Microsoft Azure — журналы сетевых потоков брандмауэра с TimeGenerated с использованием KQL

Здесь, в этой статье, мы будем использовать запросы журнала azure kql для получения проходящего трафика журналов сетевого потока azure, установив время с помощью TimeGenerated в запросе. Мы рассмотрим несколько различных примеров и то, как мы можем использовать их для фильтрации результатов.

Пример запроса KQL 1:

Чтобы найти сетевые журналы Azure для входящего и исходящего трафика за последние 12 часов, спроецировав сообщение TimeGenerated, Protocol, SourceIP, Target, Action и Complete в журнале сетевого потока.

AzureDiagnostics
| where TimeGenerated > ago(12h)
| where Category == "AzureFirewallNetworkRule"
| parse msg_s with Protocol " request from " SourceIP " to " Target ". Action: " Action
| project TimeGenerated, Protocol, SourceIP, Target, Action, Complete_MSG=msg_s

Выход:

Пример запроса KQL 2:

Чтобы найти сетевые журналы Azure для входящего и исходящего трафика за последние 5 минут, спроецировав сообщение TimeGenerated, Protocol, SourceIP, Target, Action и Complete журнала сетевого потока.

AzureDiagnostics
| where TimeGenerated > ago(5m)
| where Category == "AzureFirewallNetworkRule"
| parse msg_s with Protocol " request from " SourceIP " to " Target ". Action: " Action
| project TimeGenerated, SourceIP, Target, Action, msg_s

Выход:

Пример KQL-запроса 3:

Чтобы найти сетевые журналы Azure для входящего и исходящего трафика за последние 7 дней, спроецировав сообщение TimeGenerated, Protocol, SourceIP, Target, Action и Complete в журнале сетевого потока.

AzureDiagnostics
| where TimeGenerated > ago(7d)
| where Category == "AzureFirewallNetworkRule"
| parse msg_s with Protocol " request from " SourceIP " to " Target ". Action: " Action
| project TimeGenerated, SourceIP, Target, Action, msg_s

Выход:

Пример KQL-запроса 4:

Чтобы найти входящие и исходящие сетевые журналы Azure с временным диапазоном, используйте ключевое слово between и проецируйте сообщение TimeGenerated, Protocol, SourceIP, Target, Action и Complete в журнале сетевого потока.

AzureDiagnostics
| where TimeGenerated between(datetime("2022-01-05 00:00:00") .. datetime("2022-01-08 12:00:00"))
| where Category == "AzureFirewallNetworkRule"
| parse msg_s with Protocol " request from " SourceIP " to " Target ". Action: " Action
| project TimeGenerated, SourceIP, Target, Action, msg_s

Выход: