Usare Log Analytics per esaminare i log dell'Application Gateway

Riassunto

Quando il gateway di applicazione è in esecuzione, è possibile abilitare i log per esaminare gli eventi che si verificano per la risorsa. Ad esempio, i log del Gateway delle Applicazioni Firewall forniscono informazioni dettagliate su ciò che il Web Application Firewall (WAF) valuta, confronta e blocca. Usando Log Analytics, è possibile esaminare i dati all'interno dei log del firewall per ottenere ancora più informazioni dettagliate. Per altre informazioni sulle query di log, vedere Panoramica delle query di log in Azure Monitor.

In questo articolo vengono illustrati i log di Web Application Firewall (WAF). È possibile configurare altri log del gateway applicazione in modo analogo.

Prerequisiti

• Un account Azure con una sottoscrizione attiva. Se non si ha già un account, è possibile creare gratuitamente un account.
• SKU WAF del Gateway applicazione Azure. Per altre informazioni, vedere Azure Web Application Firewall su Azure Application Gateway.
• Un'area di lavoro Log Analytics. Per altre informazioni sulla creazione di un'area di lavoro Log Analytics, vedere Creare un'area di lavoro Log Analytics nel portale di Azure.

Invio di log

Per esportare i log del firewall in Log Analytics, vedere Log di diagnostica per il gateway applicazione. Quando si dispone dei log del firewall nell'area di lavoro Log Analytics, è possibile visualizzare i dati, scrivere query, creare visualizzazioni e aggiungerli al dashboard del portale.

Esplora i dati con esempi

Quando utilizzi la tabella AzureDiagnostics, vedi i dati grezzi nel log del firewall eseguendo la seguente query:

AzureDiagnostics 
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| limit 10

Questa query è simile alla query seguente:

Quando si usa la tabella delle risorse specifiche, visualizzare i dati grezzi nel log del firewall eseguendo la query seguente. Per informazioni sulle tabelle specifiche delle risorse, vedere Informazioni di riferimento sui dati di monitoraggio.

AGWFirewallLogs
| limit 10

È possibile eseguire il drill-down dei dati e tracciare grafici o creare visualizzazioni da qui. Gli esempi seguenti illustrano le query di AzureDiagnostics che è possibile usare.

Richieste corrispondenti o bloccate per IP

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize count() by clientIp_s, bin(TimeGenerated, 1m)
| render timechart

Richieste corrispondenti o bloccate per URI

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize count() by requestUri_s, bin(TimeGenerated, 1m)
| render timechart

Regole corrispondenti principali

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize count() by ruleId_s, bin(TimeGenerated, 1m)
| where count_ > 10
| render timechart

Primi cinque gruppi di regole corrispondenti

AzureDiagnostics
| where ResourceProvider == "MICROSOFT.NETWORK" and Category == "ApplicationGatewayFirewallLog"
| summarize Count=count() by details_file_s, action_s
| top 5 by Count desc
| render piechart

Aggiungere alla dashboard

Dopo aver creato una query, aggiungerla al dashboard. Selezionare Aggiungi al dashboard nell'area di lavoro Log Analytics. Quando si aggiunge le quattro query precedenti a un dashboard di esempio, questi dati vengono visualizzati immediatamente:

Passaggi successivi

Integrità del back-end, log di diagnostica e metriche per il Gateway Applicazione