Auf dieser Seite werden die Kategorien und Zustände von Firewall Insights beschrieben.
Insights analysieren die Konfiguration und Verwendung Ihrer Firewallregeln mit dem Insight-Typ google.compute.firewall.Insight.
Statistikkategorien
Innerhalb von Firewall Insights fallen Informationen in die beiden allgemeinen Kategorien, die in der folgenden Tabelle beschrieben werden.
| Kategorie | Beschreibung | Insights |
|---|---|---|
| Konfigurationsbasiert | Insights werden basierend auf Daten zur Konfiguration Ihrer Firewallregeln generiert. | Verdeckte Regeln |
| Logbasiert | Insights werden basierend auf dem Logging zur Verwendung Ihrer Firewallregeln und Informationen zur Konfiguration Ihrer Firewallregeln generiert. |
Zu moderate Regeln
|
Jeder Statistik-Untertyp hat einen Schweregrad. Für Statistiken zu verdeckten Regeln ist der Schweregrad beispielsweise medium. Weitere Informationen finden Sie in der
Recommender-Dokumentation unter
Schweregrad.
Statistikzustände
Jede Statistik kann einen der folgenden Zustände haben, die Sie wie in der folgenden Tabelle beschrieben ändern können.
| Bundesland | Beschreibung |
|---|---|
ACTIVE |
Die Erkenntnis ist aktiv. Google aktualisiert weiterhin Inhalte für
ACTIVE Insights basierend auf den neuesten Informationen. |
DISMISSED |
Die Statistik wird verworfen und keinem Nutzer mehr in einer
aktiven Statistikliste angezeigt. Sie können den Status Weitere Informationen finden Sie unter Statistik als verworfen markieren. |
Verdeckte Regeln
Verdeckte Regeln haben Attribute wie IP-Adressen mit anderen Regeln mit höherer oder gleicher Priorität gemeinsam, die als verdeckende Regeln bezeichnet werden. Firewall Insights analysiert Ihre VPC-Firewallregeln und Firewallrichtlinien um diese verdeckten Regeln zu erkennen.
- Für Firewallrichtlinien, die einem VPC-Netzwerk zugewiesen sind, können Sie Statistiken zu einer Richtlinienregel aufrufen, die von einer VPC-Regel in derselben oder einer anderen Richtlinie verdeckt wird.
- Hierarchische Firewallrichtlinien, globale Netzwerk-Firewallrichtlinien und VPC-Firewallregeln werden gemäß der Richtlinien- und Regelauswertungsreihenfolge ausgewertet. Bei globalen Netzwerk-Firewallrichtlinien können Sie beispielsweise Statistiken dazu erhalten, welche globale Netzwerk-Firewallrichtlinienregel aufgrund der Regelauswertungsreihenfolge von einer VPC-Firewallregel verdeckt wird.
- Wenn Sie Firewallregeln mit sicheren Tags in einer globalen Netzwerk-Firewallrichtlinie haben, können Sie Statistiken zu den Regeln aufrufen, die sich in derselben globalen Firewallrichtlinie gegenseitig verdecken. Weitere Informationen finden Sie unter Tags für Firewalls.
Firewall Insights identifiziert nicht alle möglichen verdeckenden Regeln. Insbesondere wird nicht erkannt, dass mehrere Tags aus anderen Firewallregeln die Tags einer Firewallregel verdeckt haben.
Beispiele für verdeckte Regeln
In diesem Beispiel haben einige verdeckte und verdeckende Regeln überlappende Quell-IP-Bereichsfilter und andere unterschiedliche Regelprioritäten.
Die folgende Tabelle zeigt die Firewallregeln A bis E. Verschiedene Szenarien für verdeckte Regeln finden Sie in den Abschnitten nach der Tabelle.
| Firewall Richtlinie |
Typ | Ziele | Filter | Protokolle oder Ports |
Aktion | Priorität | |
|---|---|---|---|---|---|---|---|
| Firewall-Regel A. | X | Eingehender Traffic | Auf alle anwenden | 10.10.0.0/16 | tcp:80 | Allow | 1000 |
| Firewall-Regel B. | J | Eingehender Traffic | Auf alle anwenden | 10.10.0.0/24 | tcp:80 | Allow | 1000 |
| Firewall-Regel C. | - | Eingehender Traffic | web | 10.10.2.0/24 | tcp:80 tcp:443 |
Allow | 1000 |
| Firewall-Regel D. | - | Eingehender Traffic | web | 10.10.2.0/24 | tcp:80 | Ablehnen | 900 |
| Firewall-Regel E. | - | Eingehender Traffic | web | 10.10.2.0/24 | tcp:443 | Ablehnen | 900 |
Beispiel 1: Firewall-Regel B wird von Firewall-Regel A verdeckt
In diesem Beispiel gibt es zwei Firewallregeln: A und B. Diese Regeln sind bis auf die Quell-IP-Adressbereichsfilter nahezu identisch. Der IP-Adressbereich von A ist beispielsweise 10.10.0.0/16, während der IP-Adressbereich von B 10.10.0.0/24 ist. Somit wird die Firewall-Regel B von der Firewall-Regel A verdeckt.
