Azure Web 應用程式防火牆監視與記錄

Azure Front Door 上的 Azure Web 應用程式防火牆 提供廣泛的記錄和遙測，可協助您瞭解 Web 應用程式防火牆 （WAF） 的執行方式及其採取動作。

Azure Front Door WAF 記錄會與 Azure 監視器整合。 Azure 監視器可讓您追蹤診斷資訊，包括 WAF 警示與記錄。 您可以在 Azure 入口網站的 [診斷] 索引標籤底下，透過基礎結構即程式碼方法，或直接使用 Azure 監視器，在 Azure Front Door 資源中設定 WAF 監視。

計量

Azure Front Door 會自動記錄計量，以協助您了解 WAF 的行為。

若要存取 WAF 的計量：

1. 登入 Azure 入口網站，然後移至您的 Azure Front Door 設定檔。
2. 在 [監視] 底下的最左邊窗格上，選取 [計量] 索引標籤。
3. 新增 Web 應用程式防火牆要求計數計量，以追蹤符合 WAF 規則的要求數目。

您可以根據動作類型和規則名稱建立自訂篩選。 計量包含所有動作 (Log 除外) 的要求。

JavaScript 挑戰 （預覽） 計量

若要存取 JavaScript 挑戰 WAF 計量：

• 新增 Web 應用程式防火牆 JS Challenge Request Count 計量，以追蹤符合 JavaScript 挑戰 WAF 規則的要求數目。

下列篩選條件會作為此計量的一部分提供：

• PolicyName：這是 WAF 原則名稱
• 規則：這可以是任何自定義規則或 Bot 規則
• 動作：JS 挑戰動作有四個可能的值
  • 發行：第一次叫用 JS 挑戰
  • 已傳遞：JS 挑戰計算成功，並收到答案
  • 有效：JS 挑戰有效性 Cookie 已存在
  • 已封鎖：JS 挑戰計算失敗

記錄與診斷

Azure Front Door WAF 會提供每個要求的詳細報告，以及其偵測到的每個威脅。 記錄會與 Azure 的診斷記錄和警示整合，方法是使用 Azure 監視器記錄。

預設不會啟用記錄。 您必須明確啟用記錄。 您可以使用 [診斷設定] 索引標籤，在 Azure 入口 網站中設定記錄。

如果已啟用記錄並觸發 WAF 規則，則會以純文字記錄任何相符模式，協助您分析和偵錯 WAF 原則行為。 您可使用排除來微調規則，並排除您想要從記錄中排除的任何資料。 如需詳細資訊，請參閱 Azure Front Door 中的 Web 應用程式防火牆排除清單。

