Cloud Next Generation Firewall Enterprise는 파일을 감지하고 분석을 위해 고급 멀웨어 샌드박스(WildFire)에 제출할 때 멀웨어 감지 및 방지를 감사하고 분석하는 데 도움이 되는 상세 로그를 생성합니다. 이러한 로그는 네트워크 기반 위협 및 샌드박스 결과에 대한 가시성을 제공합니다.
이 페이지에서는 고급 멀웨어 샌드박스 제출 로그의 형식과 구조를 설명합니다.
고급 멀웨어 샌드박스 로그 유형
고급 멀웨어 샌드박스에는 두 가지 주요 로그 카테고리가 있습니다.
제출 로그: 고급 멀웨어 샌드박스에서 알 수 없는 파일을 평가할 때 생성됩니다. 여기에는 두 가지 하위 유형이 포함됩니다.
WILDFIRE: 파일이 추출되어 비동기 심층 샌드박스 처리를 위해 고급 멀웨어 샌드박스 클라우드에 제출되었음을 나타냅니다.INLINE_WILDFIRE: 네트워크에 도달하기 전에 고급 멀웨어 샌드박스 인라인 클라우드 분석 엔진에서 파일을 실시간으로 평가했음을 나타냅니다.
위협 로그: 방화벽이 알려진 위협 또는 동적으로 식별된 위협을 인라인으로 감지하고 적극적으로 차단할 때 생성됩니다. 이렇게 하면 위협 로그의 두 가지 새로운 하위 유형이 추가됩니다.
WILDFIRE_VIRUS: 알려진 서명 일치를 기반으로 고급 멀웨어 샌드박스 클라우드 서비스에서 감지한 바이러스를 나타냅니다.ML_VIRUS: 방화벽의 온박스 고급 멀웨어 샌드박스 인라인 머신러닝(ML) 엔진에 의해 동적으로 감지된 바이러스를 나타냅니다.
로그 보기
고급 멀웨어 샌드박스 로그를 보고 분석하려면 모든 방화벽 로그 보기를 참조하세요.
로그 탐색기 쿼리 편집기 필드에서 다음 쿼리를 사용할 수 있습니다.
제출 로그를 보려면
type.googleapis.com/google.cloud.networksecurity.logging.v1.WildfireSubmissionLog를 입력합니다.위협 로그를 보려면 다음 쿼리를 입력합니다.
type.googleapis.com/google.cloud.networksecurity.logging.v1.ThreatLog jsonPayload.threatDetails.type="WILDFIRE_VIRUS" OR jsonPayload.threatDetails.type="ML_VIRUS"
고급 멀웨어 샌드박스 로그 형식
Cloud Next Generation Firewall Enterprise는 고급 멀웨어 샌드박스에 제출된 각 파일에 대해 Cloud Logging에 로그 항목을 만듭니다. 로그 기록은 LogEntry 객체의 JSON 페이로드 필드에 포함됩니다.
다음 표에서는 고급 멀웨어 샌드박스 제출 로그 필드의 형식을 설명합니다.
| 필드 | 유형 | 설명 |
|---|---|---|
connection |
Connection |
트래픽과 연결된 연결 파라미터를 설명하는 5-튜플입니다. |
action |
string |
파일이 고급 멀웨어 샌드박스에 제출되는 연결에서 수행되는 작업입니다. 예를 들면 ALLOW, DENY입니다. |
wildfireDetails |
WildfireDetails |
고급 멀웨어 샌드박스 파일 제출 및 분석 결과의 세부정보입니다. |
securityProfileGroupDetails |
SecurityProfileGroupDetails |
가로챈 트래픽에 적용된 보안 프로필 그룹의 세부정보입니다. |
interceptVpc |
VpcDetails |
가로챈 트래픽과 연결된 가상 프라이빗 클라우드(VPC) 네트워크의 세부정보입니다. |
interceptInstance |
InterceptInstance |
트래픽이 가로채진 가상 머신(VM) 인스턴스의 세부정보입니다. |
Connection 필드 형식
다음 표에서는 Connection 필드의 형식을 설명합니다.
