Microsoft Azure — журналы потоков брандмауэра Azure с выбранного исходного IP-адреса

В этой статье мы найдем трафик сетевого потока брандмауэра Azure для входящего или исходящего трафика с выбранного исходного IP-адреса с помощью запроса KQL, используя следующие три сценария.

Случай 1. Запрос KQL для поиска сетевых журналов брандмауэра Azure из выбора исходного IP-адреса, в котором проецируются все свойства времени создания, исходного IP-адреса, целевого IP-адреса, действия — разрешить или запретить, сообщения сетевого потока с протоколом и запроса от и к по используя ключевые слова. или вы также можете has_any() со значениями, разделенными запятой.

KQL-запрос:

AzureDiagnostics
| where TimeGenerated between(datetime("2022-01-05 00:00:00") .. datetime("2022-01-08 12:00:00"))
| where Category == "AzureFirewallNetworkRule"
| parse msg_s with Protocol " request from " SourceIP " to " Target ". Action: " Action
| project TimeGenerated, SourceIP, Target, Action, msg_s
| where SourceIP has "_add_source_ip_address_here"

Выход:

Случай 2. Запрос KQL для поиска сетевых журналов брандмауэра Azure из выбора исходного IP-адреса, в котором проецируются все свойства времени создания, исходного IP-адреса, целевого IP-адреса, действия — разрешить или запретить, сообщения сетевого потока с протоколом и запроса от и к по используя «==» (равно оператору). (Точный исходный IP-адрес)

KQL-запрос:

AzureDiagnostics
| where TimeGenerated between(datetime("2022-01-05 00:00:00") .. datetime("2022-01-08 12:00:00"))
| where Category == "AzureFirewallNetworkRule"
| parse msg_s with Protocol " request from " SourceIP " to " Target ". Action: " Action
| project TimeGenerated, SourceIP, Target, Action, msg_s
| where SourceIP == "_add_source_ip_address_here"

Выход:

Случай 3. Запрос KQL для поиска сетевых журналов брандмауэра Azure из выбора исходного IP-адреса, в котором проецируются все свойства времени создания, исходного IP-адреса, целевого IP-адреса, действия — разрешить или запретить, сообщения сетевого потока с протоколом и запроса от и к по использование содержит ключевые слова. (Если спички содержат какие-либо)

KQL-запрос:

AzureDiagnostics
| where TimeGenerated between(datetime("2022-01-05 00:00:00") .. datetime("2022-01-08 12:00:00"))
| where Category == "AzureFirewallNetworkRule"
| parse msg_s with Protocol " request from " SourceIP " to " Target ". Action: " Action
| project TimeGenerated, SourceIP, Target, Action, msg_s
| where SourceIP contains "_add_source_ip_address_here"

Выход: