source_ip_address - 의심스러운 트래픽의 소스 IP 주소입니다.Google Cloud 부하 분산기를 사용할 때는 실제 클라이언트 IP 주소를 사용할 수 없으며, 이 값은 Google 프런트엔드(GFE)의 IP 주소 범위입니다. 값은 130.211.0.0/22 또는 35.191.0.0/16일 수 있습니다.
destination_ip_address - 의심스러운 트래픽의 대상 IP 주소입니다.
source_port - 의심스러운 트래픽의 소스 포트입니다.
destination_port - 의심스러운 트래픽의 목적지 포트입니다.
ip_protocol - 의심스러운 트래픽의 IP 프로토콜입니다.
application - 의심스러운 트래픽의 애플리케이션 유형(예: SSH)입니다.
direction - 의심스러운 트래픽 방향(클라이언트-서버 또는 서버-클라이언트)입니다.
session_id - 각 세션에 적용되는 내부 숫자 식별자입니다.
repeat_count - 5초 이내에 확인된 소스 IP, 대상 IP, 애플리케이션, 유형이 동일한 세션 수입니다.
uri_or_filename - 관련 위협의 URI 또는 파일 이름입니다(해당하는 경우).
cves - 위협과 연결된 CVE 목록입니다.
details - Palo Alto Networks의 ThreatVault에서 가져온 위협 유형에 대한 추가 정보입니다.
이전 JSON 필드는 로그의 jsonPayload 필드 아래에 중첩됩니다. 위협 로그의 로그 이름은 projects/<consumer-project>/logs/ids.googleapis.com/threat입니다.
또한 로그의 labels.id 필드에는 Cloud IDS 엔드포인트의 이름이 포함되며 해당 resource.type 필드는 ids.googleapis.com/Endpoint입니다.
샘플 쿼리
Cloud Logging에서 이 쿼리는 클라우드 프로젝트 my-project의 IDS 위협 로그를 쿼리하고 2021년 4월 4일 오전 8시부터 오전 9시(PST, -07 시간대 오프셋) 사이에 my-endpoint에서 보고되고 위협의 심각도가 높음으로 표시된 모든 위협을 반환합니다.
logName="projects/my-project/logs/ids.googleapis.com/threat"
AND resource.type="ids.googleapis.com/Endpoint"
AND resource.labels.id="my-endpoint"
AND timestamp >= "2021-04-18T08:00:00-07"
AND timestamp <= "2021-04-18T09:00:00-07"
AND jsonPayload.alert_severity=("HIGH" OR "CRITICAL")
보관 정책
보관은 로그가 있는 스토리지 버킷에 따라 결정됩니다.
기본적으로 로그는 _Default 버킷에 배치되며 이 버킷의 기본 보관 정책 기간은 30일입니다.
여러 버킷에 대해 로그를 필터링하도록 선택할 수 있습니다. 또한 보관 정책을 구성할 수 있습니다.
기본 30일과 다른 보관 정책 기간이 필요하면 다음 중 하나를 수행할 수 있습니다.
모든 로그를 다른 버킷으로 필터링하고 보관 정책을 구성합니다.
_Default 버킷에 대해 커스텀 보관 정책을 구성합니다. 이렇게 하면 _Default 버킷의 다른 모든 로그에 영향을 줍니다.
트래픽 로그
Cloud Logging에서 네트워크 트래픽으로 인해 생성된 로그를 볼 수 있습니다.
이러한 로그에는 다음 필드가 포함된 JSON 형식이 사용됩니다.
start_time - 세션 시작 시간입니다.
elapsed_time - 세션의 경과 시간입니다.
network - IDS 엔드포인트와 연결된 네트워크입니다.
source_ip_address - 패킷의 소스 IP 주소입니다.
source_port - 트래픽의 소스 포트입니다.
destination_ip_address - 패킷의 대상 IP 주소입니다.
destination_port - 트래픽의 목적지 포트입니다.
ip_protocol - 패킷의 IP 프로토콜입니다.
application - 세션과 연결된 애플리케이션입니다.
session_id - 각 세션에 적용되는 내부 숫자 식별자입니다.
