יומנים, מדדים ועקבות

במאמר הזה מוסבר איך Secure Web Proxy מתעד את הנתונים התפעוליים שלו, איך להשתמש במדדי Cloud Monitoring API כדי לנתח את ביצועי ה-proxy ואיך להשתמש במעקב מבוזר כדי לעקוב אחרי מחזורי החיים של הבקשות.

יומנים

‫Secure Web Proxy משתמש ב-Cloud Logging כדי לאפשר לכם לתעד מידע ולבצע משימות שונות בתחומים העיקריים הבאים:

  • מעקב ותאימות

    • לאכוף עמידה בתקנות, לשפר את אבטחת הרשת ולספק נראות של תעבורת האינטרנט היוצאת שנשלחת ליעדים חיצוניים מותרים.
    • קבלת שכבות חשובות של שליטה בנתוני התנועה של עומסי העבודה וגישה אליהם.
    • לקבל תובנות חשובות למעקב יעיל במרכז תפעול האבטחה (SOC).
    • להשתמש ביומנים כדי לזהות ולעקוב אחרי אירועי אבטחה, כדי להגיב לאיומים באופן יזום.

  • פריסה והגדרה

    • לעקוב אחרי ההגדרה הראשונית של התשתית, יצירת חשבונות משתמשים ושינויים בהגדרות.
    • כדי להבטיח פריסה חלקה ומאובטחת, חשוב לעקוב אחרי שגיאות פוטנציאליות.
    • להבין את ההשפעה של שינויים בכוונון המדיניות ולשפר את ההגנה.

סוגי היומנים

ב-Secure Web Proxy נעשה שימוש ב-Logging כדי לתעד ולאחסן את סוגי היומנים הבאים:

הגדרת התראות לגבי יומנים

אתם יכולים להגדיר התראות לאירועים ש-Secure Web Proxy כותב ליומן, כמו דחיות של תנועה או התאמות לכללים ספציפיים. להוראות כלליות לגבי הגדרת ההתראות האלה, קראו את המאמר הגדרת התראות מבוססות-יומן.

הנה כמה דוגמאות לשאילתות שאפשר להשתמש בהן כדי להגדיר התראות מבוססות-יומנים ל-Secure Web Proxy:

התראה על תנועה שנדחתה על ידי מדיניות Secure Web Proxy

כדי להפעיל התראה כשמדיניות Secure Web Proxy דוחה בקשה, משתמשים בשאילתה הבאה:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED"

מחליפים את PROJECT_ID במזהה של פרויקט היעד ב-Google Cloud .

התראה על תנועה שנדחתה על ידי כלל של Secure Web Proxy

כדי להפעיל התראה כשכלל ספציפי של Secure Web Proxy (למשל, my-specific-deny-rule) דוחה בקשה, משתמשים בשאילתה הבאה:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED"
AND jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.name=~"projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/my-specific-deny-rule$"

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה פרויקט היעד Google Cloud
  • ‫REGION: האזור של מופע Secure Web Proxy
  • ‫POLICY_NAME: השם של מדיניות Secure Web Proxy

התראה על תנועה שהוגבלה על ידי מדיניות הגבלת קצב של יצירת בקשות בשירות

כדי להפעיל התראה כשמדיניות הגבלת קצב של יצירת בקשות של השירות מצמצמת את קצב הבקשות, משתמשים בשאילתה הבאה:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.rateLimitPolicyInfo.overallResult="THROTTLED"

מחליפים את PROJECT_ID במזהה של פרויקט Google Cloud היעד.

התראה על בקשות עם זמן אחזור ארוך

אפשר להשתמש בשאילתה הבאה כדי לקבל התראה כשהבקשות חורגות מסף מסוים של זמן אחזור, למשל חמש שניות:

logName="projects/'PROJECT_ID'/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
latency >= "5s"

מחליפים את PROJECT_ID במזהה של פרויקט היעד ב-Google Cloud .

צפייה ביומנים ב-Cloud Logging

  1. נכנסים לדף Logs Explorer במסוף Google Cloud .

    כניסה לדף Logs Explorer

  2. בוחרים את הפרויקט ב- Google Cloud .

  3. בתפריטים הנפתחים, בוחרים את המשאב networkservices.googleapis.com/Gateway או את המכונה של Secure Web Proxy.

מידע נוסף זמין במאמר שימוש ב-Logs Explorer.

דוגמאות לרשומות ביומן

בכל פעם ש-Secure Web Proxy מעבד בקשה, הוא יוצר רשומות מפורטות ביומן כדי לעקוב אחרי הפעולות שלו וכללי המדיניות שהוחלו. בדוגמאות הבאות מוסבר איך פועלים היומנים של Secure Web Proxy.

