Log sandbox malware lanjutan

Saat Cloud Next Generation Firewall Enterprise mendeteksi dan mengirimkan file ke Sandbox malware lanjutan (WildFire) untuk dianalisis, Cloud Next Generation Firewall Enterprise akan membuat log mendetail yang membantu Anda mengaudit dan menganalisis deteksi dan pencegahan malware. Log ini memberikan visibilitas ke ancaman berbasis jaringan dan hasil sandboxing.

Halaman ini menjelaskan format dan struktur log pengiriman Sandbox malware lanjutan.

Jenis log Sandbox malware lanjutan

Sandbox malware lanjutan memperkenalkan dua kategori utama log:

  • Log pengiriman: dibuat saat file yang tidak dikenal dievaluasi oleh Sandbox malware lanjutan. Jenis ini berisi dua subjenis:

    • WILDFIRE: menunjukkan bahwa file telah diekstrak dan dikirim ke cloud Sandbox malware lanjutan untuk sandboxing mendalam asinkron.
    • INLINE_WILDFIRE: menunjukkan bahwa file dievaluasi secara real-time oleh mesin analisis cloud inline Sandbox malware lanjutan sebelum mencapai jaringan.

  • Log ancaman: dibuat saat firewall mendeteksi dan secara aktif memblokir ancaman yang diketahui atau diidentifikasi secara dinamis secara inline. Update ini menambahkan dua subjenis log ancaman baru:

    • WILDFIRE_VIRUS: menunjukkan virus yang terdeteksi oleh layanan cloud Sandbox malware lanjutan berdasarkan kecocokan tanda tangan yang diketahui.
    • ML_VIRUS: menunjukkan virus yang terdeteksi secara dinamis oleh mesin machine learning (ML) inline Sandbox malware lanjutan on-box firewall.

Melihat log

Untuk melihat dan menganalisis log Sandbox malware lanjutan, lihat Melihat semua log firewall.

Anda dapat menggunakan kueri berikut di kolom editor kueri Logs Explorer:

  • Untuk melihat log pengiriman, masukkan type.googleapis.com/google.cloud.networksecurity.logging.v1.WildfireSubmissionLog.

  • Untuk melihat log ancaman, masukkan kueri berikut:

    type.googleapis.com/google.cloud.networksecurity.logging.v1.ThreatLog
jsonPayload.threatDetails.type="WILDFIRE_VIRUS" OR jsonPayload.threatDetails.type="ML_VIRUS"

Format log sandbox malware lanjutan

Cloud Next Generation Firewall Enterprise membuat entri log di Cloud Logging untuk setiap file yang dikirimkan ke Sandbox malware lanjutan. Data log disertakan dalam kolom payload JSON dari objek LogEntry.

Tabel berikut menjelaskan format kolom log pengiriman Sandbox malware lanjutan:

Kolom Jenis Deskripsi
connection Connection 5-tuple yang menjelaskan parameter koneksi yang terkait dengan traffic.
action string Tindakan yang dilakukan pada koneksi tempat file dikirim ke Sandbox malware lanjutan. Misalnya, ALLOW, DENY.
wildfireDetails WildfireDetails Detail pengiriman file dan hasil analisis Sandbox malware lanjutan.
securityProfileGroupDetails SecurityProfileGroupDetails Detail grup profil keamanan yang diterapkan ke traffic yang disadap.
interceptVpc VpcDetails Detail jaringan Virtual Private Cloud (VPC) yang terkait dengan traffic yang disadap.
interceptInstance InterceptInstance Detail instance virtual machine (VM) tempat traffic disadap.

Format kolom Connection

Tabel berikut menjelaskan format kolom Connection:

Kolom Jenis Deskripsi
clientIp string Alamat IP klien. Jika klien adalah instance VM Compute Engine, clientIp adalah alamat IP internal utama atau alamat dalam rentang IP alias antarmuka jaringan untuk VM. Alamat IP eksternal dihilangkan. Log menampilkan alamat IP instance VM seperti yang diamati pada header IP, mirip dengan TCP dump pada instance VM.
clientPort integer Nomor port klien.
serverIp string Alamat IP server. Jika server adalah instance VM Compute Engine, serverIp adalah alamat IP internal utama atau alamat dalam rentang IP alias antarmuka jaringan untuk VM. Alamat IP eksternal dihilangkan, meskipun digunakan untuk membuat koneksi.
serverPort integer Nomor port server.
protocol string Protokol IP koneksi.

