Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

高级恶意软件沙盒日志

当 Cloud Next Generation Firewall 企业版检测到文件并将其提交到高级恶意软件沙盒 (WildFire) 进行分析时，会生成详细日志，帮助您审核和分析恶意软件检测和防护情况。这些日志可让您了解基于网络的威胁和沙盒结果。

本页面介绍了高级恶意软件沙盒提交日志的格式和结构。

高级恶意软件沙盒日志的类型

高级恶意软件沙盒引入了两大类日志：

提交日志：在高级恶意软件沙盒评估未知文件时生成。这些包含两个子类型：
- WILDFIRE：表示已提取文件并将其提交到高级恶意软件沙盒云，以进行异步深度沙盒分析。
- INLINE_WILDFIRE：表示文件在到达网络之前，已由高级恶意软件沙盒内嵌云分析引擎进行了实时评估。
威胁日志：当防火墙检测到并主动以内嵌方式阻止已知或动态识别的威胁时生成。这些更新添加了两个新的威胁日志子类型：
- WILDFIRE_VIRUS：表示高级恶意软件沙盒云服务根据已知签名匹配检测到病毒。
- ML_VIRUS：表示防火墙的盒内高级恶意软件沙盒内嵌机器学习 (ML) 引擎动态检测到的病毒。

查看日志

如需查看和分析高级恶意软件沙盒日志，请参阅查看所有防火墙日志。

您可以在Logs Explorer查询编辑器字段中使用以下查询：

如需查看提交日志，请输入 type.googleapis.com/google.cloud.networksecurity.logging.v1.WildfireSubmissionLog。

如需查看威胁日志，请输入以下查询：

type.googleapis.com/google.cloud.networksecurity.logging.v1.ThreatLog
jsonPayload.threatDetails.type="WILDFIRE_VIRUS" OR jsonPayload.threatDetails.type="ML_VIRUS"

高级恶意软件沙盒日志格式

Cloud Next Generation Firewall Enterprise 会在 Cloud Logging 中为提交到高级恶意软件沙盒的每个文件创建一个日志条目。日志记录包含在 LogEntry 对象的 JSON 载荷字段中。

下表介绍了高级恶意软件沙盒提交日志字段的格式：

字段	类型	说明
`connection`	`Connection`	一个 5 元组，用于描述与流量关联的连接参数。
`action`	`string`	对将文件提交到高级恶意软件沙盒的连接执行的操作。例如，`ALLOW`、`DENY`。
`wildfireDetails`	`WildfireDetails`	高级恶意软件沙盒文件提交和分析结果的详细信息。
`securityProfileGroupDetails`	`SecurityProfileGroupDetails`	应用于被拦截流量的安全配置文件组的详细信息。
`interceptVpc`	`VpcDetails`	与拦截的流量关联的虚拟私有云 (VPC) 网络的详细信息。
`interceptInstance`	`InterceptInstance`	拦截流量的虚拟机 (VM) 实例的详细信息。

`Connection` 字段格式

下表介绍了 Connection 字段的格式：

字段	类型	说明
`clientIp`	`string`	客户端 IP 地址。如果客户端是 Compute Engine 虚拟机实例，则 `clientIp` 是主要内部 IP 地址或虚拟机网络接口的别名 IP 范围内的地址。外部 IP 地址会被省略。日志显示 IP 标头上观察到的虚拟机实例的 IP 地址，类似于虚拟机实例上的 TCP 转储。
`clientPort`	`integer`	客户端端口号。
`serverIp`	`string`	服务器 IP 地址。如果服务器是 Compute Engine 虚拟机实例，则 `serverIp` 是主要内部 IP 地址或虚拟机网络接口的别名 IP 范围内的地址。即使使用外部 IP 地址进行连接，系统也会省略此地址。
`serverPort`	`integer`	服务器端口号。
`protocol`	`string`	连接的 IP 协议。

`WildfireDetails` 字段格式

下表介绍了 wildfireDetails 字段的格式：

字段	类型	说明
`verdict`	`string`	高级恶意软件沙盒对文件的判定。例如 `MALICIOUS`。
`detectionTime`	`string`	检测到恶意软件的时间。
`direction`	`string`	文件传输方向。例如 `CLIENT_TO_SERVER`。
`file`	`string`	相应文件的名称。
`fileType`	`string`	文件的类型。例如，`LINUX`、`PE`。
`hash`	`string`	文件的 256 位安全哈希算法 (SHA-256) 哈希值。
`severity`	`string`	与检测到的恶意软件关联的严重级别。如需了解详情，请参阅威胁严重级别。
`repeatCount`	`integer`	在五秒内出现相同客户端 IP 地址、服务器 IP 地址、客户端端口、服务器端口、协议和网域的会话数。
`reportUri`	`string`	用于下载高级恶意软件沙盒报告的网址。此网址通常指向 `networksecurity.usercontent.google.com`，并包含组织或项目、位置、防火墙端点和报告信息。
`sampleUri`	`string`	用于下载恶意软件样本的网址。此网址通常指向 `networksecurity.usercontent.google.com`，并包含组织或项目、位置、防火墙端点和示例信息。
`subtype`	`string`	高级恶意软件沙盒的子类型。例如，`WILDFIRE`、`INLINE_WILDFIRE`。

