Protokolle der erweiterten Malware-Sandbox

Wenn die Cloud Next Generation Firewall Enterprise eine Datei erkennt und zur Analyse an die erweiterte Malware-Sandbox (WildFire) sendet, werden detaillierte Logs generiert, mit denen Sie die Malware-Erkennung und ‑Prävention prüfen und analysieren können. Diese Logs bieten Einblick in netzwerkbasierte Bedrohungen und Sandbox-Ergebnisse.

Auf dieser Seite werden das Format und die Struktur der Einreichungslogs für die erweiterte Malware-Sandbox beschrieben.

Typen von Logs für die erweiterte Malware-Sandbox

Für die erweiterte Malware-Sandbox gibt es zwei Hauptkategorien von Logs:

  • Einreichungslogs: werden generiert, wenn eine unbekannte Datei von der erweiterten Malware-Sandbox ausgewertet wird. Sie enthalten zwei Untertypen:

    • wildfire: gibt an, dass eine Datei extrahiert und zur asynchronen detaillierten Sandbox-Analyse an die Cloud der erweiterten Malware-Sandbox gesendet wurde.
    • inline-wildfire: gibt an, dass eine Datei in Echtzeit von der Inline-Cloud-Analyse-Engine der erweiterten Malware-Sandbox ausgewertet wurde, bevor sie das Netzwerk erreicht hat.

  • Bedrohungslogs: werden generiert, wenn die Firewall eine bekannte oder dynamisch identifizierte Bedrohung inline erkennt und aktiv blockiert. Dabei werden zwei neue Untertypen von Bedrohungslogs hinzugefügt:

    • WILDFIRE_VIRUS: gibt einen Virus an, der vom Cloud-Dienst der erweiterten Malware-Sandbox anhand einer bekannten Signaturübereinstimmung erkannt wurde.
    • ML_VIRUS: gibt einen Virus an, der dynamisch von der On-Box-Engine für Inline-Machine Learning (ML) der erweiterten Malware-Sandbox der Firewall erkannt wurde.

Logs ansehen

Informationen zum Ansehen und Analysieren der Logs für die erweiterte Malware-Sandbox finden Sie unter Alle Firewalllogs ansehen.

Sie können die folgenden Abfragen im Log-Explorer Abfrageeditor Feld verwenden:

  • Geben Sie type.googleapis.com/google.cloud.networksecurity.logging.v1.WildfireSubmissionLog ein, um Einreichungslogs anzusehen.

  • Geben Sie die folgende Abfrage ein, um Bedrohungslogs anzusehen:

    type.googleapis.com/google.cloud.networksecurity.logging.v1.ThreatLog
jsonPayload.threatDetails.type="WILDFIRE_VIRUS" OR jsonPayload.threatDetails.type="ML_VIRUS"

Logformat für die erweiterte Malware-Sandbox

Die Cloud Next Generation Firewall Enterprise erstellt für jede Datei, die an die erweiterte Malware-Sandbox gesendet wird, einen Logeintrag in Cloud Logging. Die Logeinträge werden im JSON-Nutzlastfeld eines LogEntry-Objekts erfasst.

In der folgenden Tabelle wird das Format der Logfelder für die Einreichung in der erweiterten Malware-Sandbox beschrieben:

Feld Typ Beschreibung
connection Connection Ein 5-Tupel, das die Verbindungsparameter beschreibt, die mit dem Traffic verknüpft sind.
action string Die Aktion, die für die Verbindung ausgeführt wurde, über die die Datei an die erweiterte Malware-Sandbox gesendet wird. Beispiel: allow, deny.
wildfireDetails WildFireDetails Die Details der Einreichung der Datei in der erweiterten Malware-Sandbox und die Analyseergebnisse.
securityProfileGroupDetails SecurityProfileGroupDetails Die Details der Sicherheitsprofilgruppe, die auf den abgefangenen Traffic angewendet wurde.
interceptVpc VpcDetails Die Details des VPC-Netzwerks (Virtual Private Cloud), das mit dem abgefangenen Traffic verknüpft ist.
interceptInstance InterceptInstance Die Details der VM-Instanz (virtuelle Maschine), in der der Traffic abgefangen wurde.

