In diesem Dokument wird erläutert, wie Secure Web Proxy seine Betriebsdaten protokolliert, wie Sie Cloud Monitoring API-Messwerte verwenden, um die Proxy-Leistung zu analysieren, und wie Sie mit verteiltem Tracing den Lebenszyklus von Anfragen beobachten können.
Logs
Secure Web Proxy verwendet Cloud Logging, damit Sie Informationen erfassen und verschiedene Aufgaben in den folgenden Schlüsselbereichen ausführen können:
Monitoring und Compliance
- Compliance mit Vorschriften erzwingen, Netzwerksicherheit verbessern und Einblick in den ausgehenden Web-Traffic geben, der an zulässige externe Ziele gesendet wird.
- Sie erhalten wertvolle Kontroll- und Transparenzebenen für den Arbeitslast-Traffic.
- Sie erhalten wichtige Informationen für ein effektives Monitoring Ihres Security Operations Center (SOC).
- Mit Logs Sicherheitsereignisse erkennen und verfolgen, um proaktiv auf Bedrohungen zu reagieren
Bereitstellung und Konfiguration
- Verfolgen Sie die Einrichtung Ihrer Infrastruktur, die Erstellung von Nutzerkonten und Konfigurationsänderungen.
- Überwachen Sie potenzielle Fehler, um eine reibungslose und sichere Bereitstellung zu gewährleisten.
- Auswirkungen von Anpassungen bei der Richtlinienabstimmung nachvollziehen und Schutz optimieren
Protokolltypen
Secure Web Proxy verwendet Logging, um die folgenden Arten von Logs zu erfassen und zu speichern:
Cloud-Audit-Logs: Erfassen administrativer Änderungen und des Datenzugriffs auf Ihre Secure Web Proxy-Ressourcen. Diese Logs enthalten Folgendes:
Audit-Logs zur Administratoraktivität für API-Aufrufe und andere Aktionen, die Ihre Secure Web Proxy-Ressourcen wie Gateways und Richtlinien ändern. Logs zu Administratoraktivitäten sind immer aktiviert.
Audit-Logs zum Datenzugriff, sofern aktiviert.
Proxy-Transaktionslogs: Hier werden Details zu bestimmten Webanfragen erfasst, die von Ihrem Secure Web Proxy verarbeitet werden. Diese Logs geben Aufschluss über den Trafficfluss, die Richtliniendurchsetzung und die Leistung Ihrer Secure Web Proxy-Instanz.
Logbenachrichtigungen konfigurieren
Sie können Warnungen für Ereignisse konfigurieren, die Secure Web Proxy in Logging schreibt, z. B. abgelehnter Traffic oder bestimmte Regelübereinstimmungen. Eine allgemeine Anleitung zum Einrichten dieser Benachrichtigungen finden Sie unter Logbasierte Benachrichtigungen konfigurieren.
Hier sind einige Beispiele für Abfragen, mit denen Sie logbasierte Benachrichtigungen für Secure Web Proxy konfigurieren können:
Benachrichtigung für Traffic, der durch eine Secure Web Proxy-Richtlinie abgelehnt wurde
Verwenden Sie die folgende Abfrage, um eine Benachrichtigung auszulösen, wenn Ihre Richtlinie für den sicheren Web-Proxy eine Anfrage ablehnt:
logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests" resource.type="networkservices.googleapis.com/Gateway" jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED"
Ersetzen Sie PROJECT_ID durch die ID Ihres Zielprojekts.Google Cloud
Benachrichtigung für Traffic, der durch eine Secure Web Proxy-Regel abgelehnt wurde
Mit der folgenden Abfrage wird eine Benachrichtigung ausgelöst, wenn eine bestimmte Secure Web Proxy-Regel (z. B. my-specific-deny-rule) eine Anfrage ablehnt:
logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests" resource.type="networkservices.googleapis.com/Gateway" jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED" AND jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.name=~"projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/my-specific-deny-rule$"
Ersetzen Sie Folgendes:
PROJECT_ID: ID Ihres Zielprojekts Google CloudREGION: Region Ihrer Secure Web Proxy-InstanzPOLICY_NAME: Name Ihrer Secure Web Proxy-Richtlinie
Benachrichtigung für Anfragen mit hoher Latenz
Mit der folgenden Abfrage werden Sie benachrichtigt, wenn Anfragen eine bestimmte Latenz überschreiten, z. B. fünf Sekunden:
logName="projects/'PROJECT_ID'/logs/networkservices.googleapis.com%2Fgateway_requests" resource.type="networkservices.googleapis.com/Gateway" latency >= "5s"
Ersetzen Sie PROJECT_ID durch die ID Ihres Zielprojekts.Google Cloud
Logs in Cloud Logging ansehen
Rufen Sie in der Google Cloud Console die Seite Log-Explorer auf.
