Google Cloud Armor Enterprise ist der Dienst, der Ihre Webanwendungen und Dienste vor DDoS-Angriffen (Distributed Denial of Service) und anderen Bedrohungen aus dem Internet schützt. Cloud Armor Enterprise schützt Anwendungen, die in Google Cloud, lokal oder bei anderen Infrastrukturanbietern bereitgestellt werden.
Google Cloud Armor Standard im Vergleich zu Cloud Armor Enterprise
Cloud Armor wird in zwei Dienststufen angeboten: Standard und Cloud Armor Enterprise.
Cloud Armor Standard umfasst Folgendes:
- Ein „Pay as you go“-Preismodell
- Immer aktiver Schutz vor volumetrischen und netzwerkprotokollbasierten DDoS-Angriffen auf Layer 3 und Layer 4 (L3 und L4).
Automatisierte Anwendung Ihrer Sicherheitsrichtlinien auf jede Anfrage in Echtzeit und ohne Latenzbeeinträchtigung für die folgenden Infrastrukturtypen:
- Globaler externer Application Load Balancer (HTTP/HTTPS)
- Klassischer Application Load Balancer (HTTP/HTTPS)
- Regionaler externer Application Load Balancer (HTTP/HTTPS)
- Regionaler externer Passthrough-Network Load Balancer
- Globaler externer Proxy-Network Load Balancer (TCP/SSL)
- Cloud CDN
- Media CDN
Integration in Cloud CDN und Media CDN
Zugriff auf die Regelfunktionen der Web Application Firewall (WAF) von Cloud Armor, einschließlich vorkonfigurierter WAF-Regeln für den OWASP-Top-10-Schutz
Optionales Add-on: Von Cloud Armor verwaltete Regeln für automatisch aktualisierte Signaturen zur Bedrohungserkennung
Cloud Armor Enterprise umfasst Folgendes:
- Alle Funktionen von Cloud Armor Standard
- Auswahl an Preismodellen: Cloud Armor Enterprise Annual oder Paygo
- Gebündelte Cloud Armor-WAF-Nutzung, einschließlich Regeln, Richtlinien und Anfragen
- Benannte IP-Adresslisten von Drittanbietern
- Google Threat Intelligence for Cloud Armor
- Adaptiver Schutz für Layer 7-Endpunkte
- Erweiterter DDoS-Schutz für Netzwerke für Passthrough-Endpunkte – regionale externe Passthrough-Network Load Balancer, Protokollweiterleitung und öffentliche IP-Adressen für VM-Instanzen
- Zugriff auf Sichtbarkeit von DDoS-Angriffen
- Hierarchische Sicherheitsrichtlinien
- (Nur Cloud Armor Enterprise Annual): Zugriff auf DDoS-Rechnungsschutz und DDoS-Antwortteam-Dienste (es gelten zusätzliche Bedingungen, siehe Berechtigung für DDoS-Antwortteam)
- Optionales Add-on: Von Cloud Armor verwaltete Regeln für automatisch aktualisierte Signaturen zur Bedrohungserkennung
Alle Google Cloud Projekte mit einem externen Application Load Balancer oder einem externen Proxy-Network Load Balancer werden automatisch für Cloud Armor Standard registriert. Nachdem Sie Cloud Armor Enterprise auf Rechnungskonto-Ebene abonniert haben, können Nutzer einzelne Projekte auswählen, die mit dem Rechnungskonto in Cloud Armor Enterprise verknüpft sind.
In der folgenden Tabelle sind die Servicestufen zusammengefasst.