| 필드 | 유형 | 설명 |
|---|---|---|
clientIp |
string |
클라이언트 IP 주소입니다. 클라이언트가 Compute Engine VM 인스턴스인 경우 clientIp는 기본 내부 IP 주소이거나 VM의 네트워크 인터페이스에 대한 별칭 IP 범위의 주소입니다. 외부 IP 주소는 생략됩니다. 로그에는 VM 인스턴스의 TCP 덤프와 유사한, IP 헤더에서 확인된 VM 인스턴스의 IP 주소가 표시됩니다. |
clientPort |
integer |
클라이언트 포트 번호입니다. |
serverIp |
string |
서버 IP 주소입니다. 서버가 Compute Engine VM 인스턴스인 경우 serverIp는 기본 내부 IP 주소이거나 VM의 네트워크 인터페이스의 별칭 IP 범위에 있는 주소입니다. 외부 IP 주소는 연결에 사용된 경우에도 생략됩니다. |
serverPort |
integer |
서버 포트 번호입니다. |
protocol |
string |
연결의 IP 프로토콜입니다. |
WildfireDetails 필드 형식
다음 표에서는 wildfireDetails 필드의 형식을 설명합니다.
| 필드 | 유형 | 설명 |
|---|---|---|
verdict |
string |
파일에 대한 고급 멀웨어 샌드박스 결과입니다. 예를 들면 MALICIOUS입니다. |
detectionTime |
string |
멀웨어가 감지된 시간입니다. |
direction |
string |
파일 전송 방향입니다. 예를 들면 CLIENT_TO_SERVER입니다. |
file |
string |
파일 이름입니다. |
fileType |
string |
파일 유형입니다. 예를 들면 LINUX, PE입니다. |
hash |
string |
파일의 보안 해시 알고리즘 256비트(SHA-256) 해시입니다. |
severity |
string |
감지된 멀웨어와 관련된 심각도입니다. 자세한 내용은 위협 심각도 수준을 참조하세요. |
repeatCount |
integer |
5초 이내에 확인된 클라이언트 IP 주소, 서버 IP 주소, 클라이언트 포트, 서버 포트, 프로토콜, 도메인이 동일한 세션 수입니다. |
reportUri |
string |
고급 멀웨어 샌드박스 보고서를 다운로드할 수 있는 URL입니다. 이 URL은 일반적으로 networksecurity.usercontent.google.com를 가리키며 조직 또는 프로젝트, 위치, 방화벽 엔드포인트, 보고서 정보를 포함합니다. |
sampleUri |
string |
멀웨어 샘플을 다운로드할 수 있는 URL입니다. 이 URL은 일반적으로 networksecurity.usercontent.google.com를 가리키며 조직 또는 프로젝트, 위치, 방화벽 엔드포인트, 샘플 정보를 포함합니다. |
subtype |
string |
고급 멀웨어 샌드박스의 하위 유형입니다. 예를 들면 WILDFIRE, INLINE_WILDFIRE입니다. |
SecurityProfileGroupDetails 필드 형식
다음 표에서는 SecurityProfileGroupDetails 필드의 형식을 설명합니다.
| 필드 | 유형 | 설명 |
|---|---|---|
securityProfileGroupId |
string |
트래픽에 적용된 보안 프로필 그룹의 ID입니다. |
organizationId |
string |
보안 프로필 그룹이 포함된 조직의 ID입니다. organizationId 또는 projectId가 채워집니다. |
projectId |
string |
보안 프로필 그룹이 포함된 프로젝트의 ID입니다. organizationId 또는 projectId가 채워집니다. |
VpcDetails 필드 형식
다음 표에서는 VpcDetails 필드의 형식을 설명합니다.
| 필드 | 유형 | 설명 |
|---|---|---|
vpc |
string |
가로챈 트래픽과 연결된 VPC 네트워크의 이름입니다. |
projectId |
string |
VPC 네트워크와 연결된 Google Cloud 프로젝트의 이름입니다. |
InterceptInstance 필드 형식
다음 표에서는 InterceptInstance 필드의 형식을 설명합니다.
| 필드 | 유형 | 설명 |
|---|---|---|
zone |
string |
VM 인스턴스가 있는 영역의 이름입니다. |
vm |
string |
가로챈 트래픽과 연결된 VM 인스턴스의 이름입니다. |
projectId |
string |
VM 인스턴스가 포함된 Google Cloud 프로젝트의 ID입니다. |
고급 멀웨어 샌드박스 로그와 방화벽 로그의 상관관계
방화벽 규칙에 의해 트래픽이 평가되면 Cloud NGFW는 방화벽 정책 규칙 로깅 항목을 기록합니다. 자세한 내용은 고급 멀웨어 샌드박스 로그 형식을 참조하세요. 이러한 방화벽 규칙 로그를 보려면 로그 보기를 참조하세요.