Wählen Sie Ihr Google Cloud Projekt aus.
Wählen Sie in den Drop-down-Menüs entweder die
networkservices.googleapis.com/Gateway-Ressource oder Ihre Secure Web Proxy-Instanz aus.
Weitere Informationen finden Sie unter Log-Explorer verwenden.
Beispiele für Logeinträge
Secure Web Proxy generiert detaillierte Logeinträge, wenn eine Anfrage verarbeitet wird. So werden die Aktionen und angewendeten Richtlinien nachverfolgt. Die folgenden Beispiele zeigen, wie Secure Web Proxy-Logs funktionieren.
Beispiel für einen Logeintrag für „Zulassen“
Der folgende Logeintrag zeigt, dass die Secure Web Proxy-Instanz den HTTPS-Traffic für www.example.com abgefangen und geprüft und dann zugelassen hat, dass er zur Zielwebsite weitergeleitet wird. Die Namen der Richtlinie und der Regel sind swp-policy bzw. allow-port-443.
| Feld | Werte |
|---|---|
enforcedGatewaySecurityPolicy |
{
"requestWasTlsIntercepted": true,
"hostname": "www.example.com",
"matchedRules": [
{
"action": "ALLOWED",
"name": "projects/76537/locations/us-central1/gatewaySecurityPolicies/swp-policy/rules/allow-port-443"
}
]
} |
httpRequest |
{
"requestMethod": "GET",
"requestUrl": "https://www.example.com/",
"requestSize": "41",
"status": 200,
"responseSize": "1446",
"userAgent": "curl/7.74.0",
"remoteIp": "10.128.0.12:35418",
"serverIp": "93.184.216.34:443",
"latency": "0.051800s",
"protocol": "HTTP/2"
} |
resource |
{
"type": "networkservices.googleapis.com/Gateway",
"labels": {
"gateway_name": "multi-level-tlds",
"network_name": "projects/76537/global/networks/default",
"location": "us-central1",
"resource_container": "",
"gateway_type": "SECURE_WEB_GATEWAY"
}
} |
timestamp |
"2024-02-15T16:56:19.570534Z" |
severity |
„INFO“ |
logName |
"projects/76537/logs/networkservices.googleapis.com%2Fgateway_requests" |
receiveTimestamp |
"2024-02-15T16:56:20.714988329Z" |
Beispiel für einen Logeintrag vom Typ „Verweigern“
Dieser Logeintrag zeigt, dass die Secure Web Proxy-Instanz den Traffic für www.example.com:443 geprüft und die HTTPS-Anfrage aufgrund der default_denied-Regel in der Secure Web Proxy-Richtlinie abgelehnt hat.
| Feld | Werte |
|---|---|
enforcedGatewaySecurityPolicy |
{
"hostname": "www.example.com:443",
"matchedRules": [
{
"name": "default_denied",
"action": "DENIED"
}
]
} |
httpRequest |
{
"requestMethod": "CONNECT",
"requestSize": "122",
"status": 403,
"responseSize": "141",
"userAgent": "curl/7.74.0",
"remoteIp": "10.128.0.12:36338",
"latency": "0.000133s",
"protocol": "HTTP/1.1"
} |
resource |
{
"type": "networkservices.googleapis.com/Gateway",
"labels": {
"gateway_type": "SECURE_WEB_GATEWAY",
"resource_container": "",
"location": "us-central1",
"network_name": "projects/gcp-1768/global/networks/default",
"gateway_name": "high-latency-repro"
}
} |
timestamp |
"2024-02-15T16:55:00.089727Z" |
severity |
„WARNING“ |
logName |
"projects/gcp-1768/logs/networkservices.googleapis.com%2Fgateway_requests" |
receiveTimestamp |
"2024-02-15T16:55:04.456901833Z" |
Verteiltes Tracing mit Cloud Trace
Secure Web Proxy unterstützt die integrierte verteilte Anforderungsverfolgung, die in Trace integriert ist.
