートされているすべてのワークロードに対して生成されます)。

ログのしくみ

仮想ネットワークフローログの主なプロパティは次のとおりです:

フローログは、オープンシステム相互接続 (OSI) モデルのレイヤー 4 で動作し、仮想ネットワークを通過するすべての IP フローを記録します。
ログは、Azure プラットフォームを通して 1 分間隔で収集されます。お使いの Azure リソースやネットワークトラフィックに影響はありません。
ログは JavaScript Object Notation (JSON) 形式で書き込まれます。
各ログレコードには、フローが適用されるネットワークインターフェイス、5 タプル情報、トラフィックの方向、フローの状態、暗号化状態、およびスループット情報が含まれています。
ネットワーク内のすべてのトラフィックフローは、該当するネットワークセキュリティグループ規則または Azure Virtual Network Manager セキュリティ管理規則を通じて評価されます。

ログ形式

仮想ネットワークフローログには、次のプロパティがあります。

time: イベントがログに記録された時刻 (UTC)。
flowLogVersion: フローログスキーマのバージョン。
flowLogGUID: FlowLog リソースのリソース GUID。
macAddress: イベントがキャプチャされたネットワークインターフェイスの MAC アドレス。
category: イベントのカテゴリ。カテゴリは常に FlowLogFlowEvent となります。
flowLogResourceID: FlowLog リソースのリソース ID。
targetResourceID: FlowLog リソースに関連付けられたターゲットリソースのリソース ID。
operationName: 常に FlowLogFlowEvent となります。
flowRecords: フローレコードのコレクション。
- flows: フローのコレクション。このプロパティには、アクセス制御リスト (ACL) に対する複数のエントリがあります。
  - aclID: トラフィックを評価するリソース (ネットワークセキュリティグループまたは Virtual Network Manager) の識別子。暗号化のために拒否されたトラフィックの場合、この値は unspecified です。
  - flowGroups: ルールレベルでのフローレコードのコレクション:
    - rule: トラフィックを許可または拒否したルールの名前。暗号化のために拒否されたトラフィックの場合、この値は unspecified です。
    - flowTuples: コンマ区切り形式のフローの組に対する複数のプロパティを含む文字列。
      - Time Stamp: フローが発生した際のタイムスタンプ (UNIX エポック形式 )。
      - Source IP: 送信元 IP アドレス。
      - Destination IP: 宛先 IP アドレス。
      - Source port: 送信元ポート。
      - Destination port: 宛先ポート。
      - Protocol: IANA 割り当て値で表されるフローのレイヤー 4 プロトコル。
      - Flow direction: トラフィックの方向。有効な値は受信の I と送信の O です。
      - Flow state: フローの状態。次の状態があります。
        
        B: 開始。フローが作成された時点。統計は提供されません。
        
        C: 継続中。フローが進行中。統計が 5 分間隔で提供されます。
        
        E: 終了。フローが終了した時点。統計が提供されます。
        
        D: フローが拒否された場合 (Deny)。
      - Flow encryption: フローの暗号化の状態。このリストの後の表で、使用可能な値について説明されています。
      - Packets sent: 最後の更新以降に送信元から宛先に送信されたパケット数の合計。
      - Bytes sent: 最後の更新以降に送信元から宛先に送信されたパケットのバイト数の合計。パケットのバイト数には、パケットヘッダーとペイロードが含まれます。
      - Packets received: 最後の更新以降に宛先から送信元に送信されたパケット数の合計。
      - Bytes received: 最後の更新以降に宛先から送信元に送信されたパケットのバイト数の合計。パケットのバイト数には、パケットヘッダーとペイロードが含まれます。

