Surveillance et journalisation du pare-feu d’applications web Azure

Article
06/17/2024

Azure Web Application Firewall sur Azure Front Door fournit une journalisation et une télémétrie complètes pour vous aider à comprendre les performances de votre pare-feu d’application web (WAF) et les actions qu’il entreprend.

Le journal WAF Azure Front Door est intégré à Azure Monitor. Azure Monitor vous permet de suivre les informations de diagnostic, notamment les alertes et journaux WAF. Vous pouvez configurer l’analyse WAF dans la ressource Azure Front Door du portail Azure sous l’onglet Diagnostics, via des approches d’infrastructure en tant que code, ou en utilisant directement Azure Monitor.

Mesures

Azure Front Door enregistre automatiquement des métriques pour vous aider à comprendre le comportement de votre WAF.

Pour accéder aux métriques de votre WAF :

Connectez-vous au portail Azure et accédez à votre profil Azure Front Door.
Dans le volet le plus à gauche, sous Analyse, sélectionnez l’onglet Métriques.
Ajoutez la métrique Nombre de requêtes Web Application Firewall pour suivre le nombre de requêtes qui correspondent aux règles WAF.

Vous pouvez créer des filtres personnalisés en fonction des types d’action et des noms de règle. Les métriques incluent les requêtes avec toutes les actions, sauf le Log.

Capture d’écran présentant les métriques d’un WAF Azure Front Door.

Métriques de défi JavaScript (préversion)

Pour accéder à vos métriques WAF de défi JavaScript :

Ajoutez le pare-feu d’applications web JS Challenge Request Count métrique pour suivre le nombre de requêtes qui correspondent aux règles WAF de défi JavaScript.

Les filtres suivants sont fournis dans le cadre de cette métrique :

PolicyName : il s’agit du nom de la stratégie WAF
Rule : il peut s’agir d’une règle personnalisée ou d’une règle de bot
Action : il existe quatre valeurs possibles pour l’action du défi JS
- Issued : le défi JS est appelé la première fois
- Passed : le calcul du défi JS a réussi et une réponse a été reçue
- Valid : le cookie de validité du défi JS était présent
- Blocked : échec du calcul du défi JS

Capture d’écran montrant les métriques de défi JavaScript.

Journaux et diagnostics

Le WAF Azure Front Door fournit des rapports détaillés sur chaque requête et chaque menace qu’il détecte. La journalisation est intégrée aux journaux et alertes de diagnostic Azure à l’aide des journaux Azure Monitor.

Les journaux ne sont pas activés par défaut. Vous devez activer explicitement les journaux d’activité. Vous pouvez configurer les journaux dans le Portail Azure à l’aide de l’onglet Paramètres de diagnostic.

Si la journalisation est activée et qu’une règle WAF est déclenchée, tous les modèles correspondants sont enregistrés en texte brut pour vous aider à analyser et à déboguer le comportement de la stratégie WAF. Vous pouvez utiliser des exclusions pour affiner les règles et exclure toutes les données que vous souhaitez exclure des journaux. Pour plus d’informations, consultez Listes d'exclusions du pare-feu d’applications web dans Azure Front Door.

Vous pouvez activer trois types de journaux Azure Front Door :

Journaux WAF
Accéder aux journaux
Journaux de sonde d’intégrité

Les journaux d’activité sont activés par défaut et fournissent une visibilité sur les opérations effectuées sur vos ressources Azure, comme les modifications de configuration apportées à votre profil Azure Front Door.

Journaux WAF

Le journal FrontDoorWebApplicationFirewallLog inclut les requêtes qui correspondent à une règle WAF.

Le journal FrontdoorWebApplicationFirewallLog inclut toutes les requêtes qui correspondent à une règle WAF.

Le tableau suivant présente les valeurs consignées pour chaque requête.

