Google Cloud Armor Enterprise es el servicio de protección de aplicaciones que ayuda a proteger tus aplicaciones web y servicios de ataques de denegación de servicio distribuido (DSD) y otras amenazas de Internet. Cloud Armor Enterprise ayuda a proteger las aplicaciones implementadas en Google Cloud, en las instalaciones o en otros proveedores de infraestructura.
Google Cloud Armor Standard frente a Cloud Armor Enterprise
Cloud Armor se ofrece en dos niveles de servicio: Estándar y Cloud Armor Enterprise.
Cloud Armor Standard incluye lo siguiente:
- Un modelo de precios de pago por uso
- Protección siempre activa contra ataques DSD volumétricos y basados en protocolos de red de capa 3 y capa 4 (L3 y L4).
Aplicación automatizada de tus políticas de seguridad en cada solicitud, en tiempo real y sin impacto en la latencia en los siguientes tipos de infraestructura:
- Balanceador de cargas de aplicaciones externo global (HTTP/HTTPS)
- Balanceador de cargas de aplicaciones clásico (HTTP/HTTPS)
- Balanceador de cargas de aplicaciones externo regional (HTTP/HTTPS)
- Balanceador de cargas de red de transferencia externo regional
- Balanceador de cargas de red del proxy externo global (TCP/SSL)
- Cloud CDN
- Media CDN
Integración en Cloud CDN y Media CDN
Acceso a las capacidades de las reglas del firewall de aplicación web (WAF) de Cloud Armor, incluidas las reglas de WAF preconfiguradas para la protección de OWASP Top 10
Complemento opcional: Reglas administradas de Cloud Armor para firmas de detección de amenazas que se actualizan automáticamente
Cloud Armor Enterprise incluye lo siguiente:
- Todas las funciones de Cloud Armor Standard
- Elección de modelos de precios: Cloud Armor Enterprise anual o con pago por uso
- Uso del WAF de Cloud Armor incluido, incluidas las reglas, la política y las solicitudes
- Listas de direcciones IP con nombre de terceros
- Google Threat Intelligence para Cloud Armor
- Protección adaptable para endpoints de capa 7
- Protección avanzada contra DSD de red para extremos de transferencia: balanceadores de cargas de red de transferencia externos regionales, reenvío de protocolos y direcciones IP públicas para instancias de máquina virtual (VM)
- Acceso a la visibilidad de los ataques DDoS
- Políticas de seguridad jerárquicas
- (Solo para Cloud Armor Enterprise anual): Acceso a los servicios del equipo de respuesta ante DSD y la protección de facturas de DSD (se aplican condiciones adicionales, consulta Elegibilidad para el equipo de respuesta ante DDoS)
- Complemento opcional: Reglas administradas de Cloud Armor para firmas de detección de amenazas actualizadas automáticamente
Todos los proyectos de Google Cloud que incluyen un balanceador de cargas de aplicaciones externo o un balanceador de cargas de red de proxy externo se inscriben automáticamente en Cloud Armor Standard. Después de suscribirte a Cloud Armor Enterprise a nivel de la cuenta de facturación, los usuarios pueden optar por inscribir proyectos individuales adjuntos a la cuenta de facturación en Cloud Armor Enterprise.
En la siguiente tabla, se resumen los niveles de servicio.
| Cloud Armor Standard | Cloud Armor Enterprise | ||
|---|---|---|---|
| Paygo | Anual | ||
| Método de facturación | Pago por uso | Pago por uso | Suscripción con compromiso de 12 meses |
| Precios | Por política, por regla y por solicitud (consulta Precios) |
|
|
| Protección contra ataques DSD |
|
|
|
| Reglas administradas | Complemento opcional (consulta Precios) | Complemento opcional (consulta Precios) | Complemento opcional (consulta Precios) |
| WAF de Cloud Armor | Por política, por regla, por solicitud (consulta Precios) | Incluido con el pago por uso | Incluido con el plan anual |
| Límites de recursos | Hasta el límite de cuota | Hasta el límite de cuota | Hasta el límite de cuota |
| Compromiso de tiempo | Un año | ||
| Protección adaptable | Solo alertas | ||
| Protección avanzada contra DSD de red | |||
| Políticas de seguridad perimetral de red | |||
| Grupo de direcciones | |||
| Google Threat Intelligence | |||
| Políticas de seguridad jerárquicas | |||
| Visibilidad de ataques DSD | |||
| Compatibilidad con respuestas ante DSD | Requisitos de elegibilidad | ||
| Protección contra facturas DSD | |||
Frontend global
Global Front End combina Cloud Armor, balanceadores de cargas de aplicaciones externos globales, Service Extensions y Cloud CDN en una sola solución para ayudar a entregar, escalar y proteger tus aplicaciones orientadas a Internet. Con el nivel de facturación Global Front End Enterprise, los precios de estos productos se consolidan en un solo plan de precios.
