Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Auf dieser Seite werden die Logs beschrieben, die von Cloud IDS-Bedrohungsbenachrichtigungen erstellt werden.
Bedrohungslogs
Sie können sich Logs, die aufgrund von Bedrohungen in Ihrem Netzwerk generiert wurden, in Cloud Logging ansehen.
Die Logs verwenden ein JSON-Format mit den folgenden Feldern:
threat_id: eindeutige Palo Alto Networks-ID für Bedrohungen
name: Name der Bedrohung
alert_severity: Schweregrad der Bedrohung. Entweder INFORMATIONAL, LOW, MEDIUM, HIGH oder CRITICAL
type: Art der Bedrohung
category: Untertyp der Bedrohung
alert_time: Zeitpunkt, zu dem die Bedrohung erkannt wurde
network: Kundennetzwerk, in dem die Bedrohung entdeckt wurde
source_ip_address: Quell-IP-Adresse des verdächtigen Traffics. Wenn Sie einen Load Balancer vonGoogle Cloud verwenden, ist die tatsächliche Client-IP-Adresse nicht verfügbar. In diesem Fall ist der Wert der IP-Adressbereich des Google Front End (GFE). Der Wert kann 130.211.0.0/22 oder 35.191.0.0/16 sein.
destination_ip_address: Ziel-IP-Adresse des verdächtigen Traffics
source_port: Quellport des verdächtigen Traffics
destination_port: Zielport des verdächtigen Traffics
ip_protocol: IP-Protokoll des verdächtigen Traffics
application: Anwendungstyp des verdächtigen Traffics, z. B. SSH
direction: Richtung des verdächtigen Traffics (Client-zu-Server oder Server-zu-Client)
session_id: eine interne numerische ID, die auf jede Sitzung angewendet wird
repeat_count: Anzahl der Sitzungen mit derselben Quell-IP, Ziel-IP, Anwendung und demselben Typ, die innerhalb von 5 Sekunden beobachtet wurden
uri_or_filename: URI oder Dateiname der relevanten Bedrohung, falls zutreffend
cves: eine Liste der mit der Bedrohung verknüpften CVEs
details: zusätzliche Informationen zum Bedrohungstyp aus dem Threat Vault von Palo Alto Networks
Die vorherigen JSON-Felder sind im Feld jsonPayload des Logs verschachtelt. Der Logname für Bedrohungslogs lautet projects/<consumer-project>/logs/ids.googleapis.com/threat.
Außerdem enthält das Feld labels.id des Logs den Namen des Cloud IDS-Endpunkts und das Feld resource.type enthält den Wert ids.googleapis.com/Endpoint.
Beispielabfrage
Mit dieser Abfrage in Cloud Logging wird das IDS-Bedrohungslog im Cloud-Projekt my-project abgefragt. Es werden dann alle Bedrohungen zurückgegeben, die am 4. April 2021 zwischen 8:00 und 9:00 Uhr (Pacific Standard Time, UTC-7) vom Endpunkt my-endpoint gemeldet wurden und deren Schweregrad als „hoch“ eingestuft wurde.
logName="projects/my-project/logs/ids.googleapis.com/threat"
AND resource.type="ids.googleapis.com/Endpoint"
AND resource.labels.id="my-endpoint"
AND timestamp >= "2021-04-18T08:00:00-07"
AND timestamp <= "2021-04-18T09:00:00-07"
AND jsonPayload.alert_severity=("HIGH" OR "CRITICAL")
Aufbewahrungsrichtlinien
Die Aufbewahrungsdauer richtet sich nach den Speicher-Buckets, in denen sich die Logs befinden.
Standardmäßig werden Logs im Bucket _Default platziert. Dieser Bucket hat standardmäßig eine Aufbewahrungsdauer von 30 Tagen.
Sie können Logs anhand von Filtern unterschiedlichen Buckets zuweisen. Außerdem ist die Aufbewahrungsdauer konfigurierbar.
Wenn Sie eine andere Aufbewahrungsdauer als die Standardeinstellung von 30 Tagen verwenden möchten, haben Sie folgende Möglichkeiten:
Filtern Sie alle Logs in einen anderen Bucket und konfigurieren Sie dann eine Aufbewahrungsrichtlinie.
Konfigurieren Sie danach für den Bucket _Default eine benutzerdefinierte Aufbewahrungsrichtlinie. Das wirkt sich auf alle anderen Logs im _Default-Bucket aus.
Traffic-Logs
Sie können sich Logs, die aufgrund von Netzwerk-Traffic generiert wurden, in Cloud Logging ansehen.