| Cloud Armor Standard | Cloud Armor Enterprise | ||
|---|---|---|---|
| PayGo | Jährlich | ||
| Abrechnungsmethode | Pay as you go | Pay as you go | Abo mit 12-monatiger Zusicherung |
| Preise | Pro Richtlinie, Regel und Anfrage (siehe Preise) |
|
|
| Schutz vor DDoS-Angriffen |
|
|
|
| Verwaltete Regeln | Optionales Add‑on (siehe Preise) | Optionales Add-on (siehe Preise) | Optionales Add-on (siehe Preise) |
| Cloud Armor WAF | Pro Richtlinie, pro Regel, pro Anfrage (siehe Preise) | In Paygo enthalten | In „jährlich“ enthalten |
| Ressourcenlimits | Bis zum Kontingentlimit | Bis zum Kontingentlimit | Bis zum Kontingentlimit |
| Zeitaufwand | Ein Jahr | ||
| Adaptive Protection | Nur Benachrichtigungen | ||
| Erweiterter DDoS-Netzwerkschutz | |||
| Sicherheitsrichtlinien für Netzwerk-Edge | |||
| Adressgruppe | |||
| Google Threat Intelligence | |||
| Hierarchische Sicherheitsrichtlinien | |||
| Sichtbarkeit von DDoS-Angriffen | |||
| Support für DDoS-Antworten | Teilnahmevoraussetzungen | ||
| DDoS-Rechnungsschutz | |||
Globales Frontend
Global Front End kombiniert Cloud Armor, globale externe Application Load Balancer, Service Extensions und Cloud CDN in einer einzigen Lösung, um Ihre über das Internet genutzten Anwendungen bereitzustellen, zu skalieren und zu schützen. Mit der Abrechnungsstufe Global Front End Enterprise werden die Preise für diese Produkte in einem einzelnen Tarif zusammengefasst.
Wenn Sie Global Front End Enterprise in einem Projekt aktivieren, werden bestimmte Cloud Armor Enterprise-Funktionen für Ihren globalen externen Application Load Balancer aktiviert. Die Cloud Armor-Stufe auf Projektebene wird jedoch nicht geändert. Andere Ressourcen als globale externe Application Load Balancer (z. B. interne Load Balancer oder regionale Load Balancer) im selben Projekt werden weiterhin gemäß ihren aktuellen Cloud Armor-Preiskategorien (Cloud Armor Standard oder Cloud Armor Enterprise) abgerechnet. Wenn Sie Global Front End Enterprise deaktivieren, werden aktive Cloud Armor-Schutzmaßnahmen durch die Stufe auf Projektebene bestimmt. Die Google Cloud Console stellt eine vorherige Stufe nicht automatisch wieder her. Sie müssen sofort und manuell eine Cloud Armor-Abrechnungsstufe (entweder Cloud Armor Standard oder Cloud Armor Enterprise PayGo) festlegen, um eine Verschlechterung der Sicherheitsrichtlinien oder unerwartete Abrechnungsänderungen zu vermeiden.
In der folgenden Tabelle wird zusammengefasst, wie sich die Aktivierung von Global Front End Enterprise auf Ressourcen auswirkt, je nach Cloud Armor-Stufe des Projekts.
| Ressourcentyp | Projektstufe: Cloud Armor Standard | Projektstufe: Cloud Armor Enterprise (Paygo oder jährlich) |
|---|---|---|
| Globale externe Application Load Balancer |
Aktiviert bestimmte Cloud Armor Enterprise-Funktionen mit konsolidierter Abrechnung:
|
Aktiviert alle Cloud Armor Enterprise-Funktionen mit konsolidierter Abrechnung |
| Alle anderen Ressourcen (z. B. regionale externe Application Load Balancer oder interne Load Balancer) | Nicht betroffen (Cloud Armor Standard-Funktionen und -Preise) | Nicht betroffen (Cloud Armor Enterprise-Funktionen und -Preise) |
Cloud Armor Enterprise abonnieren
Für das Abonnieren von Cloud Armor Enterprise Annual ist eine einjährige (12-monatige) Zusicherung erforderlich. Nur Nutzer mit der Rolle und den Berechtigungen für das Rechnungskonto können das Rechnungskonto für Cloud Armor Enterprise Annual abonnieren. Alternativ können Sie sich ohne Zusicherung für Cloud Armor Enterprise Paygo registrieren.
Wenn Sie die zusätzlichen Dienste und Funktionen in Cloud Armor Enterprise nutzen möchten, müssen Sie sich zuerst bei Cloud Armor Enterprise registrieren. Sie können Cloud Armor Enterprise Annual abonnieren und einzelne Projekte registrieren oder ein Projekt direkt in Cloud Armor Enterprise Paygo registrieren.
