סקירה כללית על קבוצות של פרופילי אבטחה

קבוצת פרופילי אבטחה היא מאגר של פרופילי אבטחה. הכללים של מדיניות חומת האש מפנים לקבוצת פרופילי אבטחה כדי להפעיל בדיקה של שכבה 7, כמו שירות זיהוי ומניעה של פריצות, סביבה מתקדמת לבדיקת תוכנות זדוניות (WildFire) ושירות סינון כתובות URL ברשת.

במאמר הזה נסביר בפירוט על קבוצות של פרופילי אבטחה ועל היכולות שלהן.

מפרטים

  • קבוצת פרופילי אבטחה היא משאב שאפשר להגדיר ברמת הארגון או ברמת הפרויקט.

    • קבוצת פרופילי אבטחה ברמת הארגון: משמשת לקיבוץ פרופילי אבטחה ברמת הארגון בכל הארגון.

    • קבוצת פרופילי אבטחה ברמת הפרויקט: משמשת לקיבוץ פרופילי אבטחה ברמת הפרויקט בתוך הפרויקט.

  • השם של קבוצת פרופילי האבטחה מוגדר בפורמט הבא של מזהה כתובת URL:

    • ברמת הארגון:

      organizations/ORGANIZATION_ID/locations/global/securityProfileGroups/NAME

    • ברמת הפרויקט:

      projects/PROJECT_ID/locations/global/securityProfileGroups/NAