ログを把握、表示する

このページでは、Secure Web Proxy のログの概要、使用可能なログタイプ、ログへのアクセス方法について説明します。

概要

Secure Web Proxy のロギング機能を使用すると、次の主要な領域で情報をキャプチャし、重要なタスクを実行できます。

  • モニタリングとコンプライアンス

    • 規制への準拠を強化し、ネットワーク セキュリティを強化し、インターネットの宛先に送信されるトラフィックを可視化します。
    • ワークロード トラフィックの制御と可視化の貴重なレイヤを獲得します。
    • 効果的なセキュリティ オペレーション センター（SOC）モニタリングに必要な重要な分析情報を得ることができます。
    • ログを使用してセキュリティ イベントを検出して追跡し、予防的な脅威対応を支援します。

  • デプロイメントと構成

    • 初期インフラストラクチャの設定、ユーザー アカウントの作成、構成の変更を追跡します。
    • 潜在的なエラーをモニタリングして、スムーズで安全なデプロイを実現します。
    • ポリシー チューニングの調整による影響を把握し、保護を最適化する。

使用可能なログ

Secure Web Proxy では、次の種類のログを使用できます。

  • Cloud Audit Logs
  • プロキシ トランザクション ログ

Cloud Audit Logs

Cloud Audit Logs には、次の詳細情報が記録されます。

  • インフラストラクチャとプロキシの設定、ポリシーの作成と変更、モニタリング チェックに対して行われた API 呼び出しに関連する情報。インタラクションをキャプチャするため、Cloud Audit Logs は Google Cloud CLI コマンドと Secure Web Proxy API を使用します。
  • Secure Web Proxy インスタンスの作成と削除、設定の変更、アップデートの適用に関する情報。Google Cloud コンソール ログには、Secure Web Proxy の構成に関連するコンソール アクティビティがキャプチャされます。
  • Secure Web Proxy インフラストラクチャに加えられた変更に関する分析情報。
  • Secure Web Proxy の動作を決定する Secure Web Proxy の設定、ルール、パラメータの調整。
  • Secure Web Proxy 内のユーザー権限とアクセス制御の変更。
  • ポリシーの変更の実装、編集前と編集後の詳細の取得。

Secure Web Proxy の監査ログは、標準の監査ログ構造に従います。標準の監査ログ形式については、AuditLog をご覧ください。

プロキシ トランザクション ログ

プロキシ トランザクション ログには、Secure Web Proxy によって処理された個々のリクエストの詳細が記録されます。ログには、Secure Web Proxy によって仲介されるユーザーとインターネット間のすべてのトランザクションの詳細な記録が含まれます。

プロキシのトランザクション ログエントリは、次のタイプに分類できます。

HttpRequest

HttpRequest ログエントリには次の情報が含まれます。

名前 型 説明
requestMethod String（文字列） リクエスト メソッド。例: GET、HEAD、PUT、POST。
requestUrl String（文字列） リクエストされた URL のスキーム（http、https）、ホスト名、パス、クエリ部分。例: "http://example.com/some/info?color=red".
requestSize

文字列（int64 形式）

HTTP リクエスト メッセージのバイトサイズ（各リクエスト ヘッダーと、リクエスト ボディを含む）。
status 整数 レスポンスを表す HTTP または HTTPS ステータス コード。例: 200、404。
responseSize 文字列（int64 形式） クライアントに返された HTTP レスポンス メッセージのバイトサイズ（レスポンス ヘッダーとレスポンス ボディを含む）。
userAgent String（文字列） クライアントが送信したユーザー エージェント。例: "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98; Q312461; .NET CLR 1.0.3705)"
remoteIp String（文字列） HTTP リクエストを発行したクライアントの IP アドレス（IPv4 または IPv6）。 このフィールドにはポート情報が含まれます。例: 192.168.1.1、10.0.0.1:80、FE80::0202:B3FF:FE1E:8329.
serverIp String（文字列） リクエストが送信された配信元サーバーの IP アドレス（IPv4 または IPv6）。 このフィールドにはポート情報が含まれます。例: 192.168.1.1、10.0.0.1:80、FE80::0202:B3FF:FE1E:8329.
referrer String（文字列）

リクエストのリファラー URL（HTTP/1.1 Header Field Definitions で規定されている）。
レイテンシ 文字列（Duration 形式） サーバー上でのリクエスト処理のレイテンシ。サーバーがリクエストを受信してからレスポンスを送信するまでの時間です。

小数点以下 9 桁までの秒単位の期間。末尾に s を付けます。例: 3.5s
cacheLookup ブール値 キャッシュの検索が試行されたかどうか。
cacheHit ブール値 キャッシュ内のエンティティを利用したかどうか（検証あり / 検証なし）。
cacheValidatedWithOriginServer ブール値 キャッシュを利用する前に配信元サーバーでレスポンスを検証したかどうか。このフィールドは cacheHit が True の場合にのみ意味を持ちます。
cacheFillBytes 文字列（int64 形式） キャッシュに挿入された HTTP レスポンスのバイト数。キャッシュの充填が試行された場合にのみ設定されます。
protocol String（文字列） リクエストに使用されるプロトコル。 たとえば、"HTTP/1.1"、"HTTP/2"、"websocket"　です。

