Usar Log Analytics para examinar logs de Application Gateway

Resumo

Quando seu Gateway de Aplicativo estiver operacional, você poderá habilitar logs para inspecionar os eventos que ocorrem no seu recurso. Por exemplo, os logs do Firewall do Gateway de Aplicativo fornecem informações sobre o que o WAF (Firewall de Aplicativo Web) está avaliando, correspondendo e bloqueando. Com Log Analytics, você pode examinar os dados dentro dos logs de firewall para fornecer ainda mais insights. Para obter mais informações sobre consultas de log, consulte Visão geral das consultas de log no Azure Monitor.

Neste artigo, examinaremos os logs de Firewall de Aplicativo Web (WAF). Você pode configurar outros logs do Gateway de Aplicação de maneira semelhante.

Pré-requisitos

• Uma conta Azure com uma assinatura ativa é necessária. Caso ainda não tenha uma conta, crie uma gratuitamente.
• Um SKU do Gateway de Aplicativo do Azure WAK. Para obter mais informações, consulte Firewall de Aplicativo Web do Azure no Gateway de Aplicativo do Azure.
• Um workspace de Log Analytics. Para obter mais informações sobre como criar um workspace Log Analytics, consulte Criar um workspace Log Analytics no Azure portal.

Enviando logs

Para exportar seus logs de firewall para o Log Analytics, consulte logs de diagnóstico para o Application Gateway. Quando você tiver os logs de firewall em seu workspace Log Analytics, poderá exibir dados, gravar consultas, criar visualizações e adicioná-los ao painel do portal.

Explorar dados com exemplos

Ao usar a tabela AzureDiagnostics, você pode visualizar os dados brutos no log do firewall executando a seguinte consulta:

AzureDiagnostics 
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| limit 10

Isso é semelhante à seguinte consulta:

Ao usar a tabela Específica do recurso, você pode visualizar os dados brutos no log do firewall executando a seguinte consulta. Para saber mais sobre as tabelas específicas de recursos, visite Referência de dados de monitoramento.

AGWFirewallLogs
| limit 10

Você pode fazer busca detalhada nos dados e plotar grafos ou criar visualizações aqui. Aqui estão mais alguns exemplos de consultas do AzureDiagnostics que você pode usar.

Solicitações correspondentes/bloqueadas por IP

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize count() by clientIp_s, bin(TimeGenerated, 1m)
| render timechart

Solicitações correspondentes/bloqueadas por URI

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize count() by requestUri_s, bin(TimeGenerated, 1m)
| render timechart

Regras mais relevantes associadas

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize count() by ruleId_s, bin(TimeGenerated, 1m)
| where count_ > 10
| render timechart

Cinco principais grupos de regras de correspondência

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize Count=count() by details_file_s, action_s
| top 5 by Count desc
| render piechart

Adicionar ao seu painel de controle

Depois de criar uma consulta, você pode adicioná-la ao seu painel. Selecione Fixar no painel de controle na parte superior direita do espaço de trabalho do Log Analytics. Com as quatro consultas anteriores fixadas em um painel de exemplo, esses são os dados que você pode ver rapidamente:

Próximas etapas

Integridade do back-end, logs de diagnóstico e métricas para o Gateway de Aplicações