Registros, métricas y seguimientos

En este documento, se explica cómo Secure Web Proxy registra sus datos operativos, cómo usar las métricas de la API de Cloud Monitoring para analizar el rendimiento del proxy y cómo puedes usar el registro de seguimiento distribuido para observar los ciclos de vida de las solicitudes.

Registros

Secure Web Proxy usa Cloud Logging para permitirte capturar información y realizar diversas tareas en las siguientes áreas clave:

• Supervisión y cumplimiento

  • Aplica el cumplimiento de las reglamentaciones, mejora la seguridad de redes y proporciona visibilidad del tráfico web saliente que se envía a los destinos externos permitidos.
  • Adquiere capas valiosas de control y visibilidad sobre el tráfico de las cargas de trabajo.
  • Obtener información valiosa para una supervisión eficaz del centro de operaciones de seguridad (SOC)
  • Usa registros para detectar y hacer un seguimiento de los eventos de seguridad para responder a las amenazas de forma proactiva.

• Implementación y configuración

  • Haz un seguimiento de la configuración inicial de la infraestructura, la creación de cuentas de usuario y los cambios de configuración.
  • Supervisa si hay posibles errores para garantizar una implementación sin problemas y segura.
  • Comprende el impacto de los ajustes de las políticas y optimiza tu protección.

Tipos de registros

Secure Web Proxy usa Logging para capturar y almacenar los siguientes tipos de registros:

• Registros de auditoría de Cloud: Capturan los cambios administrativos y el acceso a los datos de tus recursos de Secure Web Proxy. Estos registros incluyen lo siguiente:

  • Registros de auditoría de actividad del administrador para llamadas a la API y otras acciones que modifican tus recursos de Secure Web Proxy, como puertas de enlace y políticas. Los registros de actividad del administrador siempre están habilitados.

  • Registros de auditoría de acceso a los datos, si están habilitados

• Registros de transacciones del proxy: capturan detalles sobre solicitudes web específicas que procesa tu Secure Web Proxy. Estos registros proporcionan estadísticas sobre el flujo de tráfico, la aplicación de políticas y el rendimiento de tu instancia de Secure Web Proxy.

Configura alertas de registros

Puedes configurar alertas para los eventos que Secure Web Proxy escribe en el registro, como los rechazos de tráfico o las coincidencias de reglas específicas. Para obtener instrucciones generales sobre cómo configurar estas alertas, consulta Configura alertas basadas en registros.

A continuación, se incluyen algunos ejemplos de consultas que puedes usar para configurar alertas basadas en registros para Secure Web Proxy:

Alerta de tráfico rechazado por una política de Secure Web Proxy

Usa la siguiente consulta para activar una alerta cuando tu política de Secure Web Proxy rechace una solicitud:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED"

Reemplaza PROJECT_ID por el ID de tu proyecto de destino de Google Cloud .

Alerta de tráfico rechazado por una regla de Secure Web Proxy

Usa la siguiente consulta para activar una alerta cuando una regla específica de Secure Web Proxy (como my-specific-deny-rule) rechace una solicitud:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED"
AND jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.name=~"projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/my-specific-deny-rule$"

Reemplaza lo siguiente:

• PROJECT_ID: ID de tu proyecto Google Cloud objetivo
• REGION: región de tu instancia de Secure Web Proxy
• POLICY_NAME: Nombre de tu política de Secure Web Proxy

Alerta de tráfico limitado por una política de límite de frecuencia del servicio

Vista previa

Este producto o función está sujeto a las "Condiciones de la Oferta de la Fase Previa a la DG" en la sección Condiciones Generales del Servicio de las Condiciones Específicas del Servicio. Los productos y las funciones de la fase previa a la DG están disponibles “tal como están” y pueden estar sujetos a asistencia limitada. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

Usa la siguiente consulta para activar una alerta cuando una política de límite de frecuencia de un servicio limite una solicitud:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.rateLimitPolicyInfo.overallResult="THROTTLED"

Reemplaza PROJECT_ID por el ID de tu proyecto de destino de Google Cloud .

Alerta para solicitudes de latencia alta

Usa la siguiente consulta para recibir notificaciones cuando las solicitudes superen una latencia determinada, como cinco segundos:

logName="projects/'PROJECT_ID'/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
latency >= "5s"

Reemplaza PROJECT_ID por el ID de tu proyecto de destino de Google Cloud .

Observa los registros en Cloud Logging

1. En la consola de Google Cloud , accede a la página Explorador de registros.

   Ve al Explorador de registros

2. Seleccionar tu Google Cloud proyecto.

3. Usa los menús desplegables para seleccionar el recurso networkservices.googleapis.com/Gateway o tu instancia de Secure Web Proxy.

Nota: Si habilitas el acceso global para tu instancia de Secure Web Proxy, los registros incluirán información sobre la región de origen del tráfico saliente. Estos datos pueden ayudarte a diferenciar entre el tráfico regional local y el tráfico entre regiones con fines de auditoría y solución de problemas.

Para obtener más información, consulta Usa el Explorador de registros.

