Google Cloud Armor

Questo documento fornisce indicazioni per configurare e integrare Google Cloud Armor con Google Security Operations.

Prerequisiti

Assicurati di completare tutti i passaggi preliminari prima di configurare l'integrazione.

Crea e configura il ruolo IAM

  1. Nella console Google Cloud , vai alla pagina Ruoli IAM.

    Vai a Ruoli IAM

  2. Fai clic su Crea ruolo per creare un ruolo personalizzato con le autorizzazioni richieste per l'integrazione.

  3. Per un nuovo ruolo personalizzato, fornisci Titolo, Descrizione e un ID univoco.

  4. Imposta Fase di lancio del ruolo su Disponibilità generale.

  5. Aggiungi le seguenti autorizzazioni al ruolo creato:

    • compute.backendBuckets.setSecurityPolicy
    • compute.backendServices.setSecurityPolicy
    • compute.regionBackendServices.setSecurityPolicy
    • compute.regionSecurityPolicies.create
    • compute.regionSecurityPolicies.get
    • compute.regionSecurityPolicies.list
    • compute.regionSecurityPolicies.update
    • compute.securityPolicies.create
    • compute.securityPolicies.get
    • compute.securityPolicies.list
    • compute.securityPolicies.update

  6. Fai clic su Crea.

Crea un account di servizio

  1. Per creare un account di servizio, segui la procedura per creare un service account.

  2. Dopo aver creato un account di servizio, scaricalo come file JSON. Devi fornire i contenuti di un file JSON scaricato durante la configurazione dei parametri di integrazione.

    Per utilizzare l'indirizzo email di Workload Identity Federation for GKE anziché il contenuto del file JSON dell'account di servizio, assegna il ruolo Service Account Token Creator all'account di servizio che utilizzi nell'integrazione.

Integra Cloud Armor con Google SecOps

Per configurare l'integrazione, utilizza i seguenti parametri:

Parametri
API Root Obbligatorio

Radice dell'API del servizio Cloud Armor.

Il valore predefinito è https://compute.googleapis.com/compute/v1/.

Project ID Optional

ID progetto da utilizzare per l'integrazione di Cloud Armor. Se non viene fornito alcun valore, l'ID progetto viene estratto dai contenuti del file JSON forniti nel parametro Account di servizio utente.
Workload Identity Email Optional

Indirizzo email client del tuo account di servizio.

Puoi configurare questo parametro o il parametro Account di servizio utente.

Per rappresentare service account con l'indirizzo email di Workload Identity Federation for GKE, concedi il ruolo "Creatore token service account" al tuo service account. Per maggiori dettagli sulle identità dei workload e su come utilizzarle, consulta Identità per i workload.
User Service Account Optional

Contenuti del file JSON dell'account di servizio che utilizzi per il servizio Cloud Armor.

Fornisci l'intero contenuto del file JSON dell'account di servizio.

Puoi configurare questo parametro o il parametro Email di Workload Identity.
Verify SSL Optional

Se selezionato, il parametro verifica che il certificato SSL per la connessione al servizio Cloud Armor sia valido.

Questa opzione è selezionata per impostazione predefinita.

Azioni

Alcune azioni non richiedono parametri di input.

Aggiungere una regola a un criterio di sicurezza

Aggiungi una nuova regola al criterio di sicurezza nel servizio Cloud Armor.

Entità

Questa azione non viene eseguita sulle entità.

Input azione

Per configurare l'azione, utilizza i seguenti parametri:

Parametri
Policy Name Obbligatorio

Nome del criterio di sicurezza a cui aggiungere una nuova regola.
Region Optional

Regione per la policy a cui aggiungere la regola.

Se non viene fornito alcun valore, la regola viene aggiunta al criterio di sicurezza a livello globale.

Rule JSON Obbligatorio

Definizione JSON della regola da aggiungere.

Per ulteriori informazioni sull'aggiunta di una regola a un criterio, vedi Metodo: securityPolicies.addRule.

Output dell'azione

Tipo di output dell'azione
Allegato della bacheca casi N/D
Link alla bacheca richieste N/D
Tabella della bacheca casi N/D
Tabella di arricchimento N/D
Risultato JSON Disponibile
Risultato dello script Disponibile
Risultato dello script
Nome del risultato dello script Valore
is_success Vero o falso
Risultato JSON
{
   "kind": "compute#securityPolicy",
   "id": "ID",
   "creationTimestamp": "2024-04-14T05:39:05.798-07:00",
   "name": "example",
   "description": "Test for integration",
   "rules": [
       {
           "kind": "compute#securityPolicyRule",
           "description": "test",
           "priority": 100,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       },
       {
           "kind": "compute#securityPolicyRule",
           "description": "Default rule, higher priority overrides it",
           "priority": 2147483647,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       }
   ],
   "fingerprint": "A3hq2ZQYxj8=",
   "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1/securityPolicies/example",
   "type": "CLOUD_ARMOR",
   "labelFingerprint": "42WmSpB8rSM=",
   "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1"
}
Bacheca casi

Questa azione fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully added a new rule to the security policy! Azione riuscita.
Error executing action "Add a Rule to a Security Policy". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input, le credenziali, il nome della regione, il contenuto del file JSON o il nome di un criterio.