Format kolom WildfireDetails

Tabel berikut menjelaskan format kolom wildfireDetails:

Kolom Jenis Deskripsi
verdict string Hasil analisis Sandbox malware lanjutan pada file. Misalnya, MALICIOUS.
detectionTime string Waktu malware terdeteksi.
direction string Arah transmisi file. Misalnya, CLIENT_TO_SERVER.
file string Nama file.
fileType string Jenis file. Misalnya, LINUX, PE.
hash string Hash Secure Hash Algorithm 256-bit (SHA-256) file.
severity string Tingkat keseriusan yang terkait dengan malware yang terdeteksi. Untuk mengetahui informasi selengkapnya, lihat Tingkat keparahan ancaman.
repeatCount integer Jumlah sesi dengan alamat IP klien, alamat IP server, port klien, port server, protokol, dan domain yang sama yang terlihat dalam waktu lima detik.
reportUri string URL untuk mendownload laporan Sandbox malware lanjutan. URL ini umumnya mengarah ke networksecurity.usercontent.google.com dan berisi informasi organisasi atau project, lokasi, endpoint firewall, dan laporan.
sampleUri string URL untuk mendownload sampel malware. URL ini umumnya mengarah ke networksecurity.usercontent.google.com dan berisi organisasi atau project, lokasi, endpoint firewall, dan informasi sampel.
subtype string Subjenis Sandbox malware lanjutan. Misalnya, WILDFIRE, INLINE_WILDFIRE.

Format kolom SecurityProfileGroupDetails

Tabel berikut menjelaskan format kolom SecurityProfileGroupDetails:

Kolom Jenis Deskripsi
securityProfileGroupId string ID grup profil keamanan yang diterapkan ke traffic.
organizationId string ID organisasi yang berisi grup profil keamanan. organizationId atau projectId diisi.
projectId string ID project yang berisi grup profil keamanan. organizationId atau projectId diisi.

Format kolom VpcDetails

Tabel berikut menjelaskan format kolom VpcDetails:

Kolom Jenis Deskripsi
vpc string Nama jaringan VPC yang terkait dengan traffic yang disadap
projectId string Nama project Google Cloud yang terkait dengan jaringan VPC.

Format kolom InterceptInstance

Tabel berikut menjelaskan format kolom InterceptInstance:

Kolom Jenis Deskripsi
zone string Nama zona tempat instance VM berada.
vm string Nama instance VM yang terkait dengan traffic yang disadap.
projectId string ID project Google Cloud yang berisi instance VM.

Korelasi log sandbox malware lanjutan dengan log firewall

Saat traffic dievaluasi oleh aturan firewall, Cloud NGFW akan mencatat entri logging aturan kebijakan firewall. Untuk mengetahui informasi selengkapnya, lihat Format log sandbox malware lanjutan. Untuk melihat log aturan firewall ini, lihat Melihat log.

Jika aturan kebijakan firewall dengan pemeriksaan Lapisan 7 mengaktifkan logging, Cloud NGFW akan mencatat entri logging aturan firewall VPC terlebih dahulu untuk traffic yang dievaluasi. Kemudian, traffic akan dikirim ke endpoint firewall untuk pemeriksaan Lapisan 7. Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan atau menonaktifkan logging aturan kebijakan firewall

Endpoint firewall menganalisis traffic untuk file yang akan dikirim ke Sandbox malware lanjutan, dan membuat log pengiriman Sandbox malware lanjutan terpisah untuk koneksi tersebut. Log pengiriman Sandbox malware lanjutan ini mencakup kolom seperti nama file, hash file, sumber traffic, dan tujuan traffic.

Untuk melihat log pengiriman Sandbox malware lanjutan, di Logs Explorer, telusuri log networksecurity.googleapis.com%2Ffirewall_wildfire.

Anda dapat membandingkan kolom dalam log aturan kebijakan firewall dan Format log Sandbox malware lanjutan untuk mengidentifikasi koneksi yang memicu pengiriman file Sandbox malware lanjutan dan mengambil tindakan yang sesuai untuk mengatasinya.

Misalnya, Anda memiliki aturan kebijakan firewall yang dikonfigurasi dengan setelan berikut:

  • Alamat IP sumber: 192.0.2.0
  • Port sumber: 47644
  • Alamat IP tujuan: 192.0.2.1
  • Port tujuan: 80
  • Logging: Enabled

Untuk melihat log pengiriman Sandbox malware lanjutan yang terkait dengan aturan ini, buka halaman Logs Explorer. Di panel Query, tempel kueri berikut ke dalam kolom editor kueri.

  resource.type="networksecurity.googleapis.com/FirewallEndpoint"
  jsonPayload.connection.clientIp="192.0.2.0"
  jsonPayload.connection.clientPort="47644"
  jsonPayload.connection.serverIp="192.0.2.1"
  jsonPayload.connection.serverPort="80"

Bagian Query results menampilkan log pengiriman Sandbox malware lanjutan berikut:

