Log, metrik, dan trace

Dokumen ini menjelaskan cara Secure Web Proxy mencatat data operasionalnya ke dalam log, cara menggunakan metrik Cloud Monitoring API untuk menganalisis performa proxy, dan cara menggunakan pelacakan terdistribusi untuk mengamati siklus proses permintaan.

Log

Secure Web Proxy menggunakan Cloud Logging untuk memungkinkan Anda mengambil informasi dan melakukan berbagai tugas di area utama berikut:

• Pemantauan dan kepatuhan

  • Menerapkan kepatuhan terhadap peraturan, meningkatkan keamanan jaringan, dan memberikan visibilitas ke traffic web keluar yang dikirim ke tujuan eksternal yang diizinkan.
  • Dapatkan lapisan kontrol dan visibilitas yang berharga atas traffic workload.
  • Dapatkan insight penting untuk pemantauan Security Operations Center (SOC) yang efektif.
  • Gunakan log untuk mendeteksi dan melacak peristiwa keamanan guna merespons ancaman secara proaktif.

• Deployment dan konfigurasi

  • Lacak penyiapan infrastruktur awal, pembuatan akun pengguna, dan perubahan konfigurasi.
  • Pantau potensi error untuk membantu memastikan deployment yang lancar dan aman.
  • Pahami dampak penyesuaian penyesuaian kebijakan dan optimalkan perlindungan Anda.

Jenis log

Secure Web Proxy menggunakan Logging untuk mengambil dan menyimpan jenis log berikut:

• Cloud Audit Logs: mencatat perubahan administratif dan akses data ke resource Secure Web Proxy Anda. Log ini mencakup:

  • Log audit Aktivitas Admin untuk panggilan API dan tindakan lain yang mengubah resource Secure Web Proxy Anda seperti gateway dan kebijakan. Log Aktivitas Admin selalu dalam kondisi diaktifkan.

  • Log audit Akses Data, jika diaktifkan.

• Log transaksi proxy: merekam detail tentang permintaan web tertentu yang diproses oleh Secure Web Proxy Anda. Log ini memberikan insight tentang alur traffic, penegakan kebijakan, dan performa instance Secure Web Proxy Anda. Saat Anda men-deploy instance Secure Web Proxy sebagai Gateway Agen, log transaksi akan terus dicatat di bagian resource yang dimonitor networkservices.googleapis.com/Gateway standar dan secara otomatis menampilkan metadata eksekusi agen AI (agentGatewayInfo).

Mengonfigurasi pemberitahuan log

Anda dapat mengonfigurasi pemberitahuan untuk peristiwa yang ditulis oleh Secure Web Proxy ke Logging, seperti penolakan traffic atau kecocokan aturan tertentu. Untuk petunjuk umum tentang cara menyiapkan pemberitahuan ini, lihat Mengonfigurasi pemberitahuan berbasis log.

Berikut adalah beberapa contoh kueri yang dapat Anda gunakan untuk mengonfigurasi pemberitahuan berbasis log untuk Secure Web Proxy:

Pemberitahuan untuk traffic yang ditolak oleh kebijakan Secure Web Proxy

Gunakan kueri berikut untuk memicu pemberitahuan saat kebijakan Secure Web Proxy Anda menolak permintaan:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED"

Ganti PROJECT_ID dengan ID projectGoogle Cloud target Anda.

Notifikasi untuk traffic yang ditolak oleh aturan Secure Web Proxy

Gunakan kueri berikut untuk memicu pemberitahuan saat aturan Secure Web Proxy tertentu (misalnya, my-specific-deny-rule) menolak permintaan:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action="DENIED"
AND jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.name=~"projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/my-specific-deny-rule$"

Ganti kode berikut:

• PROJECT_ID: ID project Google Cloud target Anda
• REGION: region instance Secure Web Proxy Anda
• POLICY_NAME: nama kebijakan Secure Web Proxy Anda

Pemberitahuan untuk traffic yang ditolak oleh kebijakan otorisasi Agent Gateway

Saat Anda men-deploy instance Secure Web Proxy sebagai Gateway Agen, gunakan kueri berikut untuk memicu pemberitahuan saat kebijakan otorisasi menolak permintaan dari agen AI:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.authzPolicyInfo.result="DENIED"

Ganti PROJECT_ID dengan ID projectGoogle Cloud target Anda.