Crea una policy di sicurezza

Crea un criterio di sicurezza nel servizio Cloud Armor.

Entità

Questa azione non viene eseguita sulle entità.

Input azione

Per configurare l'azione, utilizza i seguenti parametri:

Parametri
Region Optional

La regione in cui creare un criterio.

Se non viene fornito alcun valore, viene creato il criterio di sicurezza a livello globale.
Policy JSON Obbligatorio

La definizione JSON del criterio da creare.

Per ulteriori informazioni sulle norme, consulta Risorsa REST: securityPolicies.

Output dell'azione

Tipo di output dell'azione
Allegato della bacheca casi N/D
Link alla bacheca richieste N/D
Tabella della bacheca casi N/D
Tabella di arricchimento N/D
Risultato JSON Disponibile
Risultato dello script Disponibile
Risultato dello script
Nome del risultato dello script Valore
is_success Vero o falso
Risultato JSON
{
   "kind": "compute#securityPolicy",
   "id": "ID",
   "creationTimestamp": "2024-04-14T05:39:05.798-07:00",
   "name": "example",
   "description": "Test for integration",
   "rules": [
       {
           "kind": "compute#securityPolicyRule",
           "description": "test",
           "priority": 100,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       },
       {
           "kind": "compute#securityPolicyRule",
           "description": "Default rule, higher priority overrides it",
           "priority": 2147483647,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       }
   ],
   "fingerprint": "A3hq2ZQYxj8=",
   "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1/securityPolicies/example",
   "type": "CLOUD_ARMOR",
   "labelFingerprint": "42WmSpB8rSM=",
   "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1"
}
Bacheca casi

Questa azione fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully created a new security policy! Azione riuscita.
Error executing action "Create a Security Policy". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input, le credenziali, il nome della regione o il contenuto di un file JSON.

Dindin

Testa la connettività al servizio Cloud Armor con i parametri forniti nella pagina di configurazione dell'integrazione.

Entità

Questa azione non viene eseguita sulle entità.

Input azione

N/D

Output dell'azione

Tipo di output dell'azione
Allegato della bacheca casi N/D
Link alla bacheca richieste N/D
Tabella della bacheca casi N/D
Tabella di arricchimento N/D
Risultato JSON N/D
Risultato dello script Disponibile
Risultato dello script
Nome del risultato dello script Valore
is_success Vero o falso
Bacheca casi

Questa azione fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully connected to the Google Cloud Armor service with the provided connection parameters! Azione riuscita.
Failed to connect to the Google Cloud Armor service! Error is ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.

Aggiorna un criterio di sicurezza

Aggiorna il criterio di sicurezza esistente nel servizio Cloud Armor.

Questa azione non può aggiornare le regole in una norma. Per aggiungere una regola al criterio correlato, utilizza l'azione Aggiungi una regola a un criterio di sicurezza.

Entità

Questa azione non viene eseguita sulle entità.

Input azione

Per configurare l'azione, utilizza i seguenti parametri:

Parametri
Policy Name Obbligatorio

Nome del criterio di sicurezza a cui aggiungere una nuova regola.
Region Optional

Regione per le norme aggiornate.

Se non viene fornito alcun valore, viene creato il criterio di sicurezza a livello globale.
Rule JSON Obbligatorio

Definizione JSON del criterio da aggiornare.

Per maggiori informazioni sugli aggiornamenti delle norme, consulta Metodo: securityPolicies.patch .

Non puoi aggiornare le regole con questa azione. Per aggiungere una regola a un criterio, utilizza l'azione Aggiungi una regola a un criterio di sicurezza.

Output dell'azione

Tipo di output dell'azione
Allegato della bacheca casi N/D
Link alla bacheca richieste N/D
Tabella della bacheca casi N/D
Tabella di arricchimento N/D
Risultato JSON Disponibile
Risultato dello script Disponibile
Risultato dello script
Nome del risultato dello script Valore
is_success Vero o falso
Risultato JSON
{
   "kind": "compute#securityPolicy",
   "id": "ID",
   "creationTimestamp": "2024-04-14T05:39:05.798-07:00",
   "name": "example",
   "description": "Test for integration",
   "rules": [
       {
           "kind": "compute#securityPolicyRule",
           "description": "test",
           "priority": 100,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       },
       {
           "kind": "compute#securityPolicyRule",
           "description": "Default rule, higher priority overrides it",
           "priority": 2147483647,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       }
   ],
   "fingerprint": "A3hq2ZQYxj8=",
   "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1/securityPolicies/example",
   "type": "CLOUD_ARMOR",
   "labelFingerprint": "42WmSpB8rSM=",
   "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1"
}
Bacheca casi

Questa azione fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike Azione riuscita.
Error executing action "Update a Security Policy". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.