Visão geral do Secure Web Proxy

O Secure Web Proxy ajuda a proteger todo o tráfego da Web de saída (HTTP e HTTPS) da rede interna da sua organização. Quando você configura seus clientes para usar explicitamente o Secure Web Proxy como um gateway, ele se torna um checkpoint de segurança obrigatório para qualquer aplicativo ou serviço que tente acessar um site fora da sua organização.

Vantagens

O Secure Web Proxy oferece os seguintes benefícios principais:

  • Manutenção zero. Depois de definir suas políticas, o Secure Web Proxy gerencia seus servidores, aplicação de patches e escalonamento para ajustar automaticamente a capacidade à medida que o tráfego aumenta.

  • Regras flexíveis e reutilizáveis. Com o Secure Web Proxy, as políticas de segurança são separadas do proxy. Para garantir um gerenciamento consistente, os administradores criam um conjunto de regras de acesso e as aplicam a vários proxies em diferentes partes da organização.

  • Segurança padrão forte. O Secure Web Proxy tem uma configuração padrão deny-all que bloqueia todo o tráfego de saída até que você o permita explicitamente. Google Cloud Ele processa automaticamente todas as atualizações de software e infraestrutura, o que minimiza o risco contínuo de vulnerabilidades de segurança.

  • Controle de acesso com reconhecimento de identidade. Como o Secure Web Proxy verifica de onde uma solicitação está vindo (o endereço IP) e quem está fazendo a solicitação (a identidade do usuário ou do serviço), o acesso é baseado na função e na necessidade do usuário, não apenas na localização da rede. A identidade pode ser uma conta de serviço, uma tag segura, ou qualquer identidade fornecida por um certificado de cliente verificado usando mTLS de front-end. O Secure Web Proxy permite criar regras altamente específicas, como "Somente membros da equipe financeira podem acessar este site bancário".

  • Registro e auditoria de tráfego unificados. Todo o tráfego da Web que passa pelo Secure Web Proxy é registrado e auditado centralmente em Google Cloud. Essa única fonte de verdade clara para todo o acesso de saída ajuda a rastrear atividades, investigar incidentes de segurança e atender aos requisitos de compliance.

  • Inspeção centralizada. O Secure Web Proxy consolida solicitações da Web de saída das cargas de trabalho na nuvem e dos escritórios conectados em um único ponto de inspeção para aplicação consistente de políticas.

  • Gerenciamento de portas simplificado. Você pode ouvir opcionalmente em todas as portas (de 1 a 65535) ao implantar a instância do Secure Web Proxy como próximo salto. Essa funcionalidade remove a necessidade de enumerar portas específicas e é útil para ambientes dinâmicos ou serviços que usam várias portas. Para informações sobre as limitações relacionadas ao uso do recurso all_ports, consulte Limitações.

  • Rastreamento distribuído. A integração integrada com Cloud Trace e OpenTelemetry permite rastrear todo o ciclo de vida das solicitações de saída de cargas de trabalho internas pelo Secure Web Proxy. Ao usar esse recurso, é possível identificar gargalos de latência e analisar ciclos de vida de solicitações.

Recursos compatíveis

O Secure Web Proxy oferece suporte aos seguintes recursos:

  • Escalonamento automático de proxies do Envoy do Secure Web Proxy: o Secure Web Proxy oferece suporte ao ajuste automático do tamanho do pool de proxies do Envoy e da capacidade do pool em uma região, o que permite um desempenho consistente durante períodos de alta demanda com o menor custo. O recurso de escalonamento automático gerencia automaticamente os ajustes de capacidade em uma região. Isso significa que você não precisa monitorar e redimensionar manualmente sua frota de proxies, garantindo um melhor desempenho com menos tempo operacional.

  • Políticas de acesso de saída modulares: o Secure Web Proxy gerencia o tráfego de saída pelas seguintes ações:

    • Identifica entidades de origem usando tags seguras, contas de serviço, endereços IP ou identidades de certificado do cliente que foram verificadas criptograficamente com TLS mútuo (mTLS) de front-end.
    • Filtra destinos por nomes de host ou URLs quando você ativa a inspeção TLS ou usa HTTP não criptografado.
    • Avalia atributos de solicitação, como métodos, cabeçalhos ou URLs, se o tráfego for HTTP não criptografado ou se a inspeção TLS estiver ativada.

    Essa natureza modular das políticas (origens, destinos e solicitações) permite que várias equipes criem e gerenciem componentes de regras específicos e reutilizáveis. Um administrador central pode definir uma lista de URLs que vários proxies podem referenciar em suas políticas distintas.

  • Limitação de taxa de serviço: o Secure Web Proxy aplica limites de tráfego ao tráfego da web de saída para evitar que clientes com uso intenso de recursos esgotem a capacidade do serviço ou gerem custos excessivos, como os associados a tokens de modelos de linguagem grandes (LLMs). É possível anexar políticas de limitação de taxa de serviço a gateways configurados com políticas de segurança de gateway ou políticas de autorização. É possível usar políticas de limitação de taxa para priorizar ou limitar o tráfego com base em contagens de solicitações e identidades de clientes específicas, como principais mTLS ou endereços IP de origem.

  • Criptografia de ponta a ponta: os túneis de proxy do cliente podem transitar por TLS. O Secure Web Proxy também oferece suporte a CONNECT HTTP e HTTPS para conexões TLS de ponta a ponta iniciadas pelo cliente com o servidor de destino.

