ניהול קבוצות של פרופילי אבטחה

קבוצות של פרופילי אבטחה מאפשרות להחיל כללי מדיניות של אבטחת רשת ולשלוט בהם בכל הפריסות. כל קבוצת פרופילי אבטחה יכולה להכיל עד פרופיל אבטחה אחד מכל אחד מהסוגים הבאים:

  • THREAT_PREVENTION
  • WILDFIRE_ANALYSIS
  • URL_FILTERING

אם מקבצים את הפרופילים של מניעת איומים, סביבה מתקדמת לבדיקת תוכנות זדוניות וסינון כתובות URL, אפשר לאכוף כמה בדיקות אבטחה על התנועה ברשת באמצעות כלל מדיניות אחד של חומת אש. כך אפשר להבטיח אכיפה עקבית של מדיניות חומת האש ולפשט את הניהול. המסמך הזה עוזר למנהלי רשתות ולמהנדסי אבטחה להגדיר ולנהל קבוצות של פרופילי אבטחה ברמת הארגון וברמת הפרויקט.

לפני שמתחילים, כדאי לקרוא את המושגים בסקירה הכללית על קבוצות של פרופילי אבטחה.

לפני שמתחילים

תפקידים

כדי לקבל את ההרשאות שנדרשות לצפייה, עדכון או מחיקה של קבוצות פרופילי אבטחה, צריך לבקש מהאדמין להקצות את התפקידים הנדרשים בממשק לניהול זהויות והרשאות גישה (IAM) ברמת הארגון או הפרויקט. כדי לקרוא הסבר על מתן תפקידים, קראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

הצגת רשימה ופרטים של קבוצת פרופילי אבטחה

כדי להציג את כל קבוצות פרופילי האבטחה, אפשר להשתמש במסוף Google Cloud או ב-CLI של gcloud.

אפשר לראות את הפרטים העיקריים הבאים של קבוצת פרופילי אבטחה:

  • התיאור
  • הסוג
  • השם
  • ההיקף (ברמת הארגון או ברמת הפרויקט)

המסוף

  1. נכנסים לדף Security profiles במסוף Google Cloud .

    מעבר אל פרופילי אבטחה

  2. בכלי לבחירת פרויקטים, בוחרים את הארגון או את הפרויקט.

  3. לוחצים על הכרטיסייה קבוצות של פרופילי אבטחה. בכרטיסייה מוצגת רשימה של קבוצות פרופילי אבטחה שהוגדרו.

  4. בוחרים את קבוצת פרופילי האבטחה כדי לראות את הפרטים שלה.

gcloud

כדי להציג את רשימת קבוצות פרופילי האבטחה, משתמשים בפקודה gcloud network-security security-profile-groups list:

gcloud network-security security-profile-groups list \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

כדי לראות את הפרטים של קבוצת פרופילי אבטחה, משתמשים בפקודה gcloud network-security security-profile-groups describe:

gcloud network-security security-profile-groups describe NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של קבוצת פרופילי האבטחה.

    אם לא משתמשים בפורמט של מזהה כתובת ה-URL הייחודי בשביל השם, צריך לציין את הארגון או את שם הפרויקט ואת המיקום.

  • ‫ORGANIZATION_ID: מזהה הארגון שבו נמצאת קבוצת פרופילי האבטחה. הדגל הזה משמש לקבוצת פרופילי אבטחה ברמת הארגון.

  • ‫PROJECT_ID: מזהה הפרויקט שבו נמצאת קבוצת פרופילי האבטחה. הדגל הזה משמש לקבוצת פרופילי אבטחה ברמת הפרויקט.

  • ‫QUOTA_PROJECT_ID: מזהה הפרויקט לחיוב על מכסות. הדגל הזה משמש רק לקבוצות של פרופילי אבטחה ברמת הארגון.

עדכון של קבוצת פרופילי אבטחה

כדי לעדכן קבוצת פרופילי אבטחה, אפשר להשתמש במסוף Google Cloud או ב-CLI של gcloud.

אפשר לעדכן את הפרטים החשובים הבאים של קבוצת פרופילי אבטחה:

  • הפרויקט לחיוב (זמין רק לקבוצות של פרופילי אבטחה ברמת הארגון)
  • שינוי או הסרה של פרופיל האבטחה
  • התוויות
  • התיאור

אי אפשר לשנות את הפרטים הבאים:

  • השם של קבוצת פרופילי האבטחה
  • אזור קבוצת פרופיל האבטחה
  • הארגון או הפרויקט של קבוצת פרופילי האבטחה

כדי לשנות את הפרטים האלה, צריך למחוק את קבוצת פרופילי האבטחה וליצור קבוצה חדשה.

המסוף

  1. נכנסים לדף Security profiles במסוף Google Cloud .

    מעבר אל פרופילי אבטחה

  2. בכלי לבחירת פרויקטים, בוחרים את הארגון או את הפרויקט.