Habilitar Global Front End Enterprise en un proyecto habilita funciones específicas de Cloud Armor Enterprise para tu balanceador de cargas de aplicaciones externo global, pero no cambia el nivel de Cloud Armor a nivel del proyecto. Los recursos que no sean balanceadores de cargas de aplicaciones externos globales (como balanceadores de cargas internos o balanceadores de cargas regionales) dentro del mismo proyecto continúan con sus niveles de precios actuales de Cloud Armor (Cloud Armor Estándar o Cloud Armor Enterprise). Cuando inhabilitas Global Front End Enterprise, las protecciones activas de Cloud Armor se determinan según el nivel del proyecto. La consola de Google Cloud no restablece un nivel anterior de forma automática. Debes designar de inmediato y de forma manual un nivel de facturación de Cloud Armor (Cloud Armor Standard o Cloud Armor Enterprise PayGo) para evitar la degradación de las políticas de seguridad o cambios inesperados en la facturación.
En la siguiente tabla, se resume cómo la habilitación de Global Front End Enterprise afecta a los recursos según el nivel de Cloud Armor del proyecto.
| Tipo de recurso | Nivel del proyecto: Cloud Armor Standard | Nivel del proyecto: Cloud Armor Enterprise (pago por uso o anual) |
|---|---|---|
| Balanceadores de cargas de aplicaciones externos globales |
Habilita funciones específicas de Cloud Armor Enterprise con facturación consolidada:
|
Habilita todas las funciones de Cloud Armor Enterprise con facturación consolidada |
| Todos los demás recursos (por ejemplo, balanceadores de cargas de aplicaciones externos regionales o balanceadores de cargas internos) | Sin cambios (funciones estándar y precios de Cloud Armor Standard) | No se ve afectado (funciones y precios de Cloud Armor Enterprise) |
Suscríbete a Cloud Armor Enterprise
Para suscribirte a Cloud Armor Enterprise anual, se requiere un compromiso de un año (12 meses). Solo los usuarios con el rol y los permisos de la cuenta de facturación pueden suscribir la cuenta de facturación a Cloud Armor Enterprise anual. Como alternativa, puedes inscribirte en Cloud Armor Enterprise con pago por uso sin compromiso.
Para usar los servicios y las capacidades adicionales de Cloud Armor Enterprise, primero debes inscribirte en Cloud Armor Enterprise. Puedes suscribirte a Cloud Armor Enterprise anual e inscribir proyectos individuales, o bien puedes inscribir un proyecto directamente en Cloud Armor Enterprise con pago por uso.
Te recomendamos que inscribas tus proyectos en Cloud Armor Enterprise lo antes posible, ya que la activación puede tardar hasta una hora. Por lo general, actualizar de Cloud Armor Standard a Enterprise no interrumpirá la disponibilidad de tu aplicación. Sin embargo, cuando realices cambios en tus políticas de seguridad, debes considerar cuidadosamente las implicaciones de facturación.
Balanceador de cargas de aplicaciones externo y balanceador de cargas de red de proxy externo
Después de que se inscriba un proyecto en Cloud Armor Enterprise, se agregan a la inscripción las reglas de reenvío dentro del proyecto. Además, todos los servicios de backend y los buckets de backend se cuentan como recursos protegidos y se miden para el costo de los recursos protegidos de Cloud Armor Enterprise. Los servicios de backend y los buckets de backend de Cloud Armor Enterprise anual se agregan en todos los proyectos inscritos en una cuenta de facturación, mientras que los servicios de backend y los buckets de backend de Cloud Armor Enterprise con pago por uso se agregan dentro del proyecto.
La protección siempre activa para las reglas de reenvío, los servicios de backend y los buckets de backend incluye la mitigación de ataques DSD volumétricos y basados en protocolos de red de las capas 3 y 4. La protección contra las amenazas de la capa de aplicación, incluido el DSD de L7, requiere una política de seguridad creada por el usuario con reglas de mitigación implementadas.
