セキュリティ プロファイル グループの概要

セキュリティ プロファイル グループは、セキュリティ プロファイルのコンテナです。ファイアウォール ポリシー ルールは、セキュリティ プロファイル グループを参照して、ネットワーク上の侵入検知および防止サービス、WildFire 分析（プレビュー）、URL フィルタリング サービスなどのレイヤ 7 検査を有効にします。

このドキュメントでは、セキュリティ プロファイル グループとその機能について詳しく説明します。

仕様

  • セキュリティ プロファイル グループは、組織レベルまたはプロジェクト レベルで構成できるリソースです。

    • 組織レベルのセキュリティ プロファイル グループ: 組織全体の組織レベルのセキュリティ プロファイルをグループ化するために使用します。

    • プロジェクト レベルのセキュリティ プロファイル グループ: プロジェクト内のプロジェクト レベルのセキュリティ プロファイルをグループ化するために使用します。

  • セキュリティ プロファイル グループの名前は、次の URL 識別子形式で構成されます。

    • 組織レベル:

      organizations/ORGANIZATION_ID/locations/global/securityProfileGroups/NAME

    • プロジェクト レベル:

      projects/PROJECT_ID/locations/global/securityProfileGroups/NAME

    セキュリティ プロファイル グループの NAME は、次の要件を満たす必要があります。

    • 1 ～ 63 文字の文字列
    • 小文字の英数字またはハイフン（-）のみを使用している
    • 文字で始まる

    例:

    • 組織レベルのセキュリティ プロファイル グループ:

      organizations/2345678432/locations/global/securityProfileGroups/example-security-profile-group

    • プロジェクト レベルのセキュリティ プロファイル グループ:

      projects/my-project-123/locations/global/securityProfileGroups/example-security-profile-group

    セキュリティ プロファイル グループ名に一意の URL 識別子を使用している場合、URL には組織またはプロジェクトとロケーションが含まれます。 名前のみを指定する場合は、gcloud コマンドを使用するときに、組織 ID またはプロジェクト ID とロケーションを個別に指定する必要があります。

  • セキュリティ プロファイル グループでは、 セキュリティ プロファイル タイプの THREAT_PREVENTION、WILDFIRE_ANALYSIS、または URL_FILTERING を任意の順序で追加できます。

  • セキュリティ プロファイル グループに含めることができるセキュリティ プロファイルは、タイプごとに 1 つのみです。 複数のプロファイルを追加する場合は、タイプが異なることを確認してください。たとえば、URL_FILTERING タイプのセキュリティ プロファイルを追加する場合は、トラフィックをスキャンしてフィルタリングする THREAT_PREVENTION タイプの 2 つ目のプロファイルを追加できます。不明なファイルベースのマルウェアをスキャンする WILDFIRE_ANALYSIS プロファイルを追加する場合は、必須の THREAT_PREVENTION プロファイルもセキュリティ プロファイル グループに含める必要があります。

ファイアウォール ポリシー ルールとの統合

セキュリティ プロファイル グループは、アクション apply_security_profile_group を使用してファイアウォール ポリシー ルールを追加する場合にのみ、ファイアウォール ポリシーに適用されます。セキュリティ プロファイル グループは、次のファイアウォール ポリシー ルールで構成できます。

  • 階層型ファイアウォール ポリシー: 組織レベルまたはフォルダレベルで管理されるこれらのポリシーは、組織レベルのセキュリティ プロファイル グループのみを参照できます。

  • グローバル ネットワーク ファイアウォール ポリシー: プロジェクト レベルで管理されるこれらのポリシーは、任意のプロジェクトから組織レベルのセキュリティ プロファイル グループとプロジェクト レベルのセキュリティ プロファイル グループを参照できます。

ネットワーク トラフィックのレイヤ 7 検査を行うには、ファイアウォール エンドポイントで使用されるセキュリティ プロファイル グループの名前をファイアウォール ポリシールールに含める必要があります。

トラフィックの検査と処理

ファイアウォール ポリシー ルールは、Virtual Private Cloud（VPC）ネットワークの受信トラフィックと送信トラフィックに適用されます。一致したトラフィックは、構成済みのセキュリティ プロファイル グループ名とともにファイアウォール エンドポイントにリダイレクトされます。

ファイアウォール エンドポイントは、セキュリティ プロファイル グループで指定されたセキュリティ プロファイルを使用して、次の処理を行います。

  • ドメインと Server Name Indication（SNI）情報を検査する
  • パケットの脅威と不明なファイルベースのマルウェアをスキャンする
  • 構成済みのアクションを適用する