Die Logs verwenden ein JSON-Format mit den folgenden Feldern:
start_time: die Uhrzeit des Sitzungsbeginns
elapsed_time: die verstrichene Zeit der Sitzung
network: das Netzwerk, das dem IDS-Endpunkt zugeordnet ist
source_ip_address: die Quell-IP-Adresse des Pakets
source_port: der Quellport des Traffics
destination_ip_address: die Ziel-IP-Adresse des Pakets
destination_port: der Zielport des Traffics
ip_protocol: das IP-Protokoll des Pakets
application: die Anwendung, die der Sitzung zugeordnet ist
session_id: eine interne numerische ID, die auf jede Sitzung angewendet wird
repeat_count: die Anzahl der Sitzungen mit derselben Quell-IP, Ziel-IP, Anwendung und demselben Typ, die innerhalb von 5 Sekunden beobachtet wurden
total_bytes: die Gesamtzahl der in der Sitzung übertragenen Byte
total_packets: die Gesamtzahl der in der Sitzung übertragenen Pakete
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-08-18 (UTC)."],[[["\u003cp\u003eCloud IDS threat alerts generate logs viewable in Cloud Logging, using a JSON format with fields like \u003ccode\u003ethreat_id\u003c/code\u003e, \u003ccode\u003ename\u003c/code\u003e, and \u003ccode\u003ealert_severity\u003c/code\u003e to describe detected threats.\u003c/p\u003e\n"],["\u003cp\u003eThe JSON payload includes crucial details such as the source and destination IP addresses, ports, threat type, and severity, alongside additional data from Palo Alto Networks' ThreatVault.\u003c/p\u003e\n"],["\u003cp\u003eThreat logs can be queried within Cloud Logging using specific criteria, including the endpoint name, timestamp ranges, and threat severity levels, as demonstrated by the provided sample query.\u003c/p\u003e\n"],["\u003cp\u003eRetention of these logs depends on the storage bucket and is set to 30 days by default in the \u003ccode\u003e_Default\u003c/code\u003e bucket, but it can be customized through different bucket configurations.\u003c/p\u003e\n"],["\u003cp\u003eTraffic logs are also generated in Cloud Logging, using a JSON format, and they contain information about network traffic, such as \u003ccode\u003estart_time\u003c/code\u003e, \u003ccode\u003eelapsed_time\u003c/code\u003e, source and destination information, and the protocol used.\u003c/p\u003e\n"]]],[],null,["# Cloud IDS logging information\n\nThis page describes the logs created by Cloud IDS threat alerts.\n\nThreat logs\n-----------\n\nYou can view logs generated due to threats in your network in Cloud Logging.\nThe logs use a JSON format with the following fields:\n\n- `threat_id` - Unique Palo Alto Networks threat identifier.\n- `name` - Threat name.\n- `alert_severity` - Severity of the threat. One of `INFORMATIONAL`, `LOW`, `MEDIUM`, `HIGH`, or `CRITICAL`.\n- `type` - Type of the threat.\n- `category` - Sub-type of the threat.\n- `alert_time` - Time when the threat was discovered.\n- `network` - Customer network in which the threat was discovered.\n- `source_ip_address` - Suspected traffic's source IP address. When you use a Google Cloud load balancer the true client IP address is not available, and this value is the IP address range of the Google Front End (GFE). The value can be `130.211.0.0/22` or `35.191.0.0/16`.\n- `destination_ip_address` - Suspected traffic's destination IP address.\n- `source_port` - Suspected traffic's source port.\n- `destination_port` - Suspected traffic's destination port.\n- `ip_protocol` - Suspected traffic's IP protocol.\n- `application` - Suspected traffic's application type---for example, SSH.\n- `direction` - Suspected traffic's direction (client-to-server or server-to-client).\n- `session_id` - An internal numerical identifier applied to each session.\n- `repeat_count` - Number of sessions with the same source IP, destination IP, application, and type seen within 5 seconds.\n- `uri_or_filename` - URI or filename of the relevant threat, if applicable.\n- `cves` - a list of CVEs associated with the threat\n- `details` - Additional information about the type of threat, taken from Palo Alto Networks' ThreatVault.\n\nThe previous JSON fields are nested under the log's `jsonPayload` field. The\nlog name for threat logs is\n`projects/\u003cconsumer-project\u003e/logs/ids.googleapis.com/threat`.\n\nIn addition, the log's `labels.id` field contains the Cloud IDS endpoint's\nname, and its `resource.type` field is `ids.googleapis.com/Endpoint`.\n\n### Sample query\n\nThis query in Cloud Logging queries the IDS threat log in cloud project\n\u003cvar translate=\"no\"\u003emy-project\u003c/var\u003e, returning all threats reported by the\n\u003cvar translate=\"no\"\u003emy-endpoint\u003c/var\u003e endpoint between 8am-9am on April 4, 2021, PST time\n(-07 timezone offset), where the threat's severity was marked HIGH. \n\n```\nlogName=\"projects/my-project/logs/ids.googleapis.com/threat\"\n AND resource.type=\"ids.googleapis.com/Endpoint\"\n AND resource.labels.id=\"my-endpoint\"\n AND timestamp \u003e= \"2021-04-18T08:00:00-07\"\n AND timestamp \u003c= \"2021-04-18T09:00:00-07\"\n AND jsonPayload.alert_severity=(\"HIGH\" OR \"CRITICAL\")\n```\n\n### Retention policy\n\nRetention is determined by the storage buckets in which the logs are located.\nBy default, logs are placed in the `_Default` bucket, and by default this bucket\nhas a retention policy of 30 days.\n\nYou can choose to filter logs to different buckets. In addition, retention is\nconfigurable.\n\nIf you want a different retention policy than the default 30 days, you can do\none of the following:\n\n- Filter all logs into another bucket and configure a retention policy.\n- Configure a custom retention policy for the `_Default` bucket. This will affect all other logs in the `_Default` bucket.\n\nTraffic logs\n------------\n\nYou can view logs generated due to network traffic in Cloud Logging.\nThe logs use a JSON format with the following fields:\n\n- `start_time` - The time of the session start.\n- `elapsed_time` - The elapsed time of the session.\n- `network` - The network associated with the IDS endpoint.\n- `source_ip_address` - The source IP address of the packet.\n- `source_port` - The source port of the traffic.\n- `destination_ip_address` - The destination IP address of the packet.\n- `destination_port` - The destination port of the traffic.\n- `ip_protocol` - The IP protocol of the packet.\n- `application` - The application associated with the session.\n- `session_id` - An internal numerical identifier applied to each session.\n- `repeat_count` - The number of sessions with the same source IP, destination IP, application, and type seen within 5 seconds.\n- `total_bytes` - The total number of bytes transferred in the session.\n- `total_packets` - The total number of packets transferred in the session."]]