Wir empfehlen, Ihre Projekte so schnell wie möglich bei Cloud Armor Enterprise zu registrieren, da die Aktivierung bis zu einer Stunde dauern kann. Ein Upgrade von Cloud Armor Standard auf Enterprise beeinträchtigt in der Regel nicht die Verfügbarkeit Ihrer Anwendung. Wenn Sie jedoch Änderungen an Ihren Sicherheitsrichtlinien vornehmen, müssen Sie die Auswirkungen auf die Abrechnung sorgfältig berücksichtigen.
Externer Application Load Balancer und externer Proxy-Network Load Balancer
Nachdem ein Projekt bei Cloud Armor Enterprise registriert wurde, werden die Weiterleitungsregeln im Projekt der Registrierung hinzugefügt. Darüber hinaus werden alle Backend-Dienste und Backend-Buckets als geschützte Ressourcen gezählt und nach den Kosten für geschützte Ressourcen von Cloud Armor Enterprise abgerechnet. Die Backend-Dienste und Backend-Buckets in Cloud Armor Enterprise Annual werden für alle registrierten Projekte in einem Rechnungskonto zusammengefasst, während die Backend-Dienste und Backend-Buckets in Cloud Armor Enterprise Paygo innerhalb des Projekts zusammengefasst werden.
Der immer aktive Schutz für Weiterleitungsregeln, Backend-Dienste und Backend-Buckets umfasst die Abwehr von volumetrischen und netzwerkprotokollbasierten L3- und L4-DDoS-Angriffen. Der Schutz vor Bedrohungen auf Anwendungsebene, einschließlich L7-DDoS, erfordert eine vom Nutzer erstellte Sicherheitsrichtlinie mit entsprechenden Regeln.
Hierarchische Sicherheitsrichtlinien
Wenn Sie eine hierarchische Sicherheitsrichtlinie anhängen, muss jedes Projekt, das die hierarchische Sicherheitsrichtlinie übernimmt, bei Cloud Armor Enterprise registriert sein. Dies umfasst alle Projekte in einer Organisation oder einem Ordner mit einer hierarchischen Sicherheitsrichtlinie, die nicht explizit ausgeschlossen sind, sowie alle Projekte mit einer hierarchischen Sicherheitsrichtlinie, die direkt an das Projekt angehängt ist.
- Projekte, die mit einem Cloud-Rechnungskonto mit einem Abo für Cloud Armor Enterprise Annual verknüpft sind, werden automatisch für Cloud Armor Enterprise Annual registriert, sofern sie noch nicht registriert sind.
- Ohne ein Cloud Armor Enterprise-Jahresabo werden Projekte automatisch bei Cloud Armor Enterprise Paygo registriert, wenn sie eine hierarchische Sicherheitsrichtlinie übernehmen. Wenn Sie das Rechnungskonto für Cloud Armor Enterprise Annual abonnieren, nachdem Ihr Projekt automatisch für Cloud Armor Enterprise Paygo registriert wurde, wird das Projekt nicht automatisch für Annual registriert. Weitere Informationen zu Cloud Armor Enterprise Paygo finden Sie unter Cloud Armor Standard im Vergleich zu Cloud Armor Enterprise.
- Wenn Sie eine hierarchische Sicherheitsrichtlinie aktualisieren, um ein Projekt nach der automatischen Registrierung in Cloud Armor Enterprise auszuschließen, wird das Projekt nicht automatisch abgemeldet. Informationen zum manuellen Abmelden Ihres Projekts finden Sie unter Projekt aus Cloud Armor Enterprise entfernen.
- Sie können ein Projekt nicht aus Cloud Armor Enterprise entfernen, wenn es geerbte hierarchische Sicherheitsrichtlinien hat.
Die automatische Registrierung kann bis zum nächsten Arbeitstag dauern. Während dieser Zeit sind Ihre hierarchischen Sicherheitsrichtlinien aktiv und es fallen keine Cloud Armor Enterprise-Kosten an. Wenn Ihr Projekt registriert ist, werden die Audit-Logs aktualisiert, um den Cloud Armor Enterprise-Status des Projekts widerzuspiegeln. Die neue Projektstufe wird auch in derGoogle Cloud Console angezeigt.
Projekte werden nur automatisch registriert, wenn mindestens ein Backend-Dienst für globale externe Load-Balancer HTTP, HTTPS, HTTP2, H2C oder GRPC verwendet.
Weitere Informationen zu hierarchischen Sicherheitsrichtlinien finden Sie in der Übersicht zu hierarchischen Sicherheitsrichtlinien.