Die Statistik shadowed firewall rules weist normalerweise auf eine Fehlkonfiguration der Firewall hin. Beispielsweise ist die IP-Adressfiltereinstellung von A zu weit gefasst oder die Filtereinstellung von B ist zu restriktiv und unnötig.
Beispiel 2: Die Firewall-Regel C wird von den Firewallregeln D und E verdeckt
In diesem Beispiel gibt es drei Firewallregeln: C, D und E. Die Firewallregel C lässt den eingehenden Web-Traffic über HTTP-Port 80 und HTTPS-Port 443 zu und hat eine Priorität von 1000 (Standardpriorität). Die Firewallregeln D und E lehnen dagegen den eingehenden HTTP- bzw. HTTPS-Webtraffic ab und haben beide eine Priorität von 900 (hohe Priorität). Somit wird die Firewallregel C von den Firewallregeln D und E zusammen verdeckt.
Beispiel 3: Firewallregel B in Firewallrichtlinie Y wird von Firewallregel A in Richtlinie X verdeckt
In diesem Beispiel gibt es zwei Firewallregeln: A und B. Firewallregel A befindet sich in Richtlinie X, die mit Ordner 1 verknüpft ist, während Firewallregel B in Richtlinie Y enthalten ist, die mit Ordner 2 verknüpft ist. Sowohl Ordner 1 als auch Ordner 2 befinden sich unter demselben Organisationsknoten und Ordner 2 ist ein untergeordnetes Element von Ordner 1. Diese beiden Regeln sind bis auf den Quell-IP-Adressbereich identisch. Diese Statistik weist darauf hin, dass Firewallregel B in Richtlinie Y unnötig ist, da sie bereits von Firewallregel A in Richtlinie X abgedeckt wird. Somit wird Firewallregel B in Richtlinie Y von Firewallregel A in Richtlinie X verdeckt.
Beispiel 4: Firewallregel B in der globalen Netzwerk-Firewallrichtlinie Y wird von Firewallregel A verdeckt
In diesem Beispiel gibt es zwei Firewallregeln: A und B. Sowohl Firewallregel A als auch Firewallregel B befinden sich in Netzwerk 1, aber Firewallregel B befindet sich in der globalen Netzwerk-Firewallrichtlinie Y.
Die Erzwingungsreihenfolge der Firewallrichtlinie von Richtlinie Y ist AFTER_CLASSIC_FIREWALLS.
Diese beiden Regeln sind bis auf den Quell-IP-Adressbereich nahezu identisch.
Diese Statistik weist darauf hin, dass Regel B in Richtlinie Y unnötig ist, da sie bereits von Regel A abgedeckt wird. Somit wird Firewallregel B in Richtlinie Y von Firewallregel A verdeckt.
`Deny`-Regeln mit Treffern
Diese Statistik enthält Details zu deny Regeln, die während des
Beobachtungs
zeitraums zur Anwendung kamen.
Diese Informationen liefern Ihnen Paket-Drop-Signale für die Firewall. Sie können dann prüfen, ob die verworfenen Pakete aufgrund von Sicherheitsvorkehrungen erwartet werden oder ob sie das Ergebnis einer falschen Netzwerkkonfiguration sind.
Zu moderate Regeln
Firewall Insights bietet eine umfassende Analyse dazu, ob Ihre Firewallregeln zu moderat sind. Diese Analyse enthält die folgenden Statistiken:
- Zulassungsregeln ohne Treffer
- Zulassungsregeln, die laut der adaptiven Analyse veraltet sind
- Zulassungsregeln mit nicht verwendeten Attributen
- Zulassungsregeln mit zu moderaten IP-Adress- oder Portbereichen
Die von diesen Statistiken bereitgestellten Daten stammen aus dem Firewallregel-Logging. Diese Daten sind daher nur korrekt, wenn Sie das Firewallregel-Logging für den gesamten Beobachtungszeitraum aktiviert haben. Andernfalls kann die Anzahl der Regeln in jeder Statistikkategorie höher sein als angegeben.
Statistiken mit zu vielen Berechtigungen werden TCP- und UDP-Traffic ausgewertet. Andere Arten von Traffic werden nicht analysiert. Weitere Informationen finden Sie in der Beschreibung der einzelnen Statistiken.