Format des Felds Connection

In der folgenden Tabelle wird das Format des Felds Connection beschrieben:

Feld Typ Beschreibung
clientIp string Die IP-Adresse des Clients. Wenn der Client eine Compute Engine-VM-Instanz ist, clientIp ist entweder die primäre interne IP-Adresse oder eine Adresse in einem Alias-IP-Bereich der Netzwerkschnittstelle der VM. Die externe IP Adresse wird nicht angegeben. In den Logs wird die IP-Adresse der VM-Instanz so angezeigt, wie sie im IP-Header zu sehen ist, ähnlich wie beim TCP-Dump auf der VM-Instanz.
clientPort integer Die Portnummer des Clients.
serverIp string Die IP-Adresse des Servers. Wenn der Server eine Compute Engine-VM-Instanz ist, serverIp ist entweder die primäre interne IP-Adresse oder eine Adresse in einem Alias-IP-Bereich der Netzwerkschnittstelle der VM. Die externe IP-Adresse wird nicht angegeben, auch wenn sie zur Herstellung der Verbindung verwendet wurde.
serverPort integer Die Portnummer des Servers.
protocol string Das IP-Protokoll der Verbindung.

Format des Felds WildFireDetails

In der folgenden Tabelle wird das Format des Felds wildfireDetails beschrieben:

Feld Typ Beschreibung
verdict string Das Ergebnis der erweiterten Malware-Sandbox für die Datei. Beispiel: „malicious“ (schädlich).
detectionTime string Die Zeit, zu der die Malware erkannt wurde.
direction string Die Richtung der Dateiübertragung. Beispiel: CLIENT_TO_SERVER.
fileName string Der Name der Datei.
fileType string Der Typ der Datei. Beispiel: Linux, PE.
hash string Der SHA-256-Hash (Secure Hash Algorithm 256-bit) der Datei.
severity string Der Schweregrad der erkannten Malware. Weitere Informationen finden Sie unter Schweregradebenen für Bedrohungen.
repeatCount integer Die Anzahl der Sitzungen mit derselben Client-IP-Adresse, Server IP-Adresse, Client-Port, Server-Port, Protokoll und derselben Domain, die innerhalb von fünf Sekunden beobachtet wurden.
reportUrl string Eine URL zum Herunterladen des Berichts der erweiterten Malware-Sandbox. Diese URL verweist in der Regel auf networksecurity.usercontent.google.com und enthält die Organisation oder das Projekt, den Standort, den Firewallendpunkt und Berichtsinformationen.
sampleUrl string Eine URL zum Herunterladen des Malware-Beispiels. Diese URL verweist in der Regel auf networksecurity.usercontent.google.com und enthält die Organisation oder das Projekt, den Standort, den Firewallendpunkt und Beispiel informationen.
subtype string Der Untertyp der erweiterten Malware-Sandbox. Beispiel: „wildfire“, „inline-wildfire“.

Format des Felds SecurityProfileGroupDetails

In der folgenden Tabelle wird das Format des Felds SecurityProfileGroupDetails beschrieben:

Feld Typ Beschreibung
securityProfileGroupId string Der Name der Sicherheitsprofilgruppe, die auf den Traffic angewendet wird.
organizationId string Die Organisations-ID, zu der die VM-Instanz gehört.

Format des Felds VpcDetails

In der folgenden Tabelle wird das Format des Felds VpcDetails beschrieben:

Feld Typ Beschreibung
vpc string Der Name des VPC-Netzwerk, das mit dem abgefangenen Traffic verknüpft ist.
projectId string Der Name des Google Cloud Projekts, das mit dem VPC-Netzwerk verknüpft ist.

Format des Felds InterceptInstance

In der folgenden Tabelle wird das Format des Felds InterceptInstance beschrieben:

Feld Typ Beschreibung
zone string Der Name der Zone, in der sich die VM-Instanz befindet.
vm string Der Name der VM-Instanz, die mit dem abgefangenen Traffic verknüpft ist.
projectId string Der Name des Google Cloud Projekts, das mit dem VPC-Netzwerk verknüpft ist.

Korrelation von Logs der erweiterten Malware-Sandbox mit Firewalllogs

Wenn Traffic von einer Firewallregel ausgewertet wird, erfasst die Cloud NGFW einen Logeintrag für die Protokollierung von Firewallrichtlinienregeln. Weitere Informationen finden Sie unter Logformat für die erweiterte Malware-Sandbox. Informationen zum Ansehen dieser Firewallregellogs finden Sie unter Logs ansehen.

