Registros, métricas e traces

Neste documento, explicamos como o Secure Web Proxy registra os dados operacionais, como usar as métricas da API Cloud Monitoring para analisar o desempenho do proxy e como usar o rastreamento distribuído para observar os ciclos de vida das solicitações.

Registros

O Secure Web Proxy usa o Cloud Logging para capturar informações e realizar várias tarefas nas seguintes áreas principais:

  • Monitoramento e compliance

    • Aplique a conformidade com as regulamentações, melhore a segurança da rede e ofereça visibilidade do tráfego da Web de saída enviado para destinos externos permitidos.
    • Adquira camadas valiosas de controle e visibilidade sobre o tráfego de carga de trabalho.
    • Receba insights essenciais para um monitoramento eficaz da central de operações de segurança (SOC).
    • Use registros para detectar e rastrear ocorrências de segurança e responder a ameaças de forma proativa.

  • Implantação e configuração

    • Acompanhe a configuração inicial da infraestrutura, a criação de contas de usuário e as mudanças de configuração.
    • Monitore possíveis erros para garantir uma implantação tranquila e segura.
    • Entenda o impacto dos ajustes de política e otimize sua proteção.

Tipos de registro

O Secure Web Proxy usa o Logging para capturar e armazenar os seguintes tipos de registros:

Configurar alertas de registro

É possível configurar alertas para eventos que o Secure Web Proxy grava no Logging, como negações de tráfego ou correspondências de regras específicas. Para instruções gerais sobre como configurar esses alertas, consulte Configurar alertas com base em registros.

Confira alguns exemplos de consultas que podem ser usadas para configurar alertas com base em registros do Secure Web Proxy:

Alerta para tráfego negado por uma política do Secure Web Proxy

Use a consulta a seguir para acionar um alerta quando a política do Secure Web Proxy negar uma solicitação:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED"

Substitua PROJECT_ID pelo ID do projeto de destino doGoogle Cloud .

Alerta para tráfego negado por uma regra do Secure Web Proxy

Use a consulta a seguir para acionar um alerta quando uma regra específica do Secure Web Proxy (como my-specific-deny-rule) negar uma solicitação:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED"
AND jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.name=~"projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/my-specific-deny-rule$"

Substitua:

  • PROJECT_ID: ID do projeto Google Cloud de destino
  • REGION: região da sua instância do Secure Web Proxy
  • POLICY_NAME: nome da política do Secure Web Proxy

Alerta para tráfego limitado por uma política de limitação de taxa de serviço

Use a consulta a seguir para acionar um alerta quando uma política de limitação de taxa de serviço limitar uma solicitação:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.rateLimitPolicyInfo.overallResult="THROTTLED"

Substitua PROJECT_ID pelo ID do projeto de destino Google Cloud .

Alerta para solicitações de alta latência

Use a consulta a seguir para receber uma notificação quando as solicitações excederem uma determinada latência, como cinco segundos:

logName="projects/'PROJECT_ID'/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
latency >= "5s"

Substitua PROJECT_ID pelo ID do projeto de destino doGoogle Cloud .

Ver registros no Cloud Logging

  1. No console do Google Cloud , acesse a página Análise de registros.

    Acessar a Análise de registros

  2. Selecionar o projeto Google Cloud .

  3. Use os menus suspensos para selecionar o recurso networkservices.googleapis.com/Gateway ou sua instância do proxy seguro da Web.

Para mais informações, consulte Como usar a Análise de registros.

Exemplos de entradas de registro

O Secure Web Proxy gera entradas de registro detalhadas sempre que processa uma solicitação, acompanhando as ações e as políticas aplicadas. Os exemplos a seguir mostram como os registros do Secure Web Proxy funcionam.

Exemplo de uma entrada de registro de permissão

A entrada de registro a seguir mostra que a instância do Secure Web Proxy interceptou e inspecionou o tráfego HTTPS de www.example.com e permitiu que ele prosseguisse para o site de destino. Os nomes da política e da regra são swp-policy e allow-port-443, respectivamente.

