Поделиться через

AWS Web Application Firewall (AWSWAF)

Журналы AWS WAF, собранные в баках AWS S3, отправляются в Microsoft Sentinel. Журналы AWS WAF — это подробные записи о трафике, который анализирует списки управления веб-доступом (ACL), необходимые для обеспечения безопасности и производительности веб-приложений.

Атрибуты таблицы

Атрибут Значение
Типы ресурсов -
Категории Безопасность
Решения SecurityInsights
Базовый журнал Да
Преобразование времени загрузки Да
Примеры запросов -

Столбцы

Колонка Тип Описание
Действие строка Завершающее действие, выполняемое AWS WAF (ALLOW, BLOCK, CAPTCHA или Challenge).
Аргументы строка Параметры строки запроса.
_BilledSize (Размер счета) реальный Размер записи в байтах
CaptchaResponse динамичный Состояние действия CAPTCHA для запроса.
ChallengeResponse динамичный Состояние проблемы безопасности для запроса.
ClientIp строка IP-адрес клиента, выполняющего запрос.
Страна/регион строка Страна происхождения запроса.
Исключенные правила динамичный Правила, исключенные из оценки в группе правил.
FormatVersion строка Версия формата журнала AWS WAF.
Заголовки динамичный Заголовки, включенные в HTTP-запрос.
HTTP-метод строка Метод HTTP (GET, POST и т. д.) запроса.
HTTP-запрос динамичный Метаданные о HTTP-запросе.
Идентификатор источника HTTP строка Идентификатор связанного ресурса (например, распределение CloudFront, распределитель нагрузки).
HttpSourceName строка Источник запроса (например, CF, APIGW, ALB).
Версия HTTP строка ВЕРСИЯ HTTP, используемая в запросе.
_ПодлежитУчету строка Указывает, является ли прием данных платной услугой. Если _IsBillable false, за прием не взимается плата на вашем аккаунте Azure.
Ja3Fingerprint строка Отпечаток JA3 клиента TLS Hello.
Наклейки динамичный Метки, применяемые к запросу в соответствии с правилами.
ПравилаНескончаемогоСовпадения динамичный Список правил, которые соответствовали, но не завершили запрос.
OversizeFields динамичный Поля в запросе, превышающие ограничения проверки AWS WAF.
СписокПравилНаОсновеСкорости динамичный Список правил на основе скорости обработки, применяемых к запросу.
ЗаголовкиЗапросаВставлены динамичный Заголовки, вставляемые для пользовательской обработки запросов.
Идентификатор запроса (RequestId) строка Идентификатор запроса для сетевого запроса.
КодОткликаОтправлен инт Код ответа HTTP, отправляемый клиенту.
ИдентификаторГруппыПравил строка Идентификатор группы правил, которая была сопоставлена.
СписокГруппПравил динамичный Список групп правил, которые действовали по запросу.
SourceSystem строка Тип агента, посредством которого было собрано событие. Например, OpsManager для агента Windows с прямым подключением или Operations Manager, Linux для всех агентов Linux, или Azure для Azure Diagnostics.
Идентификатор арендатора строка Идентификатор рабочей области Log Analytics
Правило завершения динамичный Правило, прекратившее запрос. Если это имеется, он содержит действие, ruleId, ruleMatchDetails и любые дополнительные сведения, предоставленные для каждого правила, зависят от таких факторов, как конфигурация правила, тип соответствия правил и сведения о совпадении.
ЗавершениеRuleId строка Идентификатор соответствующего сетевого правила.
ЗавершениеRuleMatchDetails динамичный Подробности о правиле, которое завершило запрос.
ТипПравилаЗавершения строка Тип правила, завершающего запрос.
Время генерации дата и время Метка времени, когда журнал был обработан.
Тип строка Имя таблицы.
URI строка URI-адрес запроса.
WebAclId строка GUID веб-ACL, применяемый к запросу.
  • Last updated on