`SecurityProfileGroupDetails` 字段格式

下表介绍了 SecurityProfileGroupDetails 字段的格式：

字段	类型	说明
`securityProfileGroupId`	`string`	应用于流量的安全配置文件组的 ID。
`organizationId`	`string`	包含安全配置文件组的组织的 ID。`organizationId` 或 `projectId` 已填充。
`projectId`	`string`	包含安全配置文件组的项目的 ID。`organizationId` 或 `projectId` 已填充。

`VpcDetails` 字段格式

下表介绍了 VpcDetails 字段的格式：

字段	类型	说明
`vpc`	`string`	与被拦截流量关联的 VPC 网络的名称
`projectId`	`string`	与 VPC 网络关联的 Google Cloud 项目的名称。

`InterceptInstance` 字段格式

下表介绍了 InterceptInstance 字段的格式：

字段	类型	说明
`zone`	`string`	虚拟机实例所在的可用区的名称。
`vm`	`string`	与被拦截流量关联的虚拟机实例的名称。
`projectId`	`string`	包含虚拟机实例的 Google Cloud 项目的 ID。

高级恶意软件沙盒日志与防火墙日志的相关性

当防火墙规则评估流量时，Cloud NGFW 会记录防火墙政策规则日志记录条目。如需了解详情，请参阅高级恶意软件沙盒日志格式。如需查看这些防火墙规则日志，请参阅查看日志。

如果使用第 7 层检查的防火墙政策规则启用了日志记录，Cloud NGFW 会首先为评估的流量记录 VPC 防火墙规则日志记录条目。然后，它会将流量发送到防火墙端点，以进行第 7 层检查。如需了解详情，请参阅启用或停用防火墙政策规则日志记录

防火墙端点会分析流量，以确定要提交到高级恶意软件沙盒的文件，并为连接创建单独的高级恶意软件沙盒提交日志。此高级恶意软件沙盒提交日志包含文件名、文件哈希、流量来源和流量目的地等字段。

如需查看高级恶意软件沙盒提交日志，请在 Logs Explorer 中搜索日志 networksecurity.googleapis.com%2Ffirewall_wildfire。

您可以比较防火墙政策规则日志和高级恶意软件沙盒日志格式中的字段，以识别触发高级恶意软件沙盒文件提交的连接，并采取适当措施加以解决。

例如，您配置了具有以下设置的防火墙政策规则：

来源 IP 地址：192.0.2.0
来源端口：47644
目的地 IP 地址：192.0.2.1
目标端口：80
日志记录：Enabled

如需查看与此规则关联的高级恶意软件沙盒提交日志，请前往日志浏览器页面。在查询窗格中，将以下查询粘贴到查询编辑器字段中。

  resource.type="networksecurity.googleapis.com/FirewallEndpoint"
  jsonPayload.connection.clientIp="192.0.2.0"
  jsonPayload.connection.clientPort="47644"
  jsonPayload.connection.serverIp="192.0.2.1"
  jsonPayload.connection.serverPort="80"

