Logs, Messwerte und Traces

In diesem Dokument wird erläutert, wie Secure Web Proxy seine Betriebsdaten protokolliert, wie Sie die Messwerte der Cloud Monitoring API verwenden, um die Proxy-Leistung zu analysieren, und wie Sie verteiltes Tracing verwenden können, um den Lebenszyklus von Anfragen zu beobachten.

Logs

Secure Web Proxy verwendet Cloud Logging, um Informationen zu erfassen und verschiedene Aufgaben in den folgenden Schlüsselbereichen auszuführen:

  • Monitoring und Compliance

    • Sie können die Einhaltung von Vorschriften erzwingen, die Netzwerksicherheit verbessern und Einblick in den ausgehenden Webtraffic erhalten, der an zulässige externe Ziele gesendet wird.
    • Sie erhalten wertvolle Kontroll- und Transparenzebenen für den Arbeitslast-Traffic.
    • Sie erhalten wichtige Informationen für ein effektives Monitoring Ihres Security Operations Center (SOC).
    • Logs verwenden, um Sicherheitsereignisse zu erkennen und zu verfolgen und proaktiv auf Bedrohungen zu reagieren.

  • Bereitstellung und Konfiguration

    • Verfolgen Sie die Ersteinrichtung der Infrastruktur, die Erstellung von Nutzerkonten und Konfigurationsänderungen.
    • Überwachen Sie potenzielle Fehler, um eine reibungslose und sichere Bereitstellung zu gewährleisten.
    • Auswirkungen von Anpassungen der Richtlinienabstimmung verstehen und Schutz optimieren.

Protokolltypen

Secure Web Proxy verwendet Logging, um die folgenden Arten von Logs zu erfassen und zu speichern:

  • Cloud-Audit-Logs: Erfassen administrative Änderungen und Datenzugriffe auf Ihre Secure Web Proxy-Ressourcen. Diese Logs umfassen Folgendes:

  • Proxy-Transaktionslogs: Erfassen Details zu bestimmten Webanfragen, die Ihr Secure Web Proxy verarbeitet. Diese Logs bieten Einblicke in den Trafficfluss, die Richtlinienerzwingung und die Leistung Ihrer Secure Web Proxy-Instanz.

Logbenachrichtigungen konfigurieren

Sie können Benachrichtigungen für Ereignisse konfigurieren, die Secure Web Proxy in Logging schreibt, z. B. Traffic-Ablehnungen oder bestimmte Regelübereinstimmungen. Eine allgemeine Anleitung zum Einrichten dieser Benachrichtigungen finden Sie unter Logbasierte Benachrichtigungen konfigurieren.

Hier sind einige Beispiele für Abfragen, mit denen Sie logbasierte Benachrichtigungen für Secure Web Proxy konfigurieren können:

Benachrichtigung für Traffic, der durch eine Secure Web Proxy-Richtlinie abgelehnt wurde

Verwenden Sie die folgende Abfrage, um eine Benachrichtigung auszulösen, wenn Ihre Secure Web Proxy-Richtlinie eine Anfrage ablehnt:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED"

Ersetzen Sie PROJECT_ID durch die ID Ihres Zielprojekts inGoogle Cloud .

Benachrichtigung für Traffic, der durch eine Secure Web Proxy-Regel abgelehnt wurde

Verwenden Sie die folgende Abfrage, um eine Benachrichtigung auszulösen, wenn eine bestimmte Secure Web Proxy-Regel (z. B. my-specific-deny-rule) eine Anfrage ablehnt:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED"
AND jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.name=~"projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/my-specific-deny-rule$"

Ersetzen Sie Folgendes:

  • PROJECT_ID: ID Ihres Zielprojekts in Google Cloud
  • REGION: Region Ihrer Secure Web Proxy-Instanz
  • POLICY_NAME: Name Ihrer Secure Web Proxy-Richtlinie

Benachrichtigung für Traffic, der durch eine Richtlinie zur Ratenbegrenzung für Dienste gedrosselt wird

Verwenden Sie die folgende Abfrage, um eine Benachrichtigung auszulösen, wenn eine Richtlinie zur Ratenbegrenzung für Dienste eine Anfrage drosselt:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.rateLimitPolicyInfo.overallResult="THROTTLED"

Ersetzen Sie PROJECT_ID durch die ID Ihres Zielprojekts inGoogle Cloud .