LoadBalancerLogEntry

LoadBalancerLogEntry ログエントリには、次の情報が含まれます。

名前 型 説明
insertId String（文字列） 一意のログ ID。
jsonPayload.@type String（文字列） ログタイプ。

ログタイプ値は常に
　type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry です。
jsonPayload.enforcedGatewaySecurityPolicy.hostname String（文字列） リクエストに関連付けられたホスト名。
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action String（文字列） リクエストに対して実行されたアクション。
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.rule String（文字列） リクエストに適用されたルールの名前。
jsonPayload.enforcedGatewaySecurityPolicy.clientServiceAccount String（文字列） リクエストに関連付けられているサービス アカウント。
jsonPayload.enforcedGatewaySecurityPolicy.clientSecureTags String（文字列） リクエストに関連付けられているセキュアタグ。

Gateway モニタリング対象リソース

Gateway モニタリング対象リソースのログエントリには、次の情報が含まれます。

名前 型 説明
resource_container String（文字列） ゲートウェイに関連付けられたコンテナ。
場所 String（文字列） ゲートウェイが定義されているリージョンの名前。
network_name String（文字列） ゲートウェイが作成された Virtual Private Cloud（VPC）ネットワークの名前。
gateway_type String（文字列） ゲートウェイのタイプ列挙型。
gateway_name String（文字列） ゲートウェイ リソースの名前。

ロギングの例

Secure Web Proxy は、リクエストを処理するたびに詳細なログエントリを生成し、アクションと適用されたポリシーを追跡します。次の例は、Secure Web Proxy ログの仕組みを示しています。

許可エントリの例

次のログエントリは、Secure Web Proxy が [www.example.com](https://www.example.com/) の HTTPS トラフィックをインターセプトして検査し、宛先ウェブサイトに転送したことを示しています。ポリシー名とルール名はそれぞれ swp-policy と allow-port-443 です。

フィールド 値
enforcedGatewaySecurityPolicy "requestWasTlsIntercepted": true,
"hostname": "www.example.com",
"matchedRules": [
{
"action": "ALLOWED",
"name": "projects/76537/locations/us-central1/gatewaySecurityPolicies/swp-policy/rules/allow-port-443"
}
]
httpRequest "requestMethod": "GET",
"requestUrl": "https://www.example.com/",
"requestSize": "41",
"status": 200,
"responseSize": "1446",
"userAgent": "curl/7.74.0",
"remoteIp": "10.128.0.12:35418",
"serverIp": "93.184.216.34:443",
"latency": "0.051800s",
"protocol": "HTTP/2"
resource "type": "networkservices.googleapis.com/Gateway",
"labels": {
"gateway_name": "multi-level-tlds",
"network_name": "projects/76537/global/networks/default",
"location": "us-central1",
"resource_container": "",
"gateway_type": "SECURE_WEB_GATEWAY"
}
タイムスタンプ "2024-02-15T16:56:19.570534Z"
重要度 "INFO"
logName "projects/76537/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp "2024-02-15T16:56:20.714988329Z"

拒否エントリの例

このログエントリは、Secure Web Proxy が www.example.com:443 のトラフィックを検査し、Secure Web Proxy ポリシーの default_denied ルールにより HTTPS リクエストを拒否したことを示しています。

フィールド 値
enforcedGatewaySecurityPolicy "hostname": "www.example.com:443",
"matchedRules": [
{
"name": "default_denied",
"action": "DENIED"
}
]
httpRequest
 "requestMethod": "CONNECT",
"requestSize": "122",
"status": 403,
"responseSize": "141",
"userAgent": "curl/7.74.0",
"remoteIp": "10.128.0.12:36338",
"latency": "0.000133s",
"protocol": "HTTP/1.1"
resource "type": "networkservices.googleapis.com/Gateway",
"labels": {
"gateway_type": "SECURE_WEB_GATEWAY",
"resource_container": "",
"location": "us-central1",
"network_name": "projects/gcp-1768/global/networks/default",
"gateway_name": "high-latency-repro"
}
タイムスタンプ "2024-02-15T16:55:00.089727Z"
重要度 「Warning」
logName "projects/gcp-1768/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp "2024-02-15T16:55:04.456901833Z"

Cloud Logging でログを確認する

ログ エクスプローラで Secure Web Proxy のログを表示する手順は次のとおりです。

  1. Google Cloud コンソールで、[ログ エクスプローラ] ページに移動します。

    [ログ エクスプローラ] に移動

  2. ページの上部で既存の Google Cloud プロジェクトを選択するか、新しいプロジェクトを作成します。

  3. プルダウン メニューを使用して、リソース networkservices.googleapis.com/Gateway または Secure Web Proxy インスタンス名を選択します。

詳細については、ログ エクスプローラの使用をご覧ください。