레이어 7 검사를 사용하는 방화벽 정책 규칙에 로깅이 사용 설정된 경우 Cloud NGFW는 먼저 평가된 트래픽에 대한 VPC 방화벽 규칙 로깅 항목을 기록합니다. 그런 다음 레이어 7 검사를 위해 트래픽을 방화벽 엔드포인트로 전송합니다. 자세한 내용은 방화벽 정책 규칙 로깅 사용 설정 또는 사용 중지를 참조하세요.
방화벽 엔드포인트는 고급 멀웨어 샌드박스에 제출할 파일의 트래픽을 분석하고 연결에 대한 별도의 고급 멀웨어 샌드박스 제출 로그를 만듭니다. 이 고급 멀웨어 샌드박스 제출 로그에는 파일 이름, 파일 해시, 트래픽 소스, 트래픽 대상과 같은 필드가 포함됩니다.
고급 멀웨어 샌드박스 제출 로그를 보려면 로그 탐색기에서 networksecurity.googleapis.com%2Ffirewall_wildfire 로그를 검색합니다.
방화벽 정책 규칙 로그와 고급 멀웨어 샌드박스 로그 형식의 필드를 비교하여 고급 멀웨어 샌드박스 파일 제출을 트리거한 연결을 식별하고 적절한 조치를 취해 해결할 수 있습니다.
예를 들어 다음 설정으로 구성된 방화벽 정책 규칙이 있다고 가정해 보겠습니다.
- 소스 IP 주소:
192.0.2.0 - 소스 포트:
47644 - 대상 IP 주소:
192.0.2.1 - 목적지 포트:
80 - 로깅:
Enabled
이 규칙과 연결된 고급 멀웨어 샌드박스 제출 로그를 보려면 로그 탐색기 페이지로 이동하세요. 쿼리 창에서 다음 쿼리를 쿼리 편집기 필드에 붙여넣습니다.
resource.type="networksecurity.googleapis.com/FirewallEndpoint" jsonPayload.connection.clientIp="192.0.2.0" jsonPayload.connection.clientPort="47644" jsonPayload.connection.serverIp="192.0.2.1" jsonPayload.connection.serverPort="80"
쿼리 결과 섹션에는 다음과 같은 고급 멀웨어 샌드박스 제출 로그가 표시됩니다.
{
"insertId": "akxp8uf5f0fuv",
"jsonPayload": {
"connection": {
"serverPort": 80,
"clientPort": 47644,
"protocol": "TCP",
"clientIp": "192.0.2.0",
"serverIp": "192.0.2.1"
},
"interceptInstance": {
"zone": "us-central1-c",
"vm": "aied-test-dont-delete",
"projectId": "project_001"
},
"interceptVpc": {
"projectId": "project_001",
"vpc": "default"
},
"@type": "type.googleapis.com/google.cloud.networksecurity.logging.v1.WildfireSubmissionLog",
"securityProfileGroupDetails": {
"securityProfileGroupId": "my-spg-id",
"organizationId": "organization_001"
},
"action": "DENY",
"wildfireDetails": {
"detectionTime": "2026-04-19T21:18:50Z",
"direction": "SERVER_TO_CLIENT",
"file": "sheet.exe",
"fileType": "PE",
"hash": "02521f0bb91b4c74d1590b85254f26f0d258cd780393010593ae6daaa5993753",
"repeatCount": 1,
"reportUri": "https://networksecurity.usercontent.google.com/projects/12345/locations/us-west2-a/firewallEndpoints/prober-wfmixed-fwp-ep-us-w2-a/wildfireReports/C08DD6908D91EAB335FA89675E499631557B3126ADFF9C83A1856D4404D2F4A2",
"sampleUri": "https://networksecurity.usercontent.google.com/projects/12345/locations/us-west2-a/firewallEndpoints/prober-wfmixed-fwp-ep-us-w2-a/wildfireSamples/C08DD6908D91EAB335FA89675E499631557B3126ADFF9C83A1856D4404D2F4A2",
"severity": "INFORMATIONAL",
"subtype": "WILDFIRE",
"verdict": "MALICIOUS"
},
},
"resource": {
"type": "networksecurity.googleapis.com/FirewallEndpoint",
"labels": {
"location": "us-central1-c",
"resource_container": "organizations/organization_001",
"id": "pg-ni-latencyayzl8peq"
}
},
"timestamp": "2025-06-02T19:09:35.452299517Z",
"logName": "projects/project_001/logs/networksecurity.googleapis.com%2Ffirewall_wildfire",
"receiveTimestamp": "2025-06-02T19:09:35.452299517Z"
}
마찬가지로 이 규칙과 연결된 방화벽 로그를 보려면 로그 탐색기 페이지로 이동합니다. 쿼리 창에서 다음 쿼리를 쿼리 편집기 필드에 붙여넣습니다.
