Il servizio di filtro degli URL per Cloud Next Generation Firewall ti consente di controllare l'accesso a siti web e pagine web bloccando o consentendo i relativi URL. Ti consente di filtrare il traffico dei workload utilizzando le informazioni SNI (Server Name Indication) e di dominio disponibili nei messaggi HTTP(S) in uscita.
Poiché il servizio di filtro degli URL ispeziona le intestazioni dei messaggi HTTP, puoi utilizzarlo per bloccare l'accesso a domini specifici anche quando il server di destinazione ospita siti attendibili che non vuoi bloccare o quando le restrizioni di accesso basate su DNS non sono efficaci. Puoi utilizzare il servizio di filtro degli URL insieme al servizio di rilevamento e prevenzione delle intrusioni per negare il traffico agli URL dannosi, impedire l'accesso ai server command-and-control (C2) dannosi e rilevare malware nei file eseguibili.
Il servizio di filtro degli URL di Cloud NGFW funziona creando endpoint firewall di zona gestiti da Google che utilizzano la tecnologia di intercettazione dei pacchetti Google Cloudper reindirizzare e ispezionare il traffico alla ricerca di una corrispondenza con un elenco di nomi di dominio e SNI configurati.
L'intercettazione dei pacchetti è una Google Cloud funzionalità che inserisce in modo trasparente le appliance di rete nel percorso del traffico di rete selezionato senza modificare le policy di routing esistenti.
Vantaggi dell'utilizzo del servizio di filtro degli URL
Il servizio di filtro degli URL ti aiuta a ridurre la manutenzione richiesta causata da indirizzi IP che cambiano frequentemente, dalle modifiche DNS e da altre modifiche firewall basate su indirizzi IP che richiedono molto tempo. Il servizio ti consente di ottenere un controllo preciso sugli URL remoti a cui puoi accedere. Ti consente di ottenere un controllo più preciso rispetto a quello possibile con gli indirizzi IP, che possono ospitare più servizi e domini.
Ispezione TLS
Il servizio di filtro degli URL può elaborare il traffico criptato e non criptato. Per il traffico criptato, puoi configurare l'ispezione TLS per consentire al servizio di filtro degli URL di decriptare le intestazioni dei messaggi e ispezionare il nome di dominio nell'intestazione host del messaggio.
Il servizio di filtro degli URL può quindi utilizzare i dettagli del dominio insieme all'SNI in testo normale inviato durante la negoziazione TLS per trovare una corrispondenza con gli URL configurati definiti dal profilo di sicurezza associato.
Senza l'ispezione TLS, il servizio di filtro degli URL può comunque elaborare il traffico HTTP(S) criptato, ma si basa solo sull'SNI di clientHello durante la negoziazione TLS per la corrispondenza degli URL. Per il traffico HTTP non criptato, il servizio di filtro degli URL utilizza l'intestazione host HTTP per il filtro degli URL, indipendentemente dal fatto che tu abbia abilitato l'ispezione TLS.
Cloud NGFW supporta solo l'intercettazione e la decriptazione TLS per accedere alle informazioni sul dominio nell'intestazione host del traffico criptato selezionato.
Il servizio di filtro degli URL ispeziona le connessioni in entrata e in uscita, incluso il traffico da e verso internet e il traffico interno Google Cloud.
Per scoprire di più sull'ispezione TLS in Cloud NGFW, consulta Panoramica dell'ispezione TLS.
Per scoprire come abilitare l'ispezione TLS in Cloud NGFW, consulta Configura l'ispezione TLS.
Modello di deployment del servizio di filtro degli URL
Il seguente diagramma mostra un esempio di deployment del servizio di filtro degli URL con un endpoint firewall, configurato per una rete virtual private cloud (VPC) in una singola zona di una regione.
Componenti del servizio di filtro degli URL
Il servizio di filtro degli URL richiede tre entità principali che devi configurare. Il profilo di sicurezza del filtro degli URL e il relativo gruppo di profili di sicurezza, un endpoint firewall per ricevere il traffico e le policy firewall collegate all'endpoint.
Profili di sicurezza e gruppi di profili di sicurezza
Cloud NGFW utilizza profili di sicurezza e gruppi di profili di sicurezza per implementare il servizio di filtro degli URL.
I profili di sicurezza del filtro degli URL sono strutture di policy generiche di tipo
url-filteringche includono filtri URL con stringhe di corrispondenza. Il servizio di filtro degli URL utilizza queste stringhe per trovare corrispondenze con il nome di dominio e l'SNI del messaggio HTTP(S). Ogni filtro URL contiene un elenco di stringhe di corrispondenza, una priorità univoca e un'azione.Per scoprire di più sui profili di sicurezza del filtro degli URL, consulta Profilo di sicurezza del filtro degli URL.
I gruppi di profili di sicurezza fungono da container per i profili di sicurezza. Ogni gruppo contiene uno o più profili di sicurezza di tipi diversi. Ad esempio, un gruppo di profili di sicurezza può contenere profili di sicurezza di tipo
url-filteringethreat-prevention. Una regola di policy del firewall fa riferimento a un gruppo di profili di sicurezza per abilitare il servizio di filtro degli URL o il servizio di rilevamento delle intrusioni e prevenzione, o entrambi, per il traffico di rete.Per scoprire di più sui gruppi di profili di sicurezza, consulta Panoramica dei gruppi di profili di sicurezza.
