Azure Firewall ブックの使用

[アーティクル]
12/09/2023

Azure Firewall ブックにより、Azure Firewall のデータ分析のための柔軟なキャンバスが提供されます。これを使用して、Azure portal 内で高度な視覚的レポートを作成できます。 Azure 全体でデプロイされる複数のファイアウォールを活用し、それらを結合して、統合された対話型エクスペリエンスにすることができます。

Azure Firewall のイベントの分析情報を得たり、アプリケーションやネットワークの規則について調べたり、URL、ポート、アドレスでのファイアウォールアクティビティの統計を確認したりできます。 Azure Firewall ブックを使用すると、ファイアウォールとリソースグループをフィルター処理したり、ログ内の問題を調査するときにデータセットが見やすくなるように、カテゴリごとに動的にフィルター処理したりできます。

前提条件

開始する前に、Azure portal を使用して Azure Structured Firewall ログを有効にします。

重要

以降のすべてのセクションは、ファイアウォール構造化ログに対してのみ有効です。

レガシログを使用する場合は、Azure portal を使用して診断ログを有効にすることができます。次に、GitHub Workbook for Azure Firewall に移動し、ページの指示に従います。

また、「Azure Firewall のログとメトリック」を参照して、Azure Firewall で入手できる診断ログとメトリックの概要を確認してください。

はじめに

Firewall 構造化ログを設定したら、次の手順に従って、Azure Firewall 埋め込みブックを使用するように設定されます。

ポータルで、Azure Firewall リソースに移動します。
[監視] で [ブック] を選択します。
ギャラリーでは、次に示すように、新しいブックを作成したり、既存の Azure Firewall ブックを使用したりすることができます。
次に示すように、ログ分析ワークスペースと、このブックで使用する 1 つ以上のファイアウォール名を選択します。

ブックのセクション

Azure Firewall ブックには 7 つのタブがあり、それぞれがサービスの個別の側面に対応しています。以降のセクションでは、各タブについて説明します。

概要

[概要] タブには、さまざまなログカテゴリから集計されたすべての種類のファイアウォールイベントに関連するグラフと統計情報が表示されます。これには、ネットワークルール、アプリケーションルール、DNS、侵入検出および防止システム (IDPS)、脅威インテリジェンスなどが含まれます。 [概要] タブで使用できるウィジェットは次のとおりです。

時間別のイベント: 時間の経過に伴うイベントの頻度を表示します。
時間の経過に伴うファイアウォール別のイベント: 時間の経過に伴うファイアウォール間のイベント分散を示します。
カテゴリ別のイベント: イベントを分類してカウントします。
時間別のイベントカテゴリ: 時間の経過に伴うイベントカテゴリが表示されます。
ファイアウォールトラフィックの平均スループット: ファイアウォールを通過する平均データを示します。
SNAT ポート使用率: SNAT ポートの使用状況を表示します。
ネットワークルールヒット数 (SUM): ネットワークルールトリガーをカウントします。
アプリケーションルールヒット数 (SUM): アプリケーションルールトリガーをカウントします。

Azure Firewall Workbook overview

アプリケーションルール

[アプリケーションルール] タブには、Azure Firewall ポリシーの特定のアプリケーションルールと関連付けられたレイヤー 7 関連のイベントの統計情報が表示されます。 [アプリケーションルール] タブでは、次のウィジェットを使用できます。

アプリケーションルールの使用状況: アプリケーションルールの使用状況を示します。
拒否された FQDN の超過時間: 拒否された完全修飾 Doメイン名前 (FQDN) が時間の経過と同時に表示されます。
拒否された FQDN の数: 拒否された FQDN をカウントします。
許可された FQDN の超過時間: 許可された FQDN が時間の経過と同時に表示されます。
許可された FQDN の数: 許可された FQDN をカウントします。
許可された Web カテゴリの超過時間: 許可されている Web カテゴリが時間の経過と同時に表示されます。
許可された Web カテゴリの数: 許可された Web カテゴリをカウントします。
拒否された Web カテゴリの超過時間: 拒否された Web カテゴリを時間の経過と同時に表示します。
拒否された Web カテゴリの数: 拒否された Web カテゴリをカウントします。

ネットワークルール

[ネットワークルール] タブには、Azure Firewall ポリシーの特定のネットワークルールと関連付けられたレイヤー 4 関連のイベントの統計情報が表示されます。 [ネットワークルール] タブでは、次のウィジェットを使用できます。

ルールアクション: ルールによって実行されたアクションを表示します。
ターゲットポート: ネットワークトラフィック内のターゲットポートを表示します。
DNAT アクション: 宛先ネットワークアドレス変換 (DNAT) のアクションを表示します。
GeoLocation: ネットワークトラフィックに関係する地理的な場所を表示します。
ルールアクション (IP アドレス別): IP アドレス別に分類されたルールアクションが表示されます。
ソース IP 別のターゲットポート: ソース IP アドレス別に分類されたターゲットポートが表示されます。
時間の経過に伴う DNAT: 時間の経過に伴う DNAT アクションを表示します。
時間の経過に伴う位置情報: ネットワーク トラフィックに関連する地理的な場所が時間の経過と同時に表示されます。
アクション (時間別): ネットワーク アクションを時間の経過と同時に表示します。
GeoLocation を使用するすべての IP アドレスイベント: IP アドレスに関連するすべてのイベントを地理的な場所別に分類して表示します。

