Creare gruppi di profili di sicurezza

I gruppi di profili di sicurezza sono contenitori per i profili di sicurezza. Consentono di raggruppare i tipi di profili di sicurezza per semplificare la gestione e l'applicazione alle regole firewall. Puoi creare questi gruppi a livello di organizzazione o progetto.

Ogni gruppo di profili di sicurezza può contenere fino a un profilo di sicurezza di ciascuno dei seguenti tipi:

• THREAT_PREVENTION
• WILDFIRE_ANALYSIS (anteprima)
• URL_FILTERING

Per applicare policy di sicurezza di rete coerenti nel tuo Google Cloud ambiente, puoi utilizzare i gruppi di profili di sicurezza per combinare e applicare profili di prevenzione delle minacce, analisi WildFire e filtro degli URL. Raggruppando questi profili, puoi applicare più controlli di sicurezza, come la prevenzione delle minacce, il filtro WildFire e URL sul traffico di rete tramite una singola regola dei criteri del firewall, garantendo un'applicazione coerente dei criteri e una gestione semplificata.

Questo documento è destinato agli amministratori di rete e agli ingegneri della sicurezza che configurano le policy di sicurezza di rete e firewall.

Prima di iniziare, esamina i concetti nella panoramica dei gruppi di profili di sicurezza.

Nota:per controllare l'avanzamento delle operazioni elencate in questa pagina, assicurati che il tuo ruolo utente disponga delle seguenti autorizzazioni del ruolo Utente di rete Compute (roles/compute.networkUser):

• networksecurity.operations.get
• networksecurity.operations.list

Prima di iniziare

• Devi abilitare l'API Network Security nel tuo progetto.

• Per eseguire gli esempi di riga di comando gcloud in questa guida, installa gcloud CLI.

• Crea i profili di sicurezza che devi aggiungere al gruppo di profili di sicurezza.

Ruoli

Per ottenere le autorizzazioni necessarie per creare gruppi di profili di sicurezza, chiedi all'amministratore di concederti i ruoli IAM (Identity and Access Management) necessari per la tua organizzazione o il tuo progetto. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Creare un gruppo di profili di sicurezza

Crea un gruppo di profili di sicurezza per raggruppare uno o più profili di sicurezza in una risorsa per semplificare la gestione e l'applicazione alle regole firewall.

Ogni gruppo di profili di sicurezza può contenere fino a un profilo di sicurezza di ciascuno dei seguenti tipi:

• URL_FILTERING
• WILDFIRE_ANALYSIS (anteprima)
• URL_FILTERING

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione o nel tuo progetto.

Autorizzazioni

• networksecurity.securityProfileGroups.create

Ruoli

• Compute Network Admin (roles/compute.networkAdmin)
• Amministratore del profilo di sicurezza (roles/networksecurity.securityProfileAdmin) concesso a livello di organizzazione per i gruppi di profili di sicurezza a livello di organizzazione e a livello di progetto o di organizzazione per i gruppi di profili di sicurezza a livello di progetto

Console

Nota:se il tuo progetto Google Cloud si trova in una zona di residenza dei dati (DRZ) nel Regno dell'Arabia Saudita (KSA) o in India, non puoi visualizzare, elencare, creare, aggiornare o eliminare profili di sicurezza o gruppi di profili di sicurezza a livello di progetto utilizzando la console Google Cloud . Per gestire i profili di sicurezza e i gruppi di profili di sicurezza a livello di progetto in Arabia Saudita e India, utilizza gcloud CLI o l'API.

1. Nella console Google Cloud , vai alla pagina Profili di sicurezza.

   Vai a Profili di sicurezza

2. Fai clic su Apri selettore di progetti e seleziona la tua organizzazione.

3. Seleziona la scheda Gruppi di profili di sicurezza.

4. Fai clic su Crea gruppo di profili.

5. Inserisci un nome nel campo Nome.

   Evita informazioni sensibili, come informazioni che consentono l'identificazione personale (PII) o dati di sicurezza, nel nome del gruppo di profili di sicurezza.