repeat_count - 5초 이내에 확인된 소스 IP, 대상 IP, 애플리케이션, 유형이 동일한 세션 수입니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-05(UTC)"],[[["\u003cp\u003eCloud IDS threat alerts generate logs viewable in Cloud Logging, using a JSON format with fields like \u003ccode\u003ethreat_id\u003c/code\u003e, \u003ccode\u003ename\u003c/code\u003e, and \u003ccode\u003ealert_severity\u003c/code\u003e to describe detected threats.\u003c/p\u003e\n"],["\u003cp\u003eThe JSON payload includes crucial details such as the source and destination IP addresses, ports, threat type, and severity, alongside additional data from Palo Alto Networks' ThreatVault.\u003c/p\u003e\n"],["\u003cp\u003eThreat logs can be queried within Cloud Logging using specific criteria, including the endpoint name, timestamp ranges, and threat severity levels, as demonstrated by the provided sample query.\u003c/p\u003e\n"],["\u003cp\u003eRetention of these logs depends on the storage bucket and is set to 30 days by default in the \u003ccode\u003e_Default\u003c/code\u003e bucket, but it can be customized through different bucket configurations.\u003c/p\u003e\n"],["\u003cp\u003eTraffic logs are also generated in Cloud Logging, using a JSON format, and they contain information about network traffic, such as \u003ccode\u003estart_time\u003c/code\u003e, \u003ccode\u003eelapsed_time\u003c/code\u003e, source and destination information, and the protocol used.\u003c/p\u003e\n"]]],[],null,["# Cloud IDS logging information\n\nThis page describes the logs created by Cloud IDS threat alerts.\n\nThreat logs\n-----------\n\nYou can view logs generated due to threats in your network in Cloud Logging.\nThe logs use a JSON format with the following fields:\n\n- `threat_id` - Unique Palo Alto Networks threat identifier.\n- `name` - Threat name.\n- `alert_severity` - Severity of the threat. One of `INFORMATIONAL`, `LOW`, `MEDIUM`, `HIGH`, or `CRITICAL`.\n- `type` - Type of the threat.\n- `category` - Sub-type of the threat.\n- `alert_time` - Time when the threat was discovered.\n- `network` - Customer network in which the threat was discovered.\n- `source_ip_address` - Suspected traffic's source IP address. When you use a Google Cloud load balancer the true client IP address is not available, and this value is the IP address range of the Google Front End (GFE). The value can be `130.211.0.0/22` or `35.191.0.0/16`.\n- `destination_ip_address` - Suspected traffic's destination IP address.\n- `source_port` - Suspected traffic's source port.\n- `destination_port` - Suspected traffic's destination port.\n- `ip_protocol` - Suspected traffic's IP protocol.\n- `application` - Suspected traffic's application type---for example, SSH.\n- `direction` - Suspected traffic's direction (client-to-server or server-to-client).\n- `session_id` - An internal numerical identifier applied to each session.\n- `repeat_count` - Number of sessions with the same source IP, destination IP, application, and type seen within 5 seconds.\n- `uri_or_filename` - URI or filename of the relevant threat, if applicable.\n- `cves` - a list of CVEs associated with the threat\n- `details` - Additional information about the type of threat, taken from Palo Alto Networks' ThreatVault.\n\nThe previous JSON fields are nested under the log's `jsonPayload` field. The\nlog name for threat logs is\n`projects/\u003cconsumer-project\u003e/logs/ids.googleapis.com/threat`.\n\nIn addition, the log's `labels.id` field contains the Cloud IDS endpoint's\nname, and its `resource.type` field is `ids.googleapis.com/Endpoint`.\n\n### Sample query\n\nThis query in Cloud Logging queries the IDS threat log in cloud project\n\u003cvar translate=\"no\"\u003emy-project\u003c/var\u003e, returning all threats reported by the\n\u003cvar translate=\"no\"\u003emy-endpoint\u003c/var\u003e endpoint between 8am-9am on April 4, 2021, PST time\n(-07 timezone offset), where the threat's severity was marked HIGH. \n\n```\nlogName=\"projects/my-project/logs/ids.googleapis.com/threat\"\n AND resource.type=\"ids.googleapis.com/Endpoint\"\n AND resource.labels.id=\"my-endpoint\"\n AND timestamp \u003e= \"2021-04-18T08:00:00-07\"\n AND timestamp \u003c= \"2021-04-18T09:00:00-07\"\n AND jsonPayload.alert_severity=(\"HIGH\" OR \"CRITICAL\")\n```\n\n### Retention policy\n\nRetention is determined by the storage buckets in which the logs are located.\nBy default, logs are placed in the `_Default` bucket, and by default this bucket\nhas a retention policy of 30 days.\n\nYou can choose to filter logs to different buckets. In addition, retention is\nconfigurable.\n\nIf you want a different retention policy than the default 30 days, you can do\none of the following:\n\n- Filter all logs into another bucket and configure a retention policy.\n- Configure a custom retention policy for the `_Default` bucket. This will affect all other logs in the `_Default` bucket.\n\nTraffic logs\n------------\n\nYou can view logs generated due to network traffic in Cloud Logging.\nThe logs use a JSON format with the following fields:\n\n- `start_time` - The time of the session start.\n- `elapsed_time` - The elapsed time of the session.\n- `network` - The network associated with the IDS endpoint.\n- `source_ip_address` - The source IP address of the packet.\n- `source_port` - The source port of the traffic.\n- `destination_ip_address` - The destination IP address of the packet.\n- `destination_port` - The destination port of the traffic.\n- `ip_protocol` - The IP protocol of the packet.\n- `application` - The application associated with the session.\n- `session_id` - An internal numerical identifier applied to each session.\n- `repeat_count` - The number of sessions with the same source IP, destination IP, application, and type seen within 5 seconds.\n- `total_bytes` - The total number of bytes transferred in the session.\n- `total_packets` - The total number of packets transferred in the session."]]
