I log per richiesta di Google Cloud Armor per il nome del criterio di sicurezza, la priorità delle regole di corrispondenza, l'azione associata e le informazioni correlate vengono registrati nell'ambito del logging per i bilanciatori del carico delle applicazioni esterni e i bilanciatori del carico di rete proxy esterni. Il logging per i nuovi servizi di backend è disabilitato per impostazione predefinita, quindi devi abilitare il logging per registrare le informazioni di logging complete per Google Cloud Armor.
I log di Google Cloud Armor fanno parte dei log di Cloud Load Balancing. Ciò significa che la generazione dei log di Google Cloud Armor è soggetta alla frequenza di campionamento dei log configurata per il bilanciatore del carico. Se riduci la frequenza di campionamento per il bilanciatore del carico, i log delle richieste di Google Cloud Armor vengono campionati a questa frequenza ridotta. Inoltre, se utilizzi i riferimenti ai servizi tra progetti, i log vengono generati nel progetto host o di servizio che include il frontend e la mappa URL del bilanciatore del carico. Consigliamo quindi agli amministratori del progetto frontend di concedere agli amministratori del progetto di backend le autorizzazioni per leggere i log e le metriche.
Utilizzando il logging, puoi visualizzare ogni richiesta valutata da un criterio di sicurezza di Google Cloud Armor e il risultato o l'azione intrapresa. Ad esempio, per visualizzare le richieste rifiutate, puoi utilizzare filtri come jsonPayload.enforcedSecurityPolicy.outcome="DENY" o jsonPayload.statusDetails="denied_by_security_policy".
Per abilitare il logging per un bilanciatore del carico delle applicazioni esterno, consulta Logging e monitoraggio del bilanciatore del carico delle applicazioni esterno. Per il bilanciatore del carico di rete proxy esterno, puoi utilizzare i comandi Google Cloud CLI elencati nella precedente pagina Logging e monitoraggio del bilanciatore del carico delle applicazioni esterno. Non puoi abilitare il logging per il bilanciatore del carico di rete proxy esterno utilizzando la console Google Cloud.
Inoltre, puoi impostare diversi livelli di logging per valutare se i criteri di sicurezza e le relative regole funzionano come previsto. Per informazioni complete, consulta Logging dettagliato.
Voci di log dei criteri di sicurezza
Le seguenti voci di log in Esplora log si riferiscono al criterio di sicurezza e al logging delle regole di Google Cloud Armor. Le voci includono la seguente struttura in jsonPayload. I dettagli della richiesta HTTP vengono visualizzati nel messaggio httpRequest.
statusDetails(stringa): una descrizione testuale del codice di risposta.redirected_by_security_policy: la richiesta è stata reindirizzata da una regola di reindirizzamentoGOOGLE_RECAPTCHAoEXTERNAL_302.denied_by_security_policy: una richiesta è stata rifiutata dal bilanciatore del carico a causa di un criterio di sicurezza di Google Cloud Armor.body_denied_by_security_policy: il corpo di una richiesta è stato rifiutato dal bilanciatore del carico a causa di un criterio di sicurezza di Google Cloud Armor.
enforcedSecurityPolicy: la regola del criterio di sicurezza applicata.name(stringa): il nome del criterio di sicurezza.priority(numero): la priorità della regola di corrispondenza nel criterio di sicurezza.adaptiveProtection: informazioni sulla regola Adaptive Protection di cui è stato eseguito il deployment automatico, se applicabile.autoDeployAlertId: l'ID avviso degli eventi rilevati da Adaptive Protection.
configuredAction(stringa): il nome dell'azione configurata nella regola corrispondente, ad esempioALLOW,DENY,GOOGLE_RECAPTCHA,EXTERNAL_302,THROTTLE(per una regola di limitazione),RATE_BASED_BAN(per una regola di esclusione basata sulla tariffa).rateLimitAction: informazioni sull'azione per la limitazione di frequenza in caso di corrispondenza con una regola di limitazione o di esclusione basata sulla tariffa.key(stringa): valore chiave per il limite di frequenza (fino a 32 byte). Questo campo viene omesso se il tipo di chiave èALLo se il tipo di chiave èHTTP-HEADERoHTTP-COOKIEe l'intestazione o il cookie specificati non sono presenti nella richiesta.outcome(stringa). I valori possibili sono i seguenti:"RATE_LIMIT_THRESHOLD_CONFORM"se è inferiore alla soglia della limitazione di frequenza configurata."RATE_LIMIT_THRESHOLD_EXCEED"se superiore alla soglia del limite di frequenza configurato."BAN_THRESHOLD_EXCEED"se al di sopra della soglia di esclusione configurata.
outcome(stringa): il risultato dell'esecuzione dell'azione configurata, ad esempioACCEPT,DENY,REDIRECT,EXEMPT.preconfiguredExprIds(stringa): gli ID di tutte le espressioni di regola WAF preconfigurate che hanno attivato la regola.threatIntelligence: informazioni sugli elenchi di indirizzi IP corrispondenti da Threat Intelligence, se applicabile.categories: (stringa) i nomi degli elenchi di indirizzi IP corrispondenti.
