Bedrohungslogs

Mit Bedrohungslogs können Sie die in Ihrem Netzwerk erkannten Bedrohungen im Blick behalten, prüfen und analysieren.

Wenn Cloud Next Generation Firewall eine Bedrohung im Traffic erkennt, der für die Layer-7-Prüfung überwacht wird, generiert sie einen Logeintrag im ursprünglichen Projekt mit den Details zur Bedrohung. Suchen Sie im Log-Explorer nach dem Log networksecurity.googleapis.com/firewall_threat, um die Bedrohungslogs anzuzeigen und zu prüfen. Sie können diese Bedrohungsprotokolle auch auf der Seite Bedrohungen aufrufen.

Auf dieser Seite werden das Format und die Struktur der Bedrohungsprotokolle erläutert, die generiert werden, wenn eine Bedrohung erkannt wird.

Format von Bedrohungslogs

Cloud NGFW erstellt in Cloud Logging einen Logeintrag für jede Bedrohung, die für den überwachten Traffic zu oder von einer VM-Instanz in einer bestimmten Zone erkannt wird. Logeinträge werden im JSON-Nutzlastfeld eines LogEntry erfasst.

Einige Logfelder haben ein Mehrfeldformat mit mehr als einem Datenelement in einem bestimmten Feld. Das Feld connection hat beispielsweise das Format Connection. Dieses Format enthält die IP-Adresse und den Port des Servers, die IP-Adresse und den Port des Clients sowie die Protokollnummer in einem einzelnen Feld.

In der folgenden Tabelle wird das Format der Bedrohungslogfelder beschrieben.

Feld Typ Beschreibung
connection Connection Ein 5-Tupel, das die Verbindungsparameter beschreibt, die dem Traffic zugeordnet sind, bei dem die Bedrohung erkannt wird.
action string Die Aktion, die für das Paket ausgeführt wurde, in dem die Bedrohung erkannt wird. Diese Aktion kann entweder die Standardaktion oder die im Sicherheitsprofil angegebene Überschreibungsaktion sein.
threatDetails ThreatDetails Details zur erkannten Bedrohung.
securityProfileGroupDetails SecurityProfileGroupDetails Die Details der Sicherheitsprofilgruppe, die auf den abgefangenen Traffic angewendet wird.
interceptVpc VpcDetails Die Details des Virtual Private Cloud-Netzwerks (VPC), das mit der VM-Instanz verknüpft ist, in der die Bedrohung erkannt wird.

Format des Felds Connection

In der folgenden Tabelle wird das Format des Felds Connection beschrieben.

Feld Typ Beschreibung
clientIp string Die IP-Adresse des Clients. Wenn der Client eine Compute Engine-VM ist, ist clientIp entweder die primäre interne IP-Adresse oder eine Adresse in einem Alias-IP-Bereich der Netzwerkschnittstelle einer VM. Die externe IP-Adresse wird nicht angegeben. Die Logs enthalten die im Paketheader beobachtete IP-Adresse der VM-Instanz, ähnlich wie der TCP-Dump auf der VM-Instanz.
clientPort integer Die Clientportnummer.
serverIp string Die IP-Adresse des Servers. Wenn die Quelle eine Compute Engine-VM ist, ist serverIp entweder die primäre interne IP-Adresse oder eine Adresse in einem Alias-IP-Bereich der Netzwerkschnittstelle einer VM. Die externe IP-Adresse wird nicht angegeben, auch wenn sie zur Herstellung der Verbindung verwendet wurde.
serverPort integer Die Server-Portnummer.
protocol string Das IP-Protokoll der Verbindung.

Format des Felds ThreatDetails

In der folgenden Tabelle wird das Format des Felds ThreatDetails beschrieben.

Feld Typ Beschreibung
id string Die eindeutige Bedrohungs-ID von Palo Alto Networks.
threat string Der Name der erkannten Bedrohung.
description string Eine detaillierte Beschreibung der erkannten Bedrohung.
direction string Die Richtung des Traffics. Beispiel: client_to_server oder server_to_client.
severity string Der Schweregrad der erkannten Bedrohung. Weitere Informationen finden Sie unter Schweregrade von Bedrohungen.
detectionTime string Die Zeit, zu der die Bedrohung erkannt wird.
category string Der Untertyp der erkannten Bedrohung. Beispiel: CODE_EXECUTION.
uriOrFilename string Der URI oder Dateiname der relevanten Bedrohung (falls zutreffend).
type string Die Art der erkannten Bedrohung. Beispiel: SPYWARE.
repeatCount integer Die Anzahl der Sitzungen mit derselben Client-IP-Adresse, Server-IP-Adresse und Bedrohungstyp, die innerhalb von fünf Sekunden erfasst wurden.
cves string Eine Liste der Common Vulnerabilities and Exposures (CVEs), die mit der Bedrohung in Verbindung stehen. Beispiel: CVE-2021-44228-Apache Log4j remote code execution vulnerability.

Format des Felds SecurityProfileGroupDetails

In der folgenden Tabelle wird das Format des Felds SecurityProfileGroupDetails beschrieben.

Feld Typ Beschreibung
securityProfileGroupId string Der Name der Sicherheitsprofilgruppe, die auf den Traffic angewendet wird.
organizationId integer Die Organisations-ID, zu der die VM-Instanz gehört.

Format des Felds VpcDetails

In der folgenden Tabelle wird das Format des Felds VpcDetails beschrieben.

Feld Typ Beschreibung
vpc string Der Name des VPC-Netzwerks, das dem abgefangenen Traffic zugeordnet ist.
projectId string Der Name des Google Cloud-Projekts, das mit dem VPC-Netzwerk verknüpft ist.

Nächste Schritte