Support für DDoS-Antworten
Der DDoS-Response-Support bietet rund um die Uhr Hilfe und potenzielle benutzerdefinierte Maßnahmen gegen DDoS-Angriffe durch dasselbe Team, das alle Google-Dienste schützt. Sie können den Support während eines Angriffs kontaktieren, um den Angriff abzuwehren. Sie können sich aber auch proaktiv an uns wenden, um eine bevorstehende Veranstaltung mit hohem Besucheraufkommen oder ein potenziell virales Ereignis zu planen, das ungewöhnlich viele Besucher anziehen könnte.
Proaktiver Support ist für alle Cloud Armor Enterprise-Kunden verfügbar, auch wenn sie noch keine Überprüfung der DDoS-Sicherheitslage durchgeführt haben. Durch den proaktiven Support können wir vorkonfigurierte Regeln anwenden, die auf gängige DDoS-Angriffstypen abzielen, bevor der Angriff Cloud Armor erreicht. Informationen zum DDoS-Response-Support finden Sie unter Support für einen DDoS-Fall erhalten.
DDoS Posture-Review
Ziel der Überprüfung des DDoS-Status ist es, die Effizienz und Effektivität des DDoS-Reaktionsprozesses zu verbessern. Während der Überprüfung lernen wir Ihren individuellen Anwendungsfall und Ihre Architektur kennen und prüfen, ob Ihre Cloud Armor-Sicherheitsrichtlinien gemäß unseren Best Practices konfiguriert sind. So können Sie Ihre präventive Resilienz gegenüber DDoS-Angriffen erhöhen.
Die DDoS-Statusüberprüfung wird Kunden angeboten, die Cloud Armor Enterprise Annual abonniert haben und ein Premium-Konto für Cloud Customer Care haben.
Voraussetzungen für DDoS-Reaktionsunterstützung
Die folgenden Kriterien berechtigen Sie, einen Fall zu eröffnen und Hilfe vom Cloud Armor-DDoS-Antwortteam zu erhalten:
- Ihr Rechnungskonto hat ein aktives Cloud Armor Enterprise-Jahresabo.
- Ihr Rechnungskonto hat ein Premium-Konto für Cloud Customer Care.
- Das Google Cloud -Projekt mit der angegriffenen Arbeitslast ist für Cloud Armor Enterprise Annual registriert.
- Wenn Sie projektübergreifende Dienstverweise verwenden, müssen sowohl das Frontend- als auch das Backend-Dienstprojekt in Cloud Armor Enterprise Annual registriert sein.
- Für Kunden, die Cloud Armor Enterprise Annual nach dem 3. September 2024 abonniert haben: Das Projekt mit der angegriffenen Arbeitslast muss einer jährlichen DDoS-Statusprüfung unterzogen worden sein.
Auch wenn Kunden keinen Anspruch auf Support haben, bietet unser Cloud Customer Care-Team während eines Angriffs Unterstützung beim Debugging von Regeln, bei der Klärung des Verhaltens und bei spezifischen Problemen mit bestehenden Richtlinien.
Informationen zum Kontaktieren des DDoS-Response-Supports finden Sie unter Support für einen DDoS-Fall erhalten.
