Mit Firewall Insights-Messwerten können Sie analysieren, Firewallregeln verwendet werden. Sie können die Messwerte anzeigen, indem Sie Cloud Monitoring und die Google Cloud Console
Die folgenden Messwerte helfen Ihnen, Ihre Firewallnutzung zu verfolgen:
- Messwerte zur Anzahl der Firewalltreffer geben an, wie oft eine Firewallregel verwendet wurde, um Traffic zuzulassen oder abzulehnen.
- Die zuletzt verwendeten Firewall-Messwerte zeigen an, wann eine bestimmte Firewallregel verwendet wurde, um Traffic zuzulassen oder abzulehnen.
Beachten Sie die folgenden Aspekte zu Firewall Insights-Messwerten:
- Die Messwerte werden aus dem Logging von Firewallregeln abgeleitet.
- Die Messwerte sind nur für Regeln verfügbar, Logging von Firewallregeln aktiviert und sind genau für den Zeitraum, in dem das Logging von Firewallregeln aktiviert ist.
- Firewall-Messwerte werden nur für Traffic generiert, der den Spezifikationen für das Logging von Firewallregeln. Zum Beispiel sind Daten protokolliert und Messwerte werden nur für TCP- und UDP-Traffic generiert. Für eine vollständige Liste der Kriterien siehe Spezifikationen in der Übersicht über das Logging von Firewallregeln.
Sie können beliebige Abfragen über Firewall Insights-Messwerte erstellen,
mit der Anfragemethode projects.timeSeries.list
in der Dokumentation zur Cloud Monitoring API Version 3.
Firewall Insights erfasst Messwertdaten zum letzten Mal, wenn ein Firewallregel angewendet wurde, um Traffic zuzulassen oder abzulehnen (Zeitstempel) und für den Anzahl der Treffer für eine Firewallregel während der Aufbewahrungsdauer
firewallinsights.googleapis.com/subnet/firewall_hit_count
firewallinsights.googleapis.com/subnet/firewall_last_used_timestamp
firewallinsights.googleapis.com/vm/firewall_hit_count
firewallinsights.googleapis.com/vm/firewall_last_used_timestamp
Die Metrik zum Verfolgen der Firewall-Trefferzahlen wird pro VM-Instanz (Virtual Machine) und pro VPC-Subnetz (Virtual Private Cloud) definiert.
Instanzmesswerte (VM) liefern Informationen über die Trefferanzahl und den zuletzt verwendeten Zeitstempel für die Netzwerkschnittstelle einer VM. Pro-Subnetz-Metriken liefern Informationen zur Trefferanzahl für einzelne Firewall-Regeln.
Verwenden Sie die folgenden Ressourcen, um auf Firewall Insights-Messwertdaten zuzugreifen:
- Sehen Sie sich Messwerte für Firewall Insights auf der Seite Google Cloud-Messwerte:
- Eine Übersicht über Messwerte, Zeitachsen und Ressourcen finden Sie im Messwertmodell in der API-Dokumentation zu Cloud Monitoring Version 3.
- Informationen zum Lesen dieser Messwerte finden Sie unter Messwertdaten lesen.
Erforderliche Rollen und Berechtigungen
Um die Berechtigung zum Verwalten und Exportieren von Statistiken zu erhalten, bitten Sie Ihren Administrator, Ihnen folgende IAM-Rollen für Ihr Projekt:
-
Firewall Recommender-Administrator (
roles/recommender.firewallAdmin
) -
Firewall Recommender-Betrachter (
roles/recommender.firewallViewer
)
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Diese vordefinierte Rolle enthält die
Berechtigung recommender.computeFirewallInsights.list
, die
um Statistiken zu verwalten und zu exportieren.
Sie können diese Berechtigung auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.
Messwerte für die Anzahl der Firewalltreffer ansehen
Der Messwert firewall_hit_count
erfasst, wie oft eine Firewallregel
wird verwendet, um Traffic zuzulassen oder abzulehnen.
Cloud Monitoring speichert für jede Firewallregel Daten für den Messwert firewall_hit_count
nur, wenn die Regel aufgrund von TCP- oder UDP-Traffic Treffern hat. Das heißt, Cloud Monitoring speichert keine Daten zu Regeln, die keine Treffer hatten.
Die aus diesem Messwert abgeleiteten Daten finden Sie auf der Seite Firewallrichtlinien in der Google Cloud Console.
Die Daten auf der Seite „Firewall“ sind möglicherweise nicht mit den Daten in der Datei firewall_hit_count
identisch
Messwertdaten, die in Cloud Monitoring gespeichert sind. Cloud Monitoring teilt Ihnen nicht explizit
um Regeln ohne Treffer zu identifizieren. In der Google Cloud Console wird z. B. eine Null
die Anzahl der Treffer, auch wenn
Cloud Monitoring keine Treffer aufzeichnet. Hier sehen Sie
bei Firewallregeln, die TCP, UDP,
ICMP oder eine andere Art von Traffic.
Dieses Verhalten unterscheidet sich von der
allow rules with no hits
Statistik.
Wenn diese Statistik Firewallregeln ohne Treffer identifiziert, werden Firewallregeln weggelassen
die so konfiguriert sind, dass sie anderen Traffic als TCP oder UDP zulassen, auch wenn diese Regeln
TCP- oder UDP-Traffic zulassen.
Messwerte der zuletzt verwendeten Firewall ansehen
Mit dem Metrics Explorer in Cloud Monitoring können Sie die
das letzte Mal verwendet wurde,
dass eine bestimmte Firewallregel
Rufen Sie den Messwert firewall_last_used_timestamp
auf, um Traffic abzulehnen. Dieser Messwert
können Sie ermitteln, welche Firewallregeln in letzter Zeit nicht verwendet wurden.
Unter Firewallrichtlinien
Seite in der Google Cloud Console können Sie sehen, wann Sie zuletzt eine Firewall verwendet haben.
in den letzten sechs Wochen oder unabhängig von der Dauer
Das Logging von Firewallregeln wurde aktiviert, je nachdem, welcher Wert kleiner ist. Wenn die letzte
Treffer vor den letzten sechs Wochen oder vor dem Logging von Firewallregeln aufgetreten
aktiviert wurde, wird als last hit
-Zeit —
angezeigt.
Häufigkeit und Aufbewahrung von Berichten
Die Metrik firewall rule hit count
wird jede Minute in Monitoring exportiert. Monitoring bewahrt Daten 6 Wochen lang auf. Sie können jedes Zeitintervall innerhalb der letzten sechs Wochen in Minutenintervallen analysieren.
Filtern und Aggregieren
Durch Aggregieren der Trefferanzahl für VM-Instanzen für jede Firewallregel können Sie die Gesamtzahl der Treffer, Traffic in Ihrem VPC-Netzwerk.
Siehe zum Beispiel
Plötzliche Erhöhungen der Trefferanzahl für deny
-Firewallregeln erkennen.
Monitoring-Dashboards und -Benachrichtigungen verwenden
Mit Monitoring-Dashboards und den zugehörigen Diagrammen die Daten für die beschriebenen Firewall Insights-Messwerte visualisieren, in den vorherigen Abschnitten.
Zum Überwachen dieser Messwerte in Monitoring können Sie benutzerdefinierte Dashboards erstellen. Sie können auch Warnungen basierend auf diesen Metriken hinzufügen.