Formato de registro de reglas de política de firewall

En esta página, se describe la estructura de registro de las reglas de la política de firewall en Cloud Logging. Cuando una regla de firewall con el registro habilitado se aplica al tráfico hacia o desde una instancia de máquina virtual (VM), Cloud Logging crea una entrada de registro. Los registros aparecen en el campo de carga útil JSON de un LogEntry de Logging.

Los registros de firewall constan de campos base, que son los campos principales de cada registro, y campos de metadatos opcionales. Para reducir los costos de almacenamiento, puedes excluir los campos de metadatos.

Algunos campos de registro pueden contener otros campos como valores. Por ejemplo, el campo connection usa el formato IpConnection, que incluye la dirección IP y el puerto de origen y destino, y el protocolo, en un solo campo.

En la siguiente tabla, se describen los campos de registro admitidos para las reglas de políticas de Cloud Next Generation Firewall (Cloud NGFW), como las jerárquicas, globales y regionales, sin incluir los campos heredados, como las etiquetas de red y las cuentas de servicio, que no son compatibles con las políticas de Cloud NGFW.

Campo Descripción Tipo del campo: base o metadatos opcionales
connection IpConnection
5-Tuple describing the source and destination IP address, source and destination port, and IP protocol of this connection.		 Base
disposition Indica si la conexión fue ALLOWED, DENIED o INTERCEPTED. Base
rule_details RuleDetails
Son los detalles de la regla de política de firewall. El formato del registro es {folder tier index}/firewallPolicy:{firewall policy ID} o network:{network name}/firewallPolicy:{firewall policy ID}, según el alcance de la política.		 Base
instance InstanceDetails
Detalles de la instancia de VM. En una configuración de VPC compartida, project_id corresponde a la del proyecto de servicio.		 Metadatos
load_balancer_details LoadBalancingDetails
Son los detalles del balanceador de cargas de aplicaciones interno o del balanceador de cargas de red del proxy interno al que se aplica la regla de la política de firewall. Cuando el destino de una regla de firewall es uno de estos balanceadores de cargas, se omite el campo instance.		 Metadatos
vpc VpcDetails
Detalles de la red de VPC. En una configuración de VPC compartida, project_id corresponde a la del proyecto host.		 Metadatos
remote_instance InstanceDetails
Si el extremo remoto de la conexión es una VM ubicada en Compute Engine, este campo se propaga con los detalles de la instancia de VM.		 Metadatos
remote_vpc VpcDetails
Si el extremo remoto de la conexión es una VM ubicada en una red de VPC, este campo se propaga con los detalles de la red.		 Metadatos
remote_location GeographicDetails
Si el extremo remoto de la conexión es externo a la red de VPC, este campo se propaga con los metadatos de ubicación disponibles.		 Metadatos

IpConnection

Campo Tipo Descripción
src_ip cadena Dirección IP de origen. Si el origen es una VM de Compute Engine, src_ip es la dirección IP interna principal o una dirección en un rango de alias de IP de la interfaz de red de la VM. No se muestra la dirección IP externa. En el registro, se muestra la dirección IP de la VM tal como se presenta a la VM en el encabezado del paquete, de la misma manera que si ejecutaras tcpdump en la VM.
src_port integer Puerto de origen
dest_ip cadena Dirección IP de destino. Si el destino es una VM de Google Cloud , dest_ip es la dirección IP interna principal o una dirección en un rango de IP de alias de la interfaz de red de la VM. La dirección IP externa no se muestra aunque se haya usado para establecer la conexión.
dest_port integer Es el puerto de destino.
protocol integer Protocolo IP de la conexión.

