Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Funktion eines IDS-Endpunkts überprüfen
So prüfen Sie, ob ein IDS-Endpunkt funktioniert:
Überprüfen Sie, ob der IDS-Endpunkt in der Cloud IDS- Google Cloud Console angezeigt wird und ob in der Spalte Attached Policies eine Paketspiegelungsrichtlinie vorhanden ist.
Prüfen Sie, ob die angehängte Richtlinie aktiviert ist. Klicken Sie dazu auf den Richtliniennamen und prüfen Sie, ob Policy Enforcement auf Aktiviert festgelegt ist.
Wenn Sie überprüfen möchten, ob Traffic gespiegelt wird, wählen Sie in der überwachten VPC eine VM-Instanz aus, rufen Sie den Tab Beobachtbarkeit auf und prüfen Sie, ob im Dashboard Mirrored
Bytes Traffic angezeigt wird, der an den IDS-Endpunkt gespiegelt wird.
Achten Sie darauf, dass für denselben Traffic (bzw. dieselbe VM) nicht mehr als eine Paketspiegelungsrichtlinie gilt, da jedes Paket nur an ein Ziel gespiegelt werden kann. Prüfen Sie die Spalte Attached Policies und achten Sie darauf, dass es pro VM nur eine Richtlinie gibt.
Generieren Sie eine Testbenachrichtigung, indem Sie über SSH eine Verbindung zu einer VM im überwachten Netzwerk herstellen und dann den folgenden Befehl ausführen:
Wenn auf der Plattform „curl“ nicht verfügbar ist, können Sie stattdessen ein ähnliches Tool für HTTP-Anfragen verwenden.
Nach einigen Sekunden sollte sowohl in der Cloud IDS-Benutzeroberfläche als auch in Cloud Logging (Bedrohungslog) eine Benachrichtigung angezeigt werden.
Traffic zur Prüfung entschlüsseln
Um Traffic zu prüfen, verwendet Cloud IDS die Paketspiegelung, um Kopien des konfigurierten Traffics auf Paketebene an die IDS-VM zu senden. Obwohl das Collector-Ziel alle gespiegelten Pakete empfängt, können Pakete mit Daten, die mit einem sicheren Protokoll wie TLS, HTTPS oder HTTP2 verschlüsselt wurden, nicht von Cloud IDS entschlüsselt werden.
Wenn Sie beispielsweise HTTPS oder HTTP2 als Backend-Dienstprotokoll für einen externen Application Load Balancer verwenden, können die an die Backends des Load Balancers gesendeten Pakete an Cloud IDS gespiegelt werden. Die Anfragen können jedoch nicht von Cloud IDS geprüft werden, da die Pakete verschlüsselte Daten enthalten. Wenn Sie die Cloud IDS-Prüfung aktivieren möchten, müssen Sie das Backend-Dienstprotokoll in HTTP ändern. Alternativ können Sie zur Einbruchsprävention Google Cloud Armor verwenden und außerdem Application-Load-Balancer-Logs für die Anfrageprüfung aktivieren. Weitere Informationen zum Logging von Application-Load-Balancer-Anfragen finden Sie unter Logging und Monitoring für globale externe Application Load Balancer und Logging und Monitoring für regionale externe Application Load Balancer.
Es wird nur ein geringes Traffic-Volumen geprüft
Cloud IDS prüft Traffic, der an Ressourcen in gespiegelten Subnetzen gesendet oder von diesen empfangen wird, einschließlich Google Cloud -VMs und GKE-Knoten und ‑Pods.
Wenn ein gespiegeltes Subnetz keine VMs enthält, kann Cloud IDS keinen Traffic prüfen.
