Использование Log Analytics для проверки журналов брандмауэра Шлюз приложений Azure

Сводка

Используйте Log Analytics для изучения журналов брандмауэра Шлюз приложений Azure и понимания того, что Брандмауэр веб-приложений Azure (WAF) оценивает, соответствует и блокирует. Анализ этих журналов помогает определить шаблоны трафика и события безопасности. Дополнительные сведения о запросах журнала см. в разделе «Обзор запросов журналов в Azure Monitor».

В этой статье вы узнаете о журналах WAF. Вы можете настроить другие журналы Шлюза приложений аналогичным образом.

Предпосылки

Убедитесь, что у вас есть следующие предварительные требования:

• Учетная запись Azure с активной подпиской. Если у вас еще нет учетной записи, вы можете создать учетную запись бесплатно.
• SKU WAF для Шлюза приложений Дополнительные сведения см. в разделе Брандмауэр веб-приложений Azure на Шлюз приложений Azure.
• Рабочая область Log Analytics. Дополнительные сведения о создании рабочей области Log Analytics см. в разделе Создание рабочей области Log Analytics на портале Azure.

Отправка журналов брандмауэра в Log Analytics

Сведения о экспорте журналов брандмауэра в Log Analytics см. в разделе Diagnostic logs for Application Gateway. Если у вас есть журналы брандмауэра в рабочей области Log Analytics, вы можете просматривать данные, записывать запросы, создавать визуализации и добавлять их на панель мониторинга портала.

Изучение данных журнала брандмауэра с примерами запросов

Используйте таблицу AzureDiagnostics для просмотра необработанных данных в журнале брандмауэра, выполнив следующий запрос:

AzureDiagnostics 
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| limit 10

Этот запрос выглядит примерно так:

Используйте таблицу для конкретного ресурса , чтобы просмотреть необработанные данные в журнале брандмауэра, выполнив следующий запрос.

AGWFirewallLogs
| limit 10

Дополнительные сведения о таблицах, относящихся к ресурсам, см. в справочнике по данным мониторинга.

Отсюда вы можете углубиться в данные, строить графики или создавать визуализации. В следующих примерах показаны AzureDiagnostics запросы, которые можно использовать.

Сопоставленные или заблокированные запросы по IP-адресу

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize count() by clientIp_s, bin(TimeGenerated, 1m)
| render timechart

Соответствующие или заблокированные запросы по URI

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize count() by requestUri_s, bin(TimeGenerated, 1m)
| render timechart

Топ сопоставленных правил

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize count() by ruleId_s, bin(TimeGenerated, 1m)
| where count_ > 10
| render timechart

Пять основных сопоставленных групп правил

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize Count=count() by details_file_s, action_s
| top 5 by Count desc
| render piechart

Добавление запросов журнала брандмауэра на панель мониторинга

После создания запроса добавьте его на панель мониторинга. Выберите "Закрепить на панели мониторинга" в рабочей области Log Analytics. Если закрепить предыдущие четыре запроса на пример панели мониторинга, вы увидите примерно такую иллюстрацию.

Ссылки

Работоспособность серверной части, журналы диагностики и метрики для шлюза приложений