Der Dienst zur Einbruchserkennung und ‑vermeidung von Cloud Next Generation Firewall überwacht Ihren Google Cloud Arbeitslast-Traffic kontinuierlich auf schädliche Aktivitäten und ergreift präventive Maßnahmen, um diese zu verhindern. Zu den schädlichen Aktivitäten gehören Bedrohungen wie Einbrüche, Malware, Spyware und Command-and-Control-Angriffe in Ihrem Netzwerk.
Der Dienst zur Einbruchserkennung und ‑vermeidung von Cloud NGFW erstellt von Google verwaltete zonale Firewall-Endpunkte, die Technologie zum Abfangen von Paketen verwenden, um die Arbeitslasten transparent auf die konfigurierten Bedrohungssignaturen zu prüfen und sie vor Bedrohungen zu schützen. Diese Funktionen zur Vermeidung von Bedrohungen basieren auf den Palo Alto Networks-Technologien für den Bedrohungsschutz.
Cloud NGFW unterstützt die folgenden Kategorien von Bedrohungssignaturen:
- Antispyware
- Schutz vor Sicherheitslücken
- Antivirus
Weitere Informationen zu den Bedrohungskategorien finden Sie unter Standard-Bedrohung signaturen.
Der Dienst zur Einbruchserkennung und ‑vermeidung wird als Teil der Cloud Next Generation Firewall Enterprise-Funktionen angeboten. Weitere Informationen, finden Sie unter Cloud NGFW Enterprise und Cloud NGFW – Preise.
Dieses Dokument bietet eine allgemeine Übersicht über die verschiedenen Komponenten des Dienstes zur Einbruchserkennung und ‑vermeidung von Cloud NGFW sowie dazu, wie diese Komponenten erweiterte Sicherheitsfunktionen für Ihre Google Cloud Arbeitslasten in VPC-Netzwerken (Virtual Private Cloud) bieten.
Funktionsweise des Dienstes zur Einbruchserkennung und ‑vermeidung
Der Dienst zur Einbruchserkennung und ‑vermeidung verarbeitet den Traffic in der folgenden Reihenfolge:
Firewallrichtlinienregeln werden auf den Traffic zu und von den VM-Instanzen oder Google Kubernetes Engine-Clustern im Netzwerk angewendet.
Der übereinstimmende Traffic wird abgefangen und die Pakete werden zur Layer-7-Prüfung an den Firewall-Endpunkt gesendet.
Der Firewall-Endpunkt scannt die Pakete auf konfigurierte Bedrohungssignaturen.
Wenn eine Bedrohung erkannt wird, wird die im Sicherheitsprofil konfigurierte Aktion für dieses Paket ausgeführt.
Abbildung 1 beschreibt ein vereinfachtes Bereitstellungsmodell des Dienstes zur Einbruchserkennung und ‑vermeidung.
Im Rest des Abschnitts werden die Komponenten und Konfigurationen erläutert, die zum Einrichten des Dienstes zur Einbruchserkennung und ‑vermeidung erforderlich sind.
Sicherheitsprofile und Sicherheitsprofilgruppen
Cloud NGFW nutzt Sicherheitsprofile und Sicherheitsprofilgruppen, um eine gründliche Paketprüfung für den Dienst zur Einbruchserkennung und ‑vermeidung zu implementieren.
Sicherheitsprofile sind allgemeine Richtlinienstrukturen, die Sie auf Organisationsebene oder Projektebene konfigurieren können. Sie werden im Dienst zur Einbruchserkennung und ‑vermeidung verwendet, um bestimmte Bedrohungsvermeidungsszenarien zu überschreiben. Zum Konfigurieren des Dienstes zur Einbruchserkennung und ‑vermeidung definieren Sie ein Sicherheitsprofil vom Typ
threat-prevention. Weitere Informationen zu Sicherheitsprofilen finden Sie unter Sicherheitsprofile übersicht.Sicherheitsprofilgruppen können auf Organisationsebene oder Projektebene konfiguriert werden. Sie können maximal ein Sicherheitsprofil pro
threat-prevention-Typ und Gruppe enthalten.Zur Konfiguration des Dienstes zur Einbruchserkennung und ‑vermeidung verweisen Firewallrichtlinienregeln auf diese Sicherheitsprofilgruppen, um die Erkennung und Vermeidung von Bedrohungen für Netzwerkverkehr zu ermöglichen. Weitere Informationen zu Sicherheitsprofilgruppen, siehe Sicherheitsprofilgruppen.
Firewall-Endpunkt
Ein Firewall-Endpunkt ist eine zonale Ressource, die Sie auf Organisationsebene oder Projektebene konfigurieren können. Er kann Traffic in derselben Zone prüfen.
