Cloud Next Generation Firewall のアプリケーション レイヤの検査は、 リソースの高度な 保護を提供します。 Google Cloud アプリケーション レイヤの検査（ディープ パケット インスペクションまたはレイヤ 7 検査とも呼ばれます）は、ネットワーク パケットがファイアウォールを通過する際にその内容を検査するセキュリティ プロセスです。
このドキュメントでは、Cloud NGFW でアプリケーション レイヤの検査に使用されるサービスとコンポーネントについて説明します。
アプリケーション レイヤの検査サービス
Cloud NGFW には、URL フィルタリング サービスと侵入検知および防止サービスという 2 つのアプリケーション レイヤの検査サービスがあります。アプリケーション レイヤの検査機能は、Cloud NGFW Enterprise 階層で利用できます。詳細については、Cloud NGFW Enterprise をご覧ください。
URL フィルタリング サービス
URL フィルタリング サービスを使用すると、特定の URL をブロックまたは許可することで、ウェブサイトへのアクセスを制御できます。このサービスでは、Server Name Indication（SNI）を使用してドメインでフィルタできます。詳細については、URL フィルタリング サービス の概要をご覧ください。
侵入検知および防止サービス
侵入検知および防止サービスは、ワークロード トラフィックに悪意のあるアクティビティがないか継続的にモニタリングし、プリエンプティブにアクションを実行して防止します。 Google Cloud 悪意のあるアクティビティには、ネットワークに対する侵入、マルウェア、スパイウェア、コマンド アンド コントロール攻撃などの脅威があります。詳細については、 侵入検知および防止サービスの概要をご覧ください。
コア コンポーネント
アプリケーション レイヤの検査サービスでは、次のコンポーネントを使用します。
ファイアウォール エンドポイントとファイアウォール エンドポイントの関連付け: ファイアウォール エンドポイントは、ネットワークでディープ パケット インスペクションを実行する Google マネージドのゾーンリソースです。ファイアウォール エンドポイントの関連付けにより、ファイアウォール エンドポイントが VPC ネットワークのゾーンにリンクされます。トラフィックを検査するリージョンのゾーンごとに 1 つのエンドポイントを作成します。詳細については、 ファイアウォール エンドポイントの概要をご覧ください。
暗号化されたトラフィックの内容を検査するには、TLS インスペクション ポリシーを作成し、そのポリシーをファイアウォール エンドポイントの関連付けに追加します。詳細については、 TLS インスペクションの概要をご覧ください。
セキュリティ プロファイル: 特定のセキュリティ サービスの構成を含むオブジェクト。ファイアウォール エンドポイントは、セキュリティ プロファイルを使用してインターセプトされたトラフィックをスキャンします。詳細については、 セキュリティ プロファイルの概要をご覧ください。
Cloud NGFW は、次のタイプのセキュリティ プロファイルをサポートしています。
url-filtering: URL フィルタリング サービスのルールを定義します。threat-prevention: 侵入検知および防止サービスを構成します。
セキュリティ プロファイル グループ: セキュリティ プロファイルのコンテナ。セキュリティ プロファイル グループに含めることができるセキュリティ プロファイルは、タイプごとに 1 つのみです。詳細については、 セキュリティ プロファイル グループの概要をご覧ください。
apply_security_profile_groupアクション: インターセプトされたトラフィックを検査のためにファイアウォール エンドポイントにリダイレクトするファイアウォール ルール アクション。詳細については、 一致時のアクションをご覧ください。
コア コンポーネントが連携する仕組みについては、URL フィルタリング サービスの 仕組みと侵入検知および防止サービスの 仕組みをご覧ください。
組織レベルとプロジェクト レベルのリソース
アプリケーション レイヤの検査コンポーネントは、組織レベルまたはプロジェクト レベルで作成して構成できます。組織レベルのリソースは、階層型ファイアウォール ポリシーを介して組織全体に適用されます。 プロジェクト レベルのリソースは、グローバル ネットワーク ファイアウォール ポリシーを使用するプロジェクト間でのみ適用されます。
- 組織全体に必須のセキュリティ ポリシーを適用するには、組織レベルのリソースを使用します。
- 特定のアプリケーションのルールを管理するには、プロジェクト レベルのリソースを使用します。
次の表に、組織レベルのリソースとプロジェクト レベルのリソースの特性を比較します。
| 機能 | 組織レベルのリソース | プロジェクト レベルのリソース |
|---|---|---|
| 権限 | 構成するには、組織レベルの IAM ロールが必要です。 | 構成するには、プロジェクト レベルの IAM ロールが必要です。 |
| 階層型ポリシー | 階層型ファイアウォール ポリシーから参照できます。 | 階層型ファイアウォール ポリシーから参照できません。 |
| 範囲 | 組織レベルのセキュリティ プロファイル グループは、組織内のすべての ファイアウォール エンドポイントに自動的に適用されます。 | プロジェクト レベルのセキュリティ プロファイル グループは、特定のプロジェクト内のファイアウォール エンドポイントにのみ適用されます。プロジェクト間で適用することはできません。 |
| 課金 | ファイアウォール エンドポイントの稼働時間は、指定した課金プロジェクトに請求されます。 | ファイアウォール エンドポイントの稼働時間は、リソースを所有する プロジェクトに直接請求されます。 |
制限事項
プロジェクト レベルのセキュリティ プロファイル グループは、同じプロジェクト内のファイアウォール エンドポイントにのみ適用されます。プロジェクト間で適用することはできません。
プロジェクト レベルのリソースを含むプロジェクトを別の組織に移行することはできません。
VPC ネットワークを 1 つのゾーンにつき 1 つのファイアウォール エンドポイントにのみ関連付けることができます。ゾーンごとに、プロジェクト レベルまたは組織レベルのエンドポイントを使用する必要があります。
VPC ネットワークを別のプロジェクトのプロジェクト レベルのファイアウォール エンドポイントに関連付ける場合、両方のプロジェクトが同じ組織に存在する必要があります。