Sicherheitsprofile

Mit Sicherheitsprofilen können Sie die Layer-7-Prüfungsrichtlinie für Ihre Google Cloud Ressourcen definieren. Es sind allgemeine Richtlinienstrukturen, die von Firewall-Endpunkten verwendet werden, um abgefangenen Traffic zu scannen und Dienste auf Anwendungsebene bereitzustellen, z. B. den Dienst zur Einbruchserkennung und ‑vermeidung und den URL-Filterdienst.

In diesem Dokument erhalten Sie eine detaillierte Übersicht über Sicherheitsprofile und ihre Funktionen.

Spezifikationen

  • Cloud Next Generation Firewall unterstützt die folgenden Arten von Sicherheitsprofilen:

    • THREAT_PREVENTION
    • URL_FILTERING

  • Ein Sicherheitsprofil ist eine Ressource, die Sie auf Organisationsebene oder Projektebene konfigurieren können.

    • Sicherheitsprofil auf Organisationsebene: Mit diesem Profil können Sie Firewall-Endpunkte auf Organisations- und Projektebene erstellen und verwalten.

    • Sicherheitsprofil auf Projektebene:Mit diesem Profil können Sie Firewall-Endpunkte auf Projektebene im selben Projekt erstellen und verwalten.

  • Der Name eines Sicherheitsprofils wird im folgenden URL-ID-Format konfiguriert:

    • Organisationsebene:

      organizations/ORGANIZATION_ID/locations/global/securityProfiles/NAME

    • Auf Projektebene:

      projects/PROJECT_ID/locations/global/securityProfiles/NAME

    Der NAME des Sicherheitsprofils muss die folgenden Anforderungen erfüllen:

    • Ein String mit 1 bis 63 Zeichen
    • Enthält nur Kleinbuchstaben, alphanumerische Zeichen oder Bindestriche (-)
    • Beginnt mit einem Buchstaben

    Beispiele:

    • Sicherheitsprofil auf Organisationsebene:

      organizations/2345678432/locations/global/securityProfiles/example-security-profile

    • Sicherheitsprofil auf Projektebene:

      projects/my-project-123/locations/global/securityProfiles/example-security-profile

    Wenn Sie die eindeutige URL-ID für den Namen des Sicherheitsprofils verwenden, enthält die URL die Organisation oder das Projekt und den Standort. Wenn Sie nur den Namen angeben, müssen Sie die Organisations-ID oder die Projekt-ID und den Standort separat angeben, wenn Sie gcloud-Befehle verwenden.

  • Nachdem Sie ein Sicherheitsprofil erstellt haben, hängen Sie es manuell an eine Sicherheitsprofilgruppe an. Diese Sicherheitsprofilgruppe wird von der Firewallrichtlinie des VPC-Netzwerks (Virtual Private Cloud) berücksichtigt, in dem Sie die Layer-7-Prüfung erzwingen möchten.

  • Jedem Sicherheitsprofil muss eine Projekt-ID zugeordnet sein. Das zugehörige Projekt wird für Kontingente und Zugriffsbeschränkungen für Sicherheitsprofilressourcen verwendet. Wenn Sie Ihr Dienstkonto mit dem gcloud auth activate-service-account Befehl, authentifizieren, können Sie Ihr Dienstkonto dem Sicherheitsprofil zuordnen. Weitere Informationen zum Erstellen eines Sicherheitsprofils finden Sie unter Sicherheitsprofil zur Vermeidung von Bedrohungen erstellen und Sicherheitsprofil für die URL-Filterung erstellen.

  • Wenn Sie einer Sicherheitsprofilgruppe Sicherheitsprofile hinzufügen, gelten die folgenden Einschränkungen:

    • Eine Sicherheitsprofilgruppe auf Organisationsebene kann nur auf Sicherheitsprofile auf Organisationsebene verweisen.
    • Eine Sicherheitsprofilgruppe auf Projektebene kann auf Sicherheitsprofile auf Projektebene im selben Projekt verweisen.

Sicherheitsprofil für die Bedrohungsvermeidung

Cloud NGFW verwendet Sicherheitsprofile zur Vermeidung von Bedrohungen, um einen Dienst zur Einbruchserkennung und ‑vermeidung bereitzustellen.

Wenn Sie ein Sicherheitsprofil vom Typ THREAT_PREVENTION erstellen, werden dem Profil die folgenden Standardbedrohungssignaturen mit Standardschweregrad und zugehörigen Aktionen hinzugefügt:

  • Signaturen zur Sicherheitslückenerkennung
  • Anti-Spyware-Signaturen
  • Antivirensignaturen
  • DNS-Signaturen

Sie können Ihren Sicherheitsprofilen zur Vermeidung von Bedrohungen Überschreibungen für Schweregrade hinzufügen. Jede Standardsignatur hat einen Bedrohungsschweregrad. Der Schweregrad gibt das Risiko der erkannten Bedrohung an. Jedem Schweregrad ist auch eine Standardaktion zugeordnet. Die Standardaktion gibt die Maßnahmen an, die Cloud NGFW beim Umgang mit Bedrohungen mit einem bestimmten Schweregrad ergreift. Verwenden Sie Sicherheitsprofile zur Vermeidung von Bedrohungen, um die Standardaktion für einen Schweregrad zu überschreiben.

