はじめに
Azure Firewallではログの取得、分析を行えます。Sentinelを利用するのもありですが、ブックで分析を行うこともできます。ログの取得から分析まで確認していきたいと思います。
前提条件
ログを取得する環境は事前に作成されていることが前提です。
ログの取得
Firewallのログの取得は診断設定より行います。
今回はAzure Firewallのブックを設定し分析を行うために、ログの取得を行います。Firewall用のLog Analytics ワークスペースを別途作っておくとよいと思います。
ログの確認
ログはApplication rule log dataに保存されます。AllowやDenyなどいくつかの情報を取得することが出来ます。
また、DNS Proxyとして利用している場合にはそのlogも取得されます。
各種詳細は下記を参考してください。
これでログが取得されていることを確認できました。しかし、これでは分析が行えません。
そこで利用するのがブックになります。
Azure Firewall ブック
Azure Firewallブックを利用することでFirewallのログ、メトリックを分析監視行うことが出来ます。これは用意されているものはないのでデプロイして利用する必要があります。
Azure Firewall ブックはgithubで公開されています。ここからデプロイすることが可能です。
Deloyボタンをクリックするとブックを展開することが可能です。
必要事項を入力します。
- Diagnostics Workspace Name
- Diagnostics Workspace Subscription
- Diagnostics Workspace Resource Group
にワークスペースの情報を入力します。
それぞれワークスペースのプロパティで確認できます。
デプロイ後にブックを確認します。
ブック - 概要
ブックを開くと分析された情報の概要を表示できます。
Applicationのルール、もしくはネットワークのルールごとにログが分析されます。有効化していない機能は表示されません。ブックを編集すると非表示にすることも可能です。
DNS Proxyを有効化している場合にはその情報も分析され表示できます。
以上のように取得されたログの分析に非常に有効です。
まとめ
Azure Firewallのログの簡単な分析を行うにはAzure Firewall ブックを利用すると良いです。可視化できることで攻撃の有無や問題点の把握など様々な情報を取得できます。ただし、ブックから直接アラートを作成できないので見る専用ですがレポートを作成などに利用できると思います。