בדיקה ואופטימיזציה של כללים לחומת האש

בדף הזה מתוארות כמה משימות נפוצות ב-תובנות לגבי חומת האש לבדיקה ולאופטימיזציה של השימוש בחומת האש בענן וירטואלי פרטי (VPC). כדי לבצע אופטימיזציה של הגדרות הכללים בחומת האש ולצמצם את גבולות האבטחה, צריך לבצע את המשימות הבאות.

לדוגמה, אתם מנהלי רשת או מהנדסי אבטחת רשת שתומכים בכמה רשתות VPC משותפות גדולות עם הרבה פרויקטים ואפליקציות. אתם רוצים לבדוק ולבצע אופטימיזציה של נפח גדול של כללי חומת אש שהצטברו לאורך זמן, כדי לוודא שהם עקביים עם המצב הצפוי של הרשת. אתם יכולים להשתמש במשימות הבאות כדי לבדוק ולבצע אופטימיזציה של כללי חומת האש.

תפקידים והרשאות נדרשים

כדי לקבל את ההרשאות שדרושות לשימוש ב-Firewall Insights, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בפרויקט:

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקידים המוגדרים מראש האלה כוללים את ההרשאות שנדרשות לשימוש ב-תובנות לגבי חומת האש. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי להשתמש ב-תובנות לגבי חומת האש, נדרשות ההרשאות הבאות:

  • recommender.computeFirewallInsights.list
  • recommender.computeFirewallInsights.update

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

הצגת כללים שהוחלו על מכונה וירטואלית ב-30 הימים האחרונים

כדי לבדוק כללים שיעזרו לכם להימנע מהגדרות שגויות ומכללים מיותרים שמוסתרים, פועלים לפי השלבים הבאים:

המסוף

  1. נכנסים לדף Compute Engine VM instances במסוף Google Cloud .

    לדף VM instances ב-Compute Engine

  2. בשדה Filter, מסננים את המופעים על ידי הזנת אחד מצמדי מפתח/ערך הבאים כדי למצוא מכונות וירטואליות רלוונטיות.

    Network tags:TAG_NAME

    מחליפים את TAG_NAME בתג שהוקצה לרשת VPC.

    Internal IP:INTERNAL_IP_ADDRESS

    מחליפים את INTERNAL_IP_ADDRESS בכתובת IP פנימית של ממשק של מכונה וירטואלית.

    External IP:EXTERNAL_IP_ADDRESS

    מחליפים את EXTERNAL_IP_ADDRESS בכתובת IP חיצונית של ממשק מכונה וירטואלית.

  3. בתוצאות החיפוש של ממשק מכונה וירטואלית, בוחרים מכונה וירטואלית ולוחצים על התפריט פעולות נוספות.

  4. בתפריט, בוחרים באפשרות הצגת פרטי הרשת.

  5. בדף Network interface details (פרטי ממשק הרשת), מבצעים את הפעולות הבאות:

    1. בקטע פרטים של חומות אש ושל נתיבים, לוחצים על חומות אש ואז על סינון.

    2. מזינים last hit after:YYYY-MM-DD כדי לסנן את כללי חומת האש. ביטוי הסינון הזה מוצא כללי חומת אש עם פגיעות מהזמן האחרון.

    3. עבור כלל חומת אש, לחצו על המספר בעמודה מספר ההתאמות כדי לפתוח את יומן חומת האש ולבדוק את פרטי תעבורת הנתונים, כמו בשאילתת הדוגמה הבאה. כדי להזין שאילתה, לוחצים על Submit filter (שליחת המסנן).

      jsonPayload.rule_details.reference:("network:network1/firewall:allow-tcp") AND
jsonPayload.instance.project_id:("p6ntest-firewall-intelligence") AND
jsonPayload.instance.zone:("us-central1-c") AND
jsonPayload.instance.vm_name:("instance2")

    4. מוסיפים עוד מסננים של Cloud Logging כדי לסנן עוד יותר את הפרטים ביומן של חומת האש. לדוגמה, בשאילתה הבאה נוסף מסנן נוסף שמסנן לפי כתובת IP של המקור (src_ip). כדי להזין שאילתה, לוחצים על שליחת מסנן.

      jsonPayload.rule_details.reference:("network:network1/firewall:allow-tcp") AND
jsonPayload.instance.project_id:("p6ntest-firewall-intelligence") AND
jsonPayload.instance.zone:("us-central1-c") AND
jsonPayload.instance.vm_name:("instance2") AND
jsonPayload.connection.src_ip:("10.0.1.2")

זיהוי עליות פתאומיות במספר הפגיעות בכללים של חומת האש deny

אתם יכולים להגדיר את Cloud Monitoring כך שיזהה שינויים במספר הפעמים שכלל חומת אש של VPC deny הופעל. לדוגמה, אתם יכולים לבחור לקבל התראה כשמספר הפעמים שכלל מסוים הופעל עולה באחוז מסוים. הגדרת ההתראה הזו עוזרת לכם לזהות מתקפות אפשריות על המשאבים שלכם ב- Google Cloud.

