Cloud NGFW のコンセプト

Cloud Next Generation Firewall を使用すると、インターネットからの外部の脅威とネットワーク内の内部の脅威からワークロードを保護できます。

このドキュメントでは、Cloud NGFW の動作とルールの評価方法を説明する基本的なコンセプトと用語について説明します。

ファイアウォール ポリシールール

Cloud NGFW では、ファイアウォール ポリシー ルールがセキュリティ構成の基本単位です。トラフィックの許可、拒否、検査を行うための基準を定義します。詳細については、ファイアウォール ポリシールールをご覧ください。

ファイアウォール ポリシー

ファイアウォール ポリシーは、複数のファイアウォール ルールをグループ化するコンテナです。詳細については、ファイアウォール ポリシーをご覧ください。

Cloud NGFW は、リソース階層内の場所に応じて、次のポリシータイプをサポートしています。

階層型ファイアウォール ポリシーまたはネットワーク ファイアウォール ポリシーを作成すると、Google Cloud はポリシーにいくつかの事前定義ルールを追加します。

ファイアウォール ポリシーの関連付け

ファイアウォール ポリシーのルールを使用する前に、ポリシーをリソースに関連付ける必要があります。関連付けの方法は、ポリシーのタイプによって異なります。

  • 階層型ファイアウォール ポリシー: 階層型ポリシーをGoogle Cloud 組織またはフォルダに関連付けます。
  • グローバル ネットワーク ファイアウォール ポリシー: ファイアウォール ポリシーと同じプロジェクト内の 1 つ以上の VPC ネットワークにグローバル ネットワーク ファイアウォール ポリシーを関連付けます。
  • リージョン ネットワーク ファイアウォール ポリシー: ファイアウォール ポリシーと同じプロジェクト内の 1 つ以上の VPC ネットワークの単一リージョンにリージョン ネットワーク ファイアウォール ポリシーを関連付けます。

ファイアウォール ポリシーをリソースに関連付けると、ポリシーのルールが一致するトラフィックに適用されます。

Cloud NGFW の仕組み

Cloud NGFW は、ファイアウォール ポリシールール、VPC ファイアウォール ルール、暗黙的なアクションを評価します。詳細については、ファイアウォール ポリシーとルールの評価順序をご覧ください。

VPC ファイアウォール ルール

VPC ファイアウォール ルールを使用すると、単一の VPC ネットワークのネットワーク レイヤ（レイヤ 3 とレイヤ 4）のトラフィックを管理できます。

VPC ファイアウォール ルールは、ファイアウォール ポリシー ルールよりも機能が少なくなっています。ベスト プラクティスとして、VPC ファイアウォール ルールの代わりにファイアウォール ポリシーを使用します。詳細については、VPC ファイアウォール ルールをご覧ください。

ファイアウォール ポリシールールのコア コンポーネント

ファイアウォール ポリシー ルールを構成するには、次のコンポーネントを定義します。

  • 方向: ターゲット リソースの視点からトラフィック フローの方向を指定します。

    • 上り（内向き）: ファイアウォール ポリシー ルールが上り（内向き）トラフィックに適用されるかどうかを指定します。詳細については、上り（内向き）ルールをご覧ください。
    • 下り（外向き）: ルールが送信トラフィックに適用されるかどうかを指定します。詳細については、下り（外向き）ルールをご覧ください。

  • 優先度: ポリシー内のルールの評価順序を決定する一意の整数。小さい整数が高い優先度を示します。詳細については、候補をご覧ください。

  • 条件: プロトコル、IP アドレス、ポート番号など、ネットワーク パケットの一致条件。

  • ターゲット タイプ: ファイアウォール ルールが保護する Google Cloud リソースのタイプ。ファイアウォール ポリシー ルールを構成して、仮想マシン（VM）インスタンス（デフォルト）または内部アプリケーション ロードバランサと内部プロキシ ネットワーク ロードバランサ（プレビュー）が使用するマネージド Envoy プロキシに適用できます。

  • ターゲット: 特定のターゲットにルールを適用します。

  • 送信元: 上り（内向き）ルールでは必須、下り（外向き）ルールでは省略可。詳細については、ソースをご覧ください。

  • 宛先: 下り（外向き）ルールでは必須、上り（内向き）ルールでは省略可。詳細については、宛先をご覧ください。

  • プロトコルとポート: 通信プロトコルと宛先ポート。詳細については、プロトコルとポートをご覧ください。

  • アクション: ネットワーク パケットがルールの条件に一致したときに Cloud NGFW が実行するアクション。詳しくは、一致時のアクションをご覧ください。

標準 VPC ネットワークのすべてのルール コンポーネントについては、ファイアウォール ポリシー ルールのコンポーネントをご覧ください。

Cloud NGFW の階層

Google Cloud は、さまざまなセキュリティ要件と料金要件に合わせて、Cloud NGFW の機能を複数の階層に整理します。詳細については、Cloud NGFW の階層をご覧ください。

ネットワーク レイヤの検査

基本的な保護の場合、Cloud NGFW は Open Systems Interconnection（OSI）モデルのレイヤ 3 とレイヤ 4 でネットワーク トラフィックを検査します。

Cloud NGFW のすべての階層で、分散型のステートフル レイヤ 3 とレイヤ 4 のフィルタリングが使用されます。ファイアウォールはアクティブな接続状態を追跡し、接続トラッキング テーブルに対してパケットを評価します。

アプリケーション レイヤの検査

高度な保護のために、Cloud NGFW は OSI モデルのアプリケーション レイヤ（レイヤ 7）でトラフィックを検査できます。この検査により、ファイアウォールは IP アドレスとポートだけでなく、アプリケーション レベルのデータに基づいて意思決定を行うことができます。アプリケーション レイヤの検査の例としては、侵入検知および防止サービス、高度なマルウェア サンドボックス（WildFire）、URL フィルタリング サービスなどのサービスがあります。アプリケーション レイヤ検査機能は、Cloud Next Generation Firewall Enterprise ティアでのみ使用できます。詳細については、アプリケーション レイヤの検査の概要をご覧ください。

次のステップ