Ejemplos de entradas de registro

Secure Web Proxy genera entradas de registro detalladas cada vez que procesa una solicitud, lo que permite hacer un seguimiento de sus acciones y de las políticas aplicadas. En los siguientes ejemplos, se muestra cómo funcionan los registros de Secure Web Proxy.

Ejemplo de una entrada de registro de permiso

En la siguiente entrada de registro, se muestra que la instancia de Secure Web Proxy interceptó e inspeccionó el tráfico HTTPS para www.example.com y, luego, permitió que continuara hacia el sitio web de destino. Los nombres de la política y la regla son swp-policy y allow-port-443, respectivamente.

Campo	Valores
enforcedGatewaySecurityPolicy	{ "requestWasTlsIntercepted": true, "hostname": "www.example.com", "matchedRules": [ { "action": "ALLOWED", "name": "projects/76537/locations/us-central1/gatewaySecurityPolicies/swp-policy/rules/allow-port-443" } ] }
httpRequest	{ "requestMethod": "GET", "requestUrl": "https://www.example.com/", "requestSize": "41", "status": 200, "responseSize": "1446", "userAgent": "curl/7.74.0", "remoteIp": "10.128.0.12:35418", "serverIp": "93.184.216.34:443", "latency": "0.051800s", "protocol": "HTTP/2" }
resource	{ "type": "networkservices.googleapis.com/Gateway", "labels": { "gateway_name": "multi-level-tlds", "network_name": "projects/76537/global/networks/default", "location": "us-central1", "resource_container": "", "gateway_type": "SECURE_WEB_GATEWAY" } }
timestamp	"2024-02-15T16:56:19.570534Z"
severity	"INFO"
logName	"projects/76537/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp	"2024-02-15T16:56:20.714988329Z"

Ejemplo de una entrada de registro de rechazo

Esta entrada de registro muestra que la instancia de Secure Web Proxy inspeccionó el tráfico de www.example.com:443 y rechazó la solicitud HTTPS debido a la regla default_denied en la política de Secure Web Proxy.

Campo	Valores
enforcedGatewaySecurityPolicy	{ "hostname": "www.example.com:443", "matchedRules": [ { "name": "default_denied", "action": "DENIED" } ] }
httpRequest	{ "requestMethod": "CONNECT", "requestSize": "122", "status": 403, "responseSize": "141", "userAgent": "curl/7.74.0", "remoteIp": "10.128.0.12:36338", "latency": "0.000133s", "protocol": "HTTP/1.1" }
resource	{ "type": "networkservices.googleapis.com/Gateway", "labels": { "gateway_type": "SECURE_WEB_GATEWAY", "resource_container": "", "location": "us-central1", "network_name": "projects/gcp-1768/global/networks/default", "gateway_name": "high-latency-repro" } }
timestamp	"2024-02-15T16:55:00.089727Z"
severity	"WARNING"
logName	"projects/gcp-1768/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp	"2024-02-15T16:55:04.456901833Z"

Ejemplo de una entrada de registro de política de límite de frecuencia de servicio

Vista previa

Este producto o función está sujeto a las "Condiciones de la Oferta de la Fase Previa a la DG" en la sección Condiciones Generales del Servicio de las Condiciones Específicas del Servicio. Los productos y las funciones de la fase previa a la DG están disponibles “tal como están” y pueden estar sujetos a asistencia limitada. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

La siguiente entrada de registro muestra que la instancia de Proxy web seguro limitó una solicitud porque el cliente superó el RateLimitPolicy (llamado rl-egress-policy) en el rl_default_rpm_limit RateLimitBucket.

Campo	Valores
rateLimitPolicyInfo	{ "policies": [ { "name": "projects/76537/locations/us-central1/rateLimitPolicies/rl-egress-policy", "buckets": [ { "bucket": "rl_default_rpm_limit", "key": "spiffe://projects-123.global.workload.id.goog/ns/ns1/sa/hellomcp", "result": "THROTTLED" } ], "result": "THROTTLED", "details": "Default user rate limit rate exceeded client-side." } ], "overallResult": "THROTTLED" }
httpRequest	{ "requestMethod": "POST", "requestUrl": "https://example.com/v1/chat/completions", "requestSize": "144", "status": 429, "responseSize": "85", "userAgent": "curl/7.74.0", "remoteIp": "10.128.0.12:35418", "serverIp": "93.184.216.34:443", "latency": "0.001200s", "protocol": "HTTP/2" }
resource	{ "type": "networkservices.googleapis.com/Gateway", "labels": { "gateway_type": "SECURE_WEB_GATEWAY", "resource_container": "", "location": "us-central1", "network_name": "projects/76537/global/networks/default", "gateway_name": "egress-swp-gateway" } }
timestamp	"2026-02-15T16:56:19.570534Z"
severity	"WARNING"
logName	"projects/76537/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp	"2026-02-15T16:56:20.714988329Z"

Seguimiento distribuido con Cloud Trace

Vista previa

Este producto o función está sujeto a las "Condiciones de la Oferta de la Fase Previa a la DG" en la sección Condiciones Generales del Servicio de las Condiciones Específicas del Servicio. Los productos y las funciones de la fase previa a la DG están disponibles “tal como están” y pueden estar sujetos a asistencia limitada. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

Secure Web Proxy admite el seguimiento de solicitudes distribuidas integrado con Trace.