Jeder Statistik-Untertyp hat einen Schweregrad. Für Statistiken mit zu vielen Berechtigungen ist der Schweregrad beispielsweise high. Weitere Informationen finden Sie in der
Recommender-Dokumentation unter
Schweregrad.
Zulassungsregeln ohne Treffer
Bei dieser Statistik werden allow-Regeln ermittelt, die während des Beobachtungszeitraums keine Treffer hatten.
Für jede Regel können Sie Vorhersagen für maschinelles Lernen dazu sehen, ob eine Regel oder ein Attribut wahrscheinlich in Zukunft zur Anwendung kommt. Diese Vorhersage wird durch eine Analyse des maschinellen Lernens erstellt, bei der das historische Trafficmuster dieser Regel und ähnlicher Regeln in derselben Organisation berücksichtigt wird.
Damit Sie die Vorhersage besser verstehen, werden in der Statistik ähnliche Regeln im selben Projekt wie die Regel identifiziert, die von der Statistik identifiziert wurde. In der Statistik wird die Trefferanzahl dieser Regeln aufgelistet und ihre Konfigurationsdetails zusammengefasst. Diese Details enthalten die Priorität und Attribute jeder Regel, z. B. IP-Adresse und Portbereiche.
Bei Allow rules with no hits werden Firewallregeln ausgewertet, die für TCP- und UDP-Traffic erzwungen werden. Wenn eine Firewallregel einen anderen Traffictyp zulässt, ist sie nicht in dieser Analyse enthalten.
Zulassungsregeln, die laut der adaptiven Analyse veraltet sind
Bei dieser Statistik werden allow-Regeln ermittelt, die basierend auf Nutzungsmustern und adaptiver Analyse weniger wahrscheinlich aktiv sind. Die Statistik wird durch eine Analyse des maschinellen Lernens erstellt, bei der die durchschnittliche Trefferanzahl in den letzten sechs Wochen und die adaptive Analyse der letzten Trefferanzahlen berücksichtigt werden. Wenn die Regel jedoch seit Beginn der Trefferanzahlerfassung nie aktiv war, kann sie auch in der Statistik enthalten sein, bis sie wieder aktiv wird.
Angenommen, eine Firewallregel wurde in den letzten Wochen des Beobachtungszeitraums häufig getroffen und dann mehrere Tage lang nicht mehr. In diesem Fall wird möglicherweise diese Statistik für diese Regel angezeigt, die eine Änderung des Nutzungsmusters anzeigt. Firewallregeln werden jedoch analysiert, um Regeln zu identifizieren, die selten getroffen werden, aber aktiv sind. Diese aktiven Regeln werden in dieser Statistik nicht angezeigt.
Wenn die Regel durch die Analyse des maschinellen Lernens als inaktiv identifiziert wird, können Sie Statistiken basierend auf der adaptiven Analyse schneller und vor Ende des Beobachtungszeitraums aufrufen. Sie erhalten beispielsweise möglicherweise nach der ersten Woche des Beobachtungszeitraums Statistiken basierend auf der adaptiven Analyse, auch wenn der Beobachtungszeitraum 12 Monate beträgt.
Nach Ablauf des Beobachtungszeitraums können Sie Statistiken basierend auf den Daten aufrufen, die über das Firewallregel-Logging für den gesamten Beobachtungszeitraum erfasst wurden.
Zulassungsregeln mit nicht verwendeten Attributen
Bei dieser Statistik werden allow-Regeln ermittelt, die Attribute wie IP-Adressen und Portbereiche haben, die während des Beobachtungszeitraums nicht zur Anwendung kamen.
Außerdem wird in dieser Statistik für jede identifizierte Regel die Wahrscheinlichkeit angezeigt, mit der sie wahrscheinlich in der Zukunft zur Anwendung kommt. Diese Vorhersage basiert auf Vorhersagen für maschinelles Lernen, bei denen die bisherigen Trafficmuster dieser Regel und ähnliche Regeln in derselben Organisation berücksichtigt werden.
Zum besseren Verständnis der Vorhersage fasst die Statistik andere Firewallregeln im selben Projekt mit ähnlichen Attributen zusammen. Diese Zusammenfassung enthält Daten dazu, ob die Attribute dieser Regeln zur Anwendung kamen.
Bei Allow rules with unused attributes werden nur Attribute ausgewertet, die für TCP- und UDP-Traffic definiert sind. Wenn eine Regel neben TCP und UDP andere Traffictypen zulässt, kann die Regel in diese Analyse aufgenommen werden. Die Attribute, die für andere Traffictypen gelten, werden jedoch nicht analysiert.
Angenommen, eine Regel lässt sowohl TCP- als auch ICMP-Traffic zu. Wenn der zulässige IP-Adressbereich nicht verwendet wird, gilt er nicht als nicht verwendet, da Sie ihn möglicherweise für ICMP-Traffic verwenden. Wenn dieselbe Regel jedoch einen nicht verwendeten TCP-Portbereich hat, wird die Regel als zu weit gefasst gekennzeichnet.