    Essa medida de segurança crucial é gerenciada automaticamente pelo serviço para que o tráfego seja protegido sem exigir a configuração ou o monitoramento manual dos padrões de criptografia.

  • Integração dos Registros de auditoria do Cloud e do Google Cloud Observability: usando o Google Cloud Observability, os Registros de auditoria do Cloud registram ações administrativas (mudanças de política) e solicitações e métricas de acesso (registros de transações de proxy) para o Secure Web Proxy. Essa visualização unificada e integrada facilita o monitoramento de segurança e a geração de relatórios de compliance.

  • Acesso global: o Secure Web Proxy oferece a opção de ativar o acesso global ao criar uma instância de proxy. Ao usar esse recurso, é possível permitir que clientes de qualquer Google Cloud região se conectem ao proxy, em vez de apenas os clientes em uma região local específica. Esse recurso melhora a resiliência da infraestrutura e oferece suporte a casos de uso entre regiões, como requisitos de tráfego de saída personalizados. Para mais informações, consulte Configurar o acesso global para o Secure Web Proxy.

Como o Secure Web Proxy funciona

O Secure Web Proxy atua como um checkpoint de segurança obrigatório para todo o tráfego da Web da rede da sua organização para a Internet. As cargas de trabalho internas precisam obedecer às regras de segurança do Secure Web Proxy antes de poderem acessar a Internet.

  1. Gateway centralizado: suas cargas de trabalho, como máquinas virtuais (VMs) e contêineres, são configuradas para enviar todas as solicitações da Web de saída para a instância central do Secure Web Proxy.

  2. Aplicação de políticas: o proxy inspeciona a solicitação e aplica suas políticas de segurança para determinar se a conexão será permitida ou negada.

  3. Tráfego de saída seguro: se a solicitação for permitida, o tráfego será encaminhado com segurança para a Internet usando a Google Cloud infraestrutura, normalmente o Cloud NAT. O proxy também usa o Cloud DNS para resolver endereços da Web externos.

Políticas e regras

É possível configurar as seguintes políticas e regras na instância do Secure Web Proxy:

  • Políticas de autorização: essas políticas permitem estabelecer verificações de controle de acesso com base na identidade ou no destino ao processar solicitações de saída pela instância do Secure Web Proxy. É possível configurar políticas de autorização (AuthzPolicy) para validar a identidade de uma carga de trabalho ou agente de origem que acessa a Internet.

  • Políticas de segurança de gateway: essas políticas definem o padrão de segurança geral para um gateway específico. Uma política de segurança de gateway é o contêiner principal das suas instruções de segurança.

  • Regras de segurança de gateway: em cada política de segurança de gateway, é possível adicionar uma ou mais regras de segurança de gateway. Essas regras são as instruções individuais que permitem ou negam o tráfego com base em vários critérios.

  • Políticas de limitação de taxa de serviço: essas políticas permitem aplicar limites de taxa específicos do cliente e de todo o serviço ao tráfego da web de saída. É possível configurar limites de frequência com base em solicitações por minuto e associar esses limites a clientes ou grupos de clientes específicos.

Modos de implantação

É possível implantar a instância do Secure Web Proxy em um dos seguintes modos:

  • Modo de roteamento de proxy explícito: nesse modo, é necessário configurar explicitamente os ambientes e clientes da carga de trabalho para apontar diretamente para o servidor proxy. O Secure Web Proxy isola seus clientes da Internet. Dessa forma, o Secure Web Proxy atua como um intermediário, estabelecendo novas conexões TCP para o cliente e garantindo que cada conexão atenda aos requisitos da política de segurança administrada.

  • Modo de anexo de serviço do Private Service Connect: nesse modo, é possível centralizar as implantações de proxy da Web em uma arquitetura complexa de várias VPCs.

  • Modo de próximo salto: nesse modo, é possível configurar a instância do Secure Web Proxy para atuar como um próximo salto para o roteamento na rede. Em outras palavras, é possível configurar o roteamento de rede para enviar automaticamente o tráfego de saída para a instância do Secure Web Proxy. Esse método de implantação reduz a sobrecarga administrativa da sua organização porque não é necessário configurar manualmente cada carga de trabalho ou cliente de origem para usar o proxy.

Limitações

  • Versões de IP: o Secure Web Proxy oferece suporte apenas a IPv4. O IPv6 não é compatível.

  • Versões HTTP: o Secure Web Proxy oferece suporte às versões HTTP/0.9, 1.0, 1.1 e 2.0. O HTTP/3 não é compatível.

  • Escopo de implantação: é possível implantar uma instância do Secure Web Proxy apenas em um projeto host, não em um projeto de serviço.

Outras Google Cloud ferramentas a serem consideradas

É possível integrar o Secure Web Proxy com as seguintes Google Cloud ferramentas para melhorar a postura geral de segurança das cargas de trabalho e aplicativos:

  • Use o TLS mútuo (mTLS) de front-end para permitir que o Secure Web Proxy configure identidades de clientes validadas em políticas de autorização e aplique o controle de acesso granular para tráfego de saída.

  • Use o Certificate Manager para gerenciar as âncoras de confiança (certificados raiz) e as CAs intermediárias necessárias para validar certificados do cliente em conexões mTLS de front-end com o Secure Web Proxy.

  • Implemente o VPC Service Controls para evitar a exfiltração de dados de Google Cloud serviços, como o Cloud Storage e o BigQuery.

  • Use Trace para receber dados de rastreamento distribuído para solicitações de saída e analisar a latência de rede de ponta a ponta.

A seguir