Campo Valores
enforcedGatewaySecurityPolicy 
{
        "requestWasTlsIntercepted": true,
        "hostname": "www.example.com",
        "matchedRules": [
          {
            "action": "ALLOWED",
            "name": "projects/76537/locations/us-central1/gatewaySecurityPolicies/swp-policy/rules/allow-port-443"
          }
        ]
      }
httpRequest 
{
        "requestMethod": "GET",
        "requestUrl": "https://www.example.com/",
        "requestSize": "41",
        "status": 200,
        "responseSize": "1446",
        "userAgent": "curl/7.74.0",
        "remoteIp": "10.128.0.12:35418",
        "serverIp": "93.184.216.34:443",
        "latency": "0.051800s",
        "protocol": "HTTP/2"
      }
resource 
{
        "type": "networkservices.googleapis.com/Gateway",
        "labels": {
          "gateway_name": "multi-level-tlds",
          "network_name": "projects/76537/global/networks/default",
          "location": "us-central1",
          "resource_container": "",
          "gateway_type": "SECURE_WEB_GATEWAY"
        }
      }
timestamp "2024-02-15T16:56:19.570534Z"
severity "INFO"
logName "projects/76537/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp "2024-02-15T16:56:20.714988329Z"

Exemplo de uma entrada de registro de negação

Essa entrada de registro mostra que a instância do Secure Web Proxy inspecionou o tráfego de www.example.com:443 e negou a solicitação HTTPS devido à regra default_denied na política do Secure Web Proxy.

Campo Valores
enforcedGatewaySecurityPolicy 
{
        "hostname": "www.example.com:443",
        "matchedRules": [
          {
            "name": "default_denied",
            "action": "DENIED"
          }
        ]
      }
httpRequest 
{
        "requestMethod": "CONNECT",
        "requestSize": "122",
        "status": 403,
        "responseSize": "141",
        "userAgent": "curl/7.74.0",
        "remoteIp": "10.128.0.12:36338",
        "latency": "0.000133s",
        "protocol": "HTTP/1.1"
      }
resource 
{
        "type": "networkservices.googleapis.com/Gateway",
        "labels": {
          "gateway_type": "SECURE_WEB_GATEWAY",
          "resource_container": "",
          "location": "us-central1",
          "network_name": "projects/gcp-1768/global/networks/default",
          "gateway_name": "high-latency-repro"
        }
      }
timestamp "2024-02-15T16:55:00.089727Z"
severity "AVISO"
logName "projects/gcp-1768/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp "2024-02-15T16:55:04.456901833Z"

Exemplo de uma entrada de registro de política de limitação de taxa de serviço

A entrada de registro a seguir mostra que a instância do Secure Web Proxy limitou uma solicitação porque o cliente excedeu o RateLimitPolicy (chamado rl-egress-policy) em rl_default_rpm_limit RateLimitBucket.

Campo Valores
rateLimitPolicyInfo 
{
          "policies": [
            {
              "name": "projects/76537/locations/us-central1/rateLimitPolicies/rl-egress-policy",
              "buckets": [
                {
                  "bucket": "rl_default_rpm_limit",
                  "key": "spiffe://projects-123.global.workload.id.goog/ns/ns1/sa/hellomcp",
                  "result": "THROTTLED"
                }
              ],
              "result": "THROTTLED",
              "details": "Default user rate limit rate exceeded client-side."
            }
          ],
          "overallResult": "THROTTLED"
        }
httpRequest 
{
          "requestMethod": "POST",
          "requestUrl": "https://example.com/v1/chat/completions",
          "requestSize": "144",
          "status": 429,
          "responseSize": "85",
          "userAgent": "curl/7.74.0",
          "remoteIp": "10.128.0.12:35418",
          "serverIp": "93.184.216.34:443",
          "latency": "0.001200s",
          "protocol": "HTTP/2"
        }
resource 
{
          "type": "networkservices.googleapis.com/Gateway",
          "labels": {
            "gateway_type": "SECURE_WEB_GATEWAY",
            "resource_container": "",
            "location": "us-central1",
            "network_name": "projects/76537/global/networks/default",
            "gateway_name": "egress-swp-gateway"
          }
        }
timestamp "2026-02-15T16:56:19.570534Z"
severity "WARNING"
logName "projects/76537/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp "2026-02-15T16:56:20.714988329Z"

Rastreamento distribuído com o Cloud Trace

O Secure Web Proxy oferece suporte ao rastreamento de solicitações distribuídas integrado ao Trace.

