Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Questa pagina descrive i log creati dagli avvisi di minacce di Cloud IDS.
Log delle minacce
Puoi visualizzare i log generati a causa di minacce nella tua rete in Cloud Logging.
I log utilizzano un formato JSON con i seguenti campi:
threat_id: identificatore univoco della minaccia Palo Alto Networks.
name - Nome della minaccia.
alert_severity - Gravità della minaccia. Uno dei seguenti valori: INFORMATIONAL, LOW,
MEDIUM, HIGH o CRITICAL.
type: tipo di minaccia.
category: sottotipo di minaccia.
alert_time: ora in cui è stata scoperta la minaccia.
network: la rete del cliente in cui è stata rilevata la minaccia.
source_ip_address: indirizzo IP di origine del traffico sospetto. Quando utilizzi un
Google Cloud bilanciatore del carico, l'indirizzo IP del client reale non è
disponibile e questo valore è l'intervallo di indirizzi IP della piattaforma di frontend di Google (GFE). Il valore può essere 130.211.0.0/22 o 35.191.0.0/16.
destination_ip_address: indirizzo IP di destinazione del traffico sospetto.
source_port - Porta di origine del traffico sospetto.
destination_port - La porta di destinazione del traffico sospetto.
ip_protocol - Protocollo IP del traffico sospetto.
application: il tipo di applicazione del traffico sospetto, ad esempio SSH.
direction - La direzione del traffico sospetto (da client a server o da server a client).
session_id: un identificatore numerico interno applicato a ogni sessione.
repeat_count: numero di sessioni con lo stesso indirizzo IP di origine, indirizzo IP di destinazione, applicazione e tipo rilevati entro 5 secondi.
uri_or_filename: URI o nome file della minaccia pertinente, se applicabile.
cves: un elenco di CVE associate alla minaccia
details: informazioni aggiuntive sul tipo di minaccia, tratte da ThreatVault di Palo Alto Networks.
I campi JSON precedenti sono nidificati nel campo jsonPayload del log. Il
nome del log per i log delle minacce è
projects/<consumer-project>/logs/ids.googleapis.com/threat.
Inoltre, il campo labels.id del log contiene il nome dell'endpoint Cloud IDS e il campo resource.type è ids.googleapis.com/Endpoint.
Esempio di query
Questa query in Cloud Logging esegue query sul log delle minacce IDS nel progetto cloudmy-project, restituendo tutte le minacce segnalate dall'endpointmy-endpoint tra le 8:00 e le 9:00 del 4 aprile 2021, ora PST
(-07 offset fuso orario), in cui la gravità della minaccia è stata contrassegnata come ALTA.
logName="projects/my-project/logs/ids.googleapis.com/threat"
AND resource.type="ids.googleapis.com/Endpoint"
AND resource.labels.id="my-endpoint"
AND timestamp >= "2021-04-18T08:00:00-07"
AND timestamp <= "2021-04-18T09:00:00-07"
AND jsonPayload.alert_severity=("HIGH" OR "CRITICAL")
Criterio di conservazione
La conservazione è determinata dai bucket di archiviazione in cui si trovano i log.
Per impostazione predefinita, i log vengono inseriti nel bucket _Default, che per impostazione predefinita ha un criterio di conservazione di 30 giorni.
Puoi scegliere di filtrare i log in diversi bucket. Inoltre, la conservazione è configurabile.
Se vuoi un criterio di conservazione diverso da quello predefinito di 30 giorni, puoi eseguire una delle seguenti operazioni:
Filtra tutti i log in un altro bucket e configura un criterio di conservazione.
Configura un criterio di conservazione personalizzato per il bucket _Default. Questa operazione influirà su tutti gli altri log nel bucket _Default.
Log sul traffico
Puoi visualizzare i log generati a causa del traffico di rete in Cloud Logging.
I log utilizzano un formato JSON con i seguenti campi:
start_time: l'ora di inizio della sessione.
elapsed_time: il tempo trascorso dalla sessione.
network: la rete associata all'endpoint IDS.
source_ip_address: l'indirizzo IP di origine del pacchetto.
source_port: la porta di origine del traffico.
destination_ip_address: l'indirizzo IP di destinazione del pacchetto.
destination_port: la porta di destinazione del traffico.
ip_protocol: il protocollo IP del pacchetto.
application: l'applicazione associata alla sessione.
session_id: un identificatore numerico interno applicato a ogni sessione.
repeat_count: il numero di sessioni con lo stesso indirizzo IP di origine, lo stesso indirizzo IP di destinazione, la stessa applicazione e lo stesso tipo rilevati entro 5 secondi.
total_bytes: il numero totale di byte trasferiti nella sessione.
