Risolvere i problemi relativi agli endpoint e all'ispezione
Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Verificare che un endpoint IDS sia funzionale
Per verificare che un endpoint IDS sia funzionale, procedi nel seguente modo:
Verifica che l'endpoint IDS sia visualizzato nella Google Cloud console Cloud IDS
e che nella colonna Attached Policies sia presente un criterio di mirroring dei pacchetti.
Assicurati che il criterio allegato sia attivato facendo clic sul nome del criterio e assicurati che Policy Enforcement sia impostato su Attivato.
Per verificare che il traffico venga sottoposto a mirroring, scegli un'istanza VM nel VPC monitorato, vai alla scheda Osservabilità e assicurati che la dashboard Mirrored
Bytes mostri il traffico sottoposto a mirroring all'endpoint IDS.
Assicurati che lo stesso traffico (o la stessa VM) non sia interessato da più di un
policy di mirroring dei pacchetti, poiché ogni pacchetto può essere sottoposto a mirroring solo in una
destinazione. Controlla la colonna Attached Policies e assicurati che sia presente un solo criterio per VM.
Genera un avviso di prova utilizzando SSH per connetterti a una VM nella rete monitorata, quindi esegui il seguente comando:
Se curl non è disponibile sulla piattaforma, puoi utilizzare uno strumento simile per eseguire richieste HTTP.
Dopo alcuni secondi, dovrebbe essere visualizzato un avviso sia nell'interfaccia utente di Cloud IDS sia in Cloud Logging (log delle minacce).
Decrittografia del traffico per l'ispezione
Per ispezionare il traffico, Cloud IDS utilizza il mirroring dei pacchetti per inviare alla VM IDS copie a livello di pacchetto del traffico configurato. Anche se la destinazione del collector riceve tutti i pacchetti sottoposti a mirroring, i pacchetti che trasportano dati criptati utilizzando un protocollo sicuro come TLS, HTTPS o HTTP2 non possono essere decriptati da Cloud IDS.
Ad esempio, se utilizzi HTTPS o HTTP2 come protocollo del servizio di backend per un bilanciatore del carico delle applicazioni esterno, i pacchetti inviati ai backend del bilanciatore del carico possono essere sottoposti a mirroring in Cloud IDS. Tuttavia, le richieste non possono essere ispezionate da Cloud IDS perché i pacchetti contengono dati criptati. Per attivare l'ispezione di Cloud IDS, devi impostare il protocollo del servizio di backend su HTTP. In alternativa, puoi utilizzare Google Cloud Armor per la prevenzione delle intrusioni e attivare i log del bilanciatore del carico delle applicazioni per l'ispezione delle richieste. Per maggiori informazioni sul logging delle richieste del bilanciatore del carico delle applicazioni, consulta Logging e monitoraggio del bilanciatore del carico delle applicazioni esterno globale e Logging e monitoraggio del bilanciatore del carico delle applicazioni esterno regionale.
Viene ispezionato solo un volume ridotto di traffico
Cloud IDS controlla il traffico inviato a o ricevuto dalle risorse nelle sottoreti sottoposte a mirroring, tra cui Google Cloud VM, nodi e pod GKE.
Se una subnet sdoppiata non contiene VM, Cloud IDS non ha traffico da ispezionare.
