Azure ELK 采集NSG 日志

课程解决什么问题

如果你在Azure云环境中运维应用，网络安全组（NSG）日志散落在不同地方，很难追踪网络流量异常、排查连接问题、或快速定位安全事件。这门课教你用ELK栈（Elasticsearch、Logstash、Kibana）把NSG日志集中采集、存储和可视化，让日志数据真正可用——而不是堆在存储账户里没人看。

具体来说，学完你能独立搭建一套系统，自动从Azure NSG抓取网络流量日志，通过Logstash解析和转换，存入Elasticsearch索引，再用Kibana仪表板实时展示网络事件。这对诊断应用间通信故障、审计入站出站规则、检测异常访问模式特别有用。日志采集和分析不再依赖他人，问题排查从手工查日志降低到几秒钟的仪表板查询。

适合什么基础，从哪里开始学

适合有Azure基础、了解NSG概念、对日志分析有实际需求的运维和开发。如果你还没接触过Azure的网络配置，建议先补一下NSG的基本概念和流日志的启用方式再来。ELK栈如果完全陌生，也不用紧张——课程会从头讲清楚各个组件的角色。

课程分三讲递进。第一讲理解整个采集链路和NSG日志的来源，掌握从Azure存储账户提取日志的基本思路。这一讲是基础，要理清数据从哪里来、什么格式。第二讲深入Logstash的配置，这是关键难点——要理解日志格式解析、字段提取、时间戳处理、数据类型映射这些实操要点。第三讲聚焦Kibana的查询和仪表板设计，学会把采集来的数据组织成有实用价值的可视化图表。三讲依次深入，按顺序学效率最高。

学完能做什么，资料怎么配合练习

学完你能独立完成的产出：在Azure订阅中启用NSG流日志并配置到存储账户，编写Logstash配置文件从存储账户读取并解析JSON日志，建立Elasticsearch索引映射支持高效查询，在Kibana中创建仪表板展示网络流量统计、协议分布、被拒绝连接来源等关键指标。一套可持续监控的网络可观测性系统就此成型。

学习建议不要只看视频，每讲都要跟着在自己的Azure环境中走一遍配置。从小范围开始——先让单个NSG的日志流进来，验证Logstash解析无误，再逐步扩大到多个资源。中间可能踩坑（存储账户权限、Logstash连接超时、字段映射冲突等），但实际问题的解决比纯看视频收获更大。预留一个测试环境和足够的调试时间，不要试图一次性配置大量生产资源。配合动手操作，这套系统的搭建过程会变成一次完整的项目经历。