Flow encryption には、次の暗号化状態があり得ます。

暗号化の状態	説明
`X`	接続は暗号化されています。暗号化が構成され、プラットフォームによって接続が暗号化されています。
`NX`	接続は暗号化されていません。このイベントは、次の 2 つのシナリオでログされます。 - 暗号化が構成されていない場合。 - 暗号化された仮想マシンが、暗号化がないエンドポイント (インターネットエンドポイントなど) と通信する場合。
`NX_HW_NOT_SUPPORTED`	ハードウェアはサポートされていません。暗号化は構成されていますが、暗号化をサポートしていないホストで仮想マシンが実行されています。通常、この問題は、フィールドプログラマブルゲートアレイ (FPGA) がホストに接続されていないか、障害が発生しているため、発生します。調査のため、この問題を Microsoft に報告してください。
`NX_SW_NOT_READY`	ソフトウェアの準備ができていません。暗号化は構成されていますが、ホストネットワークスタック内のソフトウェアコンポーネント (GFT) が、暗号化された接続を処理する準備ができていません。この問題は、仮想マシンが初めて起動するとき、再起動中、または再デプロイされるときに発生する可能性があります。また、仮想マシンが実行されているホスト上のネットワークコンポーネントが更新される場合にも発生する可能性があります。これらすべてのシナリオで、パケットが破棄されます。問題は一時的なものです。仮想マシンが完全に起動して稼働するか、ホスト上のソフトウェア更新プログラムが完了すると、暗号化が機能し始めます。問題が長期間続く場合は、調査のために Microsoft に報告してください。
`NX_NOT_ACCEPTED`	暗号化されていないために削除。暗号化は送信元と宛先のエンドポイントの両方で構成されており、非暗号化を削除するポリシーが設定されています。トラフィックの暗号化に失敗した場合、パケットは破棄されます。
`NX_NOT_SUPPORTED`	検出はサポートされていません。暗号化は構成されていますが、ホストネットワークスタックで検出がサポートされていないため、暗号化セッションは確立されませんでした。この場合、パケットは削除されます。この問題が発生した場合は、調査のために Microsoft に報告してください。
`NX_LOCAL_DST`	宛先は同じホスト上にあります。暗号化は構成されていますが、送信元と宛先の仮想マシンは同じ Azure ホスト上で実行されています。この場合、接続は仕様上暗号化されません。
`NX_FALLBACK`	暗号化なしにフォールバックします。送信元と宛先のエンドポイントの両方で、非暗号化を許可するポリシーを使用して暗号化が構成されています。暗号化が試みられましたが、問題が発生しました。この場合、接続は許可されますが、暗号化されません。たとえば、仮想マシンが当初は暗号化をサポートするノードで稼動していたが、後でこのサポートが削除された場合などです。

仮想ネットワーク内のトラフィックは、既定では暗号化されていません (NX)。暗号化されたトラフィックの場合は、「仮想ネットワーク暗号化」を参照してください。

サンプルログレコード

次の仮想ネットワークフローログの例では、前に説明したプロパティリストの後に複数のレコードが続きます。

{
    "records": [
        {
            "time": "2022-09-14T09:00:52.5625085Z",
            "flowLogVersion": 4,
            "flowLogGUID": "abcdef01-2345-6789-0abc-def012345678",
            "macAddress": "00224871C205",
            "category": "FlowLogFlowEvent",
            "flowLogResourceID": "/SUBSCRIPTIONS/00000000-0000-0000-0000-000000000000/RESOURCEGROUPS/NETWORKWATCHERRG/PROVIDERS/MICROSOFT.NETWORK/NETWORKWATCHERS/NETWORKWATCHER_EASTUS2EUAP/FLOWLOGS/VNETFLOWLOG",
            "targetResourceID": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myResourceGroup/providers/Microsoft.Network/virtualNetworks/myVNet",
            "operationName": "FlowLogFlowEvent",
            "flowRecords": {
                "flows": [
                    {
                        "aclID": "00000000-1234-abcd-ef00-c1c2c3c4c5c6",
                        "flowGroups": [
                            {
                                "rule": "DefaultRule_AllowInternetOutBound",
                                "flowTuples": [
                                    "1663146003599,10.0.0.6,52.239.184.180,23956,443,6,O,B,NX,0,0,0,0",
                                    "1663146003606,10.0.0.6,52.239.184.180,23956,443,6,O,E,NX,3,767,2,1580",
                                    "1663146003637,10.0.0.6,40.74.146.17,22730,443,6,O,B,NX,0,0,0,0",
                                    "1663146003640,10.0.0.6,40.74.146.17,22730,443,6,O,E,NX,3,705,4,4569",
                                    "1663146004251,10.0.0.6,40.74.146.17,22732,443,6,O,B,NX,0,0,0,0",
                                    "1663146004251,10.0.0.6,40.74.146.17,22732,443,6,O,E,NX,3,705,4,4569",
                                    "1663146004622,10.0.0.6,40.74.146.17,22734,443,6,O,B,NX,0,0,0,0",
                                    "1663146004622,10.0.0.6,40.74.146.17,22734,443,6,O,E,NX,2,134,1,108",
                                    "1663146017343,10.0.0.6,104.16.218.84,36776,443,6,O,B,NX,0,0,0,0",
                                    "1663146022793,10.0.0.6,104.16.218.84,36776,443,6,O,E,NX,22,2217,33,32466"
                                ]
                            }
                        ]
                    },
                    {
                        "aclID": "01020304-abcd-ef00-1234-102030405060",
                        "flowGroups": [
                            {
                                "rule": "BlockHighRiskTCPPortsFromInternet",
                                "flowTuples": [
                                    "1663145998065,101.33.218.153,10.0.0.6,55188,22,6,I,D,NX,0,0,0,0",
                                    "1663146005503,192.241.200.164,10.0.0.6,35276,119,6,I,D,NX,0,0,0,0"
                                ]
                            },
                            {
                                "rule": "Internet",
                                "flowTuples": [
                                    "1663145989563,20.106.221.10,10.0.0.6,50557,44357,6,I,D,NX,0,0,0,0",
                                    "1663145989679,20.55.117.81,10.0.0.6,62797,35945,6,I,D,NX,0,0,0,0",
                                    "1663145989709,20.55.113.5,10.0.0.6,51961,65515,6,I,D,NX,0,0,0,0",
                                    "1663145990049,13.65.224.51,10.0.0.6,40497,40129,6,I,D,NX,0,0,0,0",
                                    "1663145990145,20.55.117.81,10.0.0.6,62797,30472,6,I,D,NX,0,0,0,0",
                                    "1663145990175,20.55.113.5,10.0.0.6,51961,28184,6,I,D,NX,0,0,0,0",
                                    "1663146015545,20.106.221.10,10.0.0.6,50557,31244,6,I,D,NX,0,0,0,0"
                                ]
                            }
                        ]
                    }
                ]
            }
        }
    ]
}