דוגמה לרשומה ביומן של אירוע מותר

ברשומת היומן הבאה אפשר לראות שהמופע של Secure Web Proxy יירט ובדק את תנועת ה-HTTPS של www.example.com, ואז אפשר לה להמשיך לאתר היעד. שמות המדיניות והכלל הם swp-policy ו-allow-port-443, בהתאמה.

שדה ערכים
enforcedGatewaySecurityPolicy 
{
        "requestWasTlsIntercepted": true,
        "hostname": "www.example.com",
        "matchedRules": [
          {
            "action": "ALLOWED",
            "name": "projects/76537/locations/us-central1/gatewaySecurityPolicies/swp-policy/rules/allow-port-443"
          }
        ]
      }
httpRequest 
{
        "requestMethod": "GET",
        "requestUrl": "https://www.example.com/",
        "requestSize": "41",
        "status": 200,
        "responseSize": "1446",
        "userAgent": "curl/7.74.0",
        "remoteIp": "10.128.0.12:35418",
        "serverIp": "93.184.216.34:443",
        "latency": "0.051800s",
        "protocol": "HTTP/2"
      }
resource 
{
        "type": "networkservices.googleapis.com/Gateway",
        "labels": {
          "gateway_name": "multi-level-tlds",
          "network_name": "projects/76537/global/networks/default",
          "location": "us-central1",
          "resource_container": "",
          "gateway_type": "SECURE_WEB_GATEWAY"
        }
      }
timestamp "2024-02-15T16:56:19.570534Z"
severity "INFO"
logName "projects/76537/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp "2024-02-15T16:56:20.714988329Z"

דוגמה לרשומה ביומן שמתעדת דחייה

רשומת היומן הזו מראה שהמכונה של Secure Web Proxy בדקה את התנועה של www.example.com:443 ודחתה את בקשת ה-HTTPS בגלל הכלל default_denied במדיניות של Secure Web Proxy.

שדה ערכים
enforcedGatewaySecurityPolicy 
{
        "hostname": "www.example.com:443",
        "matchedRules": [
          {
            "name": "default_denied",
            "action": "DENIED"
          }
        ]
      }
httpRequest 
{
        "requestMethod": "CONNECT",
        "requestSize": "122",
        "status": 403,
        "responseSize": "141",
        "userAgent": "curl/7.74.0",
        "remoteIp": "10.128.0.12:36338",
        "latency": "0.000133s",
        "protocol": "HTTP/1.1"
      }
resource 
{
        "type": "networkservices.googleapis.com/Gateway",
        "labels": {
          "gateway_type": "SECURE_WEB_GATEWAY",
          "resource_container": "",
          "location": "us-central1",
          "network_name": "projects/gcp-1768/global/networks/default",
          "gateway_name": "high-latency-repro"
        }
      }
timestamp "2024-02-15T16:55:00.089727Z"
severity "WARNING"
logName "projects/gcp-1768/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp "2024-02-15T16:55:04.456901833Z"

דוגמה לרשומה ביומן של מדיניות הגבלת קצב של יצירת בקשות לשירות

רשומה ביומן הבאה מראה שמכונת Secure Web Proxy הגבילה בקשה כי הלקוח חרג מהמגבלה RateLimitPolicy (בשם rl-egress-policy) בקטע rl_default_rpm_limit RateLimitBucket.

שדה ערכים
rateLimitPolicyInfo 
{
          "policies": [
            {
              "name": "projects/76537/locations/us-central1/rateLimitPolicies/rl-egress-policy",
              "buckets": [
                {
                  "bucket": "rl_default_rpm_limit",
                  "key": "spiffe://projects-123.global.workload.id.goog/ns/ns1/sa/hellomcp",
                  "result": "THROTTLED"
                }
              ],
              "result": "THROTTLED",
              "details": "Default user rate limit rate exceeded client-side."
            }
          ],
          "overallResult": "THROTTLED"
        }
httpRequest 
{
          "requestMethod": "POST",
          "requestUrl": "https://example.com/v1/chat/completions",
          "requestSize": "144",
          "status": 429,
          "responseSize": "85",
          "userAgent": "curl/7.74.0",
          "remoteIp": "10.128.0.12:35418",
          "serverIp": "93.184.216.34:443",
          "latency": "0.001200s",
          "protocol": "HTTP/2"
        }
resource 
{
          "type": "networkservices.googleapis.com/Gateway",
          "labels": {
            "gateway_type": "SECURE_WEB_GATEWAY",
            "resource_container": "",
            "location": "us-central1",
            "network_name": "projects/76537/global/networks/default",
            "gateway_name": "egress-swp-gateway"
          }
        }
timestamp "2026-02-15T16:56:19.570534Z"
severity "WARNING"
logName "projects/76537/logs/networkservices.googleapis.com%2Fgateway_requests"
receiveTimestamp "2026-02-15T16:56:20.714988329Z"

מעקב מבוזר באמצעות Cloud Trace

ב-Secure Web Proxy יש תמיכה במעקב מובנה אחרי בקשות מבוזרות, שמשולב עם Trace.

