Anfragespezifisches Logging

Google Cloud Armor-Anfragelogs für den Namen der Sicherheitsrichtlinie, die Priorität der Abgleichsregel, die zugehörige Aktion und die zugehörigen Informationen werden als Teil des Logging für externe Application Load Balancer und externe Proxy-Network Load Balancer protokolliert. Das Logging für neue Backend-Dienste ist standardmäßig deaktiviert. Daher müssen Sie das Logging aktivieren, um vollständige Logging-Informationen für Cloud Armor aufzuzeichnen.

Cloud Armor-Logs sind Teil der Cloud Load Balancing-Logs. Daher unterliegt die Cloud Armor-Loggenerierung der Log-Sampling-Rate, die für Ihren Load Balancer konfiguriert ist. Wenn Sie die Abtastrate für Ihren Load Balancer reduzieren, werden Ihre Cloud Armor-Anfragelogs mit dieser Rate stichprobenartig erfasst. Wenn Sie außerdem dienstübergreifende Referenzen verwenden, werden Logs unter dem Host- oder Dienstprojekt generiert, das das Frontend und die URL-Zuordnung Ihres Load Balancers enthält. Daher empfehlen wir Administratoren im Frontend-Projekt, Administratoren im Backend-Projekt Berechtigungen zum Lesen von Logs und Messwerten zu gewähren.

Mit Logging können Sie jede Anfrage sehen, die von einer Cloud Armor-Sicherheitsrichtlinie ausgewertet wird, und sich die Ergebnisse und Maßnahmen ansehen, die basierend auf der Abgleichsregel mit der höchsten Priorität ergriffen wurden. Wenn Sie beispielsweise abgelehnte Anfragen aufrufen möchten, können Sie Filter wie jsonPayload.enforcedSecurityPolicy.outcome="DENY" oder jsonPayload.statusDetails="denied_by_security_policy" verwenden.

Informationen zum Aktivieren des Logging für einen externen Application Load Balancer finden Sie unter Logging auf der Seite Logging und Monitoring für globalen externen Application Load Balancer. Für den externen Proxy-Network Load Balancer können Sie die Google Cloud CLI-Befehle verwenden, die auf der vorherigen Seite Logging und Monitoring für externen Application Load Balancer aufgeführt sind. Sie können das Logging für den externen Proxy-Network Load Balancer nicht über die Google Cloud console aktivieren.

Darüber hinaus können Sie verschiedene Logging-Ebenen festlegen, um zu beurteilen, ob Ihre Sicherheitsrichtlinien und deren Regeln wie vorgesehen funktionieren. Ausführliche Informationen finden Sie unter Ausführliches Logging.

Logeinträge für Sicherheitsrichtlinien

Die im Folgenden aufgeführten Logeinträge im Logs Explorer beziehen sich auf das Cloud Armor-Sicherheitsrichtlinien- und Regel-Logging. Die Einträge haben die folgende Struktur in jsonPayload. HTTP-Anfragedetails sind in der httpRequest-Meldung enthalten.