Benachrichtigung bei Anfragen mit hoher Latenz

Mit der folgenden Abfrage werden Sie benachrichtigt, wenn Anfragen eine bestimmte Latenz überschreiten, z. B. fünf Sekunden:

logName="projects/'PROJECT_ID'/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
latency >= "5s"

Ersetzen Sie PROJECT_ID durch die ID Ihres ZielprojektsGoogle Cloud .

Logs in Cloud Logging ansehen

  1. Rufen Sie in der Google Cloud Console die Seite Log-Explorer auf.

    Zum Log-Explorer

  2. Wählen Sie Ihr Google Cloud Projekt aus.

  3. Wählen Sie in den Drop-down-Menüs entweder die networkservices.googleapis.com/Gateway-Ressource oder Ihre Secure Web Proxy-Instanz aus.

Weitere Informationen finden Sie unter Log-Explorer verwenden.

Beispiele für Logeinträge

Der sichere Web-Proxy generiert detaillierte Logeinträge, wenn er eine Anfrage verarbeitet, und zeichnet seine Aktionen und angewendeten Richtlinien auf. Die folgenden Beispiele zeigen, wie Secure Web Proxy-Logs funktionieren.

Beispiel für einen Logeintrag vom Typ „Zulassen“

Der folgende Logeintrag zeigt, dass die Secure Web Proxy-Instanz den HTTPS-Traffic für www.example.com abgefangen und geprüft und dann zugelassen hat, dass er zur Zielwebsite weitergeleitet wird. Die Richtlinien- und Regelnamen lauten swp-policy bzw. allow-port-443.

Feld Werte
enforcedGatewaySecurityPolicy 
{
        "requestWasTlsIntercepted": true,
        "hostname": "www.example.com",
        "matchedRules": [
          {
            "action": "ALLOWED",
            "name": "projects/76537/locations/us-central1/gatewaySecurityPolicies/swp-policy/rules/allow-port-443"
          }
        ]
      }
httpRequest 
{
        "requestMethod": "GET",
        "requestUrl": "https://www.example.com/",
        "requestSize": "41",
        "status": 200,
        "responseSize": "1446",
        "userAgent": "curl/7.74.0",
        "remoteIp": "10.128.0.12:35418",
        "serverIp": "93.184.216.34:443",
        "latency": "0.051800s",
        "protocol": "HTTP/2"
      }
resource 
{
        "type": "networkservices.googleapis.com/Gateway",
        "labels": {
          "gateway_name": "multi-level-tlds",
          "network_name": "projects/76537/global/networks/default",
          "location": "us-central1",
          "resource_container": "",
          "gateway_type": "SECURE_WEB_GATEWAY"
        }
      }
timestamp "2024-02-15T16:56:19.570534Z"
severity "INFO"
logName "projects/76537/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp "2024-02-15T16:56:20.714988329Z"

Beispiel für einen Logeintrag vom Typ „Ablehnen“

Dieser Logeintrag zeigt, dass die Secure Web Proxy-Instanz den Traffic für www.example.com:443 geprüft und die HTTPS-Anfrage aufgrund der Regel default_denied in der Secure Web Proxy-Richtlinie abgelehnt hat.

