セキュリティ プロファイルの概要

セキュリティ プロファイルは、 リソースの Google Cloud レイヤ 7 検査ポリシーを定義するのに役立ちます。これは、ファイアウォール エンドポイントがインターセプトしたトラフィックをスキャンし、 侵入検知および防止サービス、WildFire 分析 （プレビュー）、 URL フィルタリング サービスなどのアプリケーション レイヤ サービスを提供するために使用する汎用のポリシー構造です。

このドキュメントでは、セキュリティ プロファイルとその機能について詳しく説明します。

仕様

  • Cloud Next Generation Firewall は、次のタイプのセキュリティ プロファイルをサポートしています。

    • THREAT_PREVENTION
    • WILDFIRE_ANALYSIS
    • URL_FILTERING

  • セキュリティ プロファイルは、組織レベルまたはプロジェクト レベルで構成できるリソースです。

    • 組織レベルのセキュリティ プロファイル: このプロファイルを使用して、組織レベルとプロジェクト レベルのファイアウォール エンドポイントを作成して 管理します。

    • プロジェクト レベルのセキュリティ プロファイル: このプロファイルを使用して、同じプロジェクト内のプロジェクト レベルのファイアウォール エンドポイントを作成して管理します。

  • セキュリティ プロファイルの名前は、次の URL 識別子形式で構成されます。

    • 組織レベル:

      organizations/ORGANIZATION_ID/locations/global/securityProfiles/NAME

    • プロジェクト レベル:

      projects/PROJECT_ID/locations/global/securityProfiles/NAME

    セキュリティ プロファイルの NAME は、次の要件を満たしている必要があります。

    • 1 ～ 63 文字の文字列
    • 小文字の英数字またはハイフン（-）のみを含む
    • 文字で始まる

    例:

    • 組織レベルのセキュリティ プロファイル:

      organizations/2345678432/locations/global/securityProfiles/example-security-profile

    • プロジェクト レベルのセキュリティ プロファイル:

      projects/my-project-123/locations/global/securityProfiles/example-security-profile

    セキュリティ プロファイル名に一意の URL 識別子を使用すると、URL に組織またはプロジェクトとロケーションが含まれます。名前のみを指定する場合は、gcloud コマンドを使用するときに、組織 ID またはプロジェクト ID とロケーションを個別に指定する必要があります。

  • セキュリティ プロファイルを作成したら、セキュリティ プロファイル グループに手動で関連付けます。 このセキュリティ プロファイル グループは、レイヤ 7 検査を適用する Virtual Private Cloud（VPC）ネットワークのファイアウォール ポリシーから参照されます。

  • 各セキュリティ プロファイルにはプロジェクト ID が関連付けられている必要があります。関連付けられたプロジェクトは、セキュリティ プロファイル リソースに対する割り当てとアクセス制限に使用されます。サービス アカウントを gcloud auth activate-service-account コマンドを使用して認証する場合は、 サービス アカウントをセキュリティ プロファイルに関連付けることができます。 セキュリティ プロファイルを作成する詳しい方法については、 脅威防止のセキュリティ プロファイルを作成する、 WildFire 分析のセキュリティ プロファイルを作成する、 およびURL フィルタリングのセキュリティ プロファイルを作成するをご覧ください。

  • セキュリティ プロファイル グループにセキュリティ プロファイルを追加する場合は、次の制約が適用されます。

    • 組織レベルのセキュリティ プロファイル グループは、組織レベルのセキュリティ プロファイルのみを参照できます。
    • プロジェクト レベルのセキュリティ プロファイル グループは、同じプロジェクト内のプロジェクト レベルのセキュリティ プロファイルを参照できます。

脅威防止のセキュリティ プロファイル

Cloud NGFW は、脅威防止セキュリティ プロファイルを使用して 侵入検知および防止サービスを提供します。

THREAT_PREVENTION タイプのセキュリティ プロファイルを作成すると、次の デフォルトの脅威シグネチャ が、デフォルトの重大度と関連アクションとともにプロファイルに追加されます。

