Logs, Messwerte und Traces

In diesem Dokument wird erläutert, wie Secure Web Proxy seine Betriebsdaten protokolliert, wie Sie die Cloud Monitoring API-Messwerte verwenden, um die Proxy-Leistung zu analysieren, und wie Sie verteiltes Tracing verwenden können, um den Lebenszyklus von Anfragen zu beobachten.

Logs

Secure Web Proxy verwendet Cloud Logging, um Informationen zu erfassen und verschiedene Aufgaben in den folgenden Schlüsselbereichen auszuführen:

• Monitoring und Compliance

  • Sie können die Einhaltung von Vorschriften erzwingen, die Netzwerksicherheit verbessern und Einblick in den ausgehenden Webtraffic erhalten, der an zulässige externe Ziele gesendet wird.
  • Sie erhalten wertvolle Kontrolle und Transparenz über den Arbeitslast-Traffic.
  • Gewinnen Sie wichtige Erkenntnisse für ein effektives Monitoring im Security Operations Center (SOC).
  • Verwenden Sie Logs, um Sicherheitsereignisse zu erkennen und zu verfolgen, damit Sie proaktiv auf Bedrohungen reagieren können.

• Bereitstellung und Konfiguration

  • Verfolgen Sie die Ersteinrichtung der Infrastruktur, die Erstellung von Nutzerkonten und Konfigurationsänderungen.
  • Überwachen Sie potenzielle Fehler, um eine reibungslose und sichere Bereitstellung zu gewährleisten.
  • Auswirkungen von Richtlinienanpassungen nachvollziehen und Schutz optimieren

Protokolltypen

Secure Web Proxy verwendet Logging, um die folgenden Arten von Logs zu erfassen und zu speichern:

• Cloud-Audit-Logs: Erfassen administrative Änderungen und Datenzugriffe auf Ihre Secure Web Proxy-Ressourcen. Diese Logs umfassen Folgendes:

  • Audit-Logs zur Administratoraktivität für API-Aufrufe und andere Aktionen, mit denen Ihre Secure Web Proxy-Ressourcen wie Gateways und Richtlinien geändert werden. Administrator Aktivitätsprotokolle sind immer aktiviert.

  • Audit-Logs zum Datenzugriff, sofern aktiviert.

• Proxy-Transaktionslogs: Erfassen Details zu bestimmten Webanfragen, die Ihr Secure Web Proxy verarbeitet. Diese Logs bieten Einblicke in den Trafficfluss, die Richtlinienerzwingung und die Leistung Ihrer Secure Web Proxy-Instanz. Wenn Sie Ihre Secure Web Proxy-Instanz als Agent Gateway bereitstellen, werden Transaktionslogs weiterhin unter der standardmäßigen überwachten Ressource networkservices.googleapis.com/Gateway aufgezeichnet und die Metadaten zur Ausführung des KI-Agenten (agentGatewayInfo) werden automatisch angezeigt.

Logbenachrichtigungen konfigurieren

Sie können Benachrichtigungen für Ereignisse konfigurieren, die Secure Web Proxy in Logging schreibt, z. B. Traffic-Ablehnungen oder bestimmte Regelübereinstimmungen. Eine allgemeine Anleitung zum Einrichten dieser Benachrichtigungen finden Sie unter Logbasierte Benachrichtigungen konfigurieren.

Hier sind einige Beispiele für Abfragen, mit denen Sie logbasierte Benachrichtigungen für Secure Web Proxy konfigurieren können:

Benachrichtigung für Traffic, der durch eine Secure Web Proxy-Richtlinie abgelehnt wurde

Verwenden Sie die folgende Abfrage, um eine Benachrichtigung auszulösen, wenn Ihre Secure Web Proxy-Richtlinie eine Anfrage ablehnt:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED"

Ersetzen Sie PROJECT_ID durch die ID Ihres Zielprojekts inGoogle Cloud .

Benachrichtigung für Traffic, der durch eine Secure Web Proxy-Regel abgelehnt wurde

Verwenden Sie die folgende Abfrage, um eine Benachrichtigung auszulösen, wenn eine bestimmte Secure Web Proxy-Regel (z. B. my-specific-deny-rule) eine Anfrage ablehnt:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED"
AND jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.name=~"projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/my-specific-deny-rule$"

Ersetzen Sie Folgendes:

• PROJECT_ID: ID Ihres Zielprojekts in Google Cloud
• REGION: Region Ihrer Secure Web Proxy-Instanz
• POLICY_NAME: Name Ihrer Secure Web Proxy-Richtlinie

Benachrichtigung über Traffic, der von einer Agent-Gateway-Autorisierungsrichtlinie abgelehnt wurde

Wenn Sie Ihre Secure Web Proxy-Instanz als Agenten-Gateway bereitstellen, verwenden Sie die folgende Abfrage, um eine Benachrichtigung auszulösen, wenn eine Autorisierungsrichtlinie die Anfrage eines KI-Agenten ablehnt:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.authzPolicyInfo.result="DENIED"

Ersetzen Sie PROJECT_ID durch die ID Ihres Zielprojekts inGoogle Cloud .