Die folgenden Aktionen werden unterstützt:

  • Standard: Führt die Standardaktion aus, die mit der Bedrohung verknüpft ist.
  • Ablehnen: Protokolliert die Bedrohung und verwirft das Paket
  • Benachrichtigen: Protokolliert die Bedrohung und lässt die Sitzung zu
  • Zulassen: Bedrohung wird ignoriert, wenn sie erkannt wird

Wenn Sie ein Sicherheitsprofil zur Vermeidung von Bedrohungen erstellen, wird die Standardüberschreibungsaktion für alle Schweregrade auf Default festgelegt.

Sie können Ihren Sicherheitsprofilen zur Vermeidung von Bedrohungen auch Signaturüberschreibungen hinzufügen. Jeder Bedrohungssignatur ist eine Standardaktion zugeordnet. Verwenden Sie Sicherheitsprofile zur Vermeidung von Bedrohungen, um diese Standardaktionen mit den vorherigen Aktionen zu überschreiben. Signaturüberschreibungen haben Vorrang vor Schweregradüberschreibungen.

Weitere Informationen zum Konfigurieren der Bedrohungsvermeidung finden Sie unter Dienst zur Einbruchserkennung und ‑vermeidung konfigurieren.

Sicherheitsprofil für die URL-Filterung

Cloud NGFW verwendet ein Sicherheitsprofil für die URL-Filterung, um den URL-Filterdienst zu konfigurieren.

Ein Sicherheitsprofil für die URL-Filterung ist eine Art Sicherheitsprofil, das einen oder mehrere URL-Filter verwendet, um Sicherheitsrichtlinien für die Firewall-Endpunkte zu definieren. Ein URL-Filter ist eine Liste von Abgleichstrings mit einer eindeutigen Priorität und einer Aktion. Abgleichstrings enthalten Domainnamen, die Cloud NGFW mit der zu prüfenden HTTP-Nachricht abgleicht. Bei verschlüsselten Nachrichten vergleicht Cloud NGFW die Abgleichstrings mit der SNI, die während der TLS-Verhandlung gesendet wird. Wenn Sie die TLS-Prüfung aktivieren, entschlüsselt Cloud NGFW den Nachrichtenheader und wertet auch den Host-Header aus. Bei unverschlüsseltem Traffic vergleicht Cloud NGFW die Abgleichstrings immer mit dem Host-Header der HTTP-Nachricht.

Die Priorität eines URL-Filters wird durch den eindeutigen Wert bestimmt, den Sie im Feld priority angeben. Der Prioritätswert eines URL-Filters kann zwischen 0 und 2147483647 liegen. Cloud NGFW verarbeitet zuerst den niedrigsten numerischen Wert (der die höchste Priorität darstellt), gefolgt vom nächsthöheren numerischen Wert, bis eine Übereinstimmung gefunden wird. Cloud NGFW wertet die einzelnen Domains in einer URL-Filterliste nicht in der Reihenfolge ihrer Priorität aus.

Weitere Informationen zum Erstellen und Verwalten von Sicherheitsprofilen für die URL-Filterung, siehe Sicherheitsprofile für die URL-Filterung erstellen und verwalten.

Weitere Informationen zum Konfigurieren der URL-Filterung finden Sie unter URL-Filterdienst konfigurieren.

Identitäts- und Zugriffsverwaltungsrollen

IAM-Rollen (Identity and Access Management) regeln die Aktionen von Sicherheitsprofilen:

  • Sicherheitsprofil in einer Organisation oder einem Projekt erstellen
  • Sicherheitsprofil in einer Organisation oder einem Projekt ändern oder löschen
  • Details eines Sicherheitsprofils in einer Organisation oder einem Projekt ansehen
  • Liste der Sicherheitsprofile in einer Organisation oder einem Projekt ansehen
  • Sicherheitsprofil in einer Sicherheitsprofilgruppe verwenden

In der folgenden Tabelle werden die Rollen beschrieben, die für jeden Schritt erforderlich sind.

Funktion Erforderliche Rolle
Sicherheitsprofil erstellen Eine der folgenden Rollen:
  • Compute-Netzwerkadministrator (roles/compute.networkAdmin)
  • Sicherheitsprofiladministrator (roles/networksecurity.securityProfileAdmin) der auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projektebene oder Organisationsebene für Sicherheitsprofile auf Projektebene gewährt wird
Sicherheitsprofil ändern Eine der folgenden Rollen:
  • Compute-Netzwerkadministrator (roles/compute.networkAdmin)
  • Sicherheitsprofiladministrator (roles/networksecurity.securityProfileAdmin) der auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projektebene oder Organisationsebene für Sicherheitsprofile auf Projektebene gewährt wird
Sicherheitsprofil löschen Eine der folgenden Rollen:
  • Compute-Netzwerkadministrator (roles/compute.networkAdmin)
  • Sicherheitsprofiladministrator (roles/networksecurity.securityProfileAdmin) der auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projektebene oder Organisationsebene für Sicherheitsprofile auf Projektebene gewährt wird
Details zu einem Sicherheitsprofil ansehen Eine der folgenden Rollen:
Alle Sicherheitsprofile in einer Organisation ansehen Eine der folgenden Rollen:
Sicherheitsprofil in einer Sicherheitsprofilgruppe verwenden Eine der folgenden Rollen:

Kontingente

Informationen zu Kontingenten für Sicherheitsprofile finden Sie unter Kontingente und Limits.

Nächste Schritte