I criteri endpoint vengono ignorati quando si utilizzano i criteri di ispezione L7 di Cloud NGFW
Quando utilizzi insieme le norme di ispezione L7 di Cloud Next Generation Firewall (regole con l'azione apply_security_profile_group) e Cloud IDS, le regole delle policy del firewall vengono valutate e il traffico non viene sottoposto a mirroring per l'ispezione di Cloud IDS. Per evitare questa situazione, assicurati che
le norme di ispezione L7 di Cloud NGFW non si applichino ai pacchetti che
devi ispezionare con Cloud IDS.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-05 UTC."],[[["\u003cp\u003eTo confirm an IDS endpoint is functional, verify its presence in the Cloud IDS console, ensure the attached packet mirroring policy is enabled, and confirm traffic mirroring via the \u003ccode\u003eMirrored Bytes\u003c/code\u003e dashboard.\u003c/p\u003e\n"],["\u003cp\u003eEach packet can only be mirrored to one destination, so ensure that a VM is not affected by more than one packet mirroring policy, which can be confirmed in the \u003ccode\u003eAttached Policies\u003c/code\u003e column.\u003c/p\u003e\n"],["\u003cp\u003eGenerate a test alert by using SSH to connect to a VM and run a specific \u003ccode\u003ecurl\u003c/code\u003e command (or similar HTTP request tool) to trigger an alert, which should then be visible in the Cloud IDS UI and Cloud Logging (Threat Log).\u003c/p\u003e\n"],["\u003cp\u003eCloud IDS cannot decrypt traffic encrypted with secure protocols like TLS, HTTPS, or HTTP2, so for inspection, backend service protocols should be changed to HTTP, or use Google Cloud Armor for intrusion prevention.\u003c/p\u003e\n"],["\u003cp\u003eTraffic is only inspected if sent to or received by resources within mirrored subnets, and Cloud NGFW L7 inspection policies will prevent mirroring for Cloud IDS if they apply to the same packets.\u003c/p\u003e\n"]]],[],null,["# Troubleshoot endpoints and inspection\n\nVerify that an IDS endpoint is functional\n-----------------------------------------\n\n| **Note:** If your endpoint generates any alerts, it is considered to be functional.\n\nTo confirm that an IDS endpoint is functional, do the following:\n\n1. Verify that the IDS endpoint appears in the Cloud IDS Google Cloud console, and that there is a packet mirroring policy in the `Attached Policies` column.\n2. Ensure that the attached policy is enabled by clicking the policy name, and make sure that `Policy Enforcement` is set to **Enabled**.\n3. To verify that traffic is being mirrored, choose a VM Instance in the monitored VPC, go to the **Observability** tab, and make sure that the `Mirrored\n Bytes` dashboard shows traffic being mirrored to the IDS endpoint.\n4. Ensure that the same traffic (or VM) is not affected by more than one packet mirroring policy, as each packet can be mirrored to only one destination. Check the `Attached Policies` column, and ensure that there is only one policy per VM.\n5. Generate a test alert by using SSH to connect to a VM in the monitored\n network, then run the following command:\n\n ```\n curl http://example.com/cgi-bin/../../../..//bin/cat%%20/etc/passwd\n ```\n\n If curl is unavailable on the platform, you can use a similar tool for\n performing HTTP requests.\n\n After a few seconds, an alert should show up in both the Cloud IDS UI and\n in Cloud Logging (Threat Log).\n\nDecrypting traffic for inspection\n---------------------------------\n\nTo inspect traffic, Cloud IDS uses Packet Mirroring to send\npacket-level copies of configured traffic to the IDS VM. Even though the\ncollector destination receives all mirrored packets, any packets that carry data that was\nencrypted using a secure protocol like TLS, HTTPS, or HTTP2 can't be decrypted\nby Cloud IDS.\n\nFor example, if you use HTTPS or HTTP2 as the backend service protocol for an\nexternal application load balancer, packets sent to the load balancer's backends\ncan be mirrored to Cloud IDS; however, the requests cannot be inspected by\nCloud IDS because the packets carry encrypted data. To enable Cloud IDS\ninspection, you must change the backend service protocol to HTTP. Alternatively,\nyou can use [Google Cloud Armor](/armor/docs/cloud-armor-overview) for intrusion\nprevention, and enable application load balancer logs for request inspection. For\nmore information about application load balancer request logging, see\n[Global external Application Load Balancer logging and\nmonitoring](/load-balancing/docs/https/https-logging-monitoring#logging) and\n[Regional external Application Load Balancer logging and\nmonitoring](/load-balancing/docs/https/https-reg-logging-monitoring#logging).\n\nOnly a small volume of traffic is inspected\n-------------------------------------------\n\nCloud IDS inspects traffic sent to or received by resources in mirrored\nsubnets, including Google Cloud VMs and GKE nodes and\nPods.\n\nIf a mirrored subnet contains no VMs, Cloud IDS has no traffic to inspect.\n\nEndpoint policies are ignored when using Cloud NGFW L7 inspection policies\n--------------------------------------------------------------------------\n\nWhen you use Cloud Next Generation Firewall L7 inspection policies (rules with the\n`apply_security_profile_group` action) and Cloud IDS together, firewall\npolicy rules are evaluated and traffic is not mirrored for Cloud IDS\ninspection. You can avoid this situation by ensuring that\nCloud NGFW L7 inspection policies don't apply to packets that you\nneed to inspect with Cloud IDS."]]