Wenn das Logging für eine Firewallrichtlinienregel mit Layer-7-Prüfung aktiviert ist, erfasst die Cloud NGFW zuerst einen Logeintrag für die Protokollierung von VPC-Firewallregeln für den ausgewerteten Traffic. Anschließend wird der Traffic zur Layer-7-Prüfung an den Firewallendpunkt gesendet. Weitere Informationen finden Sie unter Logging von Firewallrichtlinienregeln aktivieren oder deaktivieren.

Der Firewallendpunkt analysiert den Traffic auf Dateien, die an die erweiterte Malware-Sandbox gesendet werden sollen, und erstellt ein separates Einreichungslog für die erweiterte Malware-Sandbox für die Verbindung. Dieses Einreichungslog für die erweiterte Malware-Sandbox enthält Felder wie den Dateinamen, den Dateihash, die Quelle des Traffics und das Ziel des Traffics.

Wenn Sie die Einreichungslogs für die erweiterte Malware-Sandbox ansehen möchten, suchen Sie im Log-Explorer, nach dem Log networksecurity.googleapis.com%2Ffirewall_wildfire.

Sie können die Felder im Log der Firewallrichtlinienregeln und im Logformat der erweiterten Malware-Sandbox vergleichen, um die Verbindung zu identifizieren, die die Einreichung der Datei in der erweiterten Malware-Sandbox ausgelöst hat, und entsprechende Maßnahmen zu ergreifen, um das Problem zu beheben.

Angenommen, Sie haben eine Firewallrichtlinienregel mit den folgenden Einstellungen konfiguriert:

  • Quell-IP-Adresse: 192.0.2.0
  • Quellport: 47644
  • Ziel-IP-Adresse: 192.0.2.1
  • Zielport: 80
  • Logging: Enabled

Wenn Sie die Einreichungslogs für die erweiterte Malware-Sandbox ansehen möchten, die mit dieser Regel verknüpft sind, rufen Sie die Seite Log-Explorer auf. Fügen Sie im Bereich Abfrage die folgende Abfrage in das Feld des Abfrageeditors ein.

  resource.type="networksecurity.googleapis.com/FirewallEndpoint"
  jsonPayload.connection.clientIp="192.0.2.0"
  jsonPayload.connection.clientPort="47644"
  jsonPayload.connection.serverIp="192.0.2.1"
  jsonPayload.connection.serverPort="80"

Im Abschnitt Abfrageergebnisse wird das folgende Einreichungslog für die erweiterte Malware-Sandbox angezeigt:

    {
      "insertId": "akxp8uf5f0fuv",
      "jsonPayload": {
      "connection": {
      "serverPort": 80,
      "clientPort": 47644,
      "protocol": "TCP",
      "clientIp": "192.0.2.0",
      "serverIp": "192.0.2.1"
    },
      "interceptInstance": {
      "zone": "us-central1-c",
      "vm": "aied-test-dont-delete",
      "projectId": "project_001"
    },
      "interceptVpc": {
      "projectId": "project_001",
      "vpc": "default"
    },
      "@type": "type.googleapis.com/google.cloud.networksecurity.logging.v1.WildfireSubmissionLog",
      "securityProfileGroupDetails": {
      "securityProfileGroupId": "project_001/spg/my-spg-id",
      "organizationId": "organization_001"
    },
      "action": "DENY",
      "wildfireDetails": {
        "detectionTime": "2026-04-19T21:18:50Z",
        "direction": "SERVER_TO_CLIENT",
        "fileName": "sheet.exe",
        "fileType": "PE",
        "hash": "02521f0bb91b4c74d1590b85254f26f0d258cd780393010593ae6daaa5993753",
        "repeatCount": 1,
        "reportUrl": "https://networksecurity.usercontent.google.com/projects/12345/locations/us-west2-a/firewallEndpoints/prober-wfmixed-fwp-ep-us-w2-a/wildfireReports/C08DD6908D91EAB335FA89675E499631557B3126ADFF9C83A1856D4404D2F4A2",
        "sampleUrl": "https://networksecurity.usercontent.google.com/projects/12345/locations/us-west2-a/firewallEndpoints/prober-wfmixed-fwp-ep-us-w2-a/wildfireSamples/C08DD6908D91EAB335FA89675E499631557B3126ADFF9C83A1856D4404D2F4A2",
        "severity": "INFORMATIONAL",
        "subtype": "WILDFIRE",
        "verdict": "MALICIOUS"
      },
    },
    "resource": {
    "type": "networksecurity.googleapis.com/FirewallEndpoint",
    "labels": {
      "location": "us-central1-c",
      "resource_container": "organizations/organization_001",
      "id": "pg-ni-latencyayzl8peq"
    }
  },
  "timestamp": "2025-06-02T19:09:35.452299517Z",
  "logName": "projects/project_001/logs/networksecurity.googleapis.com%2Ffirewall_wildfire",
  "receiveTimestamp": "2025-06-02T19:09:35.452299517Z"
}

