Información de registro del IDS de Cloud

En esta página, se describen los registros creados por las alertas de amenazas del IDS de Cloud.

Registros de amenazas

Puedes ver los registros generados debido a amenazas en tu red en Cloud Logging. Los registros usan un formato JSON con los siguientes campos:

  • threat_id: Identificador de amenaza único de Palo Alto Networks.
  • name: Nombre de la amenaza.
  • alert_severity: gravedad de la amenaza. Puede ser INFORMATIONAL, LOW, MEDIUM, HIGH o CRITICAL.
  • type: tipo de amenaza.
  • category: Subtipo de amenaza.
  • alert_time: la hora en que se descubrió la amenaza.
  • network: red del cliente en la que se descubrió la amenaza.
  • source_ip_address: es la dirección IP de origen de tráfico potencial. Cuando usas un balanceador de cargas de Google Cloud, la dirección IP de cliente real no está disponible y este valor es el rango de direcciones IP del Google Front End (GFE). El valor puede ser 130.211.0.0/22 o 35.191.0.0/16.
  • destination_ip_address: es la dirección IP de destino de tráfico que se sospecha.
  • source_port: es el puerto de origen que se sospecha que es de tráfico.
  • destination_port: es el puerto de destino que se sospecha que proviene de tráfico.
  • ip_protocol: es el protocolo de IP de tráfico sospechoso.
  • application: Es el tipo de aplicación de tráfico potencial, por ejemplo, SSH.
  • direction: Indica la dirección del tráfico que se sospecha (cliente a servidor o servidor a cliente).
  • session_id: Es un identificador numérico interno que se aplica a cada sesión.
  • repeat_count: cantidad de sesiones con la misma IP de origen, IP de destino, aplicación y tipo observadas en 5 segundos.
  • uri_or_filename: Es el URI o el nombre de archivo de la amenaza relevante, si corresponde.
  • cves: Una lista de CVE asociados con la amenaza
  • details: información adicional sobre el tipo de amenaza, tomada del ThreatVault de Palo Alto Networks.

Los campos JSON anteriores están anidados en el campo jsonPayload del registro. El nombre de los registros de amenazas es projects/<consumer-project>/logs/ids.googleapis.com/threat.

Además, el campo labels.id del registro contiene el nombre del extremo del IDS de Cloud y su campo resource.type es ids.googleapis.com/Endpoint.

Consulta de muestra

Esta consulta en Cloud Logging consulta el registro de amenazas del IDS en el proyecto de la nube my-project y muestra todas las amenazas informadas por el extremo my-endpoint entre las 8:00 a.m. y las 9:00 a.m. del 4 de abril de 2021, hora PST (desplazamiento de zona horaria -07), en el que la gravedad de la amenaza se marcó como ALTA.

logName="projects/my-project/logs/ids.googleapis.com/threat"
   AND resource.type="ids.googleapis.com/Endpoint"
   AND resource.labels.id="my-endpoint"
   AND timestamp >= "2021-04-18T08:00:00-07"
   AND timestamp <= "2021-04-18T09:00:00-07"
   AND jsonPayload.alert_severity=("HIGH" OR "CRITICAL")

Política de retención

La retención está determinada por los buckets de almacenamiento en los que se encuentran los registros. De forma predeterminada, los registros se colocan en el bucket _Default y, de forma predeterminada, este bucket tiene una política de retención de 30 días.

Puedes filtrar los registros para diferentes buckets. Además, la retención se puede configurar.

Si quieres una política de retención diferente a la predeterminada de 30 días, puedes realizar una de las siguientes acciones:

  • Filtra todos los registros en otro bucket y configura una política de retención.
  • Configura una política de retención personalizada para el bucket _Default. Esta acción afectará a todos los demás registros del bucket _Default.

Registros de tráfico

Puedes ver los registros generados debido al tráfico de red en Cloud Logging. Los registros usan un formato JSON con los siguientes campos:

  • start_time: Es la hora del inicio de la sesión.
  • elapsed_time: Es el tiempo transcurrido de la sesión.
  • network: Es la red asociada con el extremo de IDS.
  • source_ip_address: Es la dirección IP de origen del paquete.
  • source_port: Es el puerto de origen del tráfico.
  • destination_ip_address: Es la dirección IP de destino del paquete.
  • destination_port: Es el puerto de destino del tráfico.
  • ip_protocol: Es el protocolo IP del paquete.
  • application: Es la aplicación asociada con la sesión.
  • session_id: Es un identificador numérico interno que se aplica a cada sesión.
  • repeat_count: Es la cantidad de sesiones con la misma IP de origen, IP de destino, aplicación y tipo observadas en 5 segundos.
  • total_bytes: es la cantidad total de bytes transferidos en la sesión.
  • total_packets: Es la cantidad total de paquetes transferidos en la sesión.