Uso de Log Analytics para examinar los registros de Application Gateway

Resumen

Una vez que Application Gateway está operativo, puede habilitar registros para inspeccionar los eventos que se producen en el recurso. Por ejemplo, los registros del firewall de Application Gateway proporcionan información sobre lo que el Web Application Firewall (WAF) está evaluando, comparando y bloqueando. Con Log Analytics, puede examinar los datos dentro de los registros de firewall para proporcionar aún más información. Para obtener más información sobre las consultas de registro, consulte Información general de las consultas de registro en Azure Monitor.

En este artículo, veremos los registros de Web Application Firewall (WAF). Puede configurar otros registros de Application Gateway de forma similar.

Prerrequisitos

• Se requiere una cuenta de Azure con una suscripción activa. Si aún no tiene una cuenta, puede crear una de forma gratuita.
• Una SKU de Azure Application Gateway WAK. Para obtener más información, consulte Azure Web Application Firewall en Azure Application Gateway.
• Un área de trabajo de Log Analytics. Para obtener más información sobre cómo crear un área de trabajo de Log Analytics, consulte Crear un área de trabajo de Log Analytics en el portal de Azure.

Envío de registros

Para exportar los registros del firewall a Log Analytics, consulte Registros de Diagnóstico para Application Gateway. Cuando tenga los registros de firewall en el área de trabajo de Log Analytics, puede ver datos, escribir consultas, crear visualizaciones y agregarlos al panel del portal.

Explorar datos con ejemplos

Al usar la tabla AzureDiagnostics, puede ver los datos sin procesar en el registro de firewall mediante la ejecución de la consulta siguiente:

AzureDiagnostics 
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| limit 10

Esto se parece a la siguiente consulta:

Al usar la tabla específica del recurso, puede ver los datos sin procesar en el registro de firewall ejecutando la consulta siguiente. Para obtener información sobre las tablas específicas del recurso, visite Referencia de datos de supervisión.

AGWFirewallLogs
| limit 10

Puede explorar en profundidad los datos y trazar gráficos o crear visualizaciones desde aquí. Estos son algunos ejemplos más de consultas AzureDiagnostics que puede usar.

Solicitudes emparejadas o bloqueadas por IP

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize count() by clientIp_s, bin(TimeGenerated, 1m)
| render timechart

Solicitudes emparejadas o bloqueadas por URI

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize count() by requestUri_s, bin(TimeGenerated, 1m)
| render timechart

Principales reglas coincidentes

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize count() by ruleId_s, bin(TimeGenerated, 1m)
| where count_ > 10
| render timechart

Principales cinco grupos de reglas emparejadas

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize Count=count() by details_file_s, action_s
| top 5 by Count desc
| render piechart

Añadir al panel de control

Una vez que se crea una consulta, se puede agregar al panel. Seleccione Anclar al panel en la parte superior derecha del área de trabajo de Log Analytics. Con las cuatro consultas anteriores ancladas a un panel de ejemplo, estos son los datos que se pueden ver de un vistazo:

Pasos siguientes

Estado de funcionamiento del backend, registros de diagnóstico y métricas de la puerta de enlace de aplicaciones