Sicherheitsprofilgruppen

Eine Sicherheitsprofilgruppe ist ein Container für Sicherheitsprofile. Ihre Firewallrichtlinienregeln verweisen auf eine Sicherheitsprofilgruppe, um die Layer-7-Prüfung wie den Dienst zur Einbruchserkennung und -prävention, die Advanced Malware Sandbox (WildFire) und den URL-Filterdienst in Ihrem Netzwerk zu aktivieren.

Dieses Dokument bietet eine detaillierte Übersicht über Sicherheitsprofilgruppen und deren Funktionen.

Spezifikationen

  • Eine Sicherheitsprofilgruppe ist eine Ressource, die Sie auf Organisations- oder Projektebene konfigurieren können.

    • Sicherheitsprofilgruppe auf Organisationsebene: Verwenden Sie diese Option, um Sicherheitsprofile auf Organisationsebene in Ihrer Organisation zu gruppieren.

    • Sicherheitsprofilgruppe auf Projektebene: Verwenden Sie diese, um Sicherheitsprofile auf Projektebene in Ihrem Projekt zu gruppieren.

  • Der Name einer Sicherheitsprofilgruppe wird im folgenden URL-ID-Format konfiguriert:

    • Organisationsebene:

      organizations/ORGANIZATION_ID/locations/global/securityProfileGroups/NAME

    • Auf Projektebene:

      projects/PROJECT_ID/locations/global/securityProfileGroups/NAME

    Der NAME der Sicherheitsprofilgruppe muss die folgenden Anforderungen erfüllen:

    • Ein String mit 1 bis 63 Zeichen
    • Enthält nur kleingeschriebene alphanumerische Zeichen oder Bindestriche (-)
    • Muss mit einem Buchstaben beginnen

    Beispiele:

    • Sicherheitsprofilgruppe auf Organisationsebene:

      organizations/2345678432/locations/global/securityProfileGroups/example-security-profile-group

    • Sicherheitsprofilgruppe auf Projektebene:

      projects/my-project-123/locations/global/securityProfileGroups/example-security-profile-group

    Wenn Sie die eindeutige URL-ID für den Namen der Sicherheitsprofilgruppe verwenden, enthält die URL die Organisation oder das Projekt und den Standort. Wenn Sie nur den Namen angeben, müssen Sie die Organisations-ID oder die Projekt-ID und den Standort separat angeben, wenn Sie gcloud-Befehle verwenden.

  • In einer Sicherheitsprofilgruppe können Sie Sicherheitsprofile vom Typ THREAT_PREVENTION, WILDFIRE_ANALYSIS oder URL_FILTERING in beliebiger Reihenfolge hinzufügen.

  • Eine Sicherheitsprofilgruppe kann nur ein Sicherheitsprofil jedes Typs enthalten. Wenn Sie mehrere Profile hinzufügen möchten, müssen diese unterschiedliche Typen haben. Wenn Sie beispielsweise ein Sicherheitsprofil vom Typ URL_FILTERING hinzufügen, können Sie ein zweites Profil vom Typ THREAT_PREVENTION hinzufügen, um Traffic zu scannen und zu filtern. Wenn Sie ein WILDFIRE_ANALYSIS-Profil hinzufügen, um nach unbekannter dateibasierter Malware zu suchen, müssen Sie auch ein obligatorisches THREAT_PREVENTION-Profil in die Sicherheitsprofilgruppe aufnehmen.

Einbindung in Firewallrichtlinien-Regeln

Sicherheitsprofilgruppen gelten nur für Firewallrichtlinien, wenn Sie eine Firewallrichtlinienregel mit der Aktion apply_security_profile_group hinzufügen. Sie können Sicherheitsprofilgruppen in den folgenden Firewallrichtlinienregeln konfigurieren:

  • Hierarchische Firewallrichtlinien: Diese Richtlinien werden auf Organisations- oder Ordnerebene verwaltet und können nur auf Sicherheitsprofilgruppen auf Organisationsebene verweisen.

  • Globale Netzwerk-Firewallrichtlinien: Diese Richtlinien werden auf Projektebene verwaltet und können auf Sicherheitsprofilgruppen auf Organisationsebene und Sicherheitsprofilgruppen auf Projektebene aus einem beliebigen Projekt verweisen.

