סקירה כללית על Cloud NGFW

‫Cloud Next Generation Firewall‏ (Cloud NGFW) הוא שירות מודרני ומבוזר של חומת אש בענן, שמאפשר לאבטח את עומסי העבודה ב- Google Cloud , כמו אפליקציות ושירותים שפועלים ב- Google Cloud או שצורכים משאבים של Google Cloud.

‫Cloud NGFW מספק בדיקה עם שמירת מצב (stateful) ובקרת אפליקציות בשכבה 7, גם לתעבורת נתונים מצפון לדרום (כניסה לרשת של ענן וירטואלי פרטי (VPC) או יציאה ממנה) וגם לתעבורת נתונים ממזרח למערב (תקשורת בין משאבים בתוך רשתות VPC). כדי לספק אבטחה מתקדמת, Cloud NGFW כולל שירות לזיהוי ומניעה של חדירות, סביבה מתקדמת לבדיקת תוכנות זדוניות (WildFire) ושירות סינון של כתובות URL. שירות גילוי חדירות ומניעתן בודק את תעבורת הנתונים בשכבת האפליקציות כדי לזהות ולחסום איומים ברשת. שירות סינון כתובות URL מאפשר לכם לשלוט בגישה לאתרים ולדפי אינטרנט על ידי חסימה או אישור של כתובות ה-URL שלהם.

במאמר הזה נסביר על התכונות של Cloud NGFW, על רמות השירות ועל הרשתות השונות שנתמכות ב-Cloud NGFW.

התכונות העיקריות של Cloud NGFW

Cloud NGFW מציע את אמצעי האבטחה העיקריים הבאים:

  • שירות חומת אש מבוזרת. ‫Cloud NGFW מחיל כללי חומת אש על מכונות וירטואליות, משאבים שמבוססים על מכונות וירטואליות ומאזני עומסים נתמכים ברשת VPC, כדי לאפשר תעבורת נתונים, לדחות אותה או לשלוח אותה לבדיקה.

  • מדיניות חומת אש ברשתות גלובליות ואזוריות. ב-Cloud NGFW אפשר לקבץ כללים של חומת אש לאובייקטים של מדיניות, ולהחיל אותם באופן עקבי על כמה רשתות VPC, באופן גלובלי או באזור ספציפי. מידע נוסף זמין במאמרים מדיניות חומת אש גלובלית ברשת ומדיניות חומת אש אזורית ברשת.

  • מדיניות חומת אש היררכית. ‫Cloud NGFW מאפשר לקבץ כללי חומת אש לאובייקטים של מדיניות שאפשר להחיל על כל הארגון או על תיקיות ספציפיות. כללי המדיניות האלה מספקים אכיפה עקבית של חומת האש בכל Google Cloudהיררכיית המשאבים. למידע נוסף, ראו כללי מדיניות היררכיים של חומת אש.

  • אבטחה רב-שכבתית. ‫Cloud NGFW מגן על עומסי העבודה שלכם באמצעות אמצעי בקרה בשכבה 3, בשכבה 4 ובשכבה 7 של מקבץ הרשת (network stack). אפשר ליצור כללים של חומת אש ששולטים בתעבורת הנתונים בשכבת הרשת ובשכבת האפליקציה.

  • שליטה פרטנית ופילוח מיקרו. מיקרו-סגמנטציה היא שיטת אבטחה שבה מחלקים את הרשת לאזורים קטנים ונפרדים כדי ליצור מסגרת של אפס אמון לעומסי העבודה. בעזרת תגים מאובטחים, אתם יכולים להפעיל חלוקה לפלחים קטנים ולהחיל כללי אבטחה מפורטים שמבוססים על זהות כדי לסנן תנועה פנימית וחיצונית.