Políticas de seguridad jerárquicas
Cuando adjuntas una política de seguridad jerárquica, cada uno de los proyectos que heredan la política de seguridad jerárquica debe estar inscrito en Cloud Armor Enterprise. Esto incluye todos los proyectos de una organización o carpeta con una política de seguridad jerárquica que no se excluyen de forma explícita, y todos los proyectos con una política de seguridad jerárquica adjunta directamente al proyecto.
- Los proyectos vinculados a una cuenta de Facturación de Cloud con una suscripción a Cloud Armor Enterprise anual se inscriben automáticamente en Cloud Armor Enterprise anual si aún no están inscritos.
- Sin una suscripción anual a Cloud Armor Enterprise, los proyectos se inscriben automáticamente en Cloud Armor Enterprise con pago por uso cuando heredan una política de seguridad jerárquica. Si suscribes la cuenta de facturación a Cloud Armor Enterprise anual después de que tu proyecto se inscribió automáticamente en Cloud Armor Enterprise de pago por uso, el proyecto no se inscribirá automáticamente en el plan anual. Para obtener más información sobre Cloud Armor Enterprise con pago por uso, consulta Cloud Armor Standard en comparación con Cloud Armor Enterprise.
- Si actualizas una política de seguridad jerárquica para excluir un proyecto después de que se haya inscrito automáticamente en Cloud Armor Enterprise, el proyecto no se dará de baja de forma automática. Para dar de baja tu proyecto de forma manual, consulta Cómo quitar un proyecto de Cloud Armor Enterprise.
- No puedes quitar un proyecto de Cloud Armor Enterprise si tiene políticas de seguridad jerárquicas heredadas.
La inscripción automática puede tardar hasta el siguiente día hábil en completarse. Durante este período, tus políticas de seguridad jerárquicas son efectivas y no se generan costos de Cloud Armor Enterprise. Cuando se inscribe tu proyecto, se actualizan los registros de auditoría para reflejar el estado de Cloud Armor Enterprise del proyecto. También verás el nuevo nivel del proyecto en la consola deGoogle Cloud .
Los proyectos se inscriben de forma automática solo cuando al menos un servicio de backend para balanceadores de cargas externos globales usa HTTP, HTTPS, HTTP2, H2C o GRPC.
Para obtener más información sobre las políticas de seguridad jerárquicas, consulta la descripción general de las políticas de seguridad jerárquicas.
Compatibilidad con respuestas ante DSD
La asistencia de respuesta ante DDoS proporciona ayuda las 24 horas, todos los días, y posibles mitigaciones personalizadas de los ataques de DSD del mismo equipo que protege todos los servicios de Google. Puedes solicitar asistencia para responder durante un ataque y mitigar sus efectos, o bien comunicarte de forma proactiva para planificar un evento viral o de gran volumen próximo (uno que podría atraer una cantidad inusualmente alta de visitantes).
La asistencia proactiva está disponible para todos los clientes de Cloud Armor Enterprise, incluso si no completaron una revisión de la postura ante ataques DSD. El soporte proactivo nos permite aplicar reglas preconfiguradas que se dirigen a los tipos de ataques DSD comunes antes de que el ataque llegue a Cloud Armor. Para interactuar con la asistencia de respuesta de DSD, consulta Cómo obtener asistencia para un caso de DSD.
Revisión de la postura de DSD
El objetivo de la revisión de la postura de DSD es mejorar la eficiencia y la eficacia del proceso de respuesta ante DSD. Durante el proceso de revisión, conocemos tu caso de uso y arquitectura únicos, y verificamos que tus políticas de seguridad de Cloud Armor estén configuradas según nuestras prácticas recomendadas. Esto te ayuda a aumentar tu resiliencia preventiva ante los ataques DSD.
La revisión de la postura ante ataques DDoS se proporciona a los clientes que se suscriben a Cloud Armor Enterprise anual y tienen una cuenta Premium de Atención al cliente de Cloud.
Elegibilidad para la asistencia de respuesta ante DSD
Los siguientes criterios te califican para abrir un caso y recibir ayuda del equipo de asistencia de respuesta de DSD de Cloud Armor:
- Tu cuenta de facturación tiene una suscripción anual activa a Cloud Armor Enterprise.
- Tu cuenta de facturación tiene una cuenta Premium para la Atención al cliente de Cloud.