Eine Firewallrichtlinienregel muss den Namen der Sicherheitsgruppe enthalten, die vom Firewall-Endpunkt verwendet werden soll, um eine Layer-7-Prüfung für den Netzwerkverkehr durchzuführen.

Traffic-Prüfung und -Verarbeitung

Die Firewallrichtlinienregel gilt für eingehenden und ausgehenden Traffic des VPC-Netzwerks (Virtual Private Cloud). Der übereinstimmende Traffic wird zusammen mit dem konfigurierten Namen der Sicherheitsprofilgruppe an den Firewall-Endpunkt weitergeleitet.

Der Firewall-Endpunkt verwendet die in der Sicherheitsprofilgruppe angegebenen Sicherheitsprofile für Folgendes:

  • Domain- und SNI-Informationen (Server Name Indication) prüfen
  • Pakete auf Bedrohungen und unbekannte dateibasierte Malware scannen
  • Konfigurierte Aktionen anwenden

Prüfsequenz

Der Firewall-Endpunkt verarbeitet Sicherheitsprofile im Allgemeinen in der folgenden Reihenfolge:

  1. URL-Filterung: Der Endpunkt führt das Sicherheitsprofil URL_FILTERING aus.
  2. Bedrohungsprävention und Malware-Analyse: Auf dem Endpunkt wird das Sicherheitsprofil THREAT_PREVENTION ausgeführt. Wenn die erweiterte Malware-Sandbox aktiviert ist, wird neben dem Profil zur Vermeidung von Bedrohungen auch ein WILDFIRE_ANALYSIS-Sicherheitsprofil ausgeführt.

Logik für das Scannen auf Bedrohungen

Beim Scannen auf Bedrohungen verwendet die Advanced Malware Sandbox eine Kombination aus On-Box- und cloudbasierten Analyse-Engines. Es bietet die folgenden Arten von Schutz:

  • Echtzeitschutz: Prüft auf bekannte Malware-Signaturen und verwendet On-Box-Modelle für maschinelles Lernen (ML), um unbekannte Bedrohungen dynamisch zu analysieren und zu blockieren.
  • Inline-Cloud-Analyse: Dateien werden in der Cloud ausgewertet, bevor sie das Netzwerk erreichen.
  • Asynchrones Deep Sandboxing: Wenn unbekannte Dateien die Echtzeitprüfungen bestehen, werden sie von der Firewall extrahiert und zur Analyse gemäß Ihren konfigurierten Einreichungsregeln in die Advanced Malware Sandbox-Cloud hochgeladen.

Weitere Informationen zur Konfiguration finden Sie in den folgenden Dokumenten:

Ressourcenverknüpfung

Jeder Sicherheitsprofilgruppe muss eine Projekt-ID zugeordnet sein. Das zugehörige Projekt wird für Kontingente und Zugriffsbeschränkungen für Sicherheitsprofilgruppenressourcen verwendet.

Wenn Sie Ihr Dienstkonto mit dem Befehl gcloud auth activate-service-account authentifizieren, können Sie Ihr Dienstkonto der Gruppe der Sicherheitsprofile zuordnen.

Weitere Informationen finden Sie unter Sicherheitsprofilgruppe erstellen.

Unterschiede zwischen Sicherheitsprofilgruppen auf Organisations- und Projektebene

In den folgenden Punkten werden die Unterschiede zwischen Sicherheitsprofilgruppen auf Organisations- und Projektebene zusammengefasst :

  • Sicherheitsprofilgruppen auf Organisationsebene gelten sowohl für Endpunkte auf Organisations- als auch auf Projektebene.
  • Sicherheitsprofilgruppen auf Projektebene gelten für Firewall-Endpunkte auf Projektebene, die sich im selben Projekt wie die Sicherheitsprofilgruppe befinden. Sie können nicht auf Firewall-Endpunkte auf Organisationsebene angewendet werden.
  • Eine Sicherheitsprofilgruppe auf Organisationsebene kann nur Sicherheitsprofile auf Organisationsebene enthalten.
  • Eine Sicherheitsprofilgruppe auf Projektebene kann nur Sicherheitsprofile auf Projektebene enthalten, die im selben Projekt vorhanden sind.

Nächste Schritte