Cloud DNS-Bedrohungslogs enthalten detaillierte Informationen zu verdächtigen DNS-Abfragen und potenziellen böswilligen Aktivitäten. Es ist wichtig, diese Logs zu verstehen, da DNS Ziel von Spoofing-Angriffen und anderen Exploits sein kann, die Nutzer auf schädliche Websites umleiten oder die Systemverfügbarkeit beeinträchtigen können. Verwenden Sie diese Logs, um potenzielle Sicherheitsbedrohungen zu beobachten und zu untersuchen und die Sicherheit Ihres Netzwerks zu verbessern.
Hinweis
Prüfen Sie, ob die folgenden Schritte ausgeführt wurden, bevor Sie DNS-Bedrohungslogs ansehen:
- Aktivieren Sie die Network Security API in Ihrem Projekt.
- Prüfen Sie, ob Sie die Rolle
DNS Threat Detector Viewerhaben.
Bedrohungslogs werden in Cloud Logging geschrieben und können zusätzliche Speicherkosten verursachen. Weitere Informationen finden Sie unter Logging und Monitoring verwenden: Preise oder Preise für Google Cloud Observability: Cloud Logging.
Bedrohungslogs ansehen
Sie können Logs in der Google Cloud Console ansehen.
Jeder Logeintrag enthält Details zur Identifizierung der entsprechenden DNS-Abfrage und Bedrohung.
Console
Rufen Sie in der Google Cloud Console die Seite Log-Explorer auf:
Filtern Sie die Logs nach
networksecurity.googleapis.com/DnsThreatDetector.
Felder von Bedrohungslogeinträgen
Jeder Bedrohungslogeintrag enthält die folgenden Felder.
| Name | Typ | Beschreibung |
|---|---|---|
detectionTime |
String | Zeitpunkt, zu dem die Bedrohung in UTC erkannt wurde. Der Zeitstempel hat das Format ISO 8601. |
dnsQuery |
DnsLog | Cloud DNS-Logformat. |
partnerId |
String | Eindeutige Partner-ID. |
threatInfo |
threatInfo | Details zur erkannten Bedrohung. |
Feld „threatInfo“
In der folgenden Tabelle wird das Format des Felds threatInfo beschrieben.
| Name | Typ | Beschreibung |
|---|---|---|
threatID |
String | Eindeutige Bedrohungs-ID. |
threat |
String | Der Name der erkannten Bedrohung. |
threatDescription |
String | Eine detaillierte Beschreibung der erkannten Bedrohung. |
category |
String | Der Untertyp der erkannten Bedrohung. |
type |
String | Der Typ der erkannten Bedrohung. Beispiele: DNS_Tunnel, DGA (Domain Generation Algorithms) oder C2 (Command and Control). |
severity |
String | Der Schweregrad (hoch, mittel, niedrig oder Info) der erkannten Bedrohung. Weitere Informationen finden Sie unter Definition des Schweregrads von Infoblox. |
confidence |
String | Sicherheit der Bedrohungsprognose (hoch, mittel, niedrig). Weitere Informationen finden Sie unter Definition des Sicherheitsgrads von Infoblox. |
threatFeed |
String | Bedrohungsfeed, der diese Bedrohungsbenachrichtigung ausgelöst hat. |
indicatorType |
String | Der Typ des Indikators, der diese Bedrohungsbenachrichtigung ausgelöst hat. Beispiele: URL, IP, Hash oder Host. |
threatIndicator |
String | Der Bedrohungsindikator, der diese Benachrichtigung ausgelöst hat. |
Feld „DNS-Abfrage“
In der folgenden Tabelle wird das Format des Felds DnsQuery beschrieben.
| Name | Typ | Beschreibung |
|---|---|---|
projectNumber |
String | Quellprojektnummer. |
location |
String | Google Cloud Region, z. B. us-east1, von
der die Antwort gesendet wurde. |
queryName |
String | DNS-Abfragename, RFC 1035 4.1.2. |
queryType |
String | DNS-Abfragetyp, IANA DNS-Parameter: Ressourceneintragstypen (RR). |
responseCode |
String | Antwortcode, IANA DNS-Parameter: DNS-RCODEs. |
rdata |
String | DNS-Antwort im Präsentationsformat, IANA DNS-Parameter: Ressourceneintragstypen (RR), verkürzt auf 260 Byte. |
authAnswer |
String | Autoritative Antwort, IANA DNS-Parameter: DNS-Header-Flags. |
sourceIp |
String | IP, von der die Abfrage stammt. |
destinationIp |
String | Ziel-IP-Adresse, gilt nur für Weiterleitungsfälle. |
protocol |
String | TCP oder UDP. |
queryTime |
String | Zeitstempel für den Zeitpunkt, zu dem die DNS-Abfrage gesendet wurde. |
vmInstanceId |
String | Name der VM-Instanz von Compute Engine, gilt nur für Abfragen, die von Compute Engine-VMs initiiert werden. |
vmProjectNumber |
String | Google Cloud Projekt-ID des Netzwerks, von dem aus die Abfrage gesendet wurde, gilt nur für Abfragen, die von Compute Engine-VM-Instanzen initiiert werden. |
serverlessInstanceId |
String | ID der serverlosen Instanz, von der die Abfrage gesendet wurde, gilt nur für Abfragen, die von Serverless initiiert werden. |
Nächste Schritte
Weitere Informationen zur Verwendung von Logging und Monitoring, einschließlich zum Aktivieren des Loggings für Ihre VPC-Netzwerke
Weitere Informationen zur erweiterten Bedrohungserkennung.
Informationen zu Lösungen für häufige Probleme, die bei der Verwendung der Bedrohungsüberwachung auftreten können, finden Sie unter Fehlerbehebung.
Informationen zum Einrichten von Benachrichtigungen bei Erkennung einer Bedrohung finden Sie unter Benachrichtigungs-Übersicht.