Feld Werte
enforcedGatewaySecurityPolicy 
{
        "hostname": "www.example.com:443",
        "matchedRules": [
          {
            "name": "default_denied",
            "action": "DENIED"
          }
        ]
      }
httpRequest 
{
        "requestMethod": "CONNECT",
        "requestSize": "122",
        "status": 403,
        "responseSize": "141",
        "userAgent": "curl/7.74.0",
        "remoteIp": "10.128.0.12:36338",
        "latency": "0.000133s",
        "protocol": "HTTP/1.1"
      }
resource 
{
        "type": "networkservices.googleapis.com/Gateway",
        "labels": {
          "gateway_type": "SECURE_WEB_GATEWAY",
          "resource_container": "",
          "location": "us-central1",
          "network_name": "projects/gcp-1768/global/networks/default",
          "gateway_name": "high-latency-repro"
        }
      }
timestamp "2024-02-15T16:55:00.089727Z"
severity "WARNING"
logName "projects/gcp-1768/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp "2024-02-15T16:55:04.456901833Z"

Beispiel für einen Logeintrag einer Richtlinie zur Ratenbegrenzung für Dienste

Der folgende Logeintrag zeigt, dass die Secure Web Proxy-Instanz eine Anfrage gedrosselt hat, weil der Client die RateLimitPolicy (mit dem Namen rl-egress-policy) unter der rl_default_rpm_limit RateLimitBucket überschritten hat.

Feld Werte
rateLimitPolicyInfo 
{
          "policies": [
            {
              "name": "projects/76537/locations/us-central1/rateLimitPolicies/rl-egress-policy",
              "buckets": [
                {
                  "bucket": "rl_default_rpm_limit",
                  "key": "spiffe://projects-123.global.workload.id.goog/ns/ns1/sa/hellomcp",
                  "result": "THROTTLED"
                }
              ],
              "result": "THROTTLED",
              "details": "Default user rate limit rate exceeded client-side."
            }
          ],
          "overallResult": "THROTTLED"
        }
httpRequest 
{
          "requestMethod": "POST",
          "requestUrl": "https://example.com/v1/chat/completions",
          "requestSize": "144",
          "status": 429,
          "responseSize": "85",
          "userAgent": "curl/7.74.0",
          "remoteIp": "10.128.0.12:35418",
          "serverIp": "93.184.216.34:443",
          "latency": "0.001200s",
          "protocol": "HTTP/2"
        }
resource 
{
          "type": "networkservices.googleapis.com/Gateway",
          "labels": {
            "gateway_type": "SECURE_WEB_GATEWAY",
            "resource_container": "",
            "location": "us-central1",
            "network_name": "projects/76537/global/networks/default",
            "gateway_name": "egress-swp-gateway"
          }
        }
timestamp "2026-02-15T16:56:19.570534Z"
severity "WARNING"
logName "projects/76537/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp "2026-02-15T16:56:20.714988329Z"

Verteiltes Tracing mit Cloud Trace

Secure Web Proxy unterstützt das integrierte verteilte Anfrage-Tracing, das in Trace eingebunden ist.

Korrelation zwischen Logs und Traces

Jeder Proxy-Transaktionslogeintrag, der in Logging geschrieben wird, enthält das Feld trace mit dem Google Cloud -Ressourcenstring:

<pre class="devsite-click-to-copy">
"trace": "projects/PROJECT_ID/traces/TRACE_ID"
</pre>

Ersetzen Sie Folgendes:

  • PROJECT_ID: ID Ihres Google Cloud -Projekts
  • TRACE_ID: 128-Bit-Trace-ID (hexadezimal mit 32 Zeichen) von Ihrem Client oder Trace-Span. Beispiel: 4bf92f3577b34da6a3ce929d0e0e4736

Mit dieser Trace-ID können Sie Logeinträge mit den entsprechenden Trace-Spans korrelieren:

  • Von Logs zu Traces: Klicken Sie im Log-Explorer auf das Feld trace eines beliebigen Logeintrags und wählen Sie dann Trace-Details ansehen aus, um das vollständige Request-Wasserfalldiagramm in Trace zu öffnen.
  • Von Traces zu Logs: Klicken Sie in Trace im Bereich Trace-Details auf Logs anzeigen, um alle Proxy-Transaktionslogs aufzurufen, die mit dem Trace verknüpft sind.