查询结果部分会显示以下高级恶意软件沙盒提交日志：

    {
      "insertId": "akxp8uf5f0fuv",
      "jsonPayload": {
      "connection": {
      "serverPort": 80,
      "clientPort": 47644,
      "protocol": "TCP",
      "clientIp": "192.0.2.0",
      "serverIp": "192.0.2.1"
    },
      "interceptInstance": {
      "zone": "us-central1-c",
      "vm": "aied-test-dont-delete",
      "projectId": "project_001"
    },
      "interceptVpc": {
      "projectId": "project_001",
      "vpc": "default"
    },
      "@type": "type.googleapis.com/google.cloud.networksecurity.logging.v1.WildfireSubmissionLog",
      "securityProfileGroupDetails": {
      "securityProfileGroupId": "my-spg-id",
      "organizationId": "organization_001"
    },
      "action": "DENY",
      "wildfireDetails": {
        "detectionTime": "2026-04-19T21:18:50Z",
        "direction": "SERVER_TO_CLIENT",
        "file": "sheet.exe",
        "fileType": "PE",
        "hash": "02521f0bb91b4c74d1590b85254f26f0d258cd780393010593ae6daaa5993753",
        "repeatCount": 1,
        "reportUri": "https://networksecurity.usercontent.google.com/projects/12345/locations/us-west2-a/firewallEndpoints/prober-wfmixed-fwp-ep-us-w2-a/wildfireReports/C08DD6908D91EAB335FA89675E499631557B3126ADFF9C83A1856D4404D2F4A2",
        "sampleUri": "https://networksecurity.usercontent.google.com/projects/12345/locations/us-west2-a/firewallEndpoints/prober-wfmixed-fwp-ep-us-w2-a/wildfireSamples/C08DD6908D91EAB335FA89675E499631557B3126ADFF9C83A1856D4404D2F4A2",
        "severity": "INFORMATIONAL",
        "subtype": "WILDFIRE",
        "verdict": "MALICIOUS"
      },
    },
    "resource": {
    "type": "networksecurity.googleapis.com/FirewallEndpoint",
    "labels": {
      "location": "us-central1-c",
      "resource_container": "organizations/organization_001",
      "id": "pg-ni-latencyayzl8peq"
    }
  },
  "timestamp": "2025-06-02T19:09:35.452299517Z",
  "logName": "projects/project_001/logs/networksecurity.googleapis.com%2Ffirewall_wildfire",
  "receiveTimestamp": "2025-06-02T19:09:35.452299517Z"
}

同样，如需查看与此规则关联的防火墙日志，请前往Logs Explorer页面。在查询窗格中，将以下查询粘贴到查询编辑器字段中。

    jsonPayload.rule_details.action="APPLY_SECURITY_PROFILE_GROUP"
    jsonPayload.connection.src_ip="192.0.2.0"
    jsonPayload.connection.src_port="47644"
    jsonPayload.connection.dest_ip="192.0.2.1"
    jsonPayload.connection.dest_port="80"

查询结果部分会显示以下防火墙日志：

    {
      insertId: "qn82vdg109q3r9"
      jsonPayload: {
      connection: {
      }
      dest_ip: "192.0.2.1"
      dest_port: 80
      protocol: 6
      src_ip: "192.0.2.0"
      src_port: 47644
      disposition: "INTERCEPTED"
      ►instance: {4}
      ▸ remote_instance: {4}
      ▸ remote_vpc: {3}
      rule_details: {
      action: "APPLY_SECURITY_PROFILE_GROUP"
      apply_security_profile_fallback_action: "UNSPECIFIED"
      direction: "INGRESS"
      ▸ ip_port_info: [1]
      ▼
      priority: 6000
      reference: "network: fwplus-vpc/firewallPolicy: fwplus-fwpolicy"
      source_range: [
      1
      0: "192.0.2.0/24"
      target_secure_tag: [
      0: "tagValues/281479199099651"
      ]
      }
      vpc: {
      project_id: "project_001"
      subnetwork_name: "fwplus-us-central1-subnet"
      vpc_name: "fwplus-vpc"
      }
      }
      logName: "projects/project_001/logs/compute.googleapis.com%2Ffirewall",
      receiveTimestamp: "2023-11-28T19:08:46.749244092Z"
      resource: {2}
      timestamp: "2023-11-28T19:08:40.207465099Z"
    }

通过同时使用高级恶意软件沙盒提交日志和防火墙日志查询，您可以查看它们之间的关联。下表将防火墙日志字段映射到相应的高级恶意软件沙盒提交日志字段：

防火墙日志字段	高级恶意软件沙盒提交日志字段	说明
`src_ip`	`clientIp`	防火墙日志中的来源 IP 地址与高级恶意软件沙盒提交日志中的客户端 IP 地址相关联，以识别所评估流量的来源。
`src_port`	`clientPort`	防火墙日志中的来源端口与高级恶意软件沙盒提交日志中的客户端端口相关联，以识别评估流量使用的来源端口。
`dest_ip`	`serverIp`	防火墙日志中的目标 IP 地址与高级恶意软件沙盒提交日志中的服务器 IP 地址相关联，以查明所评估流量的目标。
`dest_port`	`serverPort`	防火墙日志中的目标端口与高级恶意软件沙盒提交日志中的服务器端口相关联，以识别评估流量使用的目标端口。

后续步骤

高级恶意软件沙盒概览

高级恶意软件沙盒日志 使用集合让一切井井有条 根据您的偏好保存内容并对其进行分类。

高级恶意软件沙盒日志的类型

查看日志

高级恶意软件沙盒日志格式

Connection 字段格式

WildfireDetails 字段格式

SecurityProfileGroupDetails 字段格式

VpcDetails 字段格式

InterceptInstance 字段格式