- El proyecto de Google Cloud con la carga de trabajo que está en ataque está
inscrito en Cloud Armor Enterprise anual.
- Si usas la referencia del servicio entre proyectos, tanto el proyecto de servicio de frontend como el servicio de backend deben estar inscritos en Cloud Armor Enterprise anual.
- Para los clientes que se suscribieron a Cloud Armor Enterprise anual después del 3 de septiembre de 2024, el proyecto con la carga de trabajo que está bajo ataque debe haber pasado por una revisión anual de la postura ante DSD.
Incluso cuando los clientes no califican para recibir asistencia, nuestro equipo de Atención al cliente de Cloud proporciona asistencia durante un ataque, ya que ayuda con la depuración de reglas, la aclaración del comportamiento y las inquietudes específicas con las políticas existentes.
Para interactuar con la asistencia de respuesta de DSD, consulta Obtén asistencia para un caso de DDoS.
Protección contra facturas DSD
La protección de facturas de DDoS de Cloud Armor requiere que tu proyecto esté inscrito en Cloud Armor Enterprise anual. Proporciona créditos para el uso futuro deGoogle Cloud en caso de que aumenten las facturas de Cloud Load Balancing, Cloud Armor y la transferencia de datos de salida de Internet, entre regiones y entre zonas, como resultado de un ataque DSD verificado. Si se reconoce un reclamo y se proporciona un crédito, no se puede usar el crédito para compensar el uso existente. El crédito solo puede aplicarse al uso futuro. En la siguiente tabla, se muestran los recursos que cubre la protección de facturas contra DSD:
| Endpoint Type | Aumento de uso cubierto | |
|---|---|---|
|
Cloud Armor | Tarifa por procesamiento de datos de Cloud Armor Enterprise |
| Red | Transferencia de datos saliente | |
| Interregional | ||
| Entre zonas | ||
| Intercambio de tráfico por proveedores | ||
| Balanceador de cargas | Tarifa por procesamiento de datos entrantes | |
| Tarifa por procesamiento de datos salientes | ||
| Cloud CDN | Tarifa de salida de Cloud CDN | |
| Transferencia de datos de salida en caché | ||
| Llenado de caché | ||
| Solicitudes HTTP/HTTPS de búsqueda en caché | ||
| Media CDN | Tarifa de salida de Media CDN | |
| Transferencia de datos de salida en caché | ||
|
Cloud Armor | Tarifa por procesamiento de datos de Cloud Armor Enterprise |
| Red | Transferencia de datos saliente | |
| Interregional | ||
| Entre zonas | ||
| Intercambio de tráfico por proveedores | ||
| Balanceador de cargas | Tarifa por procesamiento de datos entrantes | |
| Tarifa por procesamiento de datos salientes |
Para usar la protección contra facturas DSD, consulta Genera protección contra facturas DSD.
Migra proyectos entre cuentas de facturación
A partir del 3 de septiembre de 2024, si migras tu proyecto de una cuenta de facturación a otra mientras estás suscrito a Cloud Armor Enterprise Anual, pero tu nueva cuenta de facturación no está suscrita a Cloud Armor Enterprise Anual, tu proyecto volverá a Cloud Armor Standard después de que se complete la migración, a menos que tu proyecto tenga políticas de seguridad jerárquicas vigentes, en cuyo caso tu proyecto se cambiará a Cloud Armor Enterprise Paygo. Por lo tanto, si deseas mantener tu proyecto en Cloud Armor Enterprise anual sin tiempo de inactividad, te recomendamos que suscribas tu nueva cuenta de facturación a Cloud Armor Enterprise anual antes de comenzar el proceso de migración. También puedes migrar tu suscripción de una cuenta de facturación a otra. Para ello, comunícate con el equipo de asistencia de Facturación de Cloud.
La migración de la cuenta de facturación no afecta los proyectos inscritos en Cloud Armor Enterprise con pago por uso.
Cambio a una versión inferior de Cloud Armor Enterprise
Cuando quitas un proyecto de Cloud Armor Enterprise, se suspenden las políticas de seguridad que usan reglas con funciones exclusivas de Cloud Armor Enterprise (reglas avanzadas). Las políticas de seguridad congeladas tienen las siguientes propiedades:
- Cloud Armor continúa evaluando el tráfico en función de las reglas de la política, incluidas las reglas avanzadas.