Endpoint firewall
Un endpoint firewall è una risorsa organizzativa, creata a livello di zona, che può ispezionare il traffico di livello 7 nella stessa zona in cui viene eseguito il deployment. Gli endpoint sono associati a uno o più VPC nella stessa zona. Per filtrare il traffico per un'istanza di macchina virtuale (VM) di destinazione, crea l'endpoint firewall nella stessa zona del VPC in cui si trova la VM di destinazione.
Per il servizio di filtro degli URL, l'endpoint firewall confronta il dominio dall'intestazione host del messaggio o l'SNI ottenuto durante la negoziazione TLS per il traffico criptato senza ispezione TLS con i filtri URL nel profilo di sicurezza del filtro degli URL. Se l'endpoint rileva una corrispondenza, esegue l'azione associata al filtro URL sulla connessione. Questa azione può essere l'azione predefinita o un'azione configurata nel profilo di sicurezza del filtro degli URL.
Per scoprire di più sugli endpoint firewall e su come configurarli, consulta Panoramica degli endpoint firewall.
Policy firewall
Le policy firewall si applicano direttamente a tutto il traffico in entrata e in uscita di una VM. Puoi utilizzare le policy firewall gerarchiche e le policy firewall di rete globali per configurare le regole delle policy firewall con l'ispezione di livello 7.
Regole delle policy del firewall
Le regole delle policy del firewall ti consentono di controllare il tipo di traffico intercettato e ispezionato. Per configurare il servizio di filtro degli URL, crea una regola di policy del firewall che esegua le seguenti operazioni:
- Identifica il tipo di traffico da ispezionare utilizzando più componenti delle regole delle policy del firewall di livello 3 e livello 4 firewall.
- Specifica il nome del gruppo di profili di sicurezza per l'azione
apply_security_profile_groupsul traffico corrispondente.
Per il flusso di lavoro completo del servizio di filtro degli URL, consulta Configura il servizio di filtro degli URL.
Puoi anche utilizzare i tag sicuri nelle regole firewall per configurare il servizio di filtro degli URL. Puoi basarti su qualsiasi segmentazione che hai configurato utilizzando i tag nella tua rete e migliorare la logica di ispezione del traffico per includere il servizio di filtro degli URL.
Per configurare una regola di policy del firewall che utilizza un gruppo di profili di sicurezza per il filtro dei domini con caratteri jolly (ad esempio *.example.com), imposta l'intervallo IP di destinazione su 0.0.0.0/0. Questa operazione è necessaria perché la corrispondenza con caratteri jolly viene eseguita a livello 7 dal profilo di sicurezza. Per limitare la regola firewall in modo che corrisponda al traffico diretto a internet, utilizza i contesti di rete impostati su INTERNET.
Come funziona il servizio di filtro degli URL
Il servizio di filtro degli URL elabora il traffico HTTP(S) nella seguente sequenza:
Il servizio di filtro degli URL applica le regole delle policy del firewall al traffico da e verso le istanze VM o i cluster Google Kubernetes Engine (GKE) nella rete.
Il servizio di filtro degli URL intercetta e invia il traffico corrispondente all'endpoint firewall per l'ispezione di livello 7.
Per il traffico criptato in cui è abilitata l'ispezione TLS, il servizio di filtro degli URL decripta le intestazioni dei messaggi e utilizza il dominio specificato nell'intestazione host insieme all'SNI inviato durante la negoziazione TLS per verificare la presenza di una corrispondenza con gli URL configurati.
Se il traffico è criptato, ma l'ispezione TLS non è abilitata, l'intestazione del messaggio rimane criptata. Il servizio di filtro degli URL utilizza invece il dominio specificato nell'SNI durante la negoziazione TLS.
Per il traffico non criptato, il servizio di filtro degli URL utilizza sempre il dominio specificato nell'intestazione host per verificare la presenza di una corrispondenza.
Se le informazioni sull'URL corrispondono, il servizio di filtro degli URL esegue l'azione configurata nel profilo di sicurezza su quella connessione.
Se il servizio di filtro degli URL consente il traffico in uscita, il servizio di rilevamento e prevenzione delle intrusioni (se abilitato) può eseguire un'ulteriore scansione del traffico alla ricerca di minacce.
Limitazioni
Il filtro degli URL supporta solo
http/1.xehttp/2. Non supporta QUIC, SNI criptato (ESNI) o Encrypted Client Hello (ECH) con l'ispezione TLS abilitata.Se abiliti l'ispezione TLS, Cloud NGFW non trasmette il traffico QUIC, ESNI o ECH. Tuttavia, se disabiliti l'ispezione TLS, Cloud NGFW trasmette questo traffico senza accedere alle informazioni sul dominio e sull'SNI. In questo scenario, Cloud NGFW consente il traffico QUIC, ESNI ed ECH solo quando è disponibile un filtro URL di autorizzazione esplicita. In assenza di un filtro di autorizzazione esplicita, il filtro URL di negazione implicita predefinito blocca il traffico QUIC, ESNI ed ECH. Per scoprire di più sui filtri URL di autorizzazione esplicita e di negazione implicita, consulta Filtro URL di negazione implicita.
Gli endpoint firewall possono supportare solo pacchetti IP di dimensioni limitate. Per scoprire di più, consulta Dimensioni dei pacchetti supportate.
L'ispezione del traffico in uscita dai workload serverless non è supportata. Questa limitazione si applica al traffico instradato utilizzando sia il traffico in uscita VPC diretto sia i connettori di accesso VPC serverless. Per scoprire di più, consulta Confronta il traffico in uscita VPC diretto e i connettori.