Organízate con las colecciones
Guarda y clasifica el contenido según tus preferencias.
Verificar que un endpoint de IDS funciona
Para confirmar que un endpoint de IDS funciona correctamente, haz lo siguiente:
Comprueba que el endpoint de IDS aparezca en la consola de Cloud IDS Google Cloud y que haya una política de replicación de paquetes en la columna Attached Policies.
Para comprobar que la política adjunta está habilitada, haz clic en el nombre de la política y asegúrate de que Policy Enforcement esté configurado como Habilitada.
Para verificar que el tráfico se está duplicando, elija una instancia de VM en la VPC monitorizada, vaya a la pestaña Observabilidad y compruebe que el panel de control Mirrored
Bytes muestra que el tráfico se está duplicando en el endpoint de IDS.
Asegúrate de que el mismo tráfico (o VM) no se vea afectado por más de una política de replicación de paquetes, ya que cada paquete solo se puede replicar en un destino. Consulta la columna Attached Policies y asegúrate de que solo haya una política por máquina virtual.
Genera una alerta de prueba mediante SSH para conectarte a una VM de la red monitorizada y, a continuación, ejecuta el siguiente comando:
Si curl no está disponible en la plataforma, puedes usar una herramienta similar para enviar solicitudes HTTP.
Al cabo de unos segundos, debería aparecer una alerta en la interfaz de usuario de Cloud IDS y en Cloud Logging (registro de amenazas).
Descifrar el tráfico para inspeccionarlo
Para inspeccionar el tráfico, Cloud IDS usa la creación de réplicas de paquetes para enviar copias a nivel de paquete del tráfico configurado a la VM de IDS. Aunque el destino del recopilador recibe todos los paquetes duplicados, Cloud IDS no puede descifrar los paquetes que contienen datos cifrados con un protocolo seguro, como TLS, HTTPS o HTTP2.
Por ejemplo, si usas HTTPS o HTTP2 como protocolo de servicio de backend de un balanceador de carga de aplicaciones externo, los paquetes enviados a los backends del balanceador de carga se pueden duplicar en Cloud IDS. Sin embargo, Cloud IDS no puede inspeccionar las solicitudes porque los paquetes contienen datos cifrados. Para habilitar la inspección de Cloud IDS, debes cambiar el protocolo del servicio de backend a HTTP. También puedes usar Google Cloud Armor para evitar intrusiones y habilitar los registros del balanceador de carga de aplicaciones para inspeccionar las solicitudes. Para obtener más información sobre el registro de solicitudes del balanceador de carga de aplicaciones, consulta Registro y monitorización del balanceador de carga de aplicaciones externo global y Registro y monitorización del balanceador de carga de aplicaciones externo regional.
Solo se inspecciona un pequeño volumen de tráfico
Cloud IDS inspecciona el tráfico enviado o recibido por los recursos de las subredes reflejadas, incluidas las máquinas virtuales, los nodos de GKE y los pods. Google Cloud
Si una subred reflejada no contiene ninguna VM, Cloud IDS no tendrá tráfico que inspeccionar.
Las políticas de endpoint se ignoran cuando se usan políticas de inspección de nivel 7 de Cloud NGFW
Cuando usas Cloud Next Generation Firewall y Cloud IDS juntos, se evalúan las reglas de la política de cortafuegos y el tráfico no se replica para la inspección de Cloud IDS.apply_security_profile_group Para evitar esta situación, asegúrate de que las políticas de inspección de capa 7 de Cloud NGFW no se apliquen a los paquetes que necesites inspeccionar con Cloud IDS.
