Best Practices für Cloud IDS

Auf dieser Seite finden Sie Best Practices zum Konfigurieren von Cloud Intrusion Detection System (Cloud IDS).

Cloud IDS ist ein Einbruchserkennungsdienst, der Bedrohungserkennung bei Einbrüchen, Malware, Spyware und Command-and-Control-Angriffen in Ihrem Netzwerk bietet. Cloud IDS verwendet eine Ressource, die als IDS-Endpunkt bezeichnet wird. Dies ist eine zonale Ressource, die Traffic aus jeder Zone in ihrer Region prüfen kann. Jeder IDS-Endpunkt empfängt gespiegelten Traffic und führt eine Analyse zur Erkennung von Bedrohungen durch.

IDS-Endpunkte bereitstellen

  • Erstellen Sie in jeder Region, die Sie mit Cloud IDS überwachen möchten, einen IDS-Endpunkt. Sie können für jede Region mehrere IDS-Endpunkte erstellen.
  • Es kann bis zu 20 Minuten dauern, bis Cloud IDS Firewalls erstellt und konfiguriert hat.
  • Beim Erstellen eines IDS-Endpunkts müssen Sie einen Schweregrad für Benachrichtigungen auswählen. Für maximale Transparenz empfehlen wir die Stufe informational.
  • Wenn Sie in der Google Cloud Console auf der Seite Paketspiegelung eine Paketspiegelungsrichtlinie erstellen, müssen Sie Eingehenden und ausgehenden Traffic zulassen aktivieren.

    Zu „Paketspiegelung“

  • Wenn Sie die Seite Cloud IDS verwenden, um einen IDS-Endpunkt zu konfigurieren, müssen Sie Eingehenden und ausgehenden Traffic zulassen nicht aktivieren, da diese Option automatisch aktiviert ist.

    Zum Cloud IDS-Dashboard

Sie können mit Cloud IDS in jeder Region, die Sie überwachen möchten, einen IDS-Endpunkt erstellen. Sie können für jede Region mehrere IDS-Endpunkte erstellen. Jeder IDS-Endpunkt hat eine maximale Prüfungskapazität von 5 Gbit/s. Jeder IDS-Endpunkt kann zwar anomale Traffic-Spitzen von bis zu 17 Gbit/s verarbeiten. Wir empfehlen jedoch, pro 5 Gbit/s an Durchsatz in Ihrem Netzwerk jeweils einen IDS-Endpunkt zu konfigurieren.

Paketspiegelungsrichtlinien anhängen

  • Wir empfehlen, an einen IDS-Endpunkt mehr als eine Paketspiegelungsrichtlinie anzuhängen, wenn Sie Traffic von mehreren Quelltypen spiegeln möchten, darunter Subnetze, Instanzen und Netzwerk-Tags. Sie können Traffic nur von Subnetzen spiegeln, die sich in derselben Region wie der IDS-Endpunkt befinden.
  • Wählen Sie nur die Subnetze aus, deren Traffic Sie zu Cloud IDS spiegeln möchten.

Kostenoptimierung

Cloud IDS verwendet feste Kosten für jeden IDS-Endpunkt und variable Kosten basierend auf dem Volumen des geprüften Traffics. Ohne sorgfältige Planung kann der gesamte Netzwerkverkehr in einer Virtual Private Cloud (VPC) gespiegelt und geprüft werden, was zu unerwartet hohen Rechnungen führen kann. Wir empfehlen Ihnen, Folgendes zu tun, um die Kosten zu kontrollieren:

  • Machen Sie sich mit den spezifischen Sicherheits- und Complianceanforderungen vertraut, um sorgfältig auszuwählen, welche VPCs, Regionen, Subnetze und vor allem welche Traffic-Flows wirklich geprüft werden müssen.
  • Beginnen Sie mit einer minimalen Prüfung kritischer Assets und erweitern Sie sie schrittweise.
  • Verwenden Sie Paketspiegelungsfilter, um die Menge des verarbeiteten Traffics genau zu steuern und so die variablen Kosten erheblich zu senken.

Im folgenden Beispiel wird die Paketspiegelungsrichtlinie von Cloud IDS zur Kostenoptimierung angepasst:

Angenommen, Sie müssen Traffic in VPC-x und Subnetz-x prüfen und nur Traffic zum oder vom Internet muss geprüft werden. Diese Entscheidung treffen Sie auf Grundlage Ihrer Sicherheits- und Complianceanforderungen. Angenommen, nur die VM-Instanzen (virtuelle Maschine) mit Internetverbindung in Subnetz-x müssen geprüft werden.

  1. Taggen Sie die VMs mit Internetverbindung mit tag-x.
  2. Verwenden Sie die Classless Inter-Domain Routing (CIDR) IP-Adressbereiche in der Paketspiegelungsrichtlinie, um den gesamten Traffic zwischen VMs mit dem Tag tag-x und dem Internet zu prüfen. Da die Negation bei der Paketspiegelung nicht unterstützt wird, müssen Sie sie auf andere Weise erstellen. Angenommen, diese VPC verwendet die CIDR 10.0.0.0/8. Dann müssen Sie eine CIDR für alles außer 10.0.0.0/8 erstellen. Das ist Folgendes:
    • 128.0.0.0/1
    • 64.0.0.0/2
    • 32.0.0.0/3
    • 16.0.0.0/4
    • 0.0.0.0/5
    • 12.0.0.0/6
    • 8.0.0.0/7
    • 11.0.0.0/8

Führen Sie den folgenden Befehl aus, um die Paketspiegelungsrichtlinie zu erstellen: 

  gcloud compute packet-mirrorings create NAME
      --network=vpc-x
      --filter-cidr-ranges=[128.0.0.0/1, 64.0.0.0/2, 32.0.0.0/3, 16.0.0.0/4, 0.0.0.0/5, 12.0.0.0/6, 8.0.0.0/7, 11.0.0.0/8]
      --mirrored-subnets=[subnet-x]
      --mirrored-tags=[tag-x]
      --region=REGION

Ersetzen Sie Folgendes:

  • NAME: der Name der zu erstellenden Paketspiegelung
  • REGION: die Region der Paketspiegelung

Nächste Schritte