Endpunktrichtlinien werden ignoriert, wenn Cloud-L7-NGFW-Prüfungsrichtlinien verwendet werden
Wenn Sie Prüfungsrichtlinien für L7-Cloud-Firewalls der nächsten Generation (Regeln mit der Aktion apply_security_profile_group) und Cloud IDS zusammen verwenden, werden die Firewallrichtlinienregeln ausgewertet und der Traffic wird nicht für die Cloud IDS-Prüfung gespiegelt. Sie können dies vermeiden, indem Sie dafür sorgen, dass keine Cloud-NGFW-L7-Prüfungsrichtlinien auf Pakete angewendet werden, die Sie mit Cloud IDS prüfen müssen.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-08-18 (UTC)."],[[["\u003cp\u003eTo confirm an IDS endpoint is functional, verify its presence in the Cloud IDS console, ensure the attached packet mirroring policy is enabled, and confirm traffic mirroring via the \u003ccode\u003eMirrored Bytes\u003c/code\u003e dashboard.\u003c/p\u003e\n"],["\u003cp\u003eEach packet can only be mirrored to one destination, so ensure that a VM is not affected by more than one packet mirroring policy, which can be confirmed in the \u003ccode\u003eAttached Policies\u003c/code\u003e column.\u003c/p\u003e\n"],["\u003cp\u003eGenerate a test alert by using SSH to connect to a VM and run a specific \u003ccode\u003ecurl\u003c/code\u003e command (or similar HTTP request tool) to trigger an alert, which should then be visible in the Cloud IDS UI and Cloud Logging (Threat Log).\u003c/p\u003e\n"],["\u003cp\u003eCloud IDS cannot decrypt traffic encrypted with secure protocols like TLS, HTTPS, or HTTP2, so for inspection, backend service protocols should be changed to HTTP, or use Google Cloud Armor for intrusion prevention.\u003c/p\u003e\n"],["\u003cp\u003eTraffic is only inspected if sent to or received by resources within mirrored subnets, and Cloud NGFW L7 inspection policies will prevent mirroring for Cloud IDS if they apply to the same packets.\u003c/p\u003e\n"]]],[],null,["# Troubleshoot endpoints and inspection\n\nVerify that an IDS endpoint is functional\n-----------------------------------------\n\n| **Note:** If your endpoint generates any alerts, it is considered to be functional.\n\nTo confirm that an IDS endpoint is functional, do the following:\n\n1. Verify that the IDS endpoint appears in the Cloud IDS Google Cloud console, and that there is a packet mirroring policy in the `Attached Policies` column.\n2. Ensure that the attached policy is enabled by clicking the policy name, and make sure that `Policy Enforcement` is set to **Enabled**.\n3. To verify that traffic is being mirrored, choose a VM Instance in the monitored VPC, go to the **Observability** tab, and make sure that the `Mirrored\n Bytes` dashboard shows traffic being mirrored to the IDS endpoint.\n4. Ensure that the same traffic (or VM) is not affected by more than one packet mirroring policy, as each packet can be mirrored to only one destination. Check the `Attached Policies` column, and ensure that there is only one policy per VM.\n5. Generate a test alert by using SSH to connect to a VM in the monitored\n network, then run the following command:\n\n ```\n curl http://example.com/cgi-bin/../../../..//bin/cat%%20/etc/passwd\n ```\n\n If curl is unavailable on the platform, you can use a similar tool for\n performing HTTP requests.\n\n After a few seconds, an alert should show up in both the Cloud IDS UI and\n in Cloud Logging (Threat Log).\n\nDecrypting traffic for inspection\n---------------------------------\n\nTo inspect traffic, Cloud IDS uses Packet Mirroring to send\npacket-level copies of configured traffic to the IDS VM. Even though the\ncollector destination receives all mirrored packets, any packets that carry data that was\nencrypted using a secure protocol like TLS, HTTPS, or HTTP2 can't be decrypted\nby Cloud IDS.\n\nFor example, if you use HTTPS or HTTP2 as the backend service protocol for an\nexternal application load balancer, packets sent to the load balancer's backends\ncan be mirrored to Cloud IDS; however, the requests cannot be inspected by\nCloud IDS because the packets carry encrypted data. To enable Cloud IDS\ninspection, you must change the backend service protocol to HTTP. Alternatively,\nyou can use [Google Cloud Armor](/armor/docs/cloud-armor-overview) for intrusion\nprevention, and enable application load balancer logs for request inspection. For\nmore information about application load balancer request logging, see\n[Global external Application Load Balancer logging and\nmonitoring](/load-balancing/docs/https/https-logging-monitoring#logging) and\n[Regional external Application Load Balancer logging and\nmonitoring](/load-balancing/docs/https/https-reg-logging-monitoring#logging).\n\nOnly a small volume of traffic is inspected\n-------------------------------------------\n\nCloud IDS inspects traffic sent to or received by resources in mirrored\nsubnets, including Google Cloud VMs and GKE nodes and\nPods.\n\nIf a mirrored subnet contains no VMs, Cloud IDS has no traffic to inspect.\n\nEndpoint policies are ignored when using Cloud NGFW L7 inspection policies\n--------------------------------------------------------------------------\n\nWhen you use Cloud Next Generation Firewall L7 inspection policies (rules with the\n`apply_security_profile_group` action) and Cloud IDS together, firewall\npolicy rules are evaluated and traffic is not mirrored for Cloud IDS\ninspection. You can avoid this situation by ensuring that\nCloud NGFW L7 inspection policies don't apply to packets that you\nneed to inspect with Cloud IDS."]]