[[["Es fácil de entender","easyToUnderstand","thumb-up"],["Me ofreció una solución al problema","solvedMyProblem","thumb-up"],["Otro","otherUp","thumb-up"]],[["Es difícil de entender","hardToUnderstand","thumb-down"],["La información o el código de muestra no son correctos","incorrectInformationOrSampleCode","thumb-down"],["Me faltan las muestras o la información que necesito","missingTheInformationSamplesINeed","thumb-down"],["Problema de traducción","translationIssue","thumb-down"],["Otro","otherDown","thumb-down"]],["Última actualización: 2025-09-11 (UTC)."],[[["\u003cp\u003eTo confirm an IDS endpoint is functional, verify its presence in the Cloud IDS console, ensure the attached packet mirroring policy is enabled, and confirm traffic mirroring via the \u003ccode\u003eMirrored Bytes\u003c/code\u003e dashboard.\u003c/p\u003e\n"],["\u003cp\u003eEach packet can only be mirrored to one destination, so ensure that a VM is not affected by more than one packet mirroring policy, which can be confirmed in the \u003ccode\u003eAttached Policies\u003c/code\u003e column.\u003c/p\u003e\n"],["\u003cp\u003eGenerate a test alert by using SSH to connect to a VM and run a specific \u003ccode\u003ecurl\u003c/code\u003e command (or similar HTTP request tool) to trigger an alert, which should then be visible in the Cloud IDS UI and Cloud Logging (Threat Log).\u003c/p\u003e\n"],["\u003cp\u003eCloud IDS cannot decrypt traffic encrypted with secure protocols like TLS, HTTPS, or HTTP2, so for inspection, backend service protocols should be changed to HTTP, or use Google Cloud Armor for intrusion prevention.\u003c/p\u003e\n"],["\u003cp\u003eTraffic is only inspected if sent to or received by resources within mirrored subnets, and Cloud NGFW L7 inspection policies will prevent mirroring for Cloud IDS if they apply to the same packets.\u003c/p\u003e\n"]]],[],null,["# Troubleshoot endpoints and inspection\n\nVerify that an IDS endpoint is functional\n-----------------------------------------\n\n| **Note:** If your endpoint generates any alerts, it is considered to be functional.\n\nTo confirm that an IDS endpoint is functional, do the following:\n\n1. Verify that the IDS endpoint appears in the Cloud IDS Google Cloud console, and that there is a packet mirroring policy in the `Attached Policies` column.\n2. Ensure that the attached policy is enabled by clicking the policy name, and make sure that `Policy Enforcement` is set to **Enabled**.\n3. To verify that traffic is being mirrored, choose a VM Instance in the monitored VPC, go to the **Observability** tab, and make sure that the `Mirrored\n Bytes` dashboard shows traffic being mirrored to the IDS endpoint.\n4. Ensure that the same traffic (or VM) is not affected by more than one packet mirroring policy, as each packet can be mirrored to only one destination. Check the `Attached Policies` column, and ensure that there is only one policy per VM.\n5. Generate a test alert by using SSH to connect to a VM in the monitored\n network, then run the following command:\n\n ```\n curl http://example.com/cgi-bin/../../../..//bin/cat%%20/etc/passwd\n ```\n\n If curl is unavailable on the platform, you can use a similar tool for\n performing HTTP requests.\n\n After a few seconds, an alert should show up in both the Cloud IDS UI and\n in Cloud Logging (Threat Log).\n\nDecrypting traffic for inspection\n---------------------------------\n\nTo inspect traffic, Cloud IDS uses Packet Mirroring to send\npacket-level copies of configured traffic to the IDS VM. Even though the\ncollector destination receives all mirrored packets, any packets that carry data that was\nencrypted using a secure protocol like TLS, HTTPS, or HTTP2 can't be decrypted\nby Cloud IDS.\n\nFor example, if you use HTTPS or HTTP2 as the backend service protocol for an\nexternal application load balancer, packets sent to the load balancer's backends\ncan be mirrored to Cloud IDS; however, the requests cannot be inspected by\nCloud IDS because the packets carry encrypted data. To enable Cloud IDS\ninspection, you must change the backend service protocol to HTTP. Alternatively,\nyou can use [Google Cloud Armor](/armor/docs/cloud-armor-overview) for intrusion\nprevention, and enable application load balancer logs for request inspection. For\nmore information about application load balancer request logging, see\n[Global external Application Load Balancer logging and\nmonitoring](/load-balancing/docs/https/https-logging-monitoring#logging) and\n[Regional external Application Load Balancer logging and\nmonitoring](/load-balancing/docs/https/https-reg-logging-monitoring#logging).\n\nOnly a small volume of traffic is inspected\n-------------------------------------------\n\nCloud IDS inspects traffic sent to or received by resources in mirrored\nsubnets, including Google Cloud VMs and GKE nodes and\nPods.\n\nIf a mirrored subnet contains no VMs, Cloud IDS has no traffic to inspect.\n\nEndpoint policies are ignored when using Cloud NGFW L7 inspection policies\n--------------------------------------------------------------------------\n\nWhen you use Cloud Next Generation Firewall L7 inspection policies (rules with the\n`apply_security_profile_group` action) and Cloud IDS together, firewall\npolicy rules are evaluated and traffic is not mirrored for Cloud IDS\ninspection. You can avoid this situation by ensuring that\nCloud NGFW L7 inspection policies don't apply to packets that you\nneed to inspect with Cloud IDS."]]