Notifikasi untuk traffic yang dibatasi oleh kebijakan pembatasan kapasitas layanan

Gunakan kueri berikut untuk memicu pemberitahuan saat kebijakan pembatasan kapasitas layanan membatasi permintaan:

logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
jsonPayload.rateLimitPolicyInfo.overallResult="THROTTLED"

Ganti PROJECT_ID dengan ID projectGoogle Cloud target Anda.

Pemberitahuan untuk permintaan latensi tinggi

Gunakan kueri berikut untuk mendapatkan notifikasi saat permintaan melebihi latensi tertentu, seperti lima detik:

logName="projects/'PROJECT_ID'/logs/networkservices.googleapis.com%2Fgateway_requests"
resource.type="networkservices.googleapis.com/Gateway"
latency >= "5s"

Ganti PROJECT_ID dengan ID projectGoogle Cloud target Anda.

Lihat log di Cloud Logging

1. Di konsol Google Cloud , buka halaman Logs Explorer.

   Buka Logs Explorer

2. Pilih project Google Cloud Anda.

3. Gunakan menu drop-down untuk memilih resource networkservices.googleapis.com/Gateway atau instance Secure Web Proxy Anda.

Untuk mengetahui informasi selengkapnya, lihat Menggunakan Logs Explorer.

Contoh entri log

Secure Web Proxy menghasilkan entri log mendetail setiap kali memproses permintaan, melacak tindakan, dan kebijakan yang diterapkan. Contoh berikut menunjukkan cara kerja log Secure Web Proxy.

Contoh entri log izin

Entri log berikut menunjukkan bahwa instance Secure Web Proxy mencegat dan memeriksa traffic HTTPS untuk www.example.com, lalu mengizinkannya melanjutkan ke situs tujuan. Nama kebijakan dan aturan masing-masing adalah swp-policy dan allow-port-443.

{
        "requestWasTlsIntercepted": true,
        "hostname": "www.example.com",
        "matchedRules": [
          {
            "action": "ALLOWED",
            "name": "projects/76537/locations/us-central1/gatewaySecurityPolicies/swp-policy/rules/allow-port-443"
          }
        ]
      }

{
        "requestMethod": "GET",
        "requestUrl": "https://www.example.com/",
        "requestSize": "41",
        "status": 200,
        "responseSize": "1446",
        "userAgent": "curl/7.74.0",
        "remoteIp": "10.128.0.12:35418",
        "serverIp": "93.184.216.34:443",
        "latency": "0.051800s",
        "protocol": "HTTP/2"
      }

{
        "type": "networkservices.googleapis.com/Gateway",
        "labels": {
          "gateway_name": "multi-level-tlds",
          "network_name": "projects/76537/global/networks/default",
          "location": "us-central1",
          "resource_container": "",
          "gateway_type": "SECURE_WEB_GATEWAY"
        }
      }

Contoh entri log penolakan

Entri log ini menunjukkan bahwa instance Secure Web Proxy memeriksa traffic untuk www.example.com:443 dan menolak permintaan HTTPS karena aturan default_denied dalam kebijakan Secure Web Proxy.

{
        "hostname": "www.example.com:443",
        "matchedRules": [
          {
            "name": "default_denied",
            "action": "DENIED"
          }
        ]
      }

{
        "requestMethod": "CONNECT",
        "requestSize": "122",
        "status": 403,
        "responseSize": "141",
        "userAgent": "curl/7.74.0",
        "remoteIp": "10.128.0.12:36338",
        "latency": "0.000133s",
        "protocol": "HTTP/1.1"
      }

{
        "type": "networkservices.googleapis.com/Gateway",
        "labels": {
          "gateway_type": "SECURE_WEB_GATEWAY",
          "resource_container": "",
          "location": "us-central1",
          "network_name": "projects/gcp-1768/global/networks/default",
          "gateway_name": "high-latency-repro"
        }
      }

Contoh entri log kebijakan pembatasan kapasitas layanan

Entri log berikut menunjukkan bahwa instance Secure Web Proxy membatasi permintaan karena klien melebihi RateLimitPolicy (bernama rl-egress-policy) di bawah rl_default_rpm_limit RateLimitBucket.