Correlação de registros e rastreamentos

Cada entrada de registro de transação de proxy gravada no Logging inclui um campo trace que contém a string do recurso de rastreamento Google Cloud :

<pre class="devsite-click-to-copy">
"trace": "projects/PROJECT_ID/traces/TRACE_ID"
</pre>

Substitua:

  • PROJECT_ID: ID do projeto do Google Cloud .
  • TRACE_ID: ID de trace de 128 bits (hexadecimal de 32 caracteres) do cliente ou do período de trace. Por exemplo, 4bf92f3577b34da6a3ce929d0e0e4736.

Use esse ID de trace para correlacionar entradas de registro com os períodos de trace correspondentes:

  • De registros para traces: no Explorador de registros, clique no campo trace de qualquer entrada de registro e selecione Ver detalhes do trace para abrir a cascata de solicitações completa no Trace.
  • De traces para registros: no Trace, clique em Mostrar registros no painel Detalhes do trace para ver todos os registros de transações de proxy associados ao trace.

Para mais informações, consulte Rastreamento distribuído com Trace.

Métricas

As métricas da API Cloud Monitoring ajudam a observar o desempenho, a integridade e o uso das instâncias do Secure Web Proxy.

Recurso monitorado

As métricas do Secure Web Proxy são exportadas no seguinte recurso monitorado:

  • networkservices.googleapis.com/Gateway: representa uma instância de gateway do Secure Web Proxy.

A tabela a seguir descreve os recursos disponíveis para networkservices.googleapis.com/Gateway. É possível usar esses recursos para filtrar e agregar seus dados de monitoramento.

Rótulo Descrição
resource_container ID do projeto associado à instância de gateway do Secure Web Proxy.
location Google Cloud região em que o gateway é implantado.
gateway_id Nome exclusivo da instância de gateway do Secure Web Proxy.
gateway_type Tipo de gateway, definido como SECURE_WEB_GATEWAY.
network_name Nome da rede de nuvem privada virtual (VPC) associada ao gateway.

Métricas disponíveis

As métricas a seguir estão disponíveis para o recurso Gateway. Todas as métricas são prefixadas com networkservices.googleapis.com/https/.

Tipo de métrica Nome de exibição Classe, Tipo, Unidade Descrição
networkservices.googleapis.com/https/request_count Contagem de solicitações DELTA, INT64, 1 Número total de solicitações processadas pelo proxy.
networkservices.googleapis.com/https/request_bytes_count Bytes de solicitação DELTA, INT64, By Número total de bytes recebidos nas solicitações.
networkservices.googleapis.com/https/response_bytes_count Bytes de resposta DELTA, INT64, By Número total de bytes enviados em respostas.
networkservices.googleapis.com/https/total_latencies Latências totais DELTA, DIST, ms Tempo entre o recebimento do primeiro byte de uma solicitação e o envio do último byte da resposta.
networkservices.googleapis.com/https/backend_latencies Latências de back-end DELTA, DIST, ms Tempo entre o envio da solicitação para o back-end e o recebimento do primeiro byte da resposta.

Criar um painel personalizado

Para criar um painel personalizado para visualizar as tendências de desempenho e tráfego das instâncias do Secure Web Proxy, faça o seguinte:

  1. No console Google Cloud , acesse a página Painéis.

    Ir para "Painéis"

  2. Clique em Criar painel personalizado.

  3. Clique em Adicionar widget e selecione a opção de gráfico de Linhas.

  4. No campo Métrica, pesquise networkservices.googleapis.com/https/request_count.

  5. No campo Filtro, é possível filtrar por gateway_id se você tiver configurado várias instâncias do Secure Web Proxy.

  6. Na seção Agregação, defina o Período de alinhamento como 1 minute e selecione rate para Alinhador.

    Isso converte os dados brutos de solicitação em uma taxa de solicitações por segundo, facilitando a visualização e a análise de tendências de tráfego consistentes ao longo do tempo.

  7. Para salvar o widget, clique em Aplicar.

A seguir