Créer des groupes de profils de sécurité

Les groupes de profils de sécurité sont des conteneurs pour les profils de sécurité. Ils vous permettent de regrouper des types de profils de sécurité pour faciliter la gestion et l'application aux règles de pare-feu. Vous pouvez créer ces groupes au niveau de l'organisation ou du projet.

Chaque groupe de profils de sécurité peut contenir au maximum un profil de sécurité de chacun des types suivants :

• THREAT_PREVENTION
• WILDFIRE_ANALYSIS (preview)
• URL_FILTERING

Pour appliquer des règles de sécurité réseau cohérentes à votre environnement Google Cloud, vous pouvez utiliser des groupes de profils de sécurité afin de combiner et d'appliquer des profils de prévention des menaces, de bac à sable avancé pour les logiciels malveillants (WildFire) et de filtrage d'URL. En regroupant ces profils, vous pouvez appliquer plusieurs contrôles de sécurité tels que la prévention des menaces, le bac à sable avancé pour les logiciels malveillants et le filtrage d'URL sur le trafic réseau à l'aide d'une seule règle de stratégie de pare-feu. Vous garantissez ainsi une application cohérente des règles et une gestion simplifiée.

Ce document est destiné aux administrateurs réseau et aux ingénieurs en sécurité qui configurent la sécurité du réseau et les règles de pare-feu.

Avant de commencer, consultez les concepts de la Présentation des groupes de profils de sécurité.

Remarque : Pour vérifier la progression des opérations répertoriées sur cette page, assurez-vous que votre rôle utilisateur dispose des autorisations du rôle d'utilisateur de réseau de Compute (roles/compute.networkUser) :

• networksecurity.operations.get
• networksecurity.operations.list

Avant de commencer

• Vous devez activer l'API Network Security dans votre projet.

• Pour exécuter les exemples de ligne de commande gcloud de ce guide, installez gcloud CLI.

• Créez les profils de sécurité que vous devez ajouter au groupe de profils de sécurité.

Rôles

Pour obtenir les autorisations nécessaires pour créer des groupes de profils de sécurité, demandez à votre administrateur de vous accorder les rôles IAM (Identity and Access Management) nécessaires sur votre organisation ou votre projet. Pour en savoir plus sur l'attribution de rôles, consultez la section Gérer les accès.

Créer un groupe de profils de sécurité

Créez un groupe de profils de sécurité pour regrouper un ou plusieurs profils de sécurité dans une seule ressource. Vous pourrez ainsi les gérer et les appliquer plus facilement aux règles de pare-feu.

Chaque groupe de profils de sécurité peut contenir au maximum un profil de sécurité de chacun des types suivants :

• THREAT_PREVENTION
• WILDFIRE_ANALYSIS (preview)
• URL_FILTERING

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou détenir l'un des rôles IAM suivants sur votre organisation ou votre projet.

Autorisations

• networksecurity.securityProfileGroups.create

Rôles

• Administrateur de réseaux Compute (roles/compute.networkAdmin)
• Administrateur de profil de sécurité (roles/networksecurity.securityProfileAdmin) : accordé au niveau de l'organisation pour les groupes de profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les groupes de profils de sécurité au niveau du projet

Console

Remarque : Si votre projet Google Cloud se trouve dans une zone de résidence des données (DRZ) en Inde ou au Royaume d'Arabie saoudite, vous ne pouvez pas afficher, lister, créer, modifier ni supprimer des profils de sécurité ou des groupes de profils de sécurité au niveau du projet à l'aide de la console Google Cloud . Pour gérer les profils de sécurité et les groupes de profils de sécurité au niveau du projet en Arabie saoudite et en Inde, utilisez gcloud CLI ou l'API.

1. Dans la console Google Cloud , accédez à la page Profils de sécurité.

   Accéder à la page "Profils de sécurité"

2. Cliquez sur Ouvrir le sélecteur de projet, puis sélectionnez votre organisation.

3. Sélectionnez l'onglet Groupes de profils de sécurité.

4. Cliquez sur Créer un groupe de profils.

5. Saisissez un nom dans le champ Nom.

   Évitez d'inclure des informations sensibles telles que des informations permettant d'identifier personnellement l'utilisateur ou des données de sécurité dans le nom du groupe de profils de sécurité.

6. Facultatif : saisissez une description dans le champ Description.

7. Pour créer un groupe de profils de sécurité pour Cloud Next Generation Firewall Enterprise, dans la section Usage, sélectionnez Cloud NGFW Enterprise.

8. Ajoutez un ou plusieurs profils de sécurité au groupe :

   • Pour ajouter un profil de prévention des menaces, sélectionnez Profil de prévention des menaces.
   • Pour ajouter un profil de bac à sable avancé pour les logiciels malveillants, sélectionnez Profil du bac à sable avancé pour les logiciels malveillants (WildFire) (Aperçu).
   • Pour ajouter un profil de filtrage des URL, sélectionnez Profil de filtrage des URL.

9. Cliquez sur Créer.

gcloud

Pour créer un groupe de profils de sécurité, exécutez la commande gcloud network-security security-profile-groups create :

gcloud network-security security-profile-groups create NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --threat-prevention-profile THREAT_SECURITY_PROFILE_URL \
    --url-filtering-profile URL_SECURITY_PROFILE_URL \
    --location global

Remplacez les éléments suivants :

• NAME : nom du groupe de profils de sécurité.

  Si vous ne spécifiez pas le nom au format d'identifiant d'URL unique, vous devez indiquer le nom de l'organisation ou du projet, ainsi que l'emplacement.

  N'incluez pas d'informations sensibles telles que des informations permettant d'identifier personnellement l'utilisateur ou des données de sécurité dans le nom du groupe de profils de sécurité.

• ORGANIZATION_ID : ID d'organisation. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau de l'organisation.

• PROJECT_ID : ID du projet. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau du projet.

• QUOTA_PROJECT_ID : ID du projet de quota. N'utilisez cet indicateur que pour les groupes de profils de sécurité au niveau de l'organisation.

• THREAT_SECURITY_PROFILE_URL : identifiant d'URL unique pour un profil de sécurité de type THREAT_PREVENTION.

• URL_SECURITY_PROFILE_URL : identifiant d'URL unique pour un profil de sécurité de type URL_FILTERING.

Pour créer un groupe de profils de sécurité pour le bac à sable avancé pour les logiciels malveillants, exécutez la commande gcloud beta network-security security-profile-groups create (Aperçu) :

gcloud beta network-security security-profile-groups create NAME \
   --organization ORGANIZATION_ID | --project PROJECT_ID \
   --location global \
   --billing-project QUOTA_PROJECT_ID \
   --threat-prevention-profile THREAT_SECURITY_PROFILE_URL \
   --wildfire-analysis-profile WILDFIRE_SECURITY_PROFILE_URL \
   --url-filtering-profile URL_SECURITY_PROFILE_URL \
   --description DESCRIPTION

Remplacez les éléments suivants :

• NAME : nom du groupe de profils de sécurité.

  Évitez d'inclure des informations sensibles, telles que des informations permettant d'identifier personnellement l'utilisateur ou des données de sécurité, dans le nom du groupe de profils de sécurité.

• ORGANIZATION_ID : ID d'organisation. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau de l'organisation.

• PROJECT_ID : ID du projet. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau du projet.

• QUOTA_PROJECT_ID : ID du projet de quota. N'utilisez cet indicateur que pour les groupes de profils de sécurité au niveau de l'organisation.

• THREAT_SECURITY_PROFILE_URL : identifiant d'URL unique pour un profil de sécurité de type THREAT_PREVENTION.

• WILDFIRE_SECURITY_PROFILE_URL : identifiant d'URL unique pour un profil de sécurité de type WILDFIRE_ANALYSIS.

• URL_SECURITY_PROFILE_URL : identifiant d'URL unique pour un profil de sécurité de type URL_FILTERING.

Étapes suivantes

• Gérer les groupes de profils de sécurité
• Créer des points de terminaison de pare-feu et des associations de points de terminaison
• Gérer les points de terminaison de pare-feu et les associations de points de terminaison