検査シーケンス

ファイアウォール エンドポイントは通常、次の順序でセキュリティ プロファイルを処理します。

  1. URL フィルタリング: エンドポイントは URL_FILTERING セキュリティ プロファイルを実行します。
  2. 脅威の防止とマルウェア分析: エンドポイントは THREAT_PREVENTION セキュリティ プロファイルを実行します。WildFire が有効になっている場合、WILDFIRE_ANALYSIS セキュリティ プロファイルも脅威防止プロファイルとともに実行されます。

脅威スキャン ロジック

脅威スキャン中、WildFire はオンボックス分析エンジンとクラウドベースの分析エンジンを組み合わせて使用します。次の種類の保護を提供します。

  • リアルタイム保護: 既知のマルウェア シグネチャに対してチェックし、オンボックスの機械学習（ML）モデルを使用して、不明な脅威を動的に分析してブロックします。
  • インライン クラウド分析: ファイルがネットワークに到達する前にクラウドで評価します。
  • 非同期ディープ サンドボックス: 不明なファイルがリアルタイム チェックに合格した場合、ファイアウォールは構成された送信ルールに基づいてファイルを抽出して WildFire クラウドにアップロードし、分析します。

構成の詳細については、次のドキュメントをご覧ください。

リソースの関連付け

各セキュリティ プロファイル グループにはプロジェクト ID が関連付けられている必要があります。関連付けられたプロジェクトは、セキュリティ プロファイル グループ リソースに対する割り当てとアクセス制限に使用されます。

gcloud auth activate-service-account コマンドを使用してサービス アカウントを認証する場合は、 サービス アカウントをセキュリティ プロファイル グループに関連付けることができます。

詳細については、 セキュリティ プロファイル グループを作成するをご覧ください。

組織レベルとプロジェクト レベルのセキュリティ プロファイル グループの違い

組織レベルとプロジェクト レベルのセキュリティ プロファイル グループの違いをまとめると、次のようになります。

  • 組織レベルのセキュリティ プロファイル グループは、組織レベルとプロジェクト レベルの両方のエンドポイントに適用されます。
  • プロジェクト レベルのセキュリティ プロファイル グループは、セキュリティ プロファイル グループと同じプロジェクトにあるプロジェクト レベルのファイアウォール エンドポイントに適用されます。組織レベルのファイアウォール エンドポイントには適用できません。
  • 組織レベルのセキュリティ プロファイル グループは、組織レベルのセキュリティ プロファイルのみをグループ化できます。
  • プロジェクト レベルのセキュリティ プロファイル グループは、同じプロジェクトに存在するプロジェクト レベルのセキュリティ プロファイルのみをグループ化できます。

Identity and Access Management ロール

Identity and Access Management（IAM）のロールは、次のセキュリティ プロファイル グループのアクションを管理します。

  • 組織またはプロジェクトでのセキュリティ プロファイル グループの作成
  • 組織またはプロジェクトでのセキュリティ プロファイル グループの変更または削除
  • 組織またはプロジェクトでのセキュリティ プロファイル グループの詳細の表示
  • 組織またはプロジェクトでのセキュリティ プロファイル グループのリストの表示
  • ファイアウォール ポリシー ルールでのセキュリティ プロファイル グループの使用

次の表に、各ステップに必要なロールを示します。

機能 必要なロール
セキュリティ プロファイル グループを作成する 次のいずれかのロール:
  • Compute ネットワーク管理者 (roles/compute.networkAdmin)
  • セキュリティ プロファイル管理者（roles/networksecurity.securityProfileAdmin） 組織レベルのセキュリティ プロファイル グループの場合は組織レベルで、プロジェクト レベルのセキュリティ プロファイル グループの場合はプロジェクト レベルまたは組織レベルで付与されます
セキュリティ プロファイル グループを変更する 次のいずれかのロール:
  • Compute ネットワーク管理者 (roles/compute.networkAdmin)
  • セキュリティ プロファイル管理者（roles/networksecurity.securityProfileAdmin） 組織レベルのセキュリティ プロファイル グループの場合は組織レベルで、プロジェクト レベルのセキュリティ プロファイル グループの場合はプロジェクト レベルまたは組織レベルで付与されます
セキュリティ プロファイル グループを削除する 次のいずれかのロール:
  • Compute ネットワーク管理者 (roles/compute.networkAdmin)
  • セキュリティ プロファイル管理者（roles/networksecurity.securityProfileAdmin） 組織レベルのセキュリティ プロファイル グループの場合は組織レベルで、プロジェクト レベルのセキュリティ プロファイル グループの場合はプロジェクト レベルまたは組織レベルで付与されます
組織とプロジェクトのセキュリティ プロファイル グループの詳細を表示する 次のいずれかのロール:
組織とプロジェクトのすべてのセキュリティ プロファイル グループを表示する 次のいずれかのロール:
ファイアウォール ポリシー ルールでセキュリティ プロファイル グループを使用する 次のいずれかのロール:

次のステップ