DDoS-Rechnungsschutz
Für den Cloud Armor-DDoS-Abrechnungsschutz muss Ihr Projekt für Cloud Armor Enterprise Annual registriert sein. Sie erhalten Guthaben für die zukünftige Nutzung vonGoogle Cloud , wenn die Rechnungen für Cloud Load Balancing, Cloud Armor und ausgehende Datenübertragungen über das Internet, zwischen Regionen und zwischen Zonen aufgrund eines verifizierten DDoS-Angriffs steigen. Wenn eine Anforderung anerkannt und ein Guthaben bereitgestellt wird, kann die Gutschrift nicht für die bestehende Nutzung sondern nur für zukünftige Vorgänge genutzt werden. In der folgenden Tabelle sind die Ressourcen aufgeführt, die durch den DDoS-Rechnungsschutz abgedeckt sind:
| Endpunkttyp | Erhöhung der abgedeckten Nutzung | |
|---|---|---|
|
Cloud Armor | Datenverarbeitungsgebühr für Cloud Armor Enterprise |
| Netzwerk | Ausgehende Datenübertragung | |
| Interregional | ||
| Zonenübergreifend | ||
| Carrier Peering | ||
| Load-Balancer | Gebühr für die Verarbeitung eingehender Daten | |
| Gebühr für die Verarbeitung ausgehender Daten | ||
| Cloud CDN | Gebühr für ausgehenden Cloud CDN-Traffic | |
| Ausgehende Cache-Datenübermittlung | ||
| Cache-Füllung | ||
| HTTP-/HTTPS-Anfragen für Cache-Suche | ||
| Media CDN | Gebühr für ausgehenden Media CDN-Traffic | |
| Ausgehende Cache-Datenübermittlung | ||
|
Cloud Armor | Datenverarbeitungsgebühr für Cloud Armor Enterprise |
| Netzwerk | Ausgehende Datenübertragung | |
| Interregional | ||
| Zonenübergreifend | ||
| Carrier Peering | ||
| Load-Balancer | Gebühr für die Verarbeitung eingehender Daten | |
| Gebühr für die Verarbeitung ausgehender Daten |
Informationen zum Einbinden des DDoS-Rechnungsschutzes finden Sie unter Rechnungsschutz mit DDoS-Angriffen.
Projekte zwischen Rechnungskonten migrieren
Wenn Sie ab dem 3. September 2024 Ihr Projekt von einem Rechnungskonto zu einem anderen migrieren, während Sie Cloud Armor Enterprise Annual abonniert haben, Ihr neues Rechnungskonto jedoch nicht für Cloud Armor Enterprise Annual abonniert ist, wird Ihr Projekt nach Abschluss der Migration auf Cloud Armor Standard zurückgesetzt. Es sei denn, Ihr Projekt hat effektive hierarchische Sicherheitsrichtlinien. In diesem Fall wird Ihr Projekt auf Cloud Armor Enterprise Paygo herabgestuft. Wenn Sie Ihr Projekt ohne Ausfallzeiten in Cloud Armor Enterprise Annual behalten möchten, empfehlen wir, Ihr neues Rechnungskonto vor Beginn der Migration für Cloud Armor Enterprise Annual zu abonnieren. Sie können Ihr Abo auch von einem Abrechnungskonto zum anderen migrieren, indem Sie sich an den Cloud Billing-Support wenden.
Projekte, die bei Cloud Armor Enterprise Paygo registriert sind, sind von der Migration des Rechnungskontos nicht betroffen.
Downgrade von Cloud Armor Enterprise
Wenn Sie ein Projekt aus Cloud Armor Enterprise entfernen, werden alle Sicherheitsrichtlinien eingefroren, die Regeln mit exklusiven Cloud Armor Enterprise-Funktionen (erweiterte Regeln) verwenden. Eingefrorene Sicherheitsrichtlinien haben die folgenden Eigenschaften:
- Cloud Armor wertet den Traffic weiterhin anhand der Regeln in der Richtlinie aus, einschließlich aller erweiterten Regeln.
- Sie können die Sicherheitsrichtlinie nicht an neue Ziele anhängen.
- Sie können nur die folgenden Vorgänge für die Sicherheitsrichtlinie ausführen:
- Sie können Sicherheitsrichtlinienregeln löschen.
- Wenn Sie die Priorität der Regel nicht ändern, können Sie erweiterte Regeln so aktualisieren, dass sie keine Cloud Armor Enterprise-exklusiven Funktionen mehr verwenden. Wenn Sie alle erweiterten Regeln auf diese Weise ändern, wird die Richtlinie nicht mehr eingefroren. Weitere Informationen zum Aktualisieren von Regeln in Sicherheitsrichtlinien finden Sie unter Einzelne Regel in einer Sicherheitsrichtlinie aktualisieren.
Sie können sich auch wieder für Cloud Armor Enterprise Annual oder Cloud Armor Enterprise Paygo registrieren, um den Zugriff auf Ihre eingefrorenen Sicherheitsrichtlinien wiederherzustellen.
Global Front End Enterprise deaktivieren
Wenn Sie Global Front End Enterprise in einem Projekt deaktivieren, gilt Folgendes:
- Aktive Cloud Armor-Schutzmaßnahmen werden auf die auf Projektebene aktive Stufe zurückgesetzt.