Beim Dienst zur Einbruchserkennung und ‑vermeidung scannt der Firewall-Endpunkt den abgefangenen Traffic auf Bedrohungen. Wenn eine Bedrohung erkannt wird, wird für dieses Paket eine mit der Bedrohung verknüpfte Aktion ausgeführt. Diese Aktion kann eine Standardaktion oder (falls konfiguriert) eine Aktion im Sicherheitsprofil threat-prevention sein.
Weitere Informationen zu Firewall-Endpunkten und zu ihrer Konfiguration finden Sie unter Firewall-Endpunkte.
Firewallrichtlinien
Firewallrichtlinien gelten direkt für den gesamten ein- und ausgehenden Traffic der VM. Sie können hierarchische Firewallrichtlinien und globale Netzwerk-Firewallrichtlinien verwenden, um Firewallrichtlinienregeln mit Layer-7-Prüfung zu konfigurieren.
Firewallrichtlinien-Regeln
Mit Firewallrichtlinienregeln können Sie den Typ des Traffics steuern, der abgefangen und geprüft werden soll. Erstellen Sie eine Firewallrichtlinienregel, um den Dienst zur Einbruchserkennung und ‑vermeidung zu konfigurieren:
Bestimmen Sie den zu prüfenden Traffic-Typ mithilfe mehrerer Layer-3- und Layer-4-Firewallrichtlinienregel-Komponenten.
Geben Sie für den übereinstimmenden Traffic den Namen der Sicherheitsprofilgruppe für die Aktion
apply_security_profile_groupan.
Den vollständigen Workflow des Dienstes zur Einbruchserkennung und ‑vermeidung finden Sie unter Dienst zur Einbruchserkennung und ‑vermeidung konfigurieren.
Sie können auch sichere Tags in Firewallregeln verwenden, um den Dienst zur Einbruchserkennung und ‑vermeidung zu konfigurieren. Sie können auf einer beliebigen Segmentierung aufbauen, die Sie mithilfe von Tags in Ihrem Netzwerk eingerichtet haben, und die Traffic-Prüfungslogik um den Dienst zur Einbruchserkennung und ‑vermeidung erweitern.
Verschlüsselten Traffic überprüfen
Cloud NGFW unterstützt das Abfangen und Entschlüsseln von Transport Layer Security (TLS), um ausgewählten verschlüsselten Traffic auf Bedrohungen zu prüfen. Mit TLS können Sie sowohl eingehende als auch ausgehende Verbindungen prüfen, einschließlich Traffic zum und vom Internet und Traffic innerhalb von Google Cloud Google Cloud.
Weitere Informationen zur TLS-Prüfung in Cloud NGFW finden Sie unter TLS-Prüfung.
Informationen zum Aktivieren der TLS-Prüfung in Cloud NGFW finden Sie unter TLS-Prüfung einrichten.
Bedrohungssignaturen
Die Cloud NGFW-Funktionen zur Bedrohungserkennung und -vermeidung basieren auf den Palo Alto Networks-Technologien für den Bedrohungsschutz. Cloud NGFW unterstützt einen Standardsatz von Bedrohungssignaturen mit vordefinierten Schweregraden, um Ihr Netzwerk zu schützen. Sie können die mit diesen Bedrohungssignaturen verknüpften Standardaktionen auch mithilfe von Sicherheitsprofilen überschreiben.
Weitere Informationen zu Bedrohungssignaturen finden Sie unter Bedrohungssignaturen.
Informationen zu den in Ihrem Netzwerk erkannten Bedrohungen finden Sie unter Bedrohungen ansehen.
Beschränkungen
Firewall-Endpunkte ignorieren X-Forwarded-For-Header (XFF). Daher sind diese Header nicht in der Protokollierung von VPC-Firewallregeln enthalten.
Firewall-Endpunkte können nur IP-Pakete mit einer begrenzten Größe unterstützen. Weitere Informationen finden Sie unter Unterstützte Paketgröße.
Die Sichtbarkeit innerhalb von Knoten für Google Kubernetes Engine (GKE) wird nicht unterstützt. Weitere Informationen finden Sie unter Sichtbarkeit innerhalb von Knoten einrichten.
Die Prüfung von ausgehendem Traffic von serverlosen Arbeitslasten wird nicht unterstützt. Diese Einschränkung gilt für Traffic, der sowohl über ausgehenden Direct VPC-Traffic als auch über Connectors für serverlosen VPC-Zugriffweitergeleitet wird. Weitere Informationen finden Sie unter Ausgehenden Direct VPC-Traffic und Connectors vergleichen.