Propriété	Description
Action	Action effectuée sur la requête. Les journaux incluent des demandes avec toutes les actions. Les actions sont les suivantes : `Allow` et `allow` : la demande a été autorisée à poursuivre le traitement. `Block` et `block` : la requête correspond à une règle WAF configurée pour bloquer la requête. Sinon, le seuil d’anomalie de scoring a été atteint et la demande a été bloquée. `Log` et `log` : la requête correspond à une règle WAF configurée pour utiliser l’action `Log`. `AnomalyScoring` et `logandscore` : La requête correspond à une règle WAF. La règle contribue au score d’anomalie. La demande peut être bloquée ou non en fonction d’autres règles qui s’exécutent sur la même requête. `JS Challenge` et `JSChallengeIssued` : émis en raison d’une autorisation de défi manquante/non valide, réponse manquante. Le journal est créé lorsqu’un client demande l’accès à une application web pour la première fois et n’a pas été défié précédemment. Ce client reçoit la page du défi JS et procède au calcul du défi JS. Une fois le calcul réussi, le client reçoit le cookie de validité. `JS Challenge` et `JSChallengePass` : validé en raison d’une réponse au défi valide. Ce journal est créé lorsqu’un client résout le défi JS et renvoie la requête avec la réponse correcte. Dans ce cas, Azure WAF valide le cookie et procède au traitement des règles restantes sans générer un autre défi JS. `JS Challenge` et `JSChallengeValid` : journalisé/passé en raison d’un défi valide. Ce journal est créé lorsqu’un client a déjà résolu un défi. Dans ce cas, Azure WAF enregistre la requête et procède au traitement des règles restantes. `JS Challenge` et `JSChallengeBlock` : bloqué Ce journal est créé lorsqu’un calcul de défi JS échoue.
ClientIP	Adresse IP du client à l’origine de la demande. S’il existait un en-tête `X-Forwarded-For` dans la requête, l’adresse IP du client est plutôt reprise dans ce champ d’en-tête.
ClientPort	Adresse IP du port du client qui a effectué la requête.
Détails	Plus de détails sur la requête, notamment les menaces qui ont été détectées. `matchVariableName` : Nom du paramètre HTTP de la requête correspondant, par exemple, noms d’en-tête (100 caractères maximum). `matchVariableValue` : Valeurs qui ont déclenché la correspondance (jusqu’à 100 caractères maximum).
Host	En-tête `Host` de la requête.
Policy	Nom de la stratégie WAF correspondant à la requête.
PolicyMode	Mode d’opération de la stratégie WAF. Les valeurs possibles sont `Prevention` et `Detection`.
RequestUri	URI complet de la requête.
RuleName	Nom de la règle WAF correspondant à la requête.
SocketIP	Adresse IP source vue par WAF. Cette adresse IP est basée sur la session TCP et ne prend pas en compte les en-têtes de requête.
TrackingReference	Chaîne de référence unique qui identifie une requête prise en charge par Azure Front Door. Cette valeur est envoyée au client dans l’en-tête de réponse `X-Azure-Ref`. Utilisez ce champ lorsque vous recherchez une requête spécifique dans le journal.

L’exemple de requête suivant présente les requêtes que le WAF Azure Front Door a bloquées :

AzureDiagnostics 
| where ResourceProvider == "MICROSOFT.CDN" and Category == "FrontDoorWebApplicationFirewallLog" 
| where action_s == "Block"

AzureDiagnostics
| where ResourceType == "FRONTDOORS" and Category == "FrontdoorWebApplicationFirewallLog"
| where action_s == "Block"

L’extrait de code suivant présente un exemple d’entrée de journal, notamment la raison pour laquelle la requête a été bloquée :

{
  "time": "2020-06-09T22:32:17.8376810Z",
  "category": "FrontdoorWebApplicationFirewallLog",
  "operationName": "Microsoft.Cdn/Profiles/Write",
  "properties": {
    "clientIP": "xxx.xxx.xxx.xxx",
    "clientPort": "52097",
    "socketIP": "xxx.xxx.xxx.xxx",
    "requestUri": "https://wafdemofrontdoorwebapp.azurefd.net:443/?q=%27%20or%201=1",
    "ruleName": "Microsoft_DefaultRuleSet-1.1-SQLI-942100",
    "policy": "WafDemoCustomPolicy",
    "action": "Block",
    "host": "wafdemofrontdoorwebapp.azurefd.net",
    "trackingReference": "08Q3gXgAAAAAe0s71BET/QYwmqtpHO7uAU0pDRURHRTA1MDgANjMxNTAwZDAtOTRiNS00YzIwLTljY2YtNjFhNzMyOWQyYTgy",
    "policyMode": "prevention",
    "details": {
      "matches": [
        {
          "matchVariableName": "QueryParamValue:q",
          "matchVariableValue": "' or 1=1"
        }
      ]
    }
  }
}

{
  "time": "2020-06-09T22:32:17.8376810Z",
  "category": "FrontdoorWebApplicationFirewallLog",
  "operationName": "Microsoft.Network/FrontDoorWebApplicationFirewallLog/Write",
  "properties": {
    "clientIP": "xxx.xxx.xxx.xxx",
    "clientPort": "52097",
    "socketIP": "xxx.xxx.xxx.xxx",
    "requestUri": "https://wafdemofrontdoorwebapp.azurefd.net:443/?q=%27%20or%201=1",
    "ruleName": "Microsoft_DefaultRuleSet-1.1-SQLI-942100",
    "policy": "WafDemoCustomPolicy",
    "action": "Block",
    "host": "wafdemofrontdoorwebapp.azurefd.net",
    "trackingReference": "08Q3gXgAAAAAe0s71BET/QYwmqtpHO7uAU0pDRURHRTA1MDgANjMxNTAwZDAtOTRiNS00YzIwLTljY2YtNjFhNzMyOWQyYTgy",
    "policyMode": "prevention",
    "details": {
      "matches": [
        {
          "matchVariableName": "QueryParamValue:q",
          "matchVariableValue": "' or 1=1"
        }
      ]
    }
  }
}

Pour plus d’informations sur les autres journaux Azure Front Door, consultez Superviser les métriques et les journaux dans Azure Front Door.

Étapes suivantes

En savoir plus sur Azure Front Door.

Partager via