כדי להגדיר התראה:

המסוף

  1. נכנסים לדף Monitoring במסוף Google Cloud .

    מעבר למעקב

  2. בחלונית הניווט, לוחצים על Alerting ואז על Create policy.

  3. בדף יצירת מדיניות התראות, לוחצים על הוספת תנאי להתראה. תנאי חדש מתווסף.

  4. מרחיבים את הקטע תנאי חדש ובוחרים באפשרות הגדרת טריגר. ייפתח הדף Configure alert trigger.

  5. מגדירים את תנאי ההתראה. לדוגמה, אפשר להשתמש בערכים הבאים כדי להפעיל התראה אם מספר ההתאמות לכלל שזיהיתם גדל ב-10% למשך שש שעות:

    • סוגי תנאים: מוגדר לערך Threshold.
    • טריגר להתראה: מוגדר ל-Any time series violates.
    • Threshold position: (מיקום הסף): מוגדר ל-Above threshold.
    • ערך סף: מוגדר כ-10.

  6. בקטע אפשרויות מתקדמות, מזינים שם לתנאי ולוחצים על הבא.

  7. בדף Multi-condition trigger, מציינים את התנאי ולוחצים על Next.

  8. בדף Configure notifications, בוחרים באפשרות Notification channels ואז באפשרות Manage notification channels.

  9. בחלון Notification channels, מוסיפים את ערוץ ההתראות החדש – לדוגמה, כתובת אימייל – ולוחצים על Save.

  10. ברשימה Notification channels, בוחרים את ההתראות שנוספו ולוחצים על OK.

  11. בקטע Name the alert policy (מתן שם למדיניות ההתראות), מזינים את השם ולוחצים על Next (הבא). תנאי ההתראה נוסף.

ניקוי כללים מוסתרים של חומת האש

כדי לנקות כללים של חומת אש שמוסתרים על ידי כללים אחרים, פועלים לפי השלבים הבאים:

המסוף

  1. נכנסים לדף Firewall policies במסוף Google Cloud .

    מעבר אל Firewall policies

  2. בקטע VPC firewall rules, לוחצים על Filter ואז בוחרים באפשרות סוג התובנה > Shadowed rules.

  3. לכל כלל בתוצאות החיפוש, לוחצים על השם של הכלל כדי לראות את דף הפרטים שלו. בודקים כל כלל ומבצעים בו שינויים לפי הצורך.

דוגמאות לכללים מוצללים

הסרה של כלל allow שלא נמצא בשימוש

כדי להעריך ולהסיר כלל allow שלא נמצא בשימוש:

המסוף

  1. נכנסים לדף Firewall policies במסוף Google Cloud .

    מעבר אל Firewall policies

  2. בקטע VPC firewall rules, לוחצים על Filter ואז בוחרים באפשרות Type > Ingress > last hit before MM/DD/YYYY.

    מחליפים את MM/DD/YYYY בתאריך שבו רוצים להשתמש. לדוגמה, 08/31/2021.

  3. לכל כלל בתוצאות החיפוש, בודקים את המידע בעמודה תובנות. בעמודה הזו מופיע אחוז שמציין את הסבירות שהכלל הזה יופעל בעתיד. אם האחוז גבוה, כדאי לשמור את הכלל. אם האחוז נמוך, ממשיכים לבדוק את המידע שנוצר על ידי התובנה.

  4. לוחצים על הקישור לתובנה כדי להציג את החלונית פרטי התובנה.

  5. בחלונית פרטי התובנה, בודקים את המאפיינים של הכלל הזה ואת המאפיינים של כל כלל דומה שמופיע ברשימה.

  6. אם יש סיכוי נמוך שהכלל יופעל בעתיד, ואם התחזית הזו נתמכת על ידי דפוס ההפעלה של כללים דומים, כדאי להסיר את הכלל. כדי להסיר את הכלל, לוחצים על שם הכלל. ייפתח הדף פרטי כלל חומת האש.

  7. לוחצים על Delete.

  8. בתיבת הדו-שיח לאישור, לוחצים על מחיקה.

הסרת מאפיין שלא נמצא בשימוש מכלל allow

כדי להעריך ולהסיר מאפיין שלא נמצא בשימוש:

המסוף

  1. נכנסים לדף Firewall Insights במסוף Google Cloud .

