Använda Microsoft Sentinel med Azure Web Application Firewall

  • Artikel

Azure Web Application Firewall (WAF) tillsammans med Microsoft Sentinel kan tillhandahålla händelsehantering av säkerhetsinformation för WAF-resurser. Microsoft Sentinel tillhandahåller säkerhetsanalyser med Log Analytics, vilket gör att du enkelt kan dela upp och visa dina WAF-data. Med Microsoft Sentinel kan du komma åt färdiga arbetsböcker och ändra dem så att de passar organisationens behov på bästa sätt. Arbetsboken kan visa analys för WAF på Azure Content Delivery Network (CDN), WAF på Azure Front Door och WAF på Application Gateway i flera prenumerationer och arbetsytor.

WAF-logganalyskategorier

WAF-logganalys är indelat i följande kategorier:

  • Alla WAF-åtgärder som vidtagits
  • De 40 mest blockerade begärande-URI-adresserna
  • De 50 främsta händelseutlösarna,
  • Meddelanden över tid
  • Fullständig meddelandeinformation
  • Attackhändelser efter meddelanden
  • Attackhändelser över tid
  • Spårnings-ID-filter
  • Spårnings-ID-meddelanden
  • Topp 10 attackerande IP-adresser
  • Attackmeddelanden för IP-adresser

WAF-arbetsboksexempel

Följande WAF-arbetsboksexempel visar exempeldata:

WAF-åtgärdsfilter

De 50 främsta händelserna

Attackhändelser

Topp 10 attackerande IP-adresser

Starta en WAF-arbetsbok

WAF-arbetsboken fungerar för alla Azure Front Door-, Application Gateway- och CDN-WAF:er. Innan du ansluter data från dessa resurser måste log analytics vara aktiverat på din resurs.

Om du vill aktivera logganalys för varje resurs går du till din enskilda Azure Front Door-, Application Gateway- eller CDN-resurs:

  1. Välj Diagnostikinställningar.

  2. Väj + Lägg till diagnostikinställning.

  3. På sidan Diagnostikinställning:

    1. Skriv ett namn.
    2. Välj Skicka till Log Analytics.
    3. Välj loggmålarbetsytan.
    4. Välj de loggtyper som du vill analysera:
      1. Application Gateway: "ApplicationGatewayAccessLog" och "ApplicationGatewayFirewallLog"
      2. Azure Front Door Standard/Premium: "FrontDoorAccessLog" och "FrontDoorFirewallLog"
      3. Klassisk Azure Front Door: "FrontdoorAccessLog" och "FrontdoorFirewallLog"
      4. CDN: "AzureCdnAccessLog"
    5. Välj Spara.

    Diagnostikinställning

  4. På Startsidan för Azure skriver du Microsoft Sentinel i sökfältet och väljer Microsoft Sentinel-resursen .

  5. Välj en redan aktiv arbetsyta eller skapa en ny arbetsyta.

  6. I Microsoft Sentinel går du till Innehållshantering och väljer Innehållshubb.

  7. Leta upp och välj azure Web Application Firewall-lösningen.

  8. Välj Installera/uppdatera i verktygsfältet överst på sidan.

  9. I Microsoft Sentinel går du till vänster under Konfiguration och väljer Dataanslutningsprogram.

  10. Sök efter och välj Azure Web Application Firewall (WAF). Välj Sidan Öppna anslutningsapp längst ned till höger.

    Skärmbild av dataanslutningsappen i Microsoft Sentinel.

  11. Följ anvisningarna under Konfiguration för varje WAF-resurs som du vill ha logganalysdata för om du inte har gjort det tidigare.

  12. När du har konfigurerat enskilda WAF-resurser väljer du fliken Nästa steg . Välj en av de rekommenderade arbetsböckerna. Den här arbetsboken använder alla logganalysdata som har aktiverats tidigare. En fungerande WAF-arbetsbok bör nu finnas för dina WAF-resurser.

    WAF-arbetsböcker

Identifiera och svara automatiskt på hot

Med hjälp av Sentinel-inmatade WAF-loggar kan du använda Sentinel-analysregler för att automatiskt identifiera säkerhetsattacker, skapa säkerhetsincidenter och automatiskt svara på säkerhetsincidenter med hjälp av spelböcker. Läs mer Använda spelböcker med automatiseringsregler i Microsoft Sentinel.

Azure WAF levereras också med inbyggda Mallar för Sentinel-identifieringsregler för SQLi-, XSS- och Log4J-attacker. Dessa mallar finns under fliken Analys i avsnittet "Regelmallar" i Sentinel. Du kan använda dessa mallar eller definiera dina egna mallar baserat på WAF-loggarna.

WAF-identifieringar

Automatiseringsavsnittet i dessa regler kan hjälpa dig att automatiskt svara på incidenten genom att köra en spelbok. Ett exempel på en sådan spelbok för att svara på attacker finns i GitHub-lagringsplatsen för nätverkssäkerhet här. Den här spelboken skapar automatiskt anpassade WAF-principregler för att blockera angriparens käll-IP-adresser som identifierats av WAF-analysidentifieringsreglerna.

Nästa steg