WildFire を使用すると、不明なファイルベースの脅威や高度なマルウェアからネットワークを保護できます。ネットワークで WildFire を有効にするには、ファイアウォール エンドポイント、セキュリティ プロファイル、セキュリティ プロファイル グループなど、複数の Cloud Next Generation Firewall コンポーネントを設定する必要があります。このドキュメントでは、これらのコンポーネントを構成して WildFire を有効にする方法について、おおまかなワークフローを示して説明します。
WildFire の詳細については、 WildFire の概要をご覧ください。
必要なロール
Identity and Access Management（IAM）ロールは、WildFire を構成して有効にするためのアクションを管理します。次の表に、各ステップに必要なロールを示します。
| 機能 | 必要なロール |
|---|---|
| Virtual Private Cloud（VPC）ネットワークのファイアウォール エンドポイントとファイアウォール エンドポイントの関連付けを作成する。 | このタスクを行うには、次のいずれかのロールが必要です。
|
| WildFire 分析セキュリティ プロファイル、脅威防止セキュリティ プロファイル、セキュリティ プロファイル グループ を作成する | セキュリティ プロファイル管理者（roles/networksecurity.securityProfileAdmin）組織レベルのセキュリティ プロファイル グループの場合は組織レベル、セキュリティ プロファイル グループの場合はプロジェクト レベル（プレビュー）または組織レベル。このロールには、次の必要な権限が含まれます。
|
| 階層型ファイアウォール ポリシーとそのルールを作成する | Compute 組織ファイアウォール ポリシー管理者（roles/compute.orgFirewallPolicyAdmin）。階層型ファイアウォール ポリシーを作成するには、このロールが必要です。ポリシーを作成するリソースにロールを付与する必要があります。 また、階層型ファイアウォール ポリシーでルールを作成するには、このロールが必要です。 ポリシーを含むリソースまたはポリシー自体にロールを付与する必要があります。 ロールには、次の必要な権限が含まれます。
|
| 階層型ファイアウォール ポリシーを組織またはフォルダに関連付ける | このタスクを行うには、次のいずれかのロールが必要です。
|
| グローバル ネットワーク ファイアウォール ポリシーとそのルールを作成する | Compute セキュリティ管理者 (roles/compute.securityAdmin)グローバル ネットワーク ファイアウォール ポリシーを作成するには、このロールが必要です。ポリシーを作成するプロジェクトにロールを付与する必要があります。 また、グローバル ネットワーク ファイアウォール ポリシーでルールを作成するには、このロールが必要です。ポリシーを含むプロジェクトまたはポリシー自体にロールを付与する必要があります。 ロールには、次の必要な権限が含まれます。
|
| グローバル ネットワーク ファイアウォール ポリシーを VPC ネットワークに関連付ける | Compute ネットワーク管理者 (roles/compute.networkAdmin)このロールには、次の必要な権限が含まれます:
|
| CA プールを作成する | CA Service オペレーション マネージャー（roles/privateca.caManager）Transport Layer Security（TLS）インスペクションを使用する場合は、 認証局（CA）プールを作成するためにこのロールが必要です。 |
| TLS インスペクション ポリシーを作成する | このタスクを行うには、次のいずれかのロールが必要です。
|
TLS インスペクションなしで WildFire を構成する
ネットワークで Transport Layer Security（TLS） インスペクションなしで WildFire を構成するには、次の操作を行います。
WildFire EULA に同意する 。
エンドポイントで WildFire を有効にする前に、課金プロジェクトで WildFire エンドユーザー使用許諾契約（EULA）を確認して同意する必要があります。EULA に同意するには、エンドポイントを作成または更新します。
詳細については、ファイアウォール エンドポイントを作成するをご覧ください。
WildFire 分析セキュリティ プロファイルを作成する 。
WILDFIRE_ANALYSISセキュリティ プロファイルを作成し、分析のために送信するファイルの種類とトラフィックの方向（アップロードまたはダウンロード）を指定します。詳細については、 WildFire 分析セキュリティ プロファイルを作成するをご覧ください。
脅威防止セキュリティ プロファイルを作成する 。
グループで WildFire 分析プロファイルを使用するには、脅威防止セキュリティ プロファイルが必須です。