Korrelation zwischen Logs und Traces
Jeder Proxy-Transaktionslogeintrag, der in Logging geschrieben wird, enthält das Feld trace mit dem Google Cloud -Ressourcenstring:
<pre class="devsite-click-to-copy">
"trace": "projects/PROJECT_ID/traces/TRACE_ID"
</pre>
Ersetzen Sie Folgendes:
PROJECT_ID: ID Ihres Google Cloud -ProjektsTRACE_ID: 128-Bit-Trace-ID (32 hexadezimale Zeichen) von Ihrem Client oder Trace-Span. Beispiel:4bf92f3577b34da6a3ce929d0e0e4736
Mit dieser Trace-ID können Sie Logeinträge mit den entsprechenden Trace-Spans korrelieren:
- Von Logs zu Traces: Klicken Sie im Log-Explorer auf das Feld
traceeines beliebigen Logeintrags und wählen Sie dann Trace-Details ansehen aus, um das vollständige Wasserfalldiagramm der Anfrage in Trace zu öffnen. - Von Traces zu Logs: Klicken Sie in Trace im Bereich Trace-Details auf Logs ansehen, um alle Proxy-Transaktionslogs aufzurufen, die mit dem Trace verknüpft sind.
Weitere Informationen finden Sie unter Verteiltes Tracing mit Trace.
Messwerte
Mit den Cloud Monitoring API-Messwerten können Sie die Leistung, den Zustand und die Nutzung Ihrer Secure Web Proxy-Instanzen beobachten.
Überwachte Ressource
Messwerte für Secure Web Proxy werden unter der folgenden überwachten Ressource exportiert:
networkservices.googleapis.com/Gateway: Stellt eine Secure Web Proxy-Gateway-Instanz dar.
In der folgenden Tabelle werden die verfügbaren Ressourcen für networkservices.googleapis.com/Gateway beschrieben. Mit diesen Ressourcen können Sie Ihre Monitoring-Daten filtern und aggregieren.
| Label | Beschreibung |
|---|---|
resource_container |
ID des Projekts, das der Secure Web Proxy-Gateway-Instanz zugeordnet ist. |
location |
Google Cloud Region, in der das Gateway bereitgestellt wird. |
gateway_id |
Eindeutiger Name der Secure Web Proxy-Gateway-Instanz. |
gateway_type |
Typ des Gateways, der auf SECURE_WEB_GATEWAY festgelegt ist. |
network_name |
Name des mit dem Gateway verknüpften VPC-Netzwerks (Virtual Private Cloud). |
Verfügbare Messwerte
Die folgenden Messwerte sind für die Gateway-Ressource verfügbar. Alle Messwerte haben das Präfix networkservices.googleapis.com/https/.
| Messwerttyp | Anzeigename | Art, Typ, Einheit | Beschreibung |
|---|---|---|---|
networkservices.googleapis.com/https/request_count |
Anzahl der Anfragen | DELTA, INT64, 1 |
Gesamtzahl der vom Proxy verarbeiteten Anfragen. |
networkservices.googleapis.com/https/request_bytes_count |
Anfragebytes | DELTA, INT64, By |
Gesamtzahl der in Anfragen empfangenen Bytes. |
networkservices.googleapis.com/https/response_bytes_count |
Antwortbyte | DELTA, INT64, By |
Gesamtzahl der in Antworten gesendeten Byte. |
networkservices.googleapis.com/https/total_latencies |
Gesamtlatenzen | DELTA, DIST, ms |
Zeitspanne zwischen dem Empfang des ersten Byte einer Anfrage und dem Senden des letzten Byte der Antwort. |
networkservices.googleapis.com/https/backend_latencies |
Back-End-Latenzen | DELTA, DIST, ms |
Die Zeit, die vom Senden der Anfrage an das Backend bis zum Empfang des ersten Byte der Antwort vergangen ist. |
Benutzerdefiniertes Dashboard erstellen
So erstellen Sie ein benutzerdefiniertes Dashboard zur Visualisierung der Leistungs- und Traffic-Trends Ihrer Secure Web Proxy-Instanzen:
Rufen Sie in der Google Cloud Console die Seite Dashboards auf.
Klicken Sie auf Benutzerdefiniertes Dashboard erstellen.
Klicken Sie auf Widget hinzufügen und wählen Sie dann die Option Liniendiagramm aus.
Suchen Sie im Feld Messwert nach
networkservices.googleapis.com/https/request_count.Im Feld Filter können Sie nach
gateway_idfiltern, wenn Sie mehrere Secure Web Proxy-Instanzen konfiguriert haben.Legen Sie im Bereich Aggregation den Ausrichtungszeitraum auf
1 minutefest und wählen Sieratefür Aligner aus.Dadurch werden die Rohdaten für Anfragen in eine Rate für Anfragen pro Sekunde umgewandelt. So lassen sich konsistente Traffic-Trends im Zeitverlauf leichter ansehen und analysieren.
Klicken Sie auf Übernehmen, um das Widget zu speichern.
Nächste Schritte
- Verteiltes Tracing – Übersicht
- Ausgehenden Traffic mit Trace analysieren
- Audit-Logging für Secure Web Proxy
- Proxy-Transaktionsprotokolle ansehen