Dela via

Använda Microsoft Sentinel med Azure Web Application Firewall

  • Artikel

Azure Web Application Firewall (WAF) i kombination med Microsoft Sentinel kan tillhandahålla händelsehantering av säkerhetsinformation för WAF-resurser. Microsoft Sentinel tillhandahåller säkerhetsanalyser med Log Analytics, vilket gör att du enkelt kan dela upp och visa dina WAF-data. Med Microsoft Sentinel kan du komma åt fördefinierade arbetsböcker och ändra dem efter organisationens behov. Arbetsboken kan visa analys för WAF i Azure Content Delivery Network (CDN), WAF på Azure Front Door och WAF på Application Gateway i flera prenumerationer och arbetsytor.

WAF-logganalyskategorier

WAF-logganalys är uppdelad i följande kategorier:

  • Alla WAF-åtgärder som vidtagits
  • De 40 mest blockerade URI-adresserna för begäranden
  • De 50 främsta händelseutlösarna,
  • Meddelanden över tid
  • Fullständig meddelandeinformation
  • Attackhändelser efter meddelanden
  • Attackhändelser över tid
  • Spårnings-ID-filter
  • Spårnings-ID-meddelanden
  • Topp 10 attackerande IP-adresser
  • Attackmeddelanden för IP-adresser

WAF-arbetsboksexempel

Följande WAF-arbetsboksexempel visar exempeldata:

Skärmbild av WAF-åtgärdsfiltret.

Skärmbild av de 50 viktigaste händelserna.

Skärmbild av attackhändelser.

Skärmbild av de 10 mest attackerande IP-adresserna.

Starta en WAF-arbetsbok

WAF-arbetsboken fungerar för alla Azure Front Door-, Application Gateway- och CDN WAFs. Innan du ansluter data från dessa resurser måste logganalys aktiveras på resursen.

Om du vill aktivera logganalys för varje resurs går du till din enskilda Azure Front Door-, Application Gateway- eller CDN-resurs:

  1. Välj Diagnostikinställningar.

  2. Väj + Lägg till diagnostikinställning.

  3. På sidan Diagnostikinställning:

    1. Skriv ett namn.
    2. Välj Skicka till Log Analytics.
    3. Välj loggmålarbetsytan.
    4. Välj de loggtyper som du vill analysera:
      1. Application Gateway: "ApplicationGatewayAccessLog" och "ApplicationGatewayFirewallLog"
      2. Azure Front Door Standard/Premium: "FrontDoorAccessLog" och "FrontDoorFirewallLog"
      3. Klassisk Azure Front Door: "FrontdoorAccessLog" och "FrontdoorFirewallLog"
      4. CDN: "AzureCdnAccessLog"
    5. Välj Spara.

    Diagnostikinställning

  4. På Startsidan för Azure skriver du Microsoft Sentinel i sökfältet och väljer Microsoft Sentinel-resursen.

  5. Välj en redan aktiv arbetsyta eller skapa en ny arbetsyta.

  6. Under Innehållshantering i Microsoft Sentinel väljer du Innehållshubb.

  7. Leta upp och välj azure web application firewall-lösningen .

  8. Välj Installera/uppdatera i verktygsfältet överst på sidan.

  9. I Microsoft Sentinel går du till vänster under Konfiguration och väljer Dataanslutningsprogram.

  10. Sök efter och välj Azure Web Application Firewall (WAF). Välj Sidan Öppna anslutningsapp längst ned till höger.

    Skärmbild av dataanslutningsappen i Microsoft Sentinel.

  11. Följ anvisningarna under Konfiguration för varje WAF-resurs som du vill ha logganalysdata för om du inte har gjort det tidigare.

  12. När du har konfigurerat enskilda WAF-resurser väljer du fliken Nästa steg . Välj en av de rekommenderade arbetsböckerna. Den här arbetsboken använder alla logganalysdata som har aktiverats tidigare. En fungerande WAF-arbetsbok bör nu finnas för dina WAF-resurser.

    WAF-arbetsböcker

Identifiera och svara automatiskt på hot

Med hjälp av Sentinel-inmatade WAF-loggar kan du använda Sentinel-analysregler för att automatiskt identifiera säkerhetsattacker, skapa säkerhetsincidenter och automatiskt svara på säkerhetsincidenter med hjälp av spelböcker. Läs mer Använd spelböcker med automatiseringsregler i Microsoft Sentinel.

Azure WAF levereras också med inbyggda Mallar för Sentinel-identifieringsregler för SQLi-, XSS- och Log4J-attacker. Dessa mallar finns under fliken Analys i avsnittet Regelmallar i Sentinel. Du kan använda dessa mallar eller definiera dina egna mallar baserat på WAF-loggarna.

WAF-identifieringar

Automation-avsnittet i dessa regler kan hjälpa dig att automatiskt svara på incidenten genom att köra en spelbok. Ett exempel på en sådan spelbok för att svara på angrepp finns i GitHub-lagringsplatsen för nätverkssäkerhet här. Den här spelboken skapar automatiskt anpassade WAF-principregler för att blockera angriparens käll-IP-adresser enligt waf-analysidentifieringsreglerna.

Nästa steg