RuleDetails

Campo Tipo Descripción
reference cadena Es la ruta de acceso absoluta y única al recurso de la regla que coincidió con el tráfico de red. El formato de las reglas de la política de firewall es el siguiente:
  • Política de firewall jerárquica: {folder tier index}/firewallPolicy:{id}
  • Política de firewall global: network:{network name}/firewallPolicy:{id}
  • Política de firewall regional: network:{network name}/region:{region name}/firewallPolicy:{id}
priority integer Es la prioridad de la regla de política de firewall.
action cadena Es la acción de la regla de política de firewall. Puede ser ALLOW, DENY o APPLY_SECURITY_PROFILE_GROUP.
source_networks[ ] cadena Es la lista de redes de VPC cuando el parámetro de contexto de la red de origen es VPC_NETWORKS.
destination_networks[ ] cadena Lista de redes de VPC cuando el parámetro de contexto de la red de destino es VPC_NETWORKS.
source_network_context cadena Es el contexto de red para el tráfico al que se aplica una regla de entrada.
destination_network_context cadena Es el contexto de red para el tráfico al que se aplica una regla de salida.
apply_security_profile_fallback_action cadena Se aplica si la acción es APPLY_SECURITY_PROFILE_GROUP. Los valores son ALLOW o UNSPECIFIED. Se establece si la disposición de la conexión es INTERCEPTED.
direction cadena Es la dirección a la que se aplica la regla de política de firewall. Puede ser INGRESS o EGRESS.
source_range[ ] cadena (Metadatos opcionales) Lista de los rangos de origen a los que se aplica la regla de política de firewall.
destination_range[ ] cadena (Metadatos opcionales) Lista de los rangos de destino a los que se aplica la regla de política de firewall.
ip_port_info[ ] cadena (Metadatos opcionales) Lista de los protocolos IP y rangos de puertos aplicables a las reglas.
target_resource[ ] cadena (Metadatos opcionales) Cadenas de recursos de destino con el formato projects/{project ID}/global/networks/{network name}. Está disponible en las políticas jerárquicas de firewall.
source_secure_tag[ ] cadena (Metadatos opcionales) Es una lista de todas las etiquetas seguras de origen a las que se aplica la regla de política de firewall.
target_secure_tag[ ] cadena (Metadatos opcionales) Es la lista de todas las etiquetas seguras de destino a las que se aplica la regla de política de firewall.
source_region_code[ ] cadena (Metadatos opcionales) Es una lista de todos los códigos de país de origen a los que se aplica la regla de política de firewall.
destination_region_code[ ] cadena (Metadatos opcionales) Lista de todos los códigos de país de destino a los que se aplica la regla de política de firewall.
source_fqdn[ ] cadena (Metadatos opcionales) Es la lista de todos los nombres de dominio de origen a los que se aplica la regla de la política de firewall.
destination_fqdn[ ] cadena (Metadatos opcionales) Es una lista de todos los nombres de dominio de destino a los que se aplica la regla de política de firewall.
source_threat_intelligence[ ] cadena (Metadatos opcionales) Lista de todos los nombres de las listas de origen de Google Threat Intelligence a los que se aplica la regla de política de firewall.
destination_threat_intelligence[ ] cadena (Metadatos opcionales) Lista de todos los nombres de las listas de destinos de Google Threat Intelligence a los que se aplica la regla de política de firewall.
source_address_groups[ ] cadena (Metadatos opcionales) Es una lista de todos los grupos de direcciones de origen a los que se aplica la regla de política de firewall.
destination_address_groups[ ] cadena (Metadatos opcionales) Lista de todos los grupos de direcciones de destino a los que se aplica la regla de política de firewall.
target_type cadena INSTANCES o INTERNAL_MANAGED_LB
target_forwarding_rules cadena Es la lista de URLs completas o parciales de las reglas de reenvío para los balanceadores de cargas de aplicaciones internos o los balanceadores de cargas de red del proxy internos a los que se aplica la regla de firewall.

IpPortDetails

Campo Tipo Descripción
ip_protocol cadena Es el protocolo IP al que se aplica la regla de política de firewall. No se puede establecer en ALL para las reglas de políticas de firewall.
port_range[ ] cadena Lista de los rangos de puertos aplicables a las reglas de políticas de firewall. Por ejemplo, 8080-9090.

InstanceDetails

Campo Tipo Descripción
project_id cadena ID del proyecto que contiene la VM de Compute Engine.
vm_name cadena Nombre de la instancia de VM de Compute Engine.
region cadena Es la región de la VM de Compute Engine.
zone cadena Es la zona de la VM de Compute Engine.

LoadBalancingDetails

Campo Tipo Descripción
forwarding_rule_project_id cadena ID del proyecto deGoogle Cloud que contiene la regla de reenvío.
type cadena Tipo de balanceador de cargas: APPLICATION_LOAD_BALANCER indica un balanceador de cargas de aplicaciones interno. PROXY_NETWORK_LOAD_BALANCER indica un balanceador de cargas de red de proxy interno.
scheme cadena Esquema del balanceador de cargas, INTERNAL_MANAGED.
url_map_name cadena Es el nombre del mapa de URL. Solo se completa si type es APPLICATION_LOAD_BALANCER.
forwarding_rule_name cadena Es el nombre de la regla de reenvío.

VpcDetails

Campo Tipo Descripción
project_id cadena ID del proyecto que contiene la red.
vpc_name cadena Es la red en la que opera la VM.
subnetwork_name cadena Subred en la que opera la VM.

GeographicDetails

Campo Tipo Descripción
continent cadena Nombre del continente para los extremos externos.
country cadena Nombre del país para los extremos externos.
region cadena Es el nombre de la región para los extremos externos.
city cadena Nombre de la ciudad para los extremos externos.

¿Qué sigue?