total_packets: il numero totale di pacchetti trasferiti nella sessione.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-05 UTC."],[[["\u003cp\u003eCloud IDS threat alerts generate logs viewable in Cloud Logging, using a JSON format with fields like \u003ccode\u003ethreat_id\u003c/code\u003e, \u003ccode\u003ename\u003c/code\u003e, and \u003ccode\u003ealert_severity\u003c/code\u003e to describe detected threats.\u003c/p\u003e\n"],["\u003cp\u003eThe JSON payload includes crucial details such as the source and destination IP addresses, ports, threat type, and severity, alongside additional data from Palo Alto Networks' ThreatVault.\u003c/p\u003e\n"],["\u003cp\u003eThreat logs can be queried within Cloud Logging using specific criteria, including the endpoint name, timestamp ranges, and threat severity levels, as demonstrated by the provided sample query.\u003c/p\u003e\n"],["\u003cp\u003eRetention of these logs depends on the storage bucket and is set to 30 days by default in the \u003ccode\u003e_Default\u003c/code\u003e bucket, but it can be customized through different bucket configurations.\u003c/p\u003e\n"],["\u003cp\u003eTraffic logs are also generated in Cloud Logging, using a JSON format, and they contain information about network traffic, such as \u003ccode\u003estart_time\u003c/code\u003e, \u003ccode\u003eelapsed_time\u003c/code\u003e, source and destination information, and the protocol used.\u003c/p\u003e\n"]]],[],null,["# Cloud IDS logging information\n\nThis page describes the logs created by Cloud IDS threat alerts.\n\nThreat logs\n-----------\n\nYou can view logs generated due to threats in your network in Cloud Logging.\nThe logs use a JSON format with the following fields:\n\n- `threat_id` - Unique Palo Alto Networks threat identifier.\n- `name` - Threat name.\n- `alert_severity` - Severity of the threat. One of `INFORMATIONAL`, `LOW`, `MEDIUM`, `HIGH`, or `CRITICAL`.\n- `type` - Type of the threat.\n- `category` - Sub-type of the threat.\n- `alert_time` - Time when the threat was discovered.\n- `network` - Customer network in which the threat was discovered.\n- `source_ip_address` - Suspected traffic's source IP address. When you use a Google Cloud load balancer the true client IP address is not available, and this value is the IP address range of the Google Front End (GFE). The value can be `130.211.0.0/22` or `35.191.0.0/16`.\n- `destination_ip_address` - Suspected traffic's destination IP address.\n- `source_port` - Suspected traffic's source port.\n- `destination_port` - Suspected traffic's destination port.\n- `ip_protocol` - Suspected traffic's IP protocol.\n- `application` - Suspected traffic's application type---for example, SSH.\n- `direction` - Suspected traffic's direction (client-to-server or server-to-client).\n- `session_id` - An internal numerical identifier applied to each session.\n- `repeat_count` - Number of sessions with the same source IP, destination IP, application, and type seen within 5 seconds.\n- `uri_or_filename` - URI or filename of the relevant threat, if applicable.\n- `cves` - a list of CVEs associated with the threat\n- `details` - Additional information about the type of threat, taken from Palo Alto Networks' ThreatVault.\n\nThe previous JSON fields are nested under the log's `jsonPayload` field. The\nlog name for threat logs is\n`projects/\u003cconsumer-project\u003e/logs/ids.googleapis.com/threat`.\n\nIn addition, the log's `labels.id` field contains the Cloud IDS endpoint's\nname, and its `resource.type` field is `ids.googleapis.com/Endpoint`.\n\n### Sample query\n\nThis query in Cloud Logging queries the IDS threat log in cloud project\n\u003cvar translate=\"no\"\u003emy-project\u003c/var\u003e, returning all threats reported by the\n\u003cvar translate=\"no\"\u003emy-endpoint\u003c/var\u003e endpoint between 8am-9am on April 4, 2021, PST time\n(-07 timezone offset), where the threat's severity was marked HIGH. \n\n```\nlogName=\"projects/my-project/logs/ids.googleapis.com/threat\"\n AND resource.type=\"ids.googleapis.com/Endpoint\"\n AND resource.labels.id=\"my-endpoint\"\n AND timestamp \u003e= \"2021-04-18T08:00:00-07\"\n AND timestamp \u003c= \"2021-04-18T09:00:00-07\"\n AND jsonPayload.alert_severity=(\"HIGH\" OR \"CRITICAL\")\n```\n\n### Retention policy\n\nRetention is determined by the storage buckets in which the logs are located.\nBy default, logs are placed in the `_Default` bucket, and by default this bucket\nhas a retention policy of 30 days.\n\nYou can choose to filter logs to different buckets. In addition, retention is\nconfigurable.\n\nIf you want a different retention policy than the default 30 days, you can do\none of the following:\n\n- Filter all logs into another bucket and configure a retention policy.\n- Configure a custom retention policy for the `_Default` bucket. This will affect all other logs in the `_Default` bucket.\n\nTraffic logs\n------------\n\nYou can view logs generated due to network traffic in Cloud Logging.\nThe logs use a JSON format with the following fields:\n\n- `start_time` - The time of the session start.\n- `elapsed_time` - The elapsed time of the session.\n- `network` - The network associated with the IDS endpoint.\n- `source_ip_address` - The source IP address of the packet.\n- `source_port` - The source port of the traffic.\n- `destination_ip_address` - The destination IP address of the packet.\n- `destination_port` - The destination port of the traffic.\n- `ip_protocol` - The IP protocol of the packet.\n- `application` - The application associated with the session.\n- `session_id` - An internal numerical identifier applied to each session.\n- `repeat_count` - The number of sessions with the same source IP, destination IP, application, and type seen within 5 seconds.\n- `total_bytes` - The total number of bytes transferred in the session.\n- `total_packets` - The total number of packets transferred in the session."]]