Weitere Informationen finden Sie unter Verteiltes Tracing mit Trace.

Messwerte

Mit den Messwerten der Cloud Monitoring API können Sie die Leistung, den Zustand und die Nutzung Ihrer Secure Web Proxy-Instanzen beobachten.

Überwachte Ressource

Messwerte für Secure Web Proxy werden unter der folgenden überwachten Ressource exportiert:

  • networkservices.googleapis.com/Gateway: Stellt eine Secure Web Proxy-Gateway-Instanz dar.

In der folgenden Tabelle werden die verfügbaren Ressourcen für networkservices.googleapis.com/Gateway beschrieben. Sie können diese Ressourcen verwenden, um Ihre Monitoring-Daten zu filtern und zu aggregieren.

Label Beschreibung
resource_container ID des Projekts, das der Secure Web Proxy-Gateway-Instanz zugeordnet ist.
location Google Cloud Region, in der das Gateway bereitgestellt wird.
gateway_id Eindeutiger Name der Secure Web Proxy-Gateway-Instanz.
gateway_type Typ des Gateways, der auf SECURE_WEB_GATEWAY festgelegt ist.
network_name Name des VPC-Netzwerks (Virtual Private Cloud), das mit dem Gateway verknüpft ist.

Verfügbare Messwerte

Die folgenden Messwerte sind für die Ressource Gateway verfügbar. Alle Messwerte haben das Präfix networkservices.googleapis.com/https/.

Messwerttyp Anzeigename Art, Typ, Einheit Beschreibung
networkservices.googleapis.com/https/request_count Anzahl der Anfragen DELTA, INT64, 1 Gesamtzahl der vom Proxy verarbeiteten Anfragen.
networkservices.googleapis.com/https/request_bytes_count Anfragebyte DELTA, INT64, By Gesamtzahl der in Anfragen empfangenen Bytes.
networkservices.googleapis.com/https/response_bytes_count Antwortbyte DELTA, INT64, By Gesamtzahl der in Antworten gesendeten Byte.
networkservices.googleapis.com/https/total_latencies Gesamtlatenzen DELTA, DIST, ms Zeitspanne zwischen dem Empfang des ersten Byte einer Anfrage und dem Senden des letzten Byte der Antwort.
networkservices.googleapis.com/https/backend_latencies Back-End-Latenzen DELTA, DIST, ms Zeitspanne zwischen dem Senden der Anfrage an das Backend und dem Empfang des ersten Bytes der Antwort.

Benutzerdefiniertes Dashboard erstellen

So erstellen Sie ein benutzerdefiniertes Dashboard, um die Leistungs- und Traffic-Trends Ihrer Secure Web Proxy-Instanzen zu visualisieren:

  1. Rufen Sie in der Google Cloud Console die Seite Dashboards auf.

    Dashboards aufrufen

  2. Klicken Sie auf Benutzerdefiniertes Dashboard erstellen.

  3. Klicken Sie auf Widget hinzufügen und wählen Sie dann die Diagrammoption Linie aus.

  4. Suchen Sie im Feld Messwert nach networkservices.googleapis.com/https/request_count.

  5. Im Feld Filter können Sie nach gateway_id filtern, wenn Sie mehrere Secure Web Proxy-Instanzen konfiguriert haben.

  6. Legen Sie im Abschnitt Aggregation den Ausrichtungszeitraum auf 1 minute fest und wählen Sie rate für Aligner aus.

    Dadurch werden die Rohdaten der Anfragen in eine Rate von Anfragen pro Sekunde umgewandelt, sodass sich konsistente Traffic-Trends im Zeitverlauf leichter ansehen und analysieren lassen.

  7. Klicken Sie auf Übernehmen, um das Widget zu speichern.

Nächste Schritte