previewSecurityPolicy: compilata se una richiesta corrisponde a una regola configurata per l'anteprima (presente solo quando una regola di anteprima avrebbe avuto la priorità sulla regola applicata).name(stringa): il nome del criterio di sicurezzapriority(numero): la priorità della regola di corrispondenza nel criterio di sicurezza.configuredAction(stringa): il nome dell'azione configurata nella regola corrispondente, ad esempioALLOW,DENY,GOOGLE_RECAPTCHA,EXTERNAL_302,THROTTLE(per una regola di limitazione),RATE_BASED_BAN(per una regola di esclusione basata sulla tariffa).rateLimitAction: informazioni sull'azione per la limitazione di frequenza in caso di corrispondenza con una regola di limitazione o di esclusione basata sulla tariffa.key(stringa): valore chiave per il limite di frequenza (fino a 32 byte). Questo campo viene omesso se il tipo di chiave èALLo se il tipo di chiave èHTTP-HEADERoHTTP-COOKIEe l'intestazione o il cookie specificati non sono presenti nella richiesta.outcome(stringa). I valori possibili sono i seguenti:"RATE_LIMIT_THRESHOLD_CONFORM"se è inferiore alla soglia della limitazione di frequenza configurata."RATE_LIMIT_THRESHOLD_EXCEED"se superiore alla soglia del limite di frequenza configurato."BAN_THRESHOLD_EXCEED"se al di sopra della soglia di esclusione configurata.
outcome(stringa): il risultato dell'esecuzione della configurazione configurata.outcome(stringa): il risultato dell'esecuzione dell'azione configurata, ad esempioACCEPT,DENY,REDIRECT,EXEMPT.preconfiguredExprIds(stringa): gli ID di tutte le espressioni di regola WAF preconfigurate che hanno attivato la regola.threatIntelligence: informazioni sugli elenchi di indirizzi IP corrispondenti da Threat Intelligence, se applicabile.categories: (stringa) i nomi degli elenchi di indirizzi IP corrispondenti.
enforcedEdgeSecurityPolicy(anteprima): la regola del criterio di sicurezza perimetrale che è stata applicata.name(stringa): il nome del criterio di sicurezza.priority(numero): la priorità della regola di corrispondenza nel criterio di sicurezza.configuredAction(stringa): il nome dell'azione configurata nella regola corrispondente, ad esempioALLOW,DENY.outcome(stringa): il risultato dell'esecuzione dell'azione configurata, ad esempioACCEPT,DENY.
previewEdgeSecurityPolicy(Anteprima): compilato se una richiesta corrisponde a una regola del criterio di sicurezza perimetrale configurata per l'anteprima (presente solo quando una regola di anteprima avrebbe avuto la priorità sulla regola applicata).name(stringa): il nome del criterio di sicurezza.priority(numero): la priorità della regola di corrispondenza nel criterio di sicurezza.configuredAction(stringa): il nome dell'azione configurata nella regola corrispondente, ad esempioALLOW,DENY.outcome(stringa): il risultato dell'esecuzione dell'azione configurata, ad esempioACCEPT,DENY.
Visualizzazione dei log
Puoi visualizzare i log per un criterio di sicurezza di Google Cloud Armor solo nella console Google Cloud.
Console
Nella console Google Cloud, vai a Criteri di Google Cloud Armor.
Fai clic su Azioni.
Seleziona Visualizza log.
Richiedi il logging dei dati
Se utilizzato con Google Cloud Armor, jsonPayload ha il seguente campo aggiuntivo:
securityPolicyRequestData: dati relativi alla richiesta mentre vengono elaborati da un criterio di sicurezza, indipendentemente dalla regola che alla fine viene abbinata.recaptchaActionToken: dati relativi a un token di azione reCAPTCHA.score (float): un punteggio di legittimità dell'utente incorporato in un token di azione reCAPTCHA. Presente solo quando un token di azione reCAPTCHA è associato alla richiesta e viene decodificato correttamente in base a una regola del criterio di sicurezza. Per maggiori informazioni, consulta Applicare la valutazione reCAPTCHA.
recaptchaSessionToken: dati relativi a un token di sessione reCAPTCHA.score (float): un punteggio di legittimità dell'utente incorporato in un token di sessione reCAPTCHA. Presente solo quando un token di sessione reCAPTCHA è associato alla richiesta e viene decodificato correttamente in base a una regola del criterio di sicurezza.
tlsJa3Fingerprint: un'impronta digitale TTL/SSL JA3 se il client si connette utilizzandoHTTPS,HTTP/2oHTTP/3. Presente solo se l'impronta è disponibile e esiste un criterio di sicurezza che valuta la richiesta (indipendentemente dal fatto che un'espressione nel criterio corrisponda alla richiesta).
Esempi di log
Di seguito è riportato un esempio di dettagli di log per una regola di limitazione che blocca una richiesta:
jsonPayload: {
enforcedSecurityPolicy: {
priority: 100
name: "sample-prod-policy"
configuredAction: "THROTTLE"
outcome: "DENY"
rateLimitAction: {
key:"sample-key"
outcome:"RATE_LIMIT_THRESHOLD_EXCEED"
}
}
@type: "type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry"
statusDetails: "denied_by_security_policy"
}
httpRequest: {8}
resource: {2}
timestamp: "2021-03-17T19:16:48.185763Z"
Di seguito è riportato un esempio di dettagli di log per una regola di esclusione basata sulla tariffa che blocca una richiesta:
jsonPayload: {
@type: "type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry"
enforcedSecurityPolicy: {
priority: 150
name: "sample-prod-policy"
outcome: "DENY"
configuredAction: "RATE_BASED_BAN"
rateLimitAction: {
key:"sample-key"
outcome:"BAN_THRESHOLD_EXCEED"
}
}
statusDetails: "denied_by_security_policy"
}
httpRequest: {8}
resource: {2}
timestamp: "2021-03-17T19:27:17.393244Z"
Passaggi successivi
Scopri di più sulla risoluzione dei problemi di Google Cloud Armor.