Wenn Sie die mit dieser Regel verknüpften Firewalllogs ansehen möchten, rufen Sie die Seite Log-Explorer auf. Fügen Sie im Bereich Abfrage die folgende Abfrage in das Feld des Abfrageeditors ein.

    jsonPayload.rule_details.action="APPLY_SECURITY_PROFILE_GROUP"
    jsonPayload.connection.src_ip="192.0.2.0"
    jsonPayload.connection.src_port="47644"
    jsonPayload.connection.dest_ip="192.0.2.1"
    jsonPayload.connection.dest_port="80"

Im Abschnitt Abfrageergebnisse wird das folgende Firewalllog angezeigt:

    {
      insertId: "qn82vdg109q3r9"
      jsonPayload: {
      connection: {
      }
      dest_ip: "192.0.2.1"
      dest_port: 80
      protocol: 6
      src_ip: "192.0.2.0"
      src_port: 47644
      disposition: "INTERCEPTED"
      ►instance: {4}
      ▸ remote_instance: {4}
      ▸ remote_vpc: {3}
      rule_details: {
      action: "APPLY_SECURITY_PROFILE_GROUP"
      apply_security_profile_fallback_action: "UNSPECIFIED"
      direction: "INGRESS"
      ▸ ip_port_info: [1]
      ▼
      priority: 6000
      reference: "network: fwplus-vpc/firewallPolicy: fwplus-fwpolicy"
      source_range: [
      1
      0: "192.0.2.0/24"
      target_secure_tag: [
      0: "tagValues/281479199099651"
      ]
      }
      vpc: {
      project_id: "project_001"
      subnetwork_name: "fwplus-us-central1-subnet"
      vpc_name: "fwplus-vpc"
      }
      }
      logName: "projects/project_001/logs/compute.googleapis.com%2Ffirewall",
      receiveTimestamp: "2023-11-28T19:08:46.749244092Z"
      resource: {2}
      timestamp: "2023-11-28T19:08:40.207465099Z"
    }

Mit den Abfragen für das Einreichungslog der erweiterten Malware-Sandbox und das Firewalllog können Sie die Korrelation zwischen ihnen sehen. In der folgenden Tabelle werden die Felder des Firewalllogs den entsprechenden Feldern des Einreichungslogs der erweiterten Malware-Sandbox zugeordnet:

Feld für Firewalllog Feld für Einreichungslog der erweiterten Malware-Sandbox Beschreibung
src_ip clientIp Die Quell-IP-Adresse im Firewalllog wird mit der Client-IP-Adresse im Einreichungslog der erweiterten Malware-Sandbox korreliert, um die Quelle des ausgewerteten Traffics zu identifizieren.
src_port clientPort Der Quellport im Firewalllog wird mit dem Client Port im Einreichungslog der erweiterten Malware-Sandbox korreliert, um den Quellport zu identifizieren, der vom ausgewerteten Traffic verwendet wird.
dest_ip serverIp Die Ziel-IP-Adresse im Firewalllog wird mit der Server-IP-Adresse im Einreichungslog der erweiterten Malware-Sandbox korreliert, um das Ziel des ausgewerteten Traffics zu ermitteln.
dest_port serverPort Der Zielport im Firewalllog wird mit dem Server-Port im Einreichungslog der erweiterten Malware-Sandbox korreliert, um den Zielport zu identifizieren, der vom ausgewerteten Traffic verwendet wird.

Nächste Schritte