Benachrichtigung über Traffic, der durch eine Richtlinie zur Ratenbegrenzung für Dienste gedrosselt wurde

Verwenden Sie die folgende Abfrage, um eine Benachrichtigung auszulösen, wenn eine Richtlinie zur Ratenbegrenzung für Dienste eine Anfrage drosselt:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.rateLimitPolicyInfo.overallResult="THROTTLED"

Ersetzen Sie PROJECT_ID durch die ID Ihres Zielprojekts inGoogle Cloud .

Benachrichtigung bei Anfragen mit hoher Latenz

Verwenden Sie die folgende Abfrage, um benachrichtigt zu werden, wenn Anfragen eine bestimmte Latenz überschreiten, z. B. fünf Sekunden:

logName="projects/'PROJECT_ID'/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
latency >= "5s"

Ersetzen Sie PROJECT_ID durch die ID Ihres Zielprojekts inGoogle Cloud .

Logs in Cloud Logging ansehen

1. Rufen Sie in der Google Cloud Console die Seite Log-Explorer auf.

   Zum Log-Explorer

2. Wählen Sie Ihr Google Cloud Projekt aus.

3. Wählen Sie in den Drop-down-Menüs entweder die Ressource networkservices.googleapis.com/Gateway oder Ihre Secure Web Proxy-Instanz aus.

Weitere Informationen finden Sie unter Log-Explorer verwenden.

Beispiele für Logeinträge

Secure Web Proxy generiert jedes Mal, wenn eine Anfrage verarbeitet wird, detaillierte Logeinträge, um die Aktionen und angewandten Richtlinien zu verfolgen. Die folgenden Beispiele zeigen, wie Secure Web Proxy-Logs funktionieren.

Beispiel für einen Logeintrag vom Typ „Zulassen“

Der folgende Logeintrag zeigt, dass die Secure Web Proxy-Instanz den HTTPS-Traffic für www.example.com abgefangen und geprüft und dann die Weiterleitung zur Zielwebsite zugelassen hat. Die Namen der Richtlinie und der Regel lauten swp-policy bzw. allow-port-443.

{
        "requestWasTlsIntercepted": true,
        "hostname": "www.example.com",
        "matchedRules": [
          {
            "action": "ALLOWED",
            "name": "projects/76537/locations/us-central1/gatewaySecurityPolicies/swp-policy/rules/allow-port-443"
          }
        ]
      }

{
        "requestMethod": "GET",
        "requestUrl": "https://www.example.com/",
        "requestSize": "41",
        "status": 200,
        "responseSize": "1446",
        "userAgent": "curl/7.74.0",
        "remoteIp": "10.128.0.12:35418",
        "serverIp": "93.184.216.34:443",
        "latency": "0.051800s",
        "protocol": "HTTP/2"
      }

{
        "type": "networkservices.googleapis.com/Gateway",
        "labels": {
          "gateway_name": "multi-level-tlds",
          "network_name": "projects/76537/global/networks/default",
          "location": "us-central1",
          "resource_container": "",
          "gateway_type": "SECURE_WEB_GATEWAY"
        }
      }

Beispiel für einen Ablehnungslogeintrag

Dieser Logeintrag zeigt, dass die Secure Web Proxy-Instanz den Traffic für www.example.com:443 geprüft und die HTTPS-Anfrage aufgrund der Regel default_denied in der Secure Web Proxy-Richtlinie abgelehnt hat.

{
        "hostname": "www.example.com:443",
        "matchedRules": [
          {
            "name": "default_denied",
            "action": "DENIED"
          }
        ]
      }

{
        "requestMethod": "CONNECT",
        "requestSize": "122",
        "status": 403,
        "responseSize": "141",
        "userAgent": "curl/7.74.0",
        "remoteIp": "10.128.0.12:36338",
        "latency": "0.000133s",
        "protocol": "HTTP/1.1"
      }

{
        "type": "networkservices.googleapis.com/Gateway",
        "labels": {
          "gateway_type": "SECURE_WEB_GATEWAY",
          "resource_container": "",
          "location": "us-central1",
          "network_name": "projects/gcp-1768/global/networks/default",
          "gateway_name": "high-latency-repro"
        }
      }

Beispiel für einen Logeintrag einer Richtlinie zur Ratenbegrenzung für Dienste

Der folgende Logeintrag zeigt, dass die Secure Web Proxy-Instanz eine Anfrage gedrosselt hat, weil der Client das RateLimitPolicy (mit dem Namen rl-egress-policy) unter dem rl_default_rpm_limit RateLimitBucket überschritten hat.

