Registros de amenazas

Los registros de amenazas te permiten auditar, verificar y analizar las amenazas detectadas en tu red.

Cuando el firewall de nueva generación de Cloud detecta una amenaza en el tráfico que se supervisa para la inspección de la capa 7, genera una entrada de registro en el proyecto de origen con los detalles de la amenaza. Para ver y examinar los registros de amenazas, en el Explorador de registros, busca el registro networksecurity.googleapis.com/firewall_threat. También puedes ver estos registros de amenazas en la página Amenazas.

En esta página, se explica el formato y la estructura de los registros de amenazas que se generan cuando se detecta una amenaza.

Formato de registro de amenazas

Cloud NGFW crea una entrada de registro en Cloud Logging para cada amenaza detectada en el tráfico supervisado desde o hacia una instancia de máquina virtual (VM) en una zona específica. Los registros se incluyen en el campo de carga útil de JSON de una LogEntry.

Algunos campos de registro se encuentran en formato de varios campos y poseen más de un dato en un campo específico. Por ejemplo, el campo connection tiene el formato Connection, que contiene el puerto y la dirección IP del servidor, la dirección IP y el puerto del cliente y el número de protocolo en un solo campo.

En la siguiente tabla, se describe el formato de los campos de registro de amenazas.

Formato del campo Connection

En la siguiente tabla, se describe el formato del campo Connection.

Formato del campo ThreatDetails

En la siguiente tabla, se describe el formato del campo ThreatDetails.

Formato del campo SecurityProfileGroupDetails

En la siguiente tabla, se describe el formato del campo SecurityProfileGroupDetails.

Formato del campo VpcDetails

En la siguiente tabla, se describe el formato del campo VpcDetails.

Formato del campo InterceptInstance

En la siguiente tabla, se describe el formato del campo InterceptInstance.

Correlación del registro de amenazas con un registro de firewall

Cuando un paquete coincide con una regla de firewall con el registro habilitado, el NGFW de Cloud registra una entrada de registro de reglas de firewall. Esta entrada incluye campos como la dirección IP de origen, la dirección IP de destino y la hora de inspección de paquetes. Para ver estos registros de reglas de firewall, consulta Visualiza registros.

Si tienes una regla de política de firewall para la inspección de la capa 7 con el registro habilitado, Cloud NGFW primero registra la entrada de registro de reglas de firewall para el paquete coincidente. Luego, envía el paquete al extremo de firewall para la inspección de la capa 7. El extremo de firewall analiza el paquete en busca de amenazas. Si se detecta una amenaza, se crea un registro de amenazas independiente. Este registro de amenazas incluye campos como el tipo de amenaza, la fuente y el destino. Para ver los registros de amenazas, consulta Visualiza amenazas.

Puedes comparar los campos del registro de reglas de firewall y del registro de amenazas para identificar el paquete que activó la amenaza y tomar las medidas adecuadas para resolverla.

Por ejemplo, tienes una regla de política de firewall configurada con la siguiente configuración:

• Dirección IP de origen: 192.0.2.0
• Puerto de origen: 47644
• Dirección IP de destino: 192.0.2.1
• Puerto de destino: 80
• Registro: Enabled

Para ver los registros de amenazas asociados con esta regla, navega a la página Explorador de registros. En el panel Consulta, pega la siguiente consulta en el campo del editor de consultas.

    resource.type="networksecurity.googleapis.com/FirewallEndpoint"
    jsonPayload.source_ip_address="192.0.2.0"
    jsonPayload.source_port="47644"
    jsonPayload.destination_ip_address="192.0.2.1"
    jsonPayload.destination_port="80"
   

En la sección Resultados de la consulta, se muestra el siguiente registro de amenazas:

    {
      insertId: "0ac7f359-263f-4428-8ded-ac655d8a09db"
      jsonPayload: {
      action: "reset-server"
      alert_severity: "HIGH"
      alert_time: "2023-11-28T19:07:15Z"
      category: "info-leak"
      ▸ cves: [6]
      }
      destination_ip_address: "192.0.2.1"
      destination_port: "80"
      details:
      "This signature detects Microsoft Windows win.ini access attempts. A successful attack could allow an
      attacker to access sensitive information and conduct further attacks."
      direction: "CLIENT_TO_SERVER"
      ip_protocol: "tcp"
      name: "Microsoft Windows win.ini Access Attempt Detected"
      network: "projects/XXXX/global/networks/fwplus-vpc.
      repeat_count: "1"
      security_profile_group:
      "organizations/XXXX/locations/global/securityprofileGroups/XXXX-fwplus-spg"
      source_ip_address: "192.0.2.0"
      source_port: "47644"
      threat_id: "30851"
      type: "vulnerability"
      uri_or_filename:
      logName: "projects/XXXX/logs/networksecurity.googleapis.com%2Ffirewall_threat"
      receiveTimestamp: "2023-11-28T19:08:49.841883684Z"
      ▸ resource: {2}
    }
    timestamp: "2023-11-28T19:08:47.560012184Z"
   

Del mismo modo, para ver los registros de firewall asociados con esta regla, ve a la página Explorador de registros. En el panel Consulta, pega la siguiente consulta en el campo del editor de consultas.

    jsonPayload.rule_details.action="APPLY_SECURITY_PROFILE_GROUP"
    jsonPayload.connection.src_ip="192.0.2.0"
    jsonPayload.connection.src_port="47644"
    jsonPayload.connection.dest_ip="192.0.2.1"
    jsonPayload.connection.dest_port="80"
   

La sección Resultados de la consulta muestra el siguiente registro de firewall:

    {
      insertId: "qn82vdg109q3r9"
      jsonPayload: {
      connection: {
      }
      dest_ip: "192.0.2.1"
      dest_port: 80
      protocol: 6
      src_ip: "192.0.2.0"
      src_port: 47644
      disposition: "INTERCEPTED"
      ►instance: {4}
      ▸ remote_instance: {4}
      ▸ remote_vpc: {3}
      rule_details: {
      action: "APPLY_SECURITY_PROFILE_GROUP"
      apply_security_profile_fallback_action: "UNSPECIFIED"
      direction: "INGRESS"
      ▸ ip_port_info: [1]
      ▼
      priority: 6000
      reference: "network: fwplus-vpc/firewallPolicy: fwplus-fwpolicy"
      source_range: [
      1
      0: "192.0.2.0/24"
      target_secure_tag: [
      0: "tagValues/281479199099651"
      ]
      }
      vpc: {
      project_id:XXXX
      subnetwork_name: "fwplus-us-central1-subnet"
      vpc_name: "fwplus-vpc"
      }
      }
      logName: "projects/XXXX/logs/compute.googleapis.com%2Ffirewall",
      receiveTimestamp: "2023-11-28T19:08:46.749244092Z"
      resource: {2}
      timestamp: "2023-11-28T19:08:40.207465099Z"
    }
   

Con las consultas del registro de amenazas y del registro de firewall, puedes ver la correlaci￳n entre ellos. En la siguiente tabla, se asignan los campos de registro del firewall a los campos de registro de amenazas correspondientes.

¿Qué sigue?

• Ver amenazas
• Descripción general de las firmas de amenazas