Zulassungsregeln mit zu moderaten IP-Adress- oder Portbereichen
Bei dieser Statistik werden allow-Regeln ermittelt, die möglicherweise zu weit gefasste IP-Adressen oder Portbereiche haben.
Firewallregeln werden oft mit einem größeren Umfang erstellt als erforderlich. Ein zu weit gefasster Umfang kann zu Sicherheitsrisiken führen.
Diese Statistik hilft, dieses Problem zu beheben, indem die tatsächliche Nutzung Ihrer IP-Adressen und Portbereiche Ihrer Firewallregeln analysiert wird. Außerdem wird eine alternative Kombination aus IP-Adressen und Portbereichen für Regeln mit zu weit gefassten Bereichen vorgeschlagen. Mit diesem Wissen können Sie die nicht benötigten Portbereiche basierend auf den Trafficmustern während des Beobachtungszeitraums entfernen.
Bei Allow rules with overly permissive IP address or port ranges werden nur Attribute ausgewertet, die für TCP- und UDP-Traffic definiert sind. Wenn eine Regel neben TCP und UDP andere Traffictypen zulässt, kann die Regel in diese Analyse aufgenommen werden.
Die Attribute, die für andere Traffictypen gelten, werden jedoch nicht analysiert.
Angenommen, eine Regel lässt sowohl TCP- als auch ICMP-Traffic zu. Wenn der zulässige IP-Adressbereich nur teilweise verwendet wird, wird der IP-Adressbereich in der Statistik nicht als zu weit gefasst gekennzeichnet, da er möglicherweise für ICMP-Traffic verwendet wird. Wenn dieselbe Regel jedoch einen TCP-Portbereich hat, der nur teilweise verwendet wird, wird die Regel als zu weit gefasst gekennzeichnet.
Beachten Sie, dass Ihr Projekt möglicherweise Firewallregeln hat, die den Zugriff von bestimmten IP-Adressblöcken für Load-Balancer-Health-Checks oder für andere Google Cloud Funktionen zulassen. Diese IP-Adressen sind zwar nicht betroffen, sollten aber nicht aus Ihren Firewall-Regeln entfernt werden. Weitere Informationen zu diesen Bereichen finden Sie in der Compute Engine-Dokumentation.
Vorhersagen durch maschinelles Lernen
Wie in den vorangegangenen Abschnitten beschrieben, verwenden zwei Statistiken – allow-Regeln ohne Treffer und allow-Regeln mit nicht verwendeten Attributen – Vorhersagen für maschinelles Lernen.
Um Vorhersagen zu erstellen, trainiert Firewall Insights ein Modell für maschinelles Lernen mit Firewallregeln in derselben Organisation. Auf diese Weise lernt Firewall Insights gängige Muster. Beispielsweise lernt Firewall Insights über Kombinationen von Attributen, die in der Regel zur Anwendung kommen. Diese Attribute können IP-Adressbereiche, Portbereiche und IP-Protokolle enthalten.
Wenn die Firewallregel gängige Muster enthält, die darauf hindeuten, dass die Regel wahrscheinlich zur Anwendung kommt, hat Firewall Insights ein höheres Vertrauen, dass die Regel in Zukunft zur Anwendung kommen könnte. Dies gilt auch umgekehrt.
Für jede Statistik, die Vorhersagen verwendet, zeigt Firewall Insights Details zu Regeln an, die als ähnlich zu der von der Statistik identifizierten Regel angesehen werden. Im Bereich Statistikdetails sehen Sie beispielsweise Details zu den drei Regeln, die der Regel, die Gegenstand der Vorhersage ist, am ähnlichsten sind. Je mehr sich die Attribute der beiden Regeln überschneiden, desto ähnlicher werden sie betrachtet.
Betrachten Sie für allow-Regeln ohne Treffer das folgende Beispiel:
Angenommen, Regel A hat die folgenden Attribute:
Source IP ranges: 10.0.1.0/24
Target tags: http-server
Protocol and ports: TCP:80
Und Regel B hat die folgenden Attribute:
Source IP ranges: 10.0.2.0/24
Target tags: http-server
Protocol and ports: TCP:80
Diese beiden Regeln haben die gleichen Ziel-Tags, Protokoll- und Portattribute. Sie unterscheiden sich nur in den Quellattributen. Aus diesem Grund werden sie als ähnlich betrachtet.
Bei allow-Regeln mit nicht verwendeten Attributen wird die Ähnlichkeit auf dieselbe Weise bestimmt. Für diese Statistik betrachtet Firewall Insights Regeln als ähnlich, wenn ihre Konfiguration die gleichen Attribute enthält.