Grupos de seguridad de red y registros de flujo

Un grupo de seguridad de red (NSG) es un conjunto de reglas con prioridad: se evalúan de menor a mayor número y la primera que coincide decide. Sus registros de flujo anotan, por regla, cada conversación como una 5-tupla (origen, destino, puertos y protocolo) con la dirección (I entrada, O salida) y la decisión (A permitido, D denegado). En la versión 2 añaden un estado (B inicio, C continúa, E termina) y los bytes y paquetes de cada lado.

No guardan el contenido de lo que se dijo. Según la documentación de Microsoft, los registros de flujo de NSG se retiran el 30 de septiembre de 2027 y ya no permiten crear nuevos: se migra a los registros de flujo de redes virtuales, que cubren la misma pregunta.

La tabla reglas_nsg trae las reglas del grupo del panel con su prioridad, dirección, acción, origen y puerto de destino. Un origen Internet significa cualquier dirección pública. El puerto 3389 es el de escritorio remoto, un servicio de administración que casi nunca debe verse desde internet.

Prueba reglas_nsg | where puerto_destino == "3389".

Los flujos que cayeron en una regla se ven en flujos_nsg, columna regla. Entre los flujos permitidos por la regla que abre el puerto hay uno que no viene de la red de la empresa, que es 192.0.2.0/24. Hay que identificar su origen.

Una conversación larga aparece en varias filas: B al empezar, C mientras continúa y E al terminar. Los bytes de las filas C y E son lo transferido desde la fila anterior, de modo que el total de una conversación es la suma de esas filas. Cuenta solo los bytes enviados por el origen, sin los recibidos.

Un flujo permitido de entrada hacia el puerto de escritorio remoto, con bytes en ambos sentidos, significa que la regla dejó pasar la conversación y que hubo intercambio. No dice si alguien llegó a iniciar sesión en la máquina ni con qué cuenta. Eso se ve en los registros del propio equipo y en los de identidad.