DNS プロキシ

このタブは、DNS プロキシとして機能するように Azure Firewall を設定し、クライアント仮想マシンから DNS サーバーへの DNS 要求の仲介役として機能する場合に関連します。 [DNS プロキシ] タブには、使用できるさまざまなウィジェットが含まれています。

ファイアウォールあたりの DNS プロキシトラフィック数: 各ファイアウォールの DNS プロキシトラフィック数を表示します。
DNS プロキシの要求名別のカウント: 要求名で DNS プロキシ要求をカウントします。
クライアント IP 別の DNS プロキシ要求数: クライアント IP アドレス別に DNS プロキシ要求をカウントします。
クライアント IP による DNS プロキシ要求: クライアント IP 別に分類された DNS プロキシ要求を時間の経過と同時に表示します。
DNS プロキシ情報: DNS プロキシの設定に関連するログ情報を提供します。

侵入検知および防止システム (IDPS)

[IDPS ログ統計] タブには、悪意のあるトラフィックイベントと、サービスによって実行される予防措置の概要が表示されます。 [IDPS] タブには、使用できるさまざまなウィジェットがあります。

IDPS アクション数: IDPS アクションをカウントします。
IDPS プロトコル数: IDPS によって検出されたプロトコルをカウントします。
IDPS SignatureID Count: 署名 ID で IDPS 検出をカウントします。
IDPS SourceIP Count: ソース IP アドレス別に IDPS 検出をカウントします。
フィルター処理された IDPS アクション数: フィルター処理された IDPS アクションをカウントします。
フィルター処理された IDPS プロトコル数: フィルター処理された IDPS プロトコルをカウントします。
フィルター処理された IDPS SignatureIDs by Count: シグネチャ ID でフィルター処理された IDPS 検出をカウントします。
フィルター処理された SourceIP: IDPS によって検出されたフィルター処理されたソース IP を表示します。
Azure Firewall IDPS の時間経過に伴うカウント: Azure Firewall IDPS の時間経過に伴うカウントが表示されます。
GeoLocation を使用した Azure Firewall IDPS ログ: 地理的な場所別に分類された Azure Firewall IDPS ログを提供します。

脅威インテリジェンス (TI)

このタブでは、脅威インテリジェンスアクティビティに関する完全な視点を提供し、最も一般的な脅威、アクション、プロトコルにスポットライトを当てます。これらの脅威に関連付けられている完全修飾 Doメイン名 (FQDN) と IP アドレスの上位 5 つを示し、時間の経過と共に脅威インテリジェンスの検出を示します。さらに、包括的な分析のために、Azure Firewall の脅威インテリジェンスからの詳細なログが提供されます。 [脅威インテリジェンス] タブには、使用できるさまざまなウィジェットがあります。

脅威 Intel Actions Count: 脅威インテリジェンスによって検出されたアクションをカウントします。
脅威 Intel プロトコル数: 脅威インテリジェンスによって識別されるプロトコルをカウントします。
上位 5 つの FQDN 数: 最も頻繁に使用される完全修飾 Doメイン名 (FQDN) の上位 5 つを表示します。
上位 5 つの IP 数: 最も頻繁に使用される上位 5 つの IP アドレスが表示されます。
Azure Firewall Threat Intel Over Time: 時間の経過に伴う Azure Firewall 脅威インテリジェンス検出が表示されます。
Azure Firewall Threat Intel: Azure Firewall の脅威インテリジェンスからのログを提供します。

調査

調査セクションでは、探索とトラブルシューティングが可能になり、トラフィックの開始または終了に関連付けられている仮想マシン名やネットワークインターフェイス名などの追加の詳細が提供されます。また、ソース IP アドレス、アクセスしようとしている完全修飾 Doメイン名前 (FQDN) と、トラフィックの地理的な場所ビューの間に相関関係が確立されます。 [調査] タブで使用できるウィジェット:

FQDN トラフィック数: 完全修飾 Doメイン名 (FQDN) ごとにトラフィックをカウントします。
送信元 IP アドレス数: 送信元 IP アドレスの出現回数をカウントします。
ソース IP アドレスリソース参照: ソース IP アドレスに関連付けられているリソースを検索します。
FQDN 参照ログ: FQDN 参照からのログを提供します。
地理的な場所を使用した Azure Firewall プレミアム - IDPS: Azure Firewall の侵入検出および防止システム (IDPS) - 検出を地理的な場所別に分類して表示します。

次のステップ

Azure Firewall の診断の詳細をご覧ください。