收集 Azure WAF 日志

解析器版本： 4.0

本文档介绍了如何使用 Azure 存储账号将 Azure Web 应用防火墙 (WAF) 日志导出到 Google Security Operations。解析器以 JSON 格式处理日志，并将其转换为 UDM。它会处理包含 records 数组的日志，方法是遍历每个记录并将特定字段映射到 UDM 属性。如果缺少 records 数组，解析器会将日志作为单个事件进行处理，并相应地提取和映射字段。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例
• 有效的 Azure 租户
• 对 Azure 的特权访问权限

配置 Azure 存储账号

1. 在 Azure 控制台中，搜索存储账号 。
2. 点击创建 。
3. 为以下输入参数指定值：
   • 订阅：选择订阅。
   • 资源组：选择资源组。
   • 区域：选择区域。
   • 性能：选择性能（建议使用“标准”）。
   • 冗余：选择冗余（建议使用 GRS 或 LRS）。
   • 存储账号名称：输入新存储账号的名称。
4. 点击 Review + create （检查 + 创建）。
5. 查看账号概览，然后点击创建 。
6. 在存储账号概览 页面中，选择安全性 + 网络 中的访问密钥 子菜单。
7. 点击 key1 或 key2 旁边的显示 。
8. 点击 Copy to clipboard （复制到剪贴板）以复制密钥。
9. 将密钥保存在安全的位置，以供日后使用。
10. 在存储账号概览 页面中，选择设置 中的端点 子菜单。
11. 点击 Copy to clipboard （复制到剪贴板）以复制 Blob 服务 端点网址；例如 https://<storageaccountname>.blob.core.windows.net。
12. 将端点网址保存在安全的位置，以供日后使用。

如何为 Azure WAF 日志配置日志导出

1. 使用您的特权账号登录 Azure 门户 。
2. 前往 Web 应用防火墙 (WAF) 规则 ，然后选择要监控的 WAF。
3. 选择监控 > 诊断设置。
4. 点击 + 添加诊断设置。
   • 输入诊断设置的描述性名称。
5. 选择 allLogs 。
6. 选中归档到存储账号 复选框作为目标。
   • 指定订阅 和存储账号 。
7. 点击保存 。

设置 Feed

您可以通过以下两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed > 添加新 Feed
• 内容中心 > 内容包 > 开始使用

如何设置 Azure WAF Feed

1. 点击 Azure 平台 包。
2. 找到 Azure WAF 日志类型，然后点击添加新 Feed 。

3. 为以下字段指定值：

   • 来源类型：Microsoft Azure Blob Storage V2。
   • Azure URI：Blob 端点网址。
     • ENDPOINT_URL/BLOB_NAME
       • 替换以下内容：
         • ENDPOINT_URL：Blob 端点网址 (https://<storageaccountname>.blob.core.windows.net)
         • BLOB_NAME：Blob 的名称（例如 <logname>-logs）
   • 来源删除选项：根据您的注入偏好设置选择删除选项。 注意：如果您选择 Delete transferred files 或 Delete transferred files and empty directories 选项，请确保您已向服务帐号授予适当的权限。
   • 最长文件存在时间：包含在过去指定天数内修改的文件。默认值为 180 天。

   • 共享密钥：Azure Blob Storage 的访问密钥。 高级选项

   • Feed 名称：预先填充的值，用于标识 Feed。

   • 资产命名空间：与 Feed 关联的命名空间。

   • 注入标签：应用于此 Feed 中所有事件的标签。

4. 点击创建 Feed 。

如需详细了解如何为此产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

UDM 映射表

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。