Ga naar inhoud

Application Gateway-logs

Als je applicatie wordt gepubliceerd via de Application Gateway in de hub (Shared services), helpen de toegangs- en firewalllogs (WAF) je om de vraag "is mijn request geblokkeerd, en waarom?" te beantwoorden. Op platformen die de diagnostics van de gateway naar een centrale Log Analytics workspace sturen, kun je ze doorzoeken met Kusto Query Language (KQL).

Platformspecifiek

Waar de logs naartoe gaan, in welke tabel ze terechtkomen en welke groep toegang geeft, hangt af van je platform. De namen van de workspace en de groep hieronder zijn placeholders. Vraag het aan je platformteam.

Toegang krijgen

Toegang loopt via een Entra ID-groep. In het voorbeeldplatform geeft de readergroep twee dingen:

Permissie Scope
Lezen op de diagnostics-tabel De centrale Log Analytics workspace (<central workspace>)
Monitoring Reader De Application Gateway-resource

Vraag je platformteam om je toe te voegen aan de readergroep (<application gateway readers group>). Groepslidmaatschap wordt beheerd zoals elke andere toegang, zie Toegang, groepen en PIM.

De logs doorzoeken

  1. Open de Application Gateway-resource (<application gateway name>) in de Azure portal.
  2. Kies Logs. De query draait op de centrale workspace.
  3. Bevraag de tabel met de diagnostics van de gateway.

In het voorbeeldplatform staan de logs in de legacy-tabel AzureDiagnostics. Die wordt door veel resourcetypes gedeeld, dus filter altijd op het resourcetype en de logcategorie:

AzureDiagnostics
| where ResourceType == "APPLICATIONGATEWAYS"
| where Category == "ApplicationGatewayFirewallLog"
| where TimeGenerated > ago(1h)
| take 50

Gebruik ApplicationGatewayAccessLog als categorie voor toegangslogs. De kolommen verschillen per categorie. Bekijk eerst een paar rijen met take. Het platform kan later overstappen op resource-specifieke tabellen, waardoor de tabelnamen veranderen. Je platformteam kondigt dat aan.

Waar de logs vandaan komen

Logs bestaan alleen als een diagnostic setting ze naar een workspace stuurt. De code van de Application Gateway in de shared services maakt geen diagnostic setting aan voor de gateway (alleen voor sommige andere shared services). Op een platform dat de gateway draait, komt de instelling van elders, bijvoorbeeld van policy. Zie je geen rijen, vraag je platformteam dan of en waarheen de gatewaylogs worden gestuurd, voordat je aanneemt dat er niets is geblokkeerd.

Van een geblokkeerd request naar een exception

Het firewalllog van een geblokkeerd request vertelt je welke managed rule is afgegaan. Gebruik het om de aanvraag voor een exception op te bouwen (WAF false positives en exclusions):

  1. Zoek de entry voor je request: filter op het tijdstip, de hostnaam en het clientadres.
  2. Noteer het regel-ID, de regelgroep en het gematchte argument, de header of de URI.
  3. Controleer dat het request legitiem is en dat de blokkade een false positive is, geen aanval.
  4. Stuur deze gegevens naar het platformteam, met de reden en de smalste match die werkt (één headerwaarde, één clientadres of één URI). Het platformteam en je security officer beslissen. De module heeft limieten voor exceptions (WAF-uitzonderingen), dus een brede aanvraag wordt waarschijnlijk geweigerd.

Houd de policy mode in gedachten: in Detection-modus logt de WAF alleen, in Prevention-modus blokkeert hij. Vraag welke modus voor jouw listener geldt.

Firewalllogs

Logs van de Azure Firewall in de hub werken op dezelfde manier: een readergroep, een centrale workspace en tabellen zoals AZFWNetworkRule en AZFWApplicationRule. Zie Firewallregels en het firewall-runbook voor hoe je ze gebruikt als een verbinding wordt geblokkeerd.