- Die Google Cloud Console stellt nicht automatisch eine vorherige Stufe wieder her und legt auch keine Fallback-Stufe fest.
- Um eine Beeinträchtigung der Sicherheitsrichtlinie oder unerwartete Abrechnungen zu vermeiden, müssen Sie manuell und sofort eine Cloud Armor-Abrechnungsstufe auswählen (entweder Cloud Armor Standard oder Cloud Armor Enterprise PayGo).
Erweiterter DDoS-Netzwerkschutz
Der erweiterte DDoS-Schutz für Netzwerke ist nur für Projekte verfügbar, die bei Cloud Armor Enterprise registriert sind. Wenn Sie ein Projekt mit einer aktiven erweiterten DDoS-Richtlinie für Netzwerke aus Cloud Armor Enterprise entfernen, wird Ihnen die Funktion weiterhin gemäß den Preisen für Cloud Armor Enterprise in Rechnung gestellt.
Wir empfehlen, alle Regeln für den erweiterten DDoS-Schutz für Netzwerke zu löschen, bevor Sie die Registrierung Ihres Projekts für Cloud Armor Enterprise aufheben. Sie können die Regeln für den erweiterten DDoS-Schutz für Netzwerke aber auch nach dem Downgrade löschen.
Nutzungsbedingungen und Einschränkungen
Für Cloud Armor Enterprise gelten die folgenden Bedingungen und Einschränkungen:
- Allgemein: Wenn ein für Cloud Armor Enterprise registriertes Projekt einen Denial-of-Service-Angriff eines Dritten auf einen geschützten Endpunkt („qualifizierter Angriff“) erleidet und die im nächsten Abschnitt beschriebenen Bedingungen erfüllt sind, stellt Google ein Guthaben in Höhe der abgedeckten Gebühren bereit, sofern die angefallenen abgedeckten Gebühren den Mindestschwellenwert überschreiten. Von oder im Namen des Kunden durchgeführte Lasttests und Sicherheitsbewertungen sind keine qualifizierten Angriffe.
- Bedingungen: Der Kunde muss innerhalb von 30 Tagen nach Ende des qualifizierten Angriffs eine Anfrage an den Cloud Billing-Support senden. Die Anfrage muss einen Nachweis des qualifizierten Angriffs enthalten, z. B. Logs oder andere Telemetriedaten, die den Zeitpunkt des Angriffs und die angegriffenen Projekte und Ressourcen angeben, sowie eine Schätzung der angefallenen abgedeckten Gebühren. Google wird in angemessener Weise entscheiden, ob Gutschriften fällig sind und wie hoch diese ausfallen. Weitere Bedingungen für bestimmte Cloud Armor-Funktionen finden Sie in der Dokumentation.
- Guthaben: Guthaben, das dem Kunden im Zusammenhang mit diesem Paragrafen gewährt wird, hat keinen Barwert und kann nur zur Verrechnung mit zukünftigen Gebühren für die Dienste verwendet werden. Dieses Guthaben läuft 12 Monate nach der Ausstellung oder bei Kündigung oder Ablauf der Vereinbarung ab.
- Definitionen:
- Abgedeckte Gebühren: Alle Gebühren, die dem Kunden als direkte Folge des qualifizierten Angriffs für Folgendes entstehen:
- Verarbeitung eingehender und ausgehender Daten für den Google Cloud Load-Balancer-Dienst.
- Cloud Armor Enterprise-Datenverarbeitung für den Cloud Armor-Dienst.
- Ausgehender Netzwerkverkehr, einschließlich regionenübergreifendem, zonenübergreifendem, Internet- und Carrier Peering-Traffic.
- Mindestbetrag: Der Mindestbetrag der abgedeckten Gebühren, die gemäß diesem Abschnitt gutgeschrieben werden können, wie von Google von Zeit zu Zeit festgelegt und dem Kunden auf Anfrage offengelegt.
- Abgedeckte Gebühren: Alle Gebühren, die dem Kunden als direkte Folge des qualifizierten Angriffs für Folgendes entstehen:
Nächste Schritte
- Projekte in Cloud Armor Enterprise abonnieren und registrieren
- Fehlerbehebung
- Referenz der Sprache für benutzerdefinierte Regeln verwenden