  • שילוב עם מאזני עומסים: כדי להגן על תעבורת הנתונים הנכנסת (ingress), ‏Cloud NGFW משתלב עם שרתי ה-Proxy המנוהלים של Envoy, שמפעילים מאזני עומסים פנימיים של אפליקציות (ALB) ומאזני עומסי רשת פנימיים לשרת proxy. אפשר להחיל סינון של שכבה 3 ושכבה 4 על שני סוגי מאזני העומסים. בנוסף, אתם יכולים להחיל סינון בשכבת האפליקציות 7 (גרסת טרום-השקה (Preview)) על מאזני עומסים פנימיים של אפליקציות (ALB) חוצי-אזורים. במאזני עומסי רשת פנימיים לשרת proxy אי אפשר לבצע בדיקה של שכבה 7.

הרמות של Cloud NGFW

התכונות של Cloud NGFW מחולקות לרמות הבאות:

  • ‫Cloud Next Generation Firewall Essentials: רמת השירות הבסיסית של חומת האש ש- Google Cloud מציע. המאפיינים של הרמה הזו מאפשרים ליצור כללים על סמך מאפייני רשת סטנדרטיים, כולל טווחי IP, יציאות ופרוטוקולים. התכונות ברמה הזו מוצעות ללא עלות.

  • ‫Cloud Next Generation Firewall Standard: מרחיב את התכונות של רמת Essentials עם יכולות משופרות, כמו אובייקטים של שמות דומיין שמוגדרים במלואם (FQDN) ומודיעין איומי סייבר.

  • ‫Cloud Next Generation Firewall Enterprise: הרמה הגבוהה ביותר של Cloud NGFW, שכוללת הגדרות מתקדמות ויכולות אבטחה בשכבה 7, כמו סינון כתובות URL, סביבה מתקדמת לבדיקת תוכנות זדוניות וזיהוי ומניעה של חדירות.

מערכת הרמות של Cloud NGFW מאפשרת לכם לשלוט באופן מדויק בהוצאות על אבטחה. למידע נוסף על התכונות, הרמות והתמחור של Cloud NGFW, קראו את המאמרים רמות של Cloud NGFW ותמחור של Cloud NGFW.

רשתות VPC נתמכות

‫Cloud NGFW תומך ברשתות ה-VPC הבאות, שכל אחת מהן מיועדת לדרישות ספציפיות של עומסי עבודה ולפרופילי ביצועים.

מאזני עומסים נתמכים

‫Cloud NGFW תומך גם במאזני העומסים הבאים שמבוססים על Envoy:

סוג המדיניות רמת Cloud NGFW מאזני עומסים נתמכים
מדיניות חומת אש גלובלית ברשתות ‫Essentials ו-Standard
  • מאזני עומסים פנימיים אזוריים של אפליקציות (ALB)
  • מאזני עומסים פנימיים של אפליקציות (ALB) באזורים שונים
  • מאזני עומסי רשת אזוריים פנימיים בשרת proxy
  • מאזני עומסי רשת פנימיים לשרת proxy באזורים שונים

מידע נוסף זמין במאמר שימוש במדיניות גלובלית של חומת אש ברשת כדי להגן על מאזני עומסים שמבוססים על Envoy.
מדיניות חומת אש גלובלית ברשתות Enterprise מאזני עומסים פנימיים של אפליקציות (ALB) באזורים שונים (גרסת טרום-השקה (Preview))

מידע נוסף זמין במאמר שימוש במדיניות גלובלית של חומת אש ברשת כדי להגן על מאזני עומסים שמבוססים על Envoy.
מדיניות חומת אש בין רשתות אזוריות ‫Essentials ו-Standard
  • מאזני עומסים פנימיים אזוריים של אפליקציות (ALB)
  • מאזני עומסים פנימיים של אפליקציות (ALB) באזורים שונים
  • מאזני עומסי רשת אזוריים פנימיים בשרת proxy
  • מאזני עומסי רשת פנימיים לשרת proxy באזורים שונים

מידע נוסף זמין במאמר שימוש במדיניות אזורית של חומת אש לרשת כדי להגן על מאזני עומסים פנימיים של אפליקציות ועל מאזני עומסי רשת פנימיים בשרת proxy.
כללי מדיניות של חומת אש בין רשתות אזוריות Enterprise לא נתמך
כללי מדיניות היררכיים של חומת אש כל הרמות לא נתמך
כללי חומת אש של VPC כל הרמות לא נתמך

המאמרים הבאים