קורלציה בין יומנים למעקבים

כל רשומה ביומן הטרנזקציות של ה-Proxy שנכתבת ב-Logging כוללת שדה trace שמכיל את מחרוזת המשאב של Google Cloud trace:

<pre class="devsite-click-to-copy">
"trace": "projects/PROJECT_ID/traces/TRACE_ID"
</pre>

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud
  • ‫TRACE_ID: מזהה מעקב של 128 ביט (32 תווים בבסיס הקסדצימלי) מהלקוח או מטווח המעקב. לדוגמה, 4bf92f3577b34da6a3ce929d0e0e4736.

אפשר להשתמש במזהה המעקב הזה כדי לקשר בין רשומות ביומן לבין טווחי המעקב התואמים:

  • מיומנים לנתוני מעקב: ב-Logs Explorer, לוחצים על השדה trace של רשומה ביומן ובוחרים באפשרות View trace details כדי לפתוח את תרשים המפל של הבקשה המלאה ב-Trace.
  • ממעקבים ליומנים: ב-Trace, לוחצים על Show logs בחלונית Trace Details כדי לראות את כל יומני העסקאות של שרת ה-proxy שמשויכים למעקב.

למידע נוסף, קראו את המאמר מעקב מבוזר באמצעות Trace.

מדדים

המדדים של Cloud Monitoring API עוזרים לכם לעקוב אחרי הביצועים, התקינות והשימוש במופעים של שרת Proxy מאובטח בענן.

משאב במעקב

המדדים של Secure Web Proxy מיוצאים במסגרת המשאב הבא שבמעקב:

  • ‫networkservices.googleapis.com/Gateway: מייצג מופע של שער Secure Web Proxy.

בטבלה הבאה מפורטים המשאבים הזמינים ל-networkservices.googleapis.com/Gateway. אתם יכולים להשתמש במקורות המידע האלה כדי לסנן ולצבור את נתוני המעקב.

תווית תיאור
resource_container מזהה הפרויקט שמשויך למכונה של שער הגישה של Secure Web Proxy.
location ‫Google Cloud : האזור שבו נפרס שער הכניסה.
gateway_id השם הייחודי של מופע שער Secure Web Proxy.
gateway_type סוג השער, שהוגדר כSECURE_WEB_GATEWAY.
network_name השם של רשת הענן הווירטואלי הפרטי (VPC) שמשויכת לשער.

מדדים זמינים

המדדים הבאים זמינים למשאב Gateway. לכל המדדים יש קידומת של networkservices.googleapis.com/https/.

סוג מדד השם המוצג סוג, סוג, יחידה תיאור
networkservices.googleapis.com/https/request_count מספר הבקשות DELTA, INT64, 1 מספר הבקשות הכולל שעובדו על ידי שרת ה-proxy.
networkservices.googleapis.com/https/request_bytes_count גודל הבקשה (בייטים) DELTA, INT64, By המספר הכולל של בייטים שהתקבלו בבקשות.
networkservices.googleapis.com/https/response_bytes_count בייטים של התגובה DELTA, INT64, By המספר הכולל של בייטים שנשלחו בתגובות.
networkservices.googleapis.com/https/total_latencies זמני האחזור הכוללים DELTA, DIST, ms הזמן שחלף מרגע קבלת הבייט הראשון של הבקשה ועד לשליחת הבייט האחרון של התגובה.
networkservices.googleapis.com/https/backend_latencies זמני האחזור של הקצה העורפי DELTA, DIST, ms הזמן שחלף מרגע שליחת הבקשה לקצה העורפי ועד לקבלת הבייט הראשון של התגובה.

יצירת מרכז בקרה בהתאמה אישית

כדי ליצור לוח בקרה בהתאמה אישית להצגת מגמות הביצועים והתנועה של מופעי Secure Web Proxy, מבצעים את הפעולות הבאות:

  1. נכנסים לדף Dashboards במסוף Google Cloud .

    כניסה לדף Dashboards

  2. לוחצים על יצירת לוח בקרה בהתאמה אישית.

  3. לוחצים על Add widget ובוחרים באפשרות התרשים Line.

  4. בשדה Metric, מחפשים את networkservices.googleapis.com/https/request_count.

  5. בשדה Filter (מסנן), אפשר לסנן לפי gateway_id אם הגדרתם כמה מופעים של Secure Web Proxy.

  6. בקטע Aggregation, מגדירים את Alignment Period לערך 1 minute ובוחרים באפשרות rate בשביל Aligner.

    הפעולה הזו ממירה את נתוני הבקשות הגולמיים לשיעור של בקשות לשנייה, וכך קל יותר לראות ולנתח מגמות עקביות של תנועה לאורך זמן.

  7. כדי לשמור את הווידג'ט, לוחצים על אישור.

המאמרים הבאים