THREAT_PREVENTIONセキュリティ プロファイルを作成します。詳細については、 脅威防止セキュリティ プロファイルを作成するをご覧ください。
セキュリティ プロファイル グループを作成する 。
WildFire 分析セキュリティ プロファイルと脅威防止セキュリティ プロファイルをセキュリティ プロファイル グループに追加します。
詳細については、 セキュリティ プロファイル グループを作成するをご覧ください。
WildFire を有効にしてファイアウォール エンドポイントを作成する 。
ファイアウォール エンドポイントを作成します。[詳細構成] セクションで、[WildFire を有効にする] チェックボックスをオンにします。
詳細については、ファイアウォール エンドポイントを作成するをご覧ください。
ファイアウォール エンドポイントを VPC ネットワークに関連付ける 。
WildFire を有効にするには、ファイアウォール エンドポイントを VPC ネットワークに関連付けます。ワークロードがファイアウォール エンドポイントと同じゾーンで実行されていることを確認してください。
ジャンボ フレームをサポートするファイアウォール エンドポイントは、最大 8,500 バイトのパケットのみを受け入れることができます。ジャンボ フレームをサポートしないファイアウォール エンドポイントは、最大 1,460 バイトのパケットのみを受け入れることができます。WildFire が必要な場合は、関連する VPC ネットワークを構成して、最大伝送単位（MTU）の上限を 8,500 バイトと 1,460 バイトにすることをおすすめします。詳細については、 サポートされているパケットサイズをご覧ください。
詳細については、ファイアウォール エンドポイントの関連付けを作成するをご覧ください。
WildFire を構成してネットワーク トラフィックに適用する 。
apply_security_profile_groupアクションを使用して、グローバルまたは階層型ファイアウォール ポリシー ルールを作成します。セキュリティ プロファイル グループを指定します。ファイアウォール ポリシーが、検査するワークロードと同じ VPC ネットワークに関連付けられていることを確認します。詳細については、階層型ファイアウォール ポリシーとルールを作成するとグローバル ネットワーク ファイアウォール ポリシーとルールを作成するをご覧ください。
TLS インスペクションで WildFire を構成する
ネットワークで TLS インスペクションを使用して WildFire を構成するには、次の操作を行います。
WildFire EULA に同意する 。
エンドポイントで WildFire を有効にする前に、課金プロジェクトで WildFire EULA を確認して同意する必要があります。EULA に同意するには、エンドポイントを作成または更新します。
詳細については、ファイアウォール エンドポイントを作成するをご覧ください。
WildFire 分析セキュリティ プロファイルを作成する 。
WILDFIRE_ANALYSISセキュリティ プロファイルを作成し、分析のために送信するファイルの種類とトラフィックの方向（アップロードまたはダウンロード）を指定します。詳細については、 WildFire 分析セキュリティ プロファイルを作成するをご覧ください。
脅威防止セキュリティ プロファイルを作成する 。
グループで WildFire 分析プロファイルを使用するには、脅威防止セキュリティ プロファイルが必須です。
THREAT_PREVENTIONセキュリティ プロファイルを作成します。詳細については、 脅威防止セキュリティ プロファイルを作成するをご覧ください。
セキュリティ プロファイル グループを作成する 。
WildFire 分析セキュリティ プロファイルと脅威防止セキュリティ プロファイルをセキュリティ プロファイル グループに追加します。
詳細については、 セキュリティ プロファイル グループを作成するをご覧ください。
WildFire を有効にしてファイアウォール エンドポイントを作成する 。
ファイアウォール エンドポイントを作成します。[詳細構成] セクションで、[WildFire を有効にする] チェックボックスをオンにします。
詳細については、ファイアウォール エンドポイントを作成するをご覧ください。
ファイアウォール エンドポイントを VPC ネットワークに関連付ける 。
WildFire を有効にするには、ファイアウォール エンドポイントを VPC ネットワークに関連付けます。ワークロードがファイアウォール エンドポイントと同じゾーンで実行されていることを確認してください。
ジャンボ フレームをサポートするファイアウォール エンドポイントは、最大 8,500 バイトのパケットのみを受け入れることができます。ジャンボ フレームをサポートしないファイアウォール エンドポイントは、最大 1,460 バイトのパケットのみを受け入れることができます。WildFire が必要な場合は、関連する VPC ネットワークを構成して、最大伝送単位（MTU）の上限を 8,500 バイトと 1,460 バイトにすることをおすすめします。詳細については、 サポートされているパケットサイズをご覧ください。