    לדף תובנות לגבי חומת האש

  2. בכרטיס לאפשר כללים עם מאפיינים שאינם בשימוש, לוחצים על הצגת הרשימה המלאה. בתגובה, במסוף Google Cloud מוצג הדף לאפשר כללים עם מאפיינים שאינם בשימוש. בדף הזה מפורטים כל הכללים שכללו מאפיינים שלא נעשה בהם שימוש במהלך תקופת ההמתנה.

  3. לוחצים על הטקסט שמוצג בעמודה תובנה. הדף פרטי התובנה ייפתח.

  4. בודקים את הפרטים בחלק העליון של הדף. הסיכום כולל את הפרטים הבאים:

    • שם התובנה.
    • מספר המאפיינים שלא נעשה בהם שימוש בכלל הזה.
    • המועד האחרון שבו התובנה עודכנה.
    • השמות של כללים אחרים בפרויקט שמשתמשים במאפיינים דומים.
    • משך תקופת ההמתנה.

  5. בודקים אם אפשר להסיר את המאפיין:

    1. מעיינים בכרטיס Firewall rule with unhit attributes (כלל חומת אש עם מאפיינים ללא התאמות). בודקים את השדה Attribute with no hit (with future hit prediction) (מאפיין ללא התאמה (עם חיזוי התאמה בעתיד)). בשדה הזה מוצג אחוז שמייצג את הסבירות לכך שהמאפיין יתאים בעתיד.
    2. מעיינים בכרטיס כלל חומת אש דומה באותו פרויקט. בודקים את הנתונים שמוצגים כדי לראות אם נעשה שימוש במאפיין של הכלל הזה.

  6. אם יש סיכוי נמוך שהמאפיין יופעל בעתיד, והחיזוי הזה נתמך על ידי דפוס ההפעלה של כללים דומים, כדאי להסיר את המאפיין מהכלל. כדי להסיר את המאפיין, לוחצים על שם הכלל שמופיע בחלק העליון של הדף פרטי התובנה. ייפתח הדף פרטי כלל חומת האש.

  7. לוחצים על עריכה, מבצעים את השינויים הנדרשים ולוחצים על שמירה.

צמצום טווח כתובות ה-IP של כלל allow

שימו לב שבפרויקט שלכם יכול להיות שמוגדרים כללי חומת אש שמאפשרים גישה מבלוקים מסוימים של כתובות IP לבדיקות תקינות של מאזן עומסים או לGoogle Cloud פונקציונליות אחרת. יכול להיות שלא תהיה פגיעה בכתובות ה-IP האלה, אבל אסור להסיר אותן מכללי חומת האש. למידע נוסף על הטווחים האלה, אפשר לעיין במאמרי העזרה של Compute Engine.

כדי לבדוק טווח כתובות IP עם הרשאות רחבות מדי ולצמצם אותו:

המסוף

  1. נכנסים לדף Firewall Insights במסוף Google Cloud .

    לדף תובנות לגבי חומת האש

  2. בכרטיס לאפשר כללים עם כתובות IP או טווחי יציאה מתירנים מדי, לוחצים על הצגת הרשימה המלאה. בתגובה, במסוףGoogle Cloud מוצגת רשימה של כל הכללים שהיו להם טווחי הרשאות רחבים מדי במהלך תקופת ההמתנה.

  3. מחפשים כלל ברשימה ולוחצים על הטקסט שמוצג בעמודה תובנה. ייפתח הדף פרטי התובנה.

  4. בודקים את הפרטים בחלק העליון של הדף. הסיכום כולל את הפרטים הבאים:

    • השם של הכלל.
    • מספר טווחי כתובות ה-IP שאפשר לצמצם.
    • המועד האחרון שבו התובנה עודכנה.
    • משך תקופת ההמתנה.

  5. בודקים אם אפשר לצמצם את טווח כתובות ה-IP: מעיינים בכרטיס Firewall rule with overly permissive IP address or port ranges (כלל חומת אש עם כתובות IP או טווחי יציאות מתירניים מדי). בודקים את רשימת טווחי כתובות ה-IP החדשים.

  6. אם זה מתאים, כדאי להשתמש בהמלצות בתובנה כדי לצמצם את טווח כתובות ה-IP. לוחצים על שם הכלל שמופיע בחלק העליון של הדף פרטי התובנה. ייפתח הדף פרטי כלל חומת האש.

  7. לוחצים על עריכה, מבצעים את השינויים הנדרשים ולוחצים על שמירה.

המאמרים הבאים