AZ700-APP#54
Front Door で WAF 検知ログを Azure Monitor と統合して分析する構成手順を、正しい順序に並べてください。
- Front Door の診断設定で WAF ログを Log Analytics Workspace へ送信
- Front Door Workbook (Microsoft 公開テンプレート) をインポート
- 重大度高の検知パターンに対する Log Analytics アラート ルールを作成
- アラート通知 Action Group → 自動化 (Logic App / Function) で対応ランブック呼出
解説
【正しい順序】
- ステップ 1: 診断設定 + ログ転送
- ステップ 2: Workbook インポート
- ステップ 3: アラート ルール作成
- ステップ 4: Action Group + 自動化
【各ステップの理由】
- ステップ 1 診断設定 + ログ転送: Front Door の診断設定で FrontDoorWebApplicationFirewallLog を Log Analytics Workspace に送信します。これがすべての可視化とアラートの基盤となります。
- ステップ 2 Workbook インポート: Microsoft 公開の Front Door Workbook テンプレートをインポートし、検知傾向や攻撃元 Geo マップなどの可視化を一括で利用できるようにします。
- ステップ 3 アラート ルール作成: KQL クエリで重大度高 (Critical / Block) の検知数をしきい値監視するアラート ルールを作成します。
- ステップ 4 Action Group + 自動化: アラート通知 Action Group から Logic App / Function を呼び出し、IP ブロック追加や SOC 通知などの自動対応ランブックを実行します。
【誤った順序の問題点】
- Workbook を最初に作成: 診断ログが転送されていない状態で Workbook を見ても可視化対象データがなく、機能しません。
- アラートを診断設定前に作成: Log Analytics にログが届かないため、アラート条件が永遠に成立しません。
コメント