• statusDetails: eine Beschreibung des Antwortcodes
  • redirected_by_security_policy: Die Anfrage wurde durch eine Weiterleitungsregel weitergeleitet, entweder GOOGLE_RECAPTCHA oder EXTERNAL_302.
  • denied_by_security_policy: Eine Anfrage wurde von einem Load Balancer aufgrund einer Cloud Armor-Sicherheitsrichtlinie abgelehnt.
  • body_denied_by_security_policy: Eine Anfrage wurde von einem Load Balancer aufgrund einer Cloud Armor-Sicherheitsrichtlinie abgelehnt.
• enforcedSecurityPolicy: die Sicherheitsrichtlinienregel, die erzwungen wurde
  • name: der Name der Sicherheitsrichtlinie
  • priority: eine numerische Priorität der Abgleichsregel in der Sicherheitsrichtlinie
  • adaptiveProtection: Informationen zur automatisch bereitgestellten Google Cloud Armor Adaptive Protection-Regel, falls zutreffend
    • autoDeployAlertId: Die Benachrichtigungs-ID der Ereignisse, die Adaptive Protection erkannt hat.
  • configuredAction: der Name der konfigurierten Aktion in der Abgleichsregel, z. B. ALLOW, DENY, GOOGLE_RECAPTCHA, EXTERNAL_302, THROTTLE (für eine Drosselungsregel), RATE_BASED_BAN (für eine ratenbasierte Sperrregel)
  • rateLimitAction: Informationen zur Ratenbegrenzungsaktion, wenn eine Drosselungsregel oder ratenbasierte Sperrregel abgeglichen wird
    • key: Schlüsselwert für Ratenbegrenzung (bis zu 36 Byte) Dieses Feld wird weggelassen, wenn der Schlüsseltyp ALL ist oder der Schlüsseltyp HTTP-HEADER oder HTTP-COOKIE ist und der angegebene Header oder das angegebene Cookie nicht in der Anfrage vorhanden ist.
    • outcome: Mögliche Werte sind:
      • "RATE_LIMIT_THRESHOLD_CONFORM" bei Unterschreitung des konfigurierten Ratengrenzwertes
      • "RATE_LIMIT_THRESHOLD_EXCEED" bei Überschreitung des konfigurierten Ratengrenzwertes
      • "BAN_THRESHOLD_EXCEED" bei Überschreitung des konfigurierten Sperrgrenzwerts
  • outcome: das Ergebnis der Ausführung der konfigurierten Aktion, z. B. ACCEPT, DENY, REDIRECT, EXEMPT
  • preconfiguredExprIds: die IDs aller vorkonfigurierten WAF-Regelausdrücke, die die Regel ausgelöst haben
  • threatIntelligence: Informationen zu den abgeglichenen IP-Adresslisten von Google Threat Intelligence, falls zutreffend
    • categories: die Namen der abgeglichenen IP-Adresslisten
  • addressGroup: Informationen zu den abgeglichenen Adressgruppen, falls zutreffend
    • names: die Namen der abgeglichenen Adressgruppen
• previewSecurityPolicy: enthält nur Daten, wenn bei einer Anfrage eine für die Vorschau konfigurierte Regel gilt (nur vorhanden, wenn eine Vorschauregel Vorrang vor der erzwungenen Regel gehabt hat)
  • name: der Name der Sicherheitsrichtlinie
  • priority: eine numerische Priorität der Abgleichsregel in der Sicherheitsrichtlinie
  • configuredAction: der Name der konfigurierten Aktion in der Abgleichsregel, z. B. ALLOW, DENY, GOOGLE_RECAPTCHA, EXTERNAL_302, THROTTLE (für eine Drosselungsregel), RATE_BASED_BAN (für eine ratenbasierte Sperrregel)
  • rateLimitAction: Informationen zur Ratenbegrenzungsaktion, wenn eine Drosselungsregel oder ratenbasierte Sperrregel abgeglichen wird
    • key: Schlüsselwert für Ratenbegrenzung (bis zu 36 Byte) Dieses Feld wird weggelassen, wenn der Schlüsseltyp ALL ist oder der Schlüsseltyp HTTP-HEADER oder HTTP-COOKIE ist und der angegebene Header oder das angegebene Cookie nicht in der Anfrage vorhanden ist.
    • outcome: Mögliche Werte sind:
      • "RATE_LIMIT_THRESHOLD_CONFORM" bei Unterschreitung des konfigurierten Ratengrenzwertes
      • "RATE_LIMIT_THRESHOLD_EXCEED" bei Überschreitung des konfigurierten Ratengrenzwertes
      • "BAN_THRESHOLD_EXCEED" bei Überschreitung des konfigurierten Sperrgrenzwerts
  • outcome: das Ergebnis der Ausführung der konfigurierten Aktion, z. B. ACCEPT, DENY, REDIRECT, EXEMPT
  • preconfiguredExprIds: die IDs aller vorkonfigurierten WAF-Regelausdrücke, die die Regel ausgelöst haben
  • threatIntelligence: Informationen zu den abgeglichenen IP-Adresslisten von Threat Intelligence, falls zutreffend
    • categories: die Namen der abgeglichenen IP-Adresslisten
  • addressGroup: Informationen zu den abgeglichenen Adressgruppen, falls zutreffend
    • names: die Namen der abgeglichenen Adressgruppen
• enforcedEdgeSecurityPolicy: die Edge-Sicherheitsrichtlinienregel, die erzwungen wurde
  • name: der Name der Sicherheitsrichtlinie
  • priority: die Priorität der Abgleichsregel in der Sicherheitsrichtlinie
  • configuredAction: der Name der konfigurierten Aktion in der Abgleichsregel, z. B. ALLOW, DENY
  • outcome: das Ergebnis der Ausführung der konfigurierten Aktion, z. B. ACCEPT, DENY
• previewEdgeSecurityPolicy: enthält Werte, wenn eine Anfrage mit einer Edge-Sicherheitsrichtlinienregel für die Vorschau übereinstimmt Der Logeintrag previewEdgeSecurityPolicy ist nur vorhanden, wenn eine Vorschauregel Vorrang vor der erzwungenen Regel hat.
  • name: der Name der Sicherheitsrichtlinie
  • priority: eine numerische Priorität der Abgleichsregel in der Sicherheitsrichtlinie
  • configuredAction: der Name der konfigurierten Aktion in der Abgleichsregel, z. B. ALLOW, DENY
  • outcome: das Ergebnis der Ausführung der konfigurierten Aktion, z. B. ACCEPT, DENY