ログの組と帯域幅の計算

185.170.185.105:35370 と 10.2.0.4:23 の間の TCP 通信のフローのタプルの帯域幅計算の例を次に示します。

1493763938,185.170.185.105,10.2.0.4,35370,23,6,I,B,NX,,,, 1493695838,185.170.185.105,10.2.0.4,35370,23,6,I,C,NX,1021,588096,8005,4610880 1493696138,185.170.185.105,10.2.0.4,35370,23,6,I,E,NX,52,29952,47,27072

継続 (C) と終了 (E) のフロー状態では、バイト数とパケット数は、前のフローの組のレコードの時点から集計した数です。この通信の例では、転送されたパケットの合計は 1,021 + 52 + 8,005 + 47 = 9,125 です。転送された合計バイト数は 588,096 + 29,952 + 4,610,880 + 27,072 = 5,256,000 です。

仮想ネットワークフローログのストレージアカウントに関する考慮事項

場所: ストレージアカウントは、仮想ネットワークと同じリージョンに存在する必要があります。
サブスクリプション: ストレージアカウントは、仮想ネットワークと同じサブスクリプション内または仮想ネットワークのサブスクリプションと同じ Microsoft Entra テナントに関連付けられているサブスクリプション内にある必要があります。
パフォーマンスレベル: ストレージアカウントは Standard である必要があります。 Premium ストレージアカウントはサポートされていません。
自己管理型のキーのローテーション: ストレージアカウントへのアクセスキーを変更/ローテーションすると、仮想ネットワークフローログの動作が停止します。この問題を修正するには、仮想ネットワークフローログを無効にしてからもう一度有効にする必要があります。

価格

仮想ネットワークフローログは、収集されるネットワークフローログ (ギガバイト単位) ごとに課金され、1 つのサブスクリプションにつき 1 か月あたり 5 GB までは無料になります。

Note

仮想ネットワークフローログは、2024 年 6 月 1 日から課金されます。
仮想ネットワークフローログでトラフィック分析が有効である場合、トラフィック分析の価格はギガバイト単位の処理レートで適用されます。トラフィック分析は、無料では提供されません。詳細については、「Network Watcher の価格」を参照してください。
ログのストレージは個別に課金されます。詳細については、「Azure Blob Storage の価格」を参照してください。

可用性

仮想ネットワークフローログは、すべての Azure パブリックリージョンで一般提供されています。

仮想ネットワークフローログを作成、変更、有効化、無効化、または削除する方法については、Azure portal、PowerShell、または Azure CLI のガイドを参照してください。
トラフィック分析の詳細については、「Traffic Analytics の概要」と「Azure Network Watcher トラフィック分析のスキーマとデータの集計」を参照してください。
Azure 組み込みポリシーを使用してトラフィック分析を監査または有効にする方法については、「Azure Policy を使用してトラフィック分析を管理する」を参照してください。

仮想ネットワーク フロー ログ

フロー ログを使用する理由

一般的なユース ケース

ネットワーク監視

使用状況の監視と最適化

コンプライアンス

ネットワーク フォレンジクスとセキュリティ分析

仮想ネットワーク フロー ログとネットワーク セキュリティ グループ フロー ログの比較