前回は Azure Front Door に対してカスタムドメイン設定とBring Your Own Certificate (BYOC) 設定を行った場合のハマりどころについて紹介しました。今回は Azure Front Door のログデータを Log Analytics に送付し、Kusto Query をいくつか発行してデータを確認してみようと思います。
Azure Front Door 側のログ設定
まずは Azure Front Door 側で Diagnostic setting を有効化します。ここでは FrontDoorAccessLog, FrontDoorHealthProbeLog, FrontDoorWebApplicationFirewallLog のカテゴリがありますが、当然すべて選択して作成済の Log Analytics ワークスペースにデータを転送します。
Azure Front Door に関わらず Log Analytics のログ転送はいちど有効化して安定した後の場合、体感的には遅くとも数分以内に Log Analytics ワークスペース側にログが転送されています。しかし、初回設定時には8時間？程度の時間がかかる場合があるので注意ください。
Azure Front Door の基本的なログ情報
以下に何のひねりもない Kusto Query を発行した結果を張り付けたのでご賞味ください。
AzureDiagnostics テーブルでは通信プロトコル（HTTP/HTTPS）、ステータスコード、ホスト名、Azure Front Door の Origin URI、アクセス元の国等々が取得できるのが確認できると思います。Usage テーブルは Log Analytics ワークスペースに流れ込むデータ量がログとして蓄積されていますが、今回は割愛します。
何カ国かからのアクセスが来ているかは以下の様なクエリで抽出が可能です。私は現在米国におり、テスト用に頻繁にアクセスしたのでデータに表れています。
AzureDiagnostics | where Category == "FrontDoorAccessLog" | summarize access_by_country = count() by clientCountry_s
次にどの URI に一番アクセスされたかを以下の Kusto Query で取得してみましょう。
AzureDiagnostics | where Category == "FrontDoorAccessLog" | summarize requests_of_each_uri = count() by requestUri_s | order by requests_of_each_uri
さらに 404 のステータスコードを返した URI が何かの一覧は以下で取得できます。
AzureDiagnostics | where Category == "FrontDoorAccessLog" | where httpStatusCode_s == 404 | summarize by requestUri_s
ここまでで FrontDoorAccessLog カテゴリの基本的な情報を操作する方法は理解で来たと思いますので、次は FrontDoorWebApplicationFirewallLog 側を見てみます。
Azure Front Door の WAF 機能のログを確認してみる
FrontDoorWebApplicationFirewallLog は WAF 機能でのマッチングしたリクエストの情報が出力されます。試しに以下のカスタムルールを作成し、当該 Azure Front Door に付与します。
本ルールはアクセス元の地域が米国だった場合に Log Analytics ワークスペース側に情報を転送するものです。実際に Kusto Query を発行して情報を確認します。
AzureDiagnostics | where Category == "FrontDoorWebApplicationFirewallLog"
ご覧の通り、どの URI にアクセス時、ルールにマッチングしたか、どの様なアクションが取られたか等がログの情報から分かります。スクリーンショットでは action_s は Logであり、ログ情報が出力されるだけの設定です。
感の良い方なら気づいたかもしれませんが、ルール名にある通り最初はアクセスをブロックしようとしました。ログとしては以下です。action_s は Block として出力されているのですが、ブラウザからは普通にアクセスできてしまいました。こちらは私の設定ミスかもしれませんので、何か気づきが有ればまた更新したいと思います。これは policyMode_s に記載があるとおり detection モードで動作していることが原因です。こちらを prevention モードに変更すればブロックされます。
