Bedrohungslogs

Mit Bedrohungslogs können Sie die in Ihrem Netzwerk erkannten Bedrohungen im Blick behalten, prüfen und analysieren.

Wenn Cloud Next Generation Firewall eine Bedrohung für den für die Layer-7-Prüfung überwachten Traffic erkennt, wird ein Logeintrag im Ursprungsprojekt mit den Details der Bedrohung generiert. Suchen Sie im Log-Explorer nach dem Log networksecurity.googleapis.com/firewall_threat, um die Bedrohungslogs aufzurufen und zu prüfen. Sie können diese Bedrohungslogs auch auf der Seite Bedrohungen aufrufen.

Auf dieser Seite werden das Format und die Struktur der Bedrohungslogs erläutert, die bei der Erkennung einer Bedrohung generiert werden.

Format von Bedrohungslogs

Cloud NGFW erstellt in Cloud Logging für jede Bedrohung, die im überwachten Traffic zu oder von einer VM-Instanz in einer bestimmten Zone erkannt wird, einen Logeintrag. Logeinträge werden im JSON-Nutzlastfeld eines LogEntry erfasst.

Einige Logfelder haben ein Mehrfeldformat mit mehr als einem Datenelement in einem bestimmten Feld. Das Feld connection hat beispielsweise das Format Connection. Dieses Format enthält die Server-IP-Adresse und den Serverport, die IP-Adresse des Clients und den Port sowie die Protokollnummer in einem einzigen Feld.

In der folgenden Tabelle wird das Format der Bedrohungslogfelder beschrieben.

Feld Typ Beschreibung
connection Connection Ein 5-Tupel, das die Verbindungsparameter beschreibt, die dem Traffic zugeordnet sind, bei dem die Bedrohung erkannt wird.
action string Die Aktion, die für das Paket ausgeführt wird, in dem die Bedrohung erkannt wird. Diese Aktion kann entweder die Standardaktion oder die im Sicherheitsprofil angegebene Überschreibungsaktion sein. Weitere Informationen zu Standardaktionen finden Sie unter Standardsignatursatz.
threatDetails ThreatDetails Details der erkannten Bedrohung.
securityProfileGroupDetails SecurityProfileGroupDetails Die Details der Sicherheitsprofilgruppe, die auf den abgefangenen Traffic angewendet wird.
interceptVpc VpcDetails Die Details des VPC-Netzwerks (Virtual Private Cloud), das der VM-Instanz zugeordnet ist, in der die Bedrohung erkannt wird.

Format des Felds Connection

In der folgenden Tabelle wird das Format des Felds Connection beschrieben.

Feld Typ Beschreibung
clientIp string Die IP-Adresse des Clients. Wenn der Client eine Compute Engine-VM ist, ist clientIp entweder die primäre interne IP-Adresse oder eine Adresse in einem Alias-IP-Bereich der Netzwerkschnittstelle einer VM. Die externe IP-Adresse wird nicht angegeben. Die Logs zeigen die im Paketheader angegebene IP-Adresse der VM-Instanz an, ähnlich wie beim TCP-Dump auf der VM-Instanz.
clientPort integer Die Portnummer des Clients.
serverIp string Die IP-Adresse des Servers. Wenn die Quelle eine Compute Engine-VM ist, ist serverIp entweder die primäre interne IP-Adresse oder eine Adresse in einem Alias-IP-Bereich der Netzwerkschnittstelle einer VM. Die externe IP-Adresse wird nicht angegeben, auch wenn sie zur Herstellung der Verbindung verwendet wurde.
serverPort integer Die Serverportnummer.
protocol string Das IP-Protokoll der Verbindung.

Format des Felds ThreatDetails

In der folgenden Tabelle wird das Format des Felds ThreatDetails beschrieben.

Feld Typ Beschreibung
id string Die eindeutige Bedrohungs-ID von Palo Alto Networks.
threat string Der Name der erkannten Bedrohung.
description string Eine detaillierte Beschreibung der erkannten Bedrohung.
direction string Die Richtung des Traffics. Beispiel: client_to_server oder server_to_client.
severity string Der mit der erkannten Bedrohung verknüpfte Schweregrad. Weitere Informationen finden Sie unter Bedrohungsschweregrade.
detectionTime string Der Zeitpunkt, zu dem die Bedrohung erkannt wird.
category string Der Untertyp der erkannten Bedrohung. Beispiel: CODE_EXECUTION.
uriOrFilename string Der URI oder Dateiname der entsprechenden Bedrohung (falls zutreffend).
type string Der Typ der erkannten Bedrohung. Beispiel: SPYWARE.
repeatCount integer Die Anzahl der Sitzungen mit derselben Client-IP-Adresse, Server-IP-Adresse und Bedrohungstyp, die innerhalb von fünf Sekunden angezeigt werden.
cves string Eine Liste mit häufigen Sicherheitslücken und Bedrohungen (Common Vulnerabilities and Exposures, CVEs), die mit der Bedrohung verbunden sind. Beispiel: CVE-2021-44228-Apache Log4j remote code execution vulnerability.

Format des Felds SecurityProfileGroupDetails

In der folgenden Tabelle wird das Format des Felds SecurityProfileGroupDetails beschrieben.

Feld Typ Beschreibung
securityProfileGroupId string Der Name der Sicherheitsprofilgruppe, die auf den Traffic angewendet wird.
organizationId integer Die Organisations-ID, zu der die VM-Instanz gehört.

Format des Felds VpcDetails

In der folgenden Tabelle wird das Format des Felds VpcDetails beschrieben.

Feld Typ Beschreibung
vpc string Der Name des VPC-Netzwerks, das dem abgefangenen Traffic zugeordnet ist.
projectId string Der Name des Google Cloud-Projekts, das dem VPC-Netzwerk zugeordnet ist.

Nächste Schritte