{
          "policies": [
            {
              "name": "projects/76537/locations/us-central1/rateLimitPolicies/rl-egress-policy",
              "buckets": [
                {
                  "bucket": "rl_default_rpm_limit",
                  "key": "spiffe://projects-123.global.workload.id.goog/ns/ns1/sa/hellomcp",
                  "result": "THROTTLED"
                }
              ],
              "result": "THROTTLED",
              "details": "Default user rate limit rate exceeded client-side."
            }
          ],
          "overallResult": "THROTTLED"
        }

{
          "requestMethod": "POST",
          "requestUrl": "https://example.com/v1/chat/completions",
          "requestSize": "144",
          "status": 429,
          "responseSize": "85",
          "userAgent": "curl/7.74.0",
          "remoteIp": "10.128.0.12:35418",
          "serverIp": "93.184.216.34:443",
          "latency": "0.001200s",
          "protocol": "HTTP/2"
        }

{
          "type": "networkservices.googleapis.com/Gateway",
          "labels": {
            "gateway_type": "SECURE_WEB_GATEWAY",
            "resource_container": "",
            "location": "us-central1",
            "network_name": "projects/76537/global/networks/default",
            "gateway_name": "egress-swp-gateway"
          }
        }

Verteiltes Tracing mit Cloud Trace

Secure Web Proxy unterstützt integriertes verteiltes Anfrage-Tracing, das in Trace eingebunden ist.

Korrelation zwischen Logs und Traces

Jeder Proxy-Transaktionslogeintrag, der in Logging geschrieben wird, enthält ein trace-Feld mit dem Trace-Ressourcenstring Google Cloud :

<pre class="devsite-click-to-copy">
"trace": "projects/PROJECT_ID/traces/TRACE_ID"
</pre>

Ersetzen Sie Folgendes:

• PROJECT_ID: ID Ihres Projekts in Google Cloud
• TRACE_ID: 128-Bit-Trace-ID (32-stellige Hexadezimalzahl) von Ihrem Client oder Trace-Span. Beispiel: 4bf92f3577b34da6a3ce929d0e0e4736

Mit dieser Trace-ID können Sie Logeinträge mit den entsprechenden Trace-Spans korrelieren:

• Von Logs zu Traces: Klicken Sie im Log-Explorer auf das Feld trace eines beliebigen Logeintrags und wählen Sie dann Trace-Details ansehen aus, um das vollständige Anfrage-Wasserfalldiagramm in Trace zu öffnen.
• Von Traces zu Logs: Klicken Sie in Trace im Bereich Trace-Details auf Logs anzeigen, um alle Proxy-Transaktionslogs aufzurufen, die mit dem Trace verknüpft sind.

Weitere Informationen finden Sie unter Verteiltes Tracing mit Trace.

Messwerte

Mit den Cloud Monitoring API-Messwerten können Sie die Leistung, den Zustand und die Nutzung Ihrer Secure Web Proxy-Instanzen beobachten.

Überwachte Ressource

Messwerte für Secure Web Proxy werden unter der folgenden überwachten Ressource exportiert:

• networkservices.googleapis.com/Gateway: Stellt eine Secure Web Proxy-Gateway-Instanz dar.

In der folgenden Tabelle werden die verfügbaren Ressourcen für networkservices.googleapis.com/Gateway beschrieben. Sie können diese Ressourcen verwenden, um Ihre Monitoring-Daten zu filtern und zu aggregieren.

Verfügbare Messwerte

Die folgenden Messwerte sind für die Ressource Gateway verfügbar. Allen Messwerten wird das Präfix networkservices.googleapis.com/https/ vorangestellt.

Benutzerdefiniertes Dashboard erstellen

So erstellen Sie ein benutzerdefiniertes Dashboard, um die Leistungs- und Traffic-Trends Ihrer Secure Web Proxy-Instanzen zu visualisieren:

1. Rufen Sie in der Google Cloud Console die Seite Dashboards auf.

   Dashboards aufrufen

2. Klicken Sie auf add_boxBenutzerdefiniertes Dashboard erstellen.

3. Klicken Sie auf add_boxWidget hinzufügen und wählen Sie dann die Diagrammoption Linie aus.

4. Suchen Sie im Feld Messwert nach networkservices.googleapis.com/https/request_count.

5. Im Feld Filter können Sie nach gateway_id filtern, wenn Sie mehrere Secure Web Proxy-Instanzen konfiguriert haben.

6. Legen Sie im Abschnitt Aggregation den Ausrichtungszeitraum auf 1 minute fest und wählen Sie rate für Aligner aus.

   Dadurch werden die Rohdaten der Anfragen in eine Rate von Anfragen pro Sekunde umgewandelt, sodass sich konsistente Traffic-Trends im Zeitverlauf leichter ansehen und analysieren lassen.

7. Klicken Sie auf Anwenden, um das Widget zu speichern.

Nächste Schritte

• Verteiltes Tracing – Übersicht
• Ausgehenden Traffic mit Trace verfolgen
• Audit-Logging für Secure Web Proxy
• Proxy-Transaktionslogs ansehen