Azure Web 應用程式防火牆 (WAF) 與 Microsoft Sentinel 結合，可為 WAF 資源提供安全性資訊事件管理。 Microsoft Sentinel 使用 Log Analytics 提供安全性分析，可讓您輕鬆地細分和檢視 WAF 資料。 如果使用 Microsoft Sentinel，您可以存取預先建立的活頁簿並加以修改，以符合組織的需求。 Workbook 可以跨數個訂用帳戶和工作區，為 Azure 內容傳遞網路 (CDN) 上的 WAF、Azure Front Door 上的 WAF 及應用程式閘道上的 WAF 顯示分析。
WAF 記錄分析類別
WAF 記錄分析會分成下列類別：
- 所有採取的 WAF 動作
- 前 40 個被封鎖的要求 URI 位址
- 前 50 個事件觸發程序，
- 隨著時間的推移之訊息
- 完整訊息詳細資料
- 依訊息分類的攻擊事件
- 隨著時間推移的攻擊事件
- 追蹤識別碼篩選
- 追蹤識別碼訊息
- 前 10 個攻擊 IP 位址
- IP 位址的攻擊訊息
WAF 活頁簿範例
下列 WAF 活頁簿範例顯示範例資料：
啟動 WAF 活頁簿
WAF workbook 適用於所有 Azure Front Door、應用程式閘道和 CDN WAF。 在連接這些資源的資料之前，必須在您的資源上啟用記錄分析服務。
若要為每個資源啟用記錄分析，請移至個別的 Azure Front Door、應用程式閘道或 CDN 資源：
選取 [診斷設定]。
選取 +新增診斷設定。
在 [診斷設定] 頁面中：
- 輸入名稱。
- 選取 傳送至 Log Analytics。
- 選擇日志目的地工作區。
- 選取您想要分析的記錄類型：
- 應用程式閘道：'ApplicationGatewayAccessLog' 和 'ApplicationGatewayFirewallLog'
- Azure Front Door 標準/進階：‘FrontDoorAccessLog’ 和 ‘FrontDoorFirewallLog’
- Azure Front Door 經典：‘FrontdoorAccessLog’ 和 ‘FrontdoorFirewallLog’
- CDN：'AzureCdnAccessLog'
- 選擇 [儲存]。
在 Azure 首頁的搜尋列中輸入 Microsoft Sentinel，然後選取 Microsoft Sentinel 資源。
選取現有的啟用的工作區或建立新的工作區。
在 Microsoft Sentinel 的 [內容管理] 底下，選取 [內容中樞]。
尋找並選取 Azure Web 應用程式防火牆解決方案。
在頁面頂端的工具列上，選取 [安裝/更新]。
在 Microsoft Sentinel 的左側 [設定] 底下，選取 [資料連接器]。
搜尋並選取 [Azure Web 應用程式防火牆 (WAF)]。 在右下角選擇開啟連接器頁面。
針對您想要取得其記錄分析資料的每個 WAF 資源，遵循 [設定] 底下的指示進行設定 (如果您之前尚未這麼做)。
完成設定個別 WAF 資源之後，選取 [後續步驟] 索引標籤。選取其中一個建議的活頁簿。 此 workbook 會使用先前啟用的所有記錄分析資料。 現在，您的 WAF 資源應該會有運作中的 WAF workbook 。
自動偵測並回應威脅
使用 Sentinel 內嵌的 WAF 記錄，您可以使用 Sentinel 分析規則來自動偵測安全性攻擊、建立安全性事件，以及使用劇本自動回應安全性事件。 深入了解在 Microsoft Sentinel 中搭配使用 playbook 和自動化規則 | Microsoft Learn。
Azure WAF 附帶內建的 Sentinel 偵測規則範本，適用於 SQLi、XSS 和 Log4J 攻擊。 您可以在 Sentinel 的 [規則範本] 區段中的 [分析] 索引標籤下找到這些範本。 您可以使用這些範本，或根據 WAF 記錄定義您自己的範本。
這些規則中的自動化區段可以協助您透過執行劇本自動回應事件。 您可以在這裡的網路安全性 GitHub 存放庫中找到此類回應攻擊的劇本範例。 此劇本會自動建立 WAF 原則自訂規則，以封鎖由 WAF 分析偵測規則偵測到的攻擊者來源 IP。