연습 - 로그 데이터에서 정보를 추출하는 기본 Azure Monitor 로그 쿼리 만들기

  • 12분

현재 운영 팀에는 문제를 효과적으로 진단하고 해결할 만한 시스템 동작에 대한 충분한 정보가 없습니다. 이 문제를 해결하기 위해 팀은 회사의 Azure 서비스를 사용하여 Azure Monitor 작업 영역을 구성했습니다. Kusto 쿼리를 실행하여 시스템의 상태를 받아 발생할 수 있는 문제의 원인을 파악하려고 합니다.

특히 팀은 보안 이벤트를 모니터링하여 시스템에 대한 중단 시도를 확인하는 데 관심이 있습니다. 공격자가 시스템에서 실행되는 애플리케이션을 조작하려고 시도할 수 있으므로 팀은 추가 분석을 위해 애플리케이션 데이터를 수집하길 원할 수도 있습니다. 또한 공격자가 시스템을 구성하는 컴퓨터를 중지하려고 시도할 수 있으므로 팀에서는 머신을 중지 및 다시 시작되는 방법과 시기도 조사하려고 합니다.

이 연습에서는 샘플 데이터가 테이블, 로그 및 쿼리에 포함되어 있는 데모 프로젝트에 대해 Azure 로그 쿼리를 수행하는 방법을 연습합니다.

로그 데이터에서 정보를 추출하는 기본 Azure Monitor 로그 쿼리 만들기

Azure 데모 로그 창을 사용하여 쿼리를 작성하는 방법을 연습해 보겠습니다. 데모 프로젝트 작업 영역에는 샘플 데이터가 미리 채워져 있습니다. Azure는 데이터를 KQL(Kusto Query Language)이라는 언어로 시각화하는 옵션을 사용하여 최적화된 SQL 같은 쿼리를 제공합니다.

  1. 로그 데모 환경을 엽니다. 왼쪽 상단의 새 쿼리 1에 아래에 작업 영역 또는 쿼리 범위를 나타내는 데모가 표시됩니다. 이 창의 왼쪽에는 몇 가지 탭(테이블, 쿼리 및 함수)이 있습니다. 오른쪽에는 쿼리를 만들거나 편집하는 스크래치패드가 있습니다.

  2. 새 쿼리 1 탭에서 스크래치패드의 첫 줄에 기본 쿼리를 입력합니다. 이 쿼리는 가장 최근의 보안 이벤트 10개에 대한 세부 정보를 찾아옵니다.

    SecurityEvent
    | take 10

  3. 명령 모음에서 실행을 선택하여 쿼리를 실행하고 결과를 확인합니다. 결과 창에서 각 행을 확장하여 자세한 내용을 확인할 수 있습니다.

  4. 쿼리에 필터를 추가하여 데이터를 시간 기준으로 정렬합니다.

    SecurityEvent
    | top 10 by TimeGenerated

  5. 필터 절 및 시간 범위를 추가합니다. 이 쿼리를 실행하여 30분을 초과하고 수준이 10 이상인 레코드를 가져옵니다.

    SecurityEvent
    | where TimeGenerated < ago(30m)
    | where toint(Level) >= 10

  6. 다음 쿼리를 실행하여 AppEvents 테이블에서 지난 24시간 동안의 Clicked Schedule Button 이벤트 로그의 레코드를 검색합니다.

    AppEvents 
    | where TimeGenerated > ago(24h)
    | where Name == "Clicked Schedule Button"

  7. 다음 쿼리를 실행하여 지난 3주 동안 각 주마다 하트비트 이벤트를 만든 여러 컴퓨터의 수를 표시합니다. 결과가 막대형 차트로 표시됩니다.

    Heartbeat
    | where TimeGenerated >= startofweek(ago(21d))
    | summarize dcount(Computer) by endofweek(TimeGenerated) | render barchart kind=default

미리 정의된 Azure 로그 쿼리를 사용하여 로그 데이터에서 정보 추출

운영 팀은 쿼리를 처음부터 작성하는 것 외에도 Azure 로그에서 리소스의 상태, 가용성, 사용량, 성능과 관련된 일반적인 질문에 답변하는 미리 정의된 쿼리를 활용할 수 있습니다.