{
          "policies": [
            {
              "name": "projects/76537/locations/us-central1/rateLimitPolicies/rl-egress-policy",
              "buckets": [
                {
                  "bucket": "rl_default_rpm_limit",
                  "key": "spiffe://projects-123.global.workload.id.goog/ns/ns1/sa/hellomcp",
                  "result": "THROTTLED"
                }
              ],
              "result": "THROTTLED",
              "details": "Default user rate limit rate exceeded client-side."
            }
          ],
          "overallResult": "THROTTLED"
        }

{
          "requestMethod": "POST",
          "requestUrl": "https://example.com/v1/chat/completions",
          "requestSize": "144",
          "status": 429,
          "responseSize": "85",
          "userAgent": "curl/7.74.0",
          "remoteIp": "10.128.0.12:35418",
          "serverIp": "93.184.216.34:443",
          "latency": "0.001200s",
          "protocol": "HTTP/2"
        }

{
          "type": "networkservices.googleapis.com/Gateway",
          "labels": {
            "gateway_type": "SECURE_WEB_GATEWAY",
            "resource_container": "",
            "location": "us-central1",
            "network_name": "projects/76537/global/networks/default",
            "gateway_name": "egress-swp-gateway"
          }
        }

Pelacakan terdistribusi dengan Cloud Trace

Secure Web Proxy mendukung pelacakan permintaan terdistribusi bawaan yang terintegrasi dengan Trace.

Korelasi log-trace

Setiap entri log transaksi proxy yang ditulis ke Logging menyertakan kolom trace yang berisi string resource trace Google Cloud :

<pre class="devsite-click-to-copy">
"trace": "projects/PROJECT_ID/traces/TRACE_ID"
</pre>

Ganti kode berikut:

• PROJECT_ID: ID project Google Cloud Anda
• TRACE_ID: ID trace 128-bit (heksadesimal 32 karakter) dari klien atau span trace Anda. Contoh, 4bf92f3577b34da6a3ce929d0e0e4736.

Anda dapat menggunakan ID trace ini untuk menghubungkan entri log dengan span trace yang sesuai:

• Dari Log ke Trace: di Logs Explorer, klik kolom trace entri log apa pun, lalu pilih View trace details untuk membuka waterfall permintaan lengkap di Trace.
• Dari Trace ke Log: di Trace, klik Show logs di panel Trace Details untuk melihat semua log transaksi proxy yang terkait dengan trace.

Untuk mengetahui informasi selengkapnya, lihat Pelacakan terdistribusi dengan Trace.

Metrik

Metrik Cloud Monitoring API membantu Anda mengamati performa, kondisi, dan penggunaan instance Secure Web Proxy.

Resource yang dimonitor

Metrik untuk Secure Web Proxy diekspor di bawah resource yang dipantau berikut:

• networkservices.googleapis.com/Gateway: mewakili instance gateway Secure Web Proxy.

Tabel berikut menjelaskan resource yang tersedia untuk networkservices.googleapis.com/Gateway. Anda dapat menggunakan resource ini untuk memfilter dan menggabungkan data pemantauan.

Metrik yang tersedia

Metrik berikut tersedia untuk resource Gateway. Semua metrik diawali dengan networkservices.googleapis.com/https/.

Membuat dasbor kustom

Untuk membuat dasbor kustom guna memvisualisasikan tren performa dan traffic instance Secure Web Proxy Anda, lakukan hal berikut:

1. Di konsol Google Cloud , buka halaman Dashboards.

   Buka Dashboards

2. Klik add_boxCreate Custom Dashboard.

3. Klik add_boxAdd widget, lalu pilih opsi diagram Line.

4. Di kolom Metric, telusuri networkservices.googleapis.com/https/request_count.

5. Di kolom Filter, Anda dapat memfilter menurut gateway_id jika telah mengonfigurasi beberapa instance Secure Web Proxy.

6. Di bagian Aggregation, tetapkan Alignment Period ke 1 minute dan pilih rate untuk Aligner.

   Tindakan ini akan mengonversi data permintaan mentah menjadi rasio permintaan per detik, sehingga memudahkan untuk melihat dan menganalisis tren traffic yang konsisten dari waktu ke waktu.

7. Untuk menyimpan widget, klik Terapkan.

Langkah berikutnya

• Ringkasan pelacakan terdistribusi
• Melacak traffic keluar dengan Trace
• Logging audit Secure Web Proxy
• Melihat log transaksi proxy