  • 脆弱性検出シグネチャ
  • スパイウェア対策シグネチャ
  • ウイルス対策シグネチャ
  • DNS シグネチャ

脅威防止のセキュリティ プロファイルに重大度のオーバーライドを追加できます。デフォルトのシグネチャには、 脅威の重大度レベルがあります。 重大度は、検出された脅威のリスクを示します。各重大度レベルには、デフォルトのアクションが関連付けられています。デフォルトのアクションには、Cloud NGFW が特定の重大度レベルの脅威を処理するために行う対策を指定します。脅威防止のセキュリティ プロファイルを使用して、重大度レベルのデフォルトのアクションをオーバーライドします。

次のアクションがサポートされます。

  • デフォルト: 脅威に関連付けられたデフォルトのアクションを実行します。
  • 拒否: 脅威をログに記録してパケットをドロップします。
  • アラート: 脅威をログに記録して、セッションを許可します。
  • 許可: 検出された脅威を無視します。

脅威防止のセキュリティ プロファイルを作成すると、すべての重大度レベルのデフォルトのオーバーライド アクションが Default に設定されます。

脅威防止のセキュリティ プロファイルにシグネチャのオーバーライドを追加することもできます。各脅威シグネチャには、デフォルトのアクションが関連付けられています。脅威防止のセキュリティ プロファイルを使用して、前述のアクションを使用してこれらのデフォルト アクションをオーバーライドします。署名のオーバーライドは、重大度のオーバーライドよりも優先されます。

脅威防止の構成方法については、 侵入検知および防止サービスを構成するをご覧ください。

WildFire 分析のセキュリティ プロファイル

Cloud NGFW は、WildFire 分析のセキュリティ プロファイルを使用して、Cloud Next Generation Firewall Enterprise の高度なマルウェア分析のセキュリティ ポリシーと動作を定義します。WILDFIRE_ANALYSIS セキュリティ プロファイル タイプを使用して、ファイアウォールが潜在的な脅威を検出して対応する方法を構成します。

詳細については、WildFire の概要をご覧ください。

次のパラメータを使用します。これは WildFire 分析構成の一部であり、gcloud beta network-security security-profiles wildfire-analysis コマンドを使用して構成できます。

  • WildFire 送信ルール: Cloud NGFW Enterprise が非同期分析のために WildFire にアップロードするファイルを定義します。 これらのルールは、add-submission-rule コマンドを使用して構成します。

    • 送信するファイル タイプを指定するには、--file-types フラグを使用して ANY_FILE を選択します。
    • --direction フラグを使用して、アップロード、ダウンロード、両方などのトラフィックの方向を指定します。

  • WildFire インライン クラウド分析ルール: これらのルールを使用して、 リアルタイム 保護を構成します。これらのルールは、add-inline-cloud-analysis-rule コマンドを使用して構成します。

    • --file-types フラグを使用して、ファイル タイプ（ANY_FILE または PE ファイルに制限）を指定します。
    • --direction フラグを使用して、トラフィックの方向を指定します。
    • --action フラグを使用して、脅威の検出時に実行するアクション（ALLOW、DENY、ALERT）を定義します。

  • WildFire インライン ML 構成: 機械学習（ML）エンジンを有効または 無効にして、特定のファイル タイプの悪意のある コンテンツを動的に検出します。たとえば、WINDOWS_EXECUTABLE、 POWERSHELL_SCRIPT、ELF、MS_OFFICE などです。これらのエンジンは、次のフラグを指定して update コマンドを使用して構成します。

    • --[no-]analyze-windows-executables
    • --[no-]analyze-powershell-script-1
    • --[no-]analyze-powershell-script-2
    • --[no-]analyze-elf
    • --[no-]analyze-ms-office
    • --[no-]analyze-shell
    • --[no-]analyze-ooxml
    • --[no-]analyze-macho

  • インライン ML 例外: 特定のファイルのインライン ML エンジンをバイパスするルールを作成します。例外は、add-inline-ml-exception コマンドを使用して構成します。

    • --partial-hash フラグを使用して、ファイルの部分ハッシュを指定します。
    • --filename フラグを使用して、ファイル名を指定します。

  • WildFire リアルタイム ルックアップ: Cloud NGFW が WildFire に対して リアルタイム シグネチャ ルックアップを実行して、既知のマルウェアの最初の 転送を防ぐ間、ファイル転送を保持するかどうかを決定します。これはデフォルトで有効です。この設定は、--[no-]wildfire-realtime-lookup フラグを指定して update コマンドを使用して構成します。