    {
      "insertId": "akxp8uf5f0fuv",
      "jsonPayload": {
      "connection": {
      "serverPort": 80,
      "clientPort": 47644,
      "protocol": "TCP",
      "clientIp": "192.0.2.0",
      "serverIp": "192.0.2.1"
    },
      "interceptInstance": {
      "zone": "us-central1-c",
      "vm": "aied-test-dont-delete",
      "projectId": "project_001"
    },
      "interceptVpc": {
      "projectId": "project_001",
      "vpc": "default"
    },
      "@type": "type.googleapis.com/google.cloud.networksecurity.logging.v1.WildfireSubmissionLog",
      "securityProfileGroupDetails": {
      "securityProfileGroupId": "my-spg-id",
      "organizationId": "organization_001"
    },
      "action": "DENY",
      "wildfireDetails": {
        "detectionTime": "2026-04-19T21:18:50Z",
        "direction": "SERVER_TO_CLIENT",
        "file": "sheet.exe",
        "fileType": "PE",
        "hash": "02521f0bb91b4c74d1590b85254f26f0d258cd780393010593ae6daaa5993753",
        "repeatCount": 1,
        "reportUri": "https://networksecurity.usercontent.google.com/projects/12345/locations/us-west2-a/firewallEndpoints/prober-wfmixed-fwp-ep-us-w2-a/wildfireReports/C08DD6908D91EAB335FA89675E499631557B3126ADFF9C83A1856D4404D2F4A2",
        "sampleUri": "https://networksecurity.usercontent.google.com/projects/12345/locations/us-west2-a/firewallEndpoints/prober-wfmixed-fwp-ep-us-w2-a/wildfireSamples/C08DD6908D91EAB335FA89675E499631557B3126ADFF9C83A1856D4404D2F4A2",
        "severity": "INFORMATIONAL",
        "subtype": "WILDFIRE",
        "verdict": "MALICIOUS"
      },
    },
    "resource": {
    "type": "networksecurity.googleapis.com/FirewallEndpoint",
    "labels": {
      "location": "us-central1-c",
      "resource_container": "organizations/organization_001",
      "id": "pg-ni-latencyayzl8peq"
    }
  },
  "timestamp": "2025-06-02T19:09:35.452299517Z",
  "logName": "projects/project_001/logs/networksecurity.googleapis.com%2Ffirewall_wildfire",
  "receiveTimestamp": "2025-06-02T19:09:35.452299517Z"
}

Demikian pula, untuk melihat log firewall yang terkait dengan aturan ini, buka halaman Logs Explorer. Di panel Query, tempel kueri berikut ke dalam kolom editor kueri.

    jsonPayload.rule_details.action="APPLY_SECURITY_PROFILE_GROUP"
    jsonPayload.connection.src_ip="192.0.2.0"
    jsonPayload.connection.src_port="47644"
    jsonPayload.connection.dest_ip="192.0.2.1"
    jsonPayload.connection.dest_port="80"

Bagian Query results menampilkan log firewall berikut:

    {
      insertId: "qn82vdg109q3r9"
      jsonPayload: {
      connection: {
      }
      dest_ip: "192.0.2.1"
      dest_port: 80
      protocol: 6
      src_ip: "192.0.2.0"
      src_port: 47644
      disposition: "INTERCEPTED"
      ►instance: {4}
      ▸ remote_instance: {4}
      ▸ remote_vpc: {3}
      rule_details: {
      action: "APPLY_SECURITY_PROFILE_GROUP"
      apply_security_profile_fallback_action: "UNSPECIFIED"
      direction: "INGRESS"
      ▸ ip_port_info: [1]
      ▼
      priority: 6000
      reference: "network: fwplus-vpc/firewallPolicy: fwplus-fwpolicy"
      source_range: [
      1
      0: "192.0.2.0/24"
      target_secure_tag: [
      0: "tagValues/281479199099651"
      ]
      }
      vpc: {
      project_id: "project_001"
      subnetwork_name: "fwplus-us-central1-subnet"
      vpc_name: "fwplus-vpc"
      }
      }
      logName: "projects/project_001/logs/compute.googleapis.com%2Ffirewall",
      receiveTimestamp: "2023-11-28T19:08:46.749244092Z"
      resource: {2}
      timestamp: "2023-11-28T19:08:40.207465099Z"
    }

Dengan menggunakan kueri log pengiriman Sandbox malware lanjutan dan log firewall, Anda dapat melihat korelasi di antara keduanya. Tabel berikut memetakan kolom log firewall ke kolom log pengiriman Sandbox malware lanjutan yang sesuai:

Kolom log firewall Kolom log pengiriman sandbox malware lanjutan Deskripsi
src_ip clientIp Alamat IP sumber di log firewall dikaitkan dengan alamat IP klien di log pengiriman Sandbox malware lanjutan untuk mengidentifikasi asal traffic yang dievaluasi.
src_port clientPort Port sumber di log firewall dikaitkan dengan port klien di log pengiriman Sandbox malware lanjutan untuk mengidentifikasi port sumber yang digunakan oleh traffic yang dievaluasi.
dest_ip serverIp Alamat IP tujuan di log firewall dikaitkan dengan alamat IP server di log pengiriman Sandbox malware lanjutan untuk menentukan target traffic yang dievaluasi.
dest_port serverPort Port tujuan di log firewall dikaitkan dengan port server di log pengiriman Sandbox malware lanjutan untuk mengidentifikasi port tujuan yang digunakan oleh traffic yang dievaluasi.

Langkah berikutnya