6. (Facoltativo) Inserisci una descrizione nel campo Descrizione.

7. Per creare un gruppo di profili di sicurezza per Cloud Next Generation Firewall Enterprise, nella sezione Scopo, seleziona Cloud NGFW Enterprise.

8. Aggiungi uno o più profili di sicurezza al gruppo:

   • Per aggiungere un profilo di prevenzione delle minacce, seleziona Profilo di prevenzione delle minacce.
   • Per aggiungere il profilo di analisi WildFire**, seleziona Profilo di analisi WildFire(Anteprima).
   • Per aggiungere un profilo di filtro degli URL, seleziona Profilo di filtro degli URL.

9. Fai clic su Crea.

gcloud

Per creare un gruppo di profili di sicurezza, utilizza il comando gcloud network-security security-profile-groups create:

gcloud network-security security-profile-groups create NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --threat-prevention-profile THREAT_SECURITY_PROFILE_URL \
    --url-filtering-profile URL_SECURITY_PROFILE_URL \
    --location global

Sostituisci quanto segue:

• NAME: il nome del gruppo di profili di sicurezza.

  Se non specifichi il nome nel formato dell'identificatore URL univoco, devi specificare l'organizzazione o il nome del progetto e la località.

  Non includere informazioni sensibili come dati di sicurezza o informazioni che consentono l'identificazione personale nel nome del gruppo di profili di sicurezza.

• ORGANIZATION_ID: l'ID organizzazione. Utilizza questo flag per un gruppo di profili di sicurezza a livello di organizzazione.

• PROJECT_ID: l'ID progetto Utilizza questo flag per un gruppo di profili di sicurezza a livello di progetto.

• QUOTA_PROJECT_ID: l'ID progetto della quota. Utilizza questo flag solo per i gruppi di profili di sicurezza a livello di organizzazione.

• THREAT_SECURITY_PROFILE_URL: un identificatore univoco dell'URL per un profilo di sicurezza di tipo THREAT_PREVENTION.

• URL_SECURITY_PROFILE_URL: un identificatore URL univoco per un profilo di sicurezza di tipo URL_FILTERING.

Per creare un gruppo di profili di sicurezza per l'analisi WildFire, utilizza il comando gcloud beta network-security security-profile-groups create (anteprima):

gcloud beta network-security security-profile-groups create NAME \
   --organization ORGANIZATION_ID | --project PROJECT_ID \
   --location global \
   --billing-project QUOTA_PROJECT_ID \
   --threat-prevention-profile THREAT_SECURITY_PROFILE_URL \
   --wildfire-analysis-profile WILDFIRE_SECURITY_PROFILE_URL \
   --url-filtering-profile URL_SECURITY_PROFILE_URL \
   --description DESCRIPTION

Sostituisci quanto segue:

• NAME: il nome del gruppo di profili di sicurezza.

  Evita informazioni sensibili, come PII o dati di sicurezza, nel nome del gruppo di profili di sicurezza.

• ORGANIZATION_ID: l'ID organizzazione. Utilizza questo flag per un gruppo di profili di sicurezza a livello di organizzazione.

• PROJECT_ID: l'ID progetto Utilizza questo flag per un gruppo di profili di sicurezza a livello di progetto.

• QUOTA_PROJECT_ID: l'ID progetto della quota. Utilizza questo flag solo per i gruppi di profili di sicurezza a livello di organizzazione.

• THREAT_SECURITY_PROFILE_URL: un identificatore univoco dell'URL per un profilo di sicurezza di tipo THREAT_PREVENTION.

• WILDFIRE_SECURITY_PROFILE_URL: un identificatore URL univoco per un profilo di sicurezza di tipo WILDFIRE_ANALYSIS.

• URL_SECURITY_PROFILE_URL: un identificatore URL univoco per un profilo di sicurezza di tipo URL_FILTERING.

Passaggi successivi

• Gestire i gruppi di profili di sicurezza
• Creare e gestire gli endpoint firewall