詳細については、ファイアウォール エンドポイントの関連付けを作成するをご覧ください。
暗号化されたトラフィックを検査するリソースを作成して構成する 。
CA プールを作成します。
CA プールは、共通の証明書発行ポリシーと IAM ポリシーを持つ CA の集合です。TLS インスペクションを構成する前に、リージョン CA プールが存在する必要があります。
詳細については、 CA プールを作成するをご覧ください。
ルート CA を作成します。
TLS インスペクションを使用するには、少なくとも 1 つのルート CA が必要です。ルート CA は中間 CA に署名し、中間 CA はクライアントのすべてのリーフ証明書に署名します。 詳細については、
gcloud privateca roots createコマンドのリファレンス ドキュメントをご覧ください。ネットワーク セキュリティ サービス エージェント（P4SA）に権限を付与します。
Cloud NGFW では、TLS インスペクション用の中間 CA を生成するために P4SA が必要です。サービス エージェントには、CA プールの証明書をリクエストするために必要な権限が必要です。
詳細については、 サービス アカウントの作成をご覧ください。
リージョン TLS インスペクション ポリシーを作成する 。
TLS インスペクション ポリシーでは、暗号化されたトラフィックをインターセプトする方法を指定します。リージョン TLS インスペクション ポリシーには、TLS インスペクションの構成を保持できます。
詳細については、 TLS インスペクション ポリシーを作成するをご覧ください。
TLS インスペクション ポリシーをファイアウォール エンドポイントの関連付けに追加する 。
TLS インスペクション ポリシーをファイアウォール エンドポイントの関連付けに追加するには、 ファイアウォール エンドポイントの関連付けを作成するをご覧ください。
WildFire を構成してネットワーク トラフィックに適用する 。
WildFire を構成するには、 レイヤ 7 インスペクションを使用してグローバル ネットワーク ファイアウォール ポリシー または階層型ファイアウォール ポリシー を作成します。
新規または既存のグローバル ファイアウォール ポリシーで、
apply_security_profile_groupアクションを使用してルールを追加します。 以前に作成したセキュリティ プロファイル グループの名前を指定します。ファイアウォール ポリシーが、検査するワークロードと同じ VPC ネットワークに関連付けられていることを確認します。詳細については、 グローバル ネットワーク ファイアウォール ポリシーを作成する とルールを作成するをご覧ください。
新規または既存の階層型ファイアウォール ポリシーで、
apply_security_profile_groupアクションを使用してルールを追加します。 ファイアウォール ポリシーが、検査するワークロードと同じ VPC ネットワークに関連付けられていることを確認します。詳細については、 ルールを作成するをご覧ください。
既存のファイアウォール エンドポイントをアップグレードして WildFire を有効にする
アクティブな脅威防止セキュリティ プロファイルとセキュリティ プロファイル グループを使用して、ネットワークに Cloud Next Generation Firewall Enterprise エンドポイントをすでにデプロイしている場合は、次の操作を行って WildFire を構成して有効にします。
WildFire EULA に同意する 。
エンドポイントの課金プロジェクトで WildFire EULA を分析して同意します。
WildFire 分析セキュリティ プロファイルを作成する 。
WILDFIRE_ANALYSISセキュリティ プロファイルを作成し、ファイル送信ルールとカスタム プロトコルまたは脅威の上書きを定義します。詳細については、 WildFire 分析セキュリティ プロファイルを作成するをご覧ください。セキュリティ プロファイル グループを更新する 。
新しい WildFire 分析セキュリティ プロファイルをセキュリティ プロファイル グループに追加します。セキュリティ プロファイル グループには、脅威防止プロファイルが含まれている必要があります。 詳細については、 セキュリティ プロファイル グループを更新するをご覧ください。
ファイアウォール エンドポイントで WildFire を有効にする 。
ファイアウォール エンドポイントを更新し、ゾーン エンドポイントの詳細構成で [WildFire を有効にする] チェックボックスをオンにします。詳細については、 ファイアウォール エンドポイントを更新するをご覧ください。