jsonPayload.rule_details.action="APPLY_SECURITY_PROFILE_GROUP"
jsonPayload.connection.src_ip="192.0.2.0"
jsonPayload.connection.src_port="47644"
jsonPayload.connection.dest_ip="192.0.2.1"
jsonPayload.connection.dest_port="80"
쿼리 결과 섹션에 다음 방화벽 로그가 표시됩니다.
{
insertId: "qn82vdg109q3r9"
jsonPayload: {
connection: {
}
dest_ip: "192.0.2.1"
dest_port: 80
protocol: 6
src_ip: "192.0.2.0"
src_port: 47644
disposition: "INTERCEPTED"
►instance: {4}
▸ remote_instance: {4}
▸ remote_vpc: {3}
rule_details: {
action: "APPLY_SECURITY_PROFILE_GROUP"
apply_security_profile_fallback_action: "UNSPECIFIED"
direction: "INGRESS"
▸ ip_port_info: [1]
▼
priority: 6000
reference: "network: fwplus-vpc/firewallPolicy: fwplus-fwpolicy"
source_range: [
1
0: "192.0.2.0/24"
target_secure_tag: [
0: "tagValues/281479199099651"
]
}
vpc: {
project_id: "project_001"
subnetwork_name: "fwplus-us-central1-subnet"
vpc_name: "fwplus-vpc"
}
}
logName: "projects/project_001/logs/compute.googleapis.com%2Ffirewall",
receiveTimestamp: "2023-11-28T19:08:46.749244092Z"
resource: {2}
timestamp: "2023-11-28T19:08:40.207465099Z"
}
고급 멀웨어 샌드박스 제출 로그와 방화벽 로그 쿼리를 모두 사용하면 둘 사이의 상관관계를 확인할 수 있습니다. 다음 표에서는 방화벽 로그 필드를 해당 고급 멀웨어 샌드박스 제출 로그 필드에 매핑합니다.
| 방화벽 로그 필드 | 고급 멀웨어 샌드박스 제출 로그 필드 | 설명 |
|---|---|---|
src_ip
|
clientIp
|
방화벽 로그의 소스 IP 주소는 고급 멀웨어 샌드박스 제출 로그의 클라이언트 IP 주소와 상호 연관되어 평가된 트래픽의 출처를 식별합니다. |
src_port
|
clientPort
|
방화벽 로그의 소스 포트는 고급 멀웨어 샌드박스 제출 로그의 클라이언트 포트와 상호 연관되어 평가된 트래픽에서 사용하는 소스 포트를 식별합니다. |
dest_ip
|
serverIp
|
방화벽 로그의 대상 IP 주소는 고급 멀웨어 샌드박스 제출 로그의 서버 IP 주소와 상호 연관되어 평가된 트래픽의 대상을 정확히 파악합니다. |
dest_port
|
serverPort
|
방화벽 로그의 목적지 포트는 고급 멀웨어 샌드박스 제출 로그의 서버 포트와 상호 연관되어 평가된 트래픽에서 사용하는 목적지 포트를 식별합니다. |