- No puedes adjuntar la política de seguridad a destinos nuevos.
- Solo puedes realizar las siguientes operaciones en la política de seguridad:
- Puedes borrar reglas de políticas de seguridad.
- Si no cambias la prioridad de la regla, puedes actualizar las reglas avanzadas para que ya no usen funciones exclusivas de Cloud Armor Enterprise. Si modificas todas las reglas avanzadas de esta manera, tu política ya no estará congelada. Para obtener más información sobre cómo actualizar las reglas de la política de seguridad, consulta Actualiza una sola regla en una política de seguridad.
También puedes volver a inscribirte en Cloud Armor Enterprise anual o Cloud Armor Enterprise de pago por uso para restablecer el acceso a tus políticas de seguridad congeladas.
Inhabilitando Global Front End Enterprise
Cuando inhabilitas Global Front End Enterprise en un proyecto, sucede lo siguiente:
- Las protecciones activas de Cloud Armor vuelven al nivel activo en el nivel del proyecto.
- La consola de Google Cloud no restablece automáticamente un nivel anterior ni designa un nivel de resguardo.
- Para evitar la degradación de la política de seguridad o la facturación inesperada, debes seleccionar de forma manual e inmediata un nivel de facturación de Cloud Armor (Cloud Armor Standard o Cloud Armor Enterprise PayGo).
Protección avanzada contra DSD de red
La protección avanzada contra DSD de red solo está disponible para los proyectos inscritos en Cloud Armor Enterprise. Cuando quitas un proyecto con una política de DSD de red avanzada activa de Cloud Armor Enterprise, se te sigue facturando por la función según los precios de Cloud Armor Enterprise.
Te recomendamos que borres todas las reglas de protección avanzada contra DSD de red antes de dar de baja tu proyecto en Cloud Armor Enterprise, pero también puedes borrarlas después de cambiar a una versión inferior.
Condiciones y limitaciones
Cloud Armor Enterprise tiene las siguientes condiciones y limitaciones:
- Generalmente: Si un proyecto inscrito en Cloud Armor Enterprise experimenta un ataque de denegación de servicio de terceros en un extremo protegido ("Ataque Calificado") y se cumplen las condiciones descritas en la siguiente sección, Google proporciona un crédito equivalente a las Tarifas Cubiertas, siempre que las Tarifas Cubiertas incurridas superen el Umbral Mínimo. Las pruebas de carga y las evaluaciones de seguridad que realiza el Cliente o que se realizan en su nombre no son Ataques Calificados.
- Condiciones: El cliente debe enviar una solicitud a la Facturación de Cloud en un plazo de 30 días después de que finalice el Ataque Calificado. La solicitud debe incluir evidencia del Ataque Calificado, como registros o cualquier otra telemetría que indique el momento del ataque y los Proyectos y recursos que se atacaron, y una estimación de las Tarifas Cubiertas en las que se incurrió. Google determinará de forma razonable si los créditos están vencidos y el importe adecuado. En la Documentación, se incluyen otras condiciones para funciones específicas de Cloud Armor.
- Créditos: Los créditos proporcionados al Cliente en relación con este Artículo no tienen valor en efectivo y solo se pueden aplicar para compensar Tarifas futuras por los Servicios. Estos créditos vencen 12 meses después de su emisión o tras la rescisión o el vencimiento del Acuerdo.
- Definiciones:
- Comisiones Cubiertas: Son las comisiones en las que incurre el Cliente como resultado directo del Ataque Calificado por lo siguiente:
- Procesamiento de datos entrantes y salientes para el servicio de Google Cloud Load Balancer.
- Procesamiento de datos de Cloud Armor Enterprise para el servicio de Cloud Armor.
- Salida de red, incluida la salida interregional, interzonal, de Internet y de intercambio de tráfico por proveedores.
- Umbral Mínimo: Es el importe mínimo de Tarifas Cubiertas que cumplen con los requisitos para acreditarse en virtud de este Artículo, según lo determine Google de vez en cuando y se lo divulgue al Cliente cuando lo solicite.
- Comisiones Cubiertas: Son las comisiones en las que incurre el Cliente como resultado directo del Ataque Calificado por lo siguiente:
¿Qué sigue?
- Suscríbete y, luego, inscribe proyectos en Cloud Armor Enterprise
- Solucionar problemas
- Usa la referencia del lenguaje de reglas personalizadas