  • 脅威とプロトコルのオーバーライド: WildFire シグネチャが一致した場合のデフォルト アクションをオーバーライドします。オーバーライドは、 add-override コマンドを使用して構成します。次のアクションをオーバーライドできます。

    • プロトコルのオーバーライド: HTTP、SMTP、FTP などの指定された プロトコルで発生するすべての WildFire またはインライン ML 脅威に、DENY などの特定のアクションを適用します。これらは、 --wildfire または --wildfire-inline-ml フラグと --action フラグを使用して構成します。

    • 脅威 ID のオーバーライド: ベンダー指定の正確な脅威 ID を指定して、シグネチャの例外を追加します。多くの場合、これには、アクションを ALLOW に変更して、誤検出アラートを抑制することが含まれます。これらは、--threat-ids フラグと --action フラグを使用して構成します。

WildFire 分析のセキュリティ プロファイルをセキュリティ プロファイル グループに関連付けて、これらのルールをネットワーク トラフィックに適用します。同じ グループに 脅威防止のセキュリティ プロファイルも追加します。WildFire 分析のセキュリティ プロファイルを作成するには、 WildFire 分析のセキュリティ プロファイルを作成するをご覧ください。

URL フィルタリングのセキュリティ プロファイル

Cloud NGFW は、URL フィルタリングのセキュリティ プロファイルを使用して、 URL フィルタリング サービスを構成します。

URL フィルタリングのセキュリティ プロファイルは、1 つ以上の URL フィルタを使用してファイアウォール エンドポイントのセキュリティ ポリシーを定義するセキュリティ プロファイルの一種です。URL フィルタは、一意の優先度とアクションを持つマッチャー文字列のリストです。 マッチャー文字列には、Cloud NGFW が評価対象の HTTP メッセージと照合するドメイン名が含まれます。暗号化されたメッセージの場合、Cloud NGFW は TLS ネゴシエーション中に送信された SNI とマッチャー文字列を照合します。TLS インスペクションを有効にすると、Cloud NGFW はメッセージ ヘッダーを復号し、ホスト ヘッダーも評価します。暗号化されていないトラフィックの場合、Cloud NGFW は常に HTTP メッセージのホスト ヘッダーとマッチャー文字列を比較します。

URL フィルタの優先度は、priority フィールドを使用して指定する一意の値によって決まります。URL フィルタの優先度の値は 0～2147483647 です。Cloud NGFW は、一致するものが見つかるまで、数値が小さい順（優先度が高い順）に処理します。Cloud NGFW は、URL フィルタリング リスト内の個々のドメインを優先度順に評価しません。

URL フィルタリングのセキュリティ プロファイルの作成と管理の詳細については、 URL フィルタリングのセキュリティ プロファイルの作成と管理をご覧ください。

URL フィルタリングの構成方法については、 URL フィルタリング サービスを構成するをご覧ください。

Identity and Access Management ロール

Identity and Access Management（IAM）ロールは、次のセキュリティ プロファイルのアクションを管理します。

  • 組織またはプロジェクトでのセキュリティ プロファイルの作成
  • 組織またはプロジェクトでのセキュリティ プロファイルの変更または削除
  • 組織またはプロジェクトでのセキュリティ プロファイルの詳細の表示
  • 組織またはプロジェクトでのセキュリティ プロファイルのリストの表示
  • セキュリティ プロファイル グループでのセキュリティ プロファイルの使用

次の表に、各ステップに必要なロールを示します。

機能 必要なロール
セキュリティ プロファイルを作成する 次のいずれかのロール:
セキュリティ プロファイルを変更する 次のいずれかのロール:
セキュリティ プロファイルを削除する 次のいずれかのロール:
セキュリティ プロファイルの詳細を表示する 次のいずれかのロール:
組織内のすべてのセキュリティ プロファイルを表示する 次のいずれかのロール:
セキュリティ プロファイル グループでセキュリティ プロファイルを使用する 次のいずれかのロール:

割り当て

セキュリティ プロファイルに関連付けられた割り当てを表示するには、 割り当てと上限をご覧ください。

次のステップ