Correlación de registros y seguimientos

Cada entrada de registro de transacciones del proxy que se escribe en Logging incluye un campo trace que contiene la cadena del recurso de seguimiento Google Cloud :

<pre class="devsite-click-to-copy">
"trace": "projects/PROJECT_ID/traces/TRACE_ID"
</pre>

Reemplaza lo siguiente:

• PROJECT_IDID del proyecto de Google Cloud
• TRACE_ID: Es el ID de seguimiento de 128 bits (hexadecimal de 32 caracteres) de tu cliente o intervalo de seguimiento. Por ejemplo, 4bf92f3577b34da6a3ce929d0e0e4736.

Puedes usar este ID de seguimiento para correlacionar las entradas de registro con sus respectivos intervalos de seguimiento:

• De registros a seguimientos: En el Explorador de registros, haz clic en el campo trace de cualquier entrada de registro y, luego, selecciona Ver detalles del seguimiento para abrir la cascada de solicitudes completa en Trace.
• De seguimientos a registros: En Trace, haz clic en Mostrar registros en el panel Detalles del seguimiento para ver todos los registros de transacciones de proxy asociados con el seguimiento.

Para obtener más información, consulta Seguimiento distribuido con Trace.

Métricas

Las métricas de la API de Cloud Monitoring te ayudan a observar el rendimiento, el estado y el uso de tus instancias de Secure Web Proxy.

Recurso supervisado

Las métricas de Secure Web Proxy se exportan en el siguiente recurso supervisado:

• networkservices.googleapis.com/Gateway: representa una instancia de puerta de enlace de Secure Web Proxy.

En la siguiente tabla, se describen los recursos disponibles para networkservices.googleapis.com/Gateway. Puedes usar estos recursos para filtrar y agregar tus datos de supervisión.

Etiqueta	Descripción
resource_container	Es el ID del proyecto asociado con la instancia de puerta de enlace de Secure Web Proxy.
location	Google Cloud Es la región en la que se implementa la puerta de enlace.
gateway_id	Es el nombre único de la instancia de puerta de enlace de Secure Web Proxy.
gateway_type	Es el tipo de puerta de enlace, que se establece en SECURE_WEB_GATEWAY.
network_name	Es el nombre de la red de nube privada virtual (VPC) asociada con la puerta de enlace.

Métricas disponibles

Las siguientes métricas están disponibles para el recurso Gateway. Todas las métricas tienen el prefijo networkservices.googleapis.com/https/.

Nota: Usa la métrica proxy_response_code_details para diferenciar entre las conexiones exitosas y las solicitudes que bloquean tus políticas de seguridad o listas de URLs.

Tipo de métrica	Nombre visible	Grupo de similares, tipo, unidad	Descripción
networkservices.googleapis.com/https/request_count	Recuento de solicitudes	DELTA, INT64, 1	Es la cantidad total de solicitudes que procesó el proxy.
networkservices.googleapis.com/https/request_bytes_count	Bytes de solicitud	DELTA, INT64, By	Es la cantidad total de bytes recibidos en las solicitudes.
networkservices.googleapis.com/https/response_bytes_count	Bytes de respuesta	DELTA, INT64, By	Es la cantidad total de bytes enviados en las respuestas.
networkservices.googleapis.com/https/total_latencies	Latencias totales	DELTA, DIST, ms	Es el tiempo que transcurre desde que se recibe el primer byte de una solicitud hasta que se envía el último byte de la respuesta.
networkservices.googleapis.com/https/backend_latencies	Latencias de backend	DELTA, DIST, ms	Es el tiempo transcurrido desde que se envió la solicitud al backend hasta que se recibió el primer byte de la respuesta.

Crea un panel personalizado

Para crear un panel personalizado que permita visualizar las tendencias de rendimiento y tráfico de tus instancias del Proxy web seguro, haz lo siguiente:

1. En la consola de Google Cloud , ve a la página Paneles.

   Ir a Paneles de control

2. Haz clic en Crea un panel personalizado.

3. Haz clic en Agregar widget y, luego, selecciona la opción de gráfico de Líneas.

4. En el campo Métrica, busca networkservices.googleapis.com/https/request_count.

5. En el campo Filtro, puedes filtrar por gateway_id si configuraste varias instancias de Secure Web Proxy.

6. En la sección Agregación, establece el Período de alineación en 1 minute y selecciona rate para Alineador.

   Esto convierte los datos de solicitudes sin procesar en una tasa de solicitudes por segundo, lo que facilita la visualización y el análisis de las tendencias de tráfico coherentes a lo largo del tiempo.

7. Para guardar el widget, haz clic en Aplicar.

¿Qué sigue?

• Descripción general del seguimiento distribuido
• Realiza un seguimiento del tráfico saliente con Trace
• Registro de auditoría de Secure Web Proxy
• Cómo ver los registros de transacciones del proxy