  3. לוחצים על הכרטיסייה קבוצות של פרופילי אבטחה. בכרטיסייה מוצגת רשימה של קבוצות פרופילי אבטחה שהוגדרו.

  4. בוחרים את קבוצת פרופילי האבטחה ולוחצים על Edit.

  5. מעדכנים את שדות החובה ולוחצים על שמירה.

gcloud

כדי לעדכן קבוצת פרופילי אבטחה, משתמשים בפקודה gcloud network-security security-profile-groups update:

gcloud network-security security-profile-groups update NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--clear-threat-prevention-profile | --threat-prevention-profile THREAT_SECURITY_PROFILE_URL] \
    [--clear-wildfire-analysis-profile | --wildfire-analysis-profile WILDFIRE_SECURITY_PROFILE_URL] \
    [--clear-url-filtering-profile | --url-filtering-profile URL_SECURITY_PROFILE_URL] \
    [--billing-project QUOTA_PROJECT_ID] \
    [--description DESCRIPTION] \
    --location global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של קבוצת פרופילי האבטחה.

    אם לא משתמשים בפורמט של מזהה כתובת ה-URL הייחודי בשביל השם, צריך לציין את הארגון או את שם הפרויקט ואת המיקום.

  • ‫ORGANIZATION_ID: מזהה הארגון. הדגל הזה משמש לקבוצת פרופילי אבטחה ברמת הארגון.

  • ‫PROJECT_ID: מזהה הפרויקט. הדגל הזה משמש לקבוצת פרופילי אבטחה ברמת הפרויקט.

  • ‫THREAT_SECURITY_PROFILE_URL: מזהה ייחודי של כתובת URL לפרופיל אבטחה מסוג THREAT_PREVENTION.

    כדי להסיר פרופיל אבטחה למניעת איומים, משתמשים בדגל --clear-threat-prevention-profile. כדי לשנות פרופיל אבטחה למניעת איומים, משתמשים בדגל --threat-prevention-profile.

  • ‫WILDFIRE_SECURITY_PROFILE_URL: מזהה ייחודי של כתובת URL לפרופיל אבטחה מסוג WILDFIRE_ANALYSIS.

    כדי להסיר פרופיל אבטחה של סביבה מתקדמת לבדיקת תוכנות זדוניות, משתמשים בדגל --clear-wildfire-analysis-profile. כדי להוסיף או לשנות פרופיל אבטחה של סביבה מתקדמת לבדיקת תוכנות זדוניות, משתמשים בדגל --wildfire-analysis-profile.

  • ‫URL_SECURITY_PROFILE_URL: מזהה ייחודי של כתובת URL לפרופיל אבטחה מסוג URL_FILTERING.

    כדי להסיר פרופיל אבטחה של סינון כתובות URL, משתמשים בדגל --clear-url-filtering-profile. כדי לשנות את פרופיל האבטחה של סינון כתובות ה-URL, משתמשים בדגל --url-filtering-profile.

  • ‫QUOTA_PROJECT_ID: מזהה הפרויקט לחיוב על מכסות. הדגל הזה משמש רק לקבוצות של פרופילי אבטחה ברמת הארגון.

  • ‫DESCRIPTION: תיאור אופציונלי של קבוצת פרופילי האבטחה.

מחיקה של קבוצת פרופילי אבטחה

אי אפשר למחוק קבוצת פרופילי אבטחה שכלל מדיניות חומת אש מפנה אליה.

כדי למחוק קבוצת פרופילי אבטחה, משתמשים במסוף Google Cloud או ב-CLI של gcloud.

המסוף

  1. נכנסים לדף Security profiles במסוף Google Cloud .

    מעבר אל פרופילי אבטחה

  2. בתפריט לבחירת פרויקטים, בוחרים את הארגון או הפרויקט.

  3. לוחצים על הכרטיסייה קבוצות של פרופילי אבטחה. בכרטיסייה מוצגת רשימה של קבוצות פרופילי אבטחה שהוגדרו.

  4. בוחרים את קבוצת פרופילי האבטחה ולוחצים על Delete.

  5. לוחצים שוב על מחיקה כדי לאשר את הפעולה.

gcloud

כדי למחוק קבוצת פרופילי אבטחה, משתמשים בפקודה gcloud network-security security-profile-groups delete:

gcloud network-security security-profile-groups delete NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של קבוצת פרופילי האבטחה.

    אם לא משתמשים בפורמט של מזהה כתובת ה-URL הייחודי בשביל השם, צריך לציין את הארגון או את שם הפרויקט ואת המיקום.

  • ‫ORGANIZATION_ID: מזהה הארגון. הדגל הזה משמש לקבוצת פרופילי אבטחה ברמת הארגון.

  • ‫PROJECT_ID: מזהה הפרויקט. משתמשים בדגל הזה לקבוצת פרופילי אבטחה ברמת הפרויקט.

  • ‫QUOTA_PROJECT_ID: מזהה הפרויקט לחיוב על מכסות. הדגל הזה משמש רק לקבוצות של פרופילי אבטחה ברמת הארגון.

המאמרים הבאים