您可以啟用三種類型的 Azure Front Door 記錄：

• WAF 記錄
• 存取記錄
• 健康情況探查記錄

默認會啟用活動記錄，並提供 Azure 資源上執行的作業可見度，例如 Azure Front Door 配置檔的組態變更。

WAF 記錄

記錄 FrontDoorWebApplicationFirewallLog 包含符合 WAF 規則的要求。

記錄 FrontdoorWebApplicationFirewallLog 包含任何符合 WAF 規則的要求。

下表會顯示針對每個要求所記錄的值。

屬性	說明
動作	對要求採取的動作。 記錄包含具有所有動作的要求。 動作包括： Allow 和 allow：允許要求繼續處理。 Block 和 block：要求符合設定為封鎖要求的 WAF 規則。 或者，已達到異常評分閾值，並封鎖要求。 Log 和 log：要求符合設定為使用 Log 動作的 WAF 規則。 AnomalyScoring 和 logandscore：要求符合 WAF 規則。 此規則會影響異常分數。 根據在相同要求上執行的其他規則，要求不一定會遭到封鎖。 JS Challenge 和 JSChallengeIssued：因遺漏/無效的挑戰清除、遺漏答案而發出。 當用戶端第一次要求存取 Web 應用程式且先前尚未受到挑戰時，就會建立記錄檔。 此用戶端會收到 JS 挑戰頁面，並繼續進行計算 JS 挑戰。 成功計算時，客戶端會獲得有效 Cookie。 JS Challenge 和 JSChallengePass：由於有效的挑戰答案而通過。 當客戶端解決 JS 挑戰，並使用正確的答案重新提交要求時，就會建立此記錄。 在此情況下，Azure WAF 會驗證 Cookie，並繼續處理其餘規則，而不會產生另一個 JS 挑戰。 JS Challenge 和 JSChallengeValid：由於有效的挑戰，已記錄/傳遞。 當用戶端先前已解決挑戰時，就會建立此記錄。 在此情況下，Azure WAF 會記錄要求，並繼續處理其餘的規則。 JS Challenge 和 JSChallengeBlock：已封鎖 當 JS 挑戰計算失敗時，就會建立此記錄。
ClientIP	發出要求之用戶端的 IP 位址。 如果要求中有 X-Forwarded-For 標頭，用戶端 IP 位址會改為從該標頭欄位取得。
ClientPort	發出要求的用戶端的 IP 連接埠。
詳細資料	要求的更多詳細資料，包括偵測到的任何威脅。 matchVariableName：符合要求的 HTTP 參數名稱，例如標頭名稱 (最多 100 個字元)。 matchVariableValue：觸發比對的值 (最多 100 個字元)。
Host	要求的 Host 標頭。
原則	處理要求的 WAF 原則名稱。
PolicyMode	WAF 原則的作業模式。 可能的值是 Prevention 和 Detection。
RequestUri	要求的完整 URI。
RuleName	符合要求的 WAF 規則名稱。
SocketIP	WAF 所見的來源 IP 位址。 此 IP 位址是以 TCP 工作階段為基礎，而且不會考慮任何要求標頭。
TrackingReference	這是唯一的參考字串，可識別由 Azure Front Door 提供的要求。 此值會傳送至 X-Azure-Ref 回應標頭中的用戶端。 當您在記錄中搜尋特定要求時，請使用此欄位。

下列範例查詢會顯示 Azure Front Door WAF 封鎖的要求：

AzureDiagnostics 
| where ResourceProvider == "MICROSOFT.CDN" and Category == "FrontDoorWebApplicationFirewallLog" 
| where action_s == "Block" 

AzureDiagnostics
| where ResourceType == "FRONTDOORS" and Category == "FrontdoorWebApplicationFirewallLog"
| where action_s == "Block"

下列程式碼片段會顯示範例記錄項目，包括封鎖要求的原因：

{
  "time": "2020-06-09T22:32:17.8376810Z",
  "category": "FrontdoorWebApplicationFirewallLog",
  "operationName": "Microsoft.Cdn/Profiles/Write",
  "properties": {
    "clientIP": "xxx.xxx.xxx.xxx",
    "clientPort": "52097",
    "socketIP": "xxx.xxx.xxx.xxx",
    "requestUri": "https://wafdemofrontdoorwebapp.azurefd.net:443/?q=%27%20or%201=1",
    "ruleName": "Microsoft_DefaultRuleSet-1.1-SQLI-942100",
    "policy": "WafDemoCustomPolicy",
    "action": "Block",
    "host": "wafdemofrontdoorwebapp.azurefd.net",
    "trackingReference": "08Q3gXgAAAAAe0s71BET/QYwmqtpHO7uAU0pDRURHRTA1MDgANjMxNTAwZDAtOTRiNS00YzIwLTljY2YtNjFhNzMyOWQyYTgy",
    "policyMode": "prevention",
    "details": {
      "matches": [
        {
          "matchVariableName": "QueryParamValue:q",
          "matchVariableValue": "' or 1=1"
        }
      ]
    }
  }
}

{
  "time": "2020-06-09T22:32:17.8376810Z",
  "category": "FrontdoorWebApplicationFirewallLog",
  "operationName": "Microsoft.Network/FrontDoorWebApplicationFirewallLog/Write",
  "properties": {
    "clientIP": "xxx.xxx.xxx.xxx",
    "clientPort": "52097",
    "socketIP": "xxx.xxx.xxx.xxx",
    "requestUri": "https://wafdemofrontdoorwebapp.azurefd.net:443/?q=%27%20or%201=1",
    "ruleName": "Microsoft_DefaultRuleSet-1.1-SQLI-942100",
    "policy": "WafDemoCustomPolicy",
    "action": "Block",
    "host": "wafdemofrontdoorwebapp.azurefd.net",
    "trackingReference": "08Q3gXgAAAAAe0s71BET/QYwmqtpHO7uAU0pDRURHRTA1MDgANjMxNTAwZDAtOTRiNS00YzIwLTljY2YtNjFhNzMyOWQyYTgy",
    "policyMode": "prevention",
    "details": {
      "matches": [
        {
          "matchVariableName": "QueryParamValue:q",
          "matchVariableValue": "' or 1=1"
        }
      ]
    }
  }
}

如需其他 Azure Front Door 記錄的詳細資訊，請參閱 監視 Azure Front Door 中的計量和記錄。

下一步

深入了解 Azure Front Door。