  1. 명령 모음에 있는 시간 범위 매개 변수를 사용하여 사용자 지정 범위를 설정합니다. 월, 연도, 일을 선택하여 1월부터 오늘까지의 시간 범위를 설정합니다. 어떤 쿼리에든 사용자 지정 시간을 설정하여 적용할 수 있습니다.

  2. 도구 모음에서 쿼리를 선택합니다. 쿼리 창이 나타납니다. 왼쪽 메뉴의 드롭다운 목록에서 범주, 쿼리 유형, 리소스 종류, 솔루션 또는 토픽별로 그룹화된 샘플 쿼리 목록을 볼 수 있습니다.

  3. 드롭다운 목록에서 범주를 선택한 다음, IT 및 관리 도구를 선택합니다.

  4. 검색 상자에 모든 컴퓨터에서 업데이트가 누락됨을 입력합니다. 왼쪽 창에서 쿼리를 선택한 다음, 실행을 선택합니다. 쿼리 결과 로그를 작업 영역으로 보내는 가상 머신에서 누락된 Windows 업데이트 목록이 반환되면서 로그 창이 다시 나타납니다.

    참고

    로그 창에서 동일한 쿼리를 실행할 수도 있습니다. 왼쪽 창에서 쿼리를 선택한 다음, 그룹화 기준 드롭다운 목록에서 범주를 선택합니다. 이제 목록을 아래로 스크롤하고 IT 및 관리 도구를 확장하고 컴퓨터 간 고유 누락 업데이트를 두 번 클릭합니다. 실행을 선택하여 쿼리를 실행합니다. 왼쪽 창에서 미리 정의된 쿼리를 선택하면 스크래치패드에 있는 모든 쿼리에 쿼리 코드가 추가됩니다. 쿼리를 열거나 새 쿼리를 추가하여 실행하기 전에 스크래치패드를 지워야 합니다.

  5. 왼쪽 창에서 검색 상자를 선택 취소합니다. 쿼리를 선택한 다음, 그룹화 기준 드롭다운 목록에서 범주를 선택합니다. Azure Monitor를 확장하고, 현재 사용 가능한 컴퓨터를 두 번 클릭합니다. 실행을 선택합니다. 이 쿼리는 마지막 날에 매시간 작업 영역으로 로그를 보내는 고유한 IP 주소 개수가 포함된 시계열 차트를 만듭니다.

  6. 그룹화 기준 드롭다운 목록에서 토픽을 선택하고 아래로 스크롤하여 함수 앱을 확장한 다음 함수 앱 애플리케이션 로그 표시를 두 번 클릭합니다. 실행을 선택합니다. 이 쿼리는 시간별로 정렬된 애플리케이션 로그 목록(최신 로그를 가장 먼저 표시)을 반환합니다.

여기에서 사용된 Kusto 쿼리에서 간편하게 특정 시간 창, 이벤트 수준 또는 이벤트 로그 형식에 대한 쿼리를 대상으로 할 수 있는 방법을 확인할 수 있습니다. 보안 팀에서는 하트비트를 쉽게 검사하여 서버를 사용할 수 없는 시기를 식별할 수 있습니다. 이 경우 서비스 거부 공격이 표시될 수 있습니다. 팀에서 서버를 사용할 수 없는 시간을 발견하면 해당 시간에 대한 보안 로그 이벤트를 쿼리하여 중단이 공격으로 인한 것인지 여부를 진단할 수 있습니다. 또한 미리 정의된 쿼리는 VM 가용성을 평가하고 누락된 Windows 업데이트를 식별하며 방화벽 로그를 검토하여 관심 있는 VM에 대해 거부된 네트워크 흐름을 볼 수 있습니다.