‫Google Threat Intelligence לכללי מדיניות חומת אש

בדף הזה מוסבר איך כללים של מדיניות חומת אש מאבטחים את הרשת, על ידי אישור או חסימה של תנועה על סמך נתונים מ-Google Threat Intelligence. הנתונים של Google Threat Intelligence כוללים רשימות של כתובות IP שמבוססות על הקטגוריות הבאות:

  • צומתי יציאה של Tor: ‏Tor היא תוכנת קוד פתוח שמאפשרת תקשורת אנונימית. כדי להחריג משתמשים שמסתירים את הזהות שלהם, חוסמים את כתובות ה-IP של צומתי היציאה של Tor (נקודות קצה שבהן התנועה יוצאת מרשת Tor).
  • כתובות IP זדוניות ידועות: כתובות IP שידועות כמקור להתקפות על אפליקציות אינטרנט. כדי לשפר את מצב האבטחה של האפליקציה, חסמו את כתובות ה-IP האלה.
  • מנועי חיפוש: כתובות IP שאפשר לאשר כדי להפעיל הוספה של האתר לאינדקס.
  • טווחי כתובות IP של ענן ציבורי: אפשר לחסום את הקטגוריה הזו כדי למנוע מכלים אוטומטיים זדוניים לגלוש באפליקציות אינטרנט, או לאפשר אותה אם השירות שלכם משתמש בעננים ציבוריים אחרים. הקטגוריה הזו מחולקת לקטגוריות המשנה הבאות:
    • טווחי כתובות ה-IP שמשמשים את Amazon Web Services
    • טווחי כתובות ה-IP שמשמשים את Microsoft Azure
    • טווחי כתובות ה-IP שמשמשים את Google Cloud
    • טווחי כתובות IP בבעלות Google

רשימות הנתונים של Google Threat Intelligence יכולות לכלול כתובות IPv4, כתובות IPv6 או את שתיהן. כדי להגדיר את Google Threat Intelligence בכללי המדיניות של חומת האש, משתמשים בשמות הרשימות המוגדרות מראש של Google Threat Intelligence, בהתאם לקטגוריה שרוצים לאשר או לחסום. הרשימות האלה מתעדכנות כל הזמן, וכך השירותים מוגנים מפני איומים חדשים בלי שצריך לבצע שלבי הגדרה נוספים. אלה השמות החוקיים של הרשימות:

שם הרשימה תיאור
כתובות IP זדוניות ידועות
(iplist-known-malicious-ips)		 תואם לכתובות IP שידוע שהן תוקפות אפליקציות אינטרנט
סורקים של מנועי חיפוש
(iplist-search-engines-crawlers)		 תואם לכתובות IP של סורקים של מנועי חיפוש
צומתי יציאה של Tor‏
(iplist-tor-exit-nodes)		 תואם לכתובות IP של צומתי יציאה של Tor
כתובות IP של ענן ציבורי
(iplist-public-clouds)		 התאמה לכתובות IP ששייכות לעננים ציבוריים
עננים ציבוריים – AWS
(iplist-public-clouds-aws)		 תואם לטווחי כתובות ה-IP שמשמשים את Amazon Web Services
עננים ציבוריים – Azure
(iplist-public-clouds-azure)		 התאמה לטווחי כתובות ה-IP שמוגדרים ב-Microsoft Azure
עננים ציבוריים – Google Cloud
(iplist-public-clouds-gcp)		 תואם לטווחי כתובות ה-IP שמשמשים את המשאבים של הלקוח, כמו מכונות וירטואליות של Compute Engine ואשכולות GKE. הטווחים האלה כוללים טווחי כתובות IP שהוקצו ללקוחות ומשמשים את כל לקוחות Google Cloud , והם לא מוגבלים לפרויקט או לארגון שלכם.
ספקי VPN‏
(iplist-vpn-providers)		 התאמה לכתובות IP ששייכות לספקי VPN עם מוניטין נמוך
שרתי proxy אנונימיים
(iplist-anon-proxies)		 התאמה לכתובות IP ששייכות לשרתי פרוקסי אנונימיים פתוחים
אתרים לכריית מטבעות וירטואליים
(iplist-crypto-miners)		 תואם לכתובות IP ששייכות לאתרים לכריית מטבעות וירטואליים

שימוש ב-Google Threat Intelligence עם מסננים אחרים של כללי מדיניות חומת אש

כדי להגדיר כלל מדיניות של חומת אש באמצעות Google Threat Intelligence, פועלים לפי ההנחיות הבאות:

  • בכללי תעבורת נתונים יוצאת (egress), מציינים את היעד באמצעות רשימה אחת או יותר של יעדים ב-Google Threat Intelligence.

  • בכללי תעבורת נתונים נכנסת, מציינים את המקור באמצעות רשימה אחת או יותר של מקורות ב-Google Threat Intelligence.

  • אפשר להגדיר רשימות של Google Threat Intelligence למדיניות היררכית של חומת אש, למדיניות של חומת אש ברשת גלובלית ולמדיניות של חומת אש ברשת אזורית.

  • אפשר להשתמש ברשימות האלה יחד עם רכיבי סינון אחרים של כללי מקור או יעד.

    במאמרים מקורות לכללי תעבורת נתונים נכנסת במדיניות היררכית של חומת אש ומקורות לכללי תעבורת נתונים נכנסת במדיניות של חומת אש ברשת מוסבר איך הרשימות של Google Threat Intelligence פועלות עם מסנני מקור אחרים בכללי תעבורת הנתונים הנכנסת.

    במאמר יעדים לכללי תעבורת נתונים יוצאת מוסבר איך הרשימות של Google Threat Intelligence פועלות עם מסנני יעדים אחרים בכללי תעבורת הנתונים היוצאת.

  • רישום ביומן של כללי מדיניות חומת האש מתבצע ברמת הכלל. כדי שיהיה קל יותר לנפות באגים ולנתח את ההשפעה של כללי חומת האש, אל תכללו כמה רשימות של Google Threat Intelligence בכלל חומת אש אחד.

  • אפשר להוסיף כמה רשימות של Google Threat Intelligence לכלל מדיניות של חומת אש. כל שם של רשימה שנכלל בכלל נספר כמאפיין אחד, בלי קשר למספר כתובות ה-IP או טווחי כתובות ה-IP שנכללים ברשימה הזו. לדוגמה, אם כללתם את שמות הרשימות iplist-tor-exit-nodes,‏ iplist-known-malicious-ips ו-iplist-search-engines-crawlers בכלל מדיניות חומת האש, מספר מאפייני הכללים לכל מדיניות חומת אש יגדל ב-3. למידע נוסף על מספר מאפייני הכללים, קראו את המאמר פרטים על מספר מאפייני הכללים.

יצירת חריגים לרשימות של Google Threat Intelligence

אם יש לכם כללים שחלים על רשימות של Google Threat Intelligence, אתם יכולים להשתמש בשיטות הבאות כדי ליצור כללי חריגה שחלים על כתובות IP מסוימות ברשימה של Google Threat Intelligence:

  • כלל חומת אש לאישור סלקטיבי: נניח שיש לכם כלל חומת אש לתעבורת נתונים נכנסת או יוצאת שדוחה חבילות מרשימה של Google Threat Intelligence או אליה. כדי לאפשר חבילות מכתובת IP שנבחרה ברשימה של Google Threat Intelligence או אליה, צריך ליצור כלל חומת אש נפרד לאישור תעבורת נתונים נכנסת (ingress) או תעבורת נתונים יוצאת (egress) בעדיפות גבוהה יותר, שמציין את כתובת ה-IP החריגה כמקור או כיעד.

  • כלל חומת אש לדחייה סלקטיבית: נניח שיש לכם כלל חומת אש לתעבורת נתונים נכנסת או יוצאת שמאפשר חבילות מרשימה של Google Threat Intelligence או אליה. כדי לדחות חבילות מכתובת IP שנבחרה ברשימה של Google Threat Intelligence או אליה, יוצרים כלל חומת אש לדחייה של תעבורת נתונים נכנסת או יוצאת בעדיפות גבוהה יותר, שמציין את כתובת ה-IP החריגה כמקור או כיעד.

המאמרים הבאים