Créer des groupes de profils de sécurité

Les groupes de profils de sécurité sont des conteneurs pour les profils de sécurité. Ils vous permettent de regrouper des types de profils de sécurité pour faciliter leur gestion et leur application aux règles de pare-feu. Vous pouvez créer ces groupes au niveau de l'organisation ou du projet.

Chaque groupe de profils de sécurité peut contenir jusqu'à un profil de sécurité de chacun des types suivants :

• THREAT_PREVENTION
• WILDFIRE_ANALYSIS (bêta)
• URL_FILTERING

Pour appliquer des règles de sécurité réseau cohérentes dans votre Google Cloud environnement, vous pouvez utiliser des groupes de profils de sécurité pour combiner et appliquer des profils de prévention des menaces, d'analyse WildFire et de filtrage des URL. En regroupant ces profils, vous pouvez appliquer plusieurs contrôles de sécurité tels que la prévention des menaces, WildFire et le filtrage des URL au trafic réseau via une seule règle de stratégie de pare-feu, ce qui garantit une application cohérente des règles et une gestion simplifiée.

Ce document est destiné aux administrateurs réseau et aux ingénieurs en sécurité qui configurent la sécurité réseau et les stratégies de pare-feu.

Avant de commencer, consultez les concepts de la Présentation des groupes de profils de sécurité.

Remarque : Pour vérifier la progression des opérations répertoriées sur cette page, assurez-vous que votre rôle utilisateur dispose des autorisations suivantes : rôle d'utilisateur de réseau de Compute (roles/compute.networkUser)

• networksecurity.operations.get
• networksecurity.operations.list

Avant de commencer

• Vous devez activer l'API Network Security dans votre projet.

• Pour exécuter les exemples de ligne de commande gcloud de ce guide, installez gcloud CLI.

• Créez les profils de sécurité que vous devez ajouter au groupe de profils de sécurité.

Rôles

Pour obtenir les autorisations nécessaires pour créer des groupes de profils de sécurité, demandez à votre administrateur de vous accorder les rôles IAM (Identity and Access Management) nécessaires sur votre organisation ou votre projet. Pour en savoir plus sur l'attribution de rôles, consultez la section Gérer les accès.

Créer un groupe de profils de sécurité

Créez un groupe de profils de sécurité pour regrouper un ou plusieurs profils de sécurité dans une seule ressource afin de faciliter leur gestion et leur application aux règles de pare-feu.

Chaque groupe de profils de sécurité peut contenir jusqu'à un profil de sécurité de chacun des types suivants :

• URL_FILTERING
• WILDFIRE_ANALYSIS (bêta)
• URL_FILTERING

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou de l'un des rôles IAM suivants sur votre organisation ou votre projet.

Autorisations

• networksecurity.securityProfileGroups.create

Rôles

• Administrateur de réseaux Compute (roles/compute.networkAdmin)
• Administrateur de profils de sécurité (roles/networksecurity.securityProfileAdmin) accordé au niveau de l'organisation pour les groupes de profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les groupes de profils de sécurité au niveau du projet

Console

Remarque : Si votre Google Cloud projet se trouve dans une zone de résidence des données (DRZ) au Royaume d’Arabie saoudite ou en Inde, vous ne pouvez pas afficher, lister, créer, mettre à jour ni supprimer des profils de sécurité ou des groupes de profils de sécurité au niveau du projet à l’aide de la Google Cloud console. Pour gérer les profils de sécurité et les groupes de profils de sécurité au niveau du projet en Arabie saoudite et en Inde, utilisez gcloud CLI ou l'API.

1. Dans la Google Cloud console, accédez à la page Profils de sécurité.

   Accéder à la page "Profils de sécurité"

2. Cliquez sur Ouvrir le sélecteur de projet , puis sélectionnez votre organisation.

3. Sélectionnez l'onglet Groupes de profils de sécurité.

4. Cliquez sur Créer un groupe de profils.

5. Saisissez un nom dans le champ Nom.

   Évitez d'inclure des informations sensibles, telles que des informations permettant d'identifier personnellement l'utilisateur ou des données de sécurité, dans le nom du groupe de profils de sécurité.

6. Facultatif : saisissez une description dans le champ Description.

7. Pour créer un groupe de profils de sécurité pour Cloud Next Generation Firewall Enterprise, dans la section Objectif, sélectionnez Cloud NGFW Enterprise.

8. Ajoutez un ou plusieurs profils de sécurité au groupe :

   • Pour ajouter un profil de prévention des menaces, sélectionnez Profil de prévention des menaces.
   • Pour ajouter un profil d'analyse WildFire**, sélectionnez Profil d'analyse WildFire(bêta).
   • Pour ajouter un profil de filtrage des URL, sélectionnez Profil de filtrage des URL.

9. Cliquez sur Créer.

gcloud

Pour créer un groupe de profils de sécurité, exécutez la commande gcloud network-security security-profile-groups create :

gcloud network-security security-profile-groups create NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --threat-prevention-profile THREAT_SECURITY_PROFILE_URL \
    --url-filtering-profile URL_SECURITY_PROFILE_URL \
    --location global

Remplacez les éléments suivants :

• NAME : nom du groupe de profils de sécurité.

  Si vous ne spécifiez pas le nom au format d'identifiant d'URL unique, vous devez spécifier l'organisation ou le nom du projet, ainsi que l'emplacement.

  N'incluez pas d'informations sensibles telles que des informations permettant d'identifier personnellement l'utilisateur ou des données de sécurité dans le nom du groupe de profils de sécurité.

• ORGANIZATION_ID : ID de l'organisation. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau de l'organisation.

• PROJECT_ID : ID du projet. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau du projet.

• QUOTA_PROJECT_ID : ID du projet de quota. N'utilisez cet indicateur que pour les groupes de profils de sécurité au niveau de l'organisation.

• THREAT_SECURITY_PROFILE_URL: identifiant d'URL unique pour un profil de sécurité de type THREAT_PREVENTION.

• URL_SECURITY_PROFILE_URL: identifiant d'URL unique pour un profil de sécurité de type URL_FILTERING.

Pour créer un groupe de profils de sécurité pour l'analyse WildFire, exécutez la gcloud beta network-security security-profile-groups create commande (bêta) :

gcloud beta network-security security-profile-groups create NAME \
   --organization ORGANIZATION_ID | --project PROJECT_ID \
   --location global \
   --billing-project QUOTA_PROJECT_ID \
   --threat-prevention-profile THREAT_SECURITY_PROFILE_URL \
   --wildfire-analysis-profile WILDFIRE_SECURITY_PROFILE_URL \
   --url-filtering-profile URL_SECURITY_PROFILE_URL \
   --description DESCRIPTION

Remplacez les éléments suivants :

• NAME : nom du groupe de profils de sécurité.

  Évitez d'inclure des informations sensibles, telles que des informations permettant d'identifier personnellement l'utilisateur ou des données de sécurité, dans le nom du groupe de profils de sécurité.

• ORGANIZATION_ID : ID de l'organisation. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau de l'organisation.

• PROJECT_ID : ID du projet. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau du projet.

• QUOTA_PROJECT_ID : ID du projet de quota. N'utilisez cet indicateur que pour les groupes de profils de sécurité au niveau de l'organisation.

• THREAT_SECURITY_PROFILE_URL: identifiant d'URL unique pour un profil de sécurité de type THREAT_PREVENTION.

• WILDFIRE_SECURITY_PROFILE_URL: identifiant d'URL unique pour un profil de sécurité de type WILDFIRE_ANALYSIS.

• URL_SECURITY_PROFILE_URL: identifiant d'URL unique pour un profil de sécurité de type URL_FILTERING.

Étape suivante

• Gérer les groupes de profils de sécurité
• Créer et gérer des points de terminaison de pare-feu