Log delle minacce

Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

I log delle minacce ti consentono di controllare, verificare e analizzare le minacce rilevate nella tua rete.

Quando Cloud Next Generation Firewall rileva una minaccia nel traffico monitorato per l'ispezione di livello 7, genera una voce di log nel progetto di origine con i dettagli della minaccia. Per visualizzare ed esaminare i log delle minacce, in Esplora log, cerca il log networksecurity.googleapis.com/firewall_threat. Puoi visualizzare questi log delle minacce anche nella pagina Minacce.

Questa pagina spiega il formato e la struttura dei log delle minacce che vengono generati quando viene rilevata una minaccia.

Formato dei log delle minacce

Cloud NGFW crea una voce di record di log in Cloud Logging per ogni minaccia rilevata sul traffico monitorato verso o da un'istanza di macchina virtuale (VM) in una zona specifica. I record dei log sono inclusi nel campo del payload JSON di un LogEntry.

Alcuni campi di log sono in un formato con più campi, con più di un dato in un determinato campo. Ad esempio, il campo connection è nel formato Connection, che contiene l'indirizzo IP e la porta del server, l'indirizzo IP e la porta del client e il numero di protocollo in un unico campo.

La tabella seguente descrive il formato dei campi dei log delle minacce.

Formato del campo Connection

La tabella seguente descrive il formato del campo Connection.

Formato del campo ThreatDetails

La tabella seguente descrive il formato del campo ThreatDetails.

Formato del campo SecurityProfileGroupDetails

La tabella seguente descrive il formato del campo SecurityProfileGroupDetails.

Formato del campo VpcDetails

La tabella seguente descrive il formato del campo VpcDetails.

Formato del campo InterceptInstance

La tabella seguente descrive il formato del campo InterceptInstance.

Correlazione dei log delle minacce con un log del firewall

Quando un pacchetto corrisponde a una regola firewall con il logging abilitato, Cloud NGFW registra una voce Logging regole firewall. Questa voce include campi come l'indirizzo IP di origine, l'indirizzo IP di destinazione e l'ora dell'ispezione del pacchetto. Per visualizzare questi log delle regole del firewall, consulta Visualizzare i log.

Se hai una regola del criterio firewall per l'ispezione di livello 7 con il logging attivo, Cloud NGFW registra prima la voce di logging delle regole firewall per il pacchetto corrispondente. Quindi, invia il pacchetto all'endpoint firewall per l'ispezione di livello 7. L'endpoint firewall analizza il pacchetto per rilevare eventuali minacce. Se viene rilevata una minaccia, viene creato un log delle minacce separato. Questo log delle minacce include campi come il tipo di minaccia, la sorgente e la destinazione della minaccia. Per visualizzare i log delle minacce, consulta Visualizzare le minacce.

Puoi confrontare i campi nel log delle regole del firewall e nel log delle minacce per identificare il pacchetto che ha attivato la minaccia e intraprendere le azioni appropriate per risolverlo.

Ad esempio, hai una regola del criterio firewall configurata con le seguenti impostazioni:

• Indirizzo IP di origine: 192.0.2.0
• Porta di origine: 47644
• Indirizzo IP di destinazione: 192.0.2.1
• Porta di destinazione: 80
• Log: Enabled

Per visualizzare i log delle minacce associati a questa regola, vai alla pagina Esplora log. Nel riquadro Query, incolla la seguente query nel campo dell'editor di query.

    resource.type="networksecurity.googleapis.com/FirewallEndpoint"
    jsonPayload.source_ip_address="192.0.2.0"
    jsonPayload.source_port="47644"
    jsonPayload.destination_ip_address="192.0.2.1"
    jsonPayload.destination_port="80"
   

La sezione Risultati delle query mostra il seguente log delle minacce:

    {
      insertId: "0ac7f359-263f-4428-8ded-ac655d8a09db"
      jsonPayload: {
      action: "reset-server"
      alert_severity: "HIGH"
      alert_time: "2023-11-28T19:07:15Z"
      category: "info-leak"
      ▸ cves: [6]
      }
      destination_ip_address: "192.0.2.1"
      destination_port: "80"
      details:
      "This signature detects Microsoft Windows win.ini access attempts. A successful attack could allow an
      attacker to access sensitive information and conduct further attacks."
      direction: "CLIENT_TO_SERVER"
      ip_protocol: "tcp"
      name: "Microsoft Windows win.ini Access Attempt Detected"
      network: "projects/XXXX/global/networks/fwplus-vpc.
      repeat_count: "1"
      security_profile_group:
      "organizations/XXXX/locations/global/securityprofileGroups/XXXX-fwplus-spg"
      source_ip_address: "192.0.2.0"
      source_port: "47644"
      threat_id: "30851"
      type: "vulnerability"
      uri_or_filename:
      logName: "projects/XXXX/logs/networksecurity.googleapis.com%2Ffirewall_threat"
      receiveTimestamp: "2023-11-28T19:08:49.841883684Z"
      ▸ resource: {2}
    }
    timestamp: "2023-11-28T19:08:47.560012184Z"
   

Analogamente, per visualizzare i log firewall associati a questa regola, vai alla pagina Esplora log. Nel riquadro Query, incolla la seguente query nel campo dell'editor di query.

    jsonPayload.rule_details.action="APPLY_SECURITY_PROFILE_GROUP"
    jsonPayload.connection.src_ip="192.0.2.0"
    jsonPayload.connection.src_port="47644"
    jsonPayload.connection.dest_ip="192.0.2.1"
    jsonPayload.connection.dest_port="80"
   

La sezione Risultati delle query mostra il seguente log del firewall:

    {
      insertId: "qn82vdg109q3r9"
      jsonPayload: {
      connection: {
      }
      dest_ip: "192.0.2.1"
      dest_port: 80
      protocol: 6
      src_ip: "192.0.2.0"
      src_port: 47644
      disposition: "INTERCEPTED"
      ►instance: {4}
      ▸ remote_instance: {4}
      ▸ remote_vpc: {3}
      rule_details: {
      action: "APPLY_SECURITY_PROFILE_GROUP"
      apply_security_profile_fallback_action: "UNSPECIFIED"
      direction: "INGRESS"
      ▸ ip_port_info: [1]
      ▼
      priority: 6000
      reference: "network: fwplus-vpc/firewallPolicy: fwplus-fwpolicy"
      source_range: [
      1
      0: "192.0.2.0/24"
      target_secure_tag: [
      0: "tagValues/281479199099651"
      ]
      }
      vpc: {
      project_id:XXXX
      subnetwork_name: "fwplus-us-central1-subnet"
      vpc_name: "fwplus-vpc"
      }
      }
      logName: "projects/XXXX/logs/compute.googleapis.com%2Ffirewall",
      receiveTimestamp: "2023-11-28T19:08:46.749244092Z"
      resource: {2}
      timestamp: "2023-11-28T19:08:40.207465099Z"
    }
   

Con le query dei log delle minacce e dei log del firewall puoi visualizzare la correlazione tra di loro. La tabella seguente mappa i campi dei log del firewall ai campi dei log delle minacce corrispondenti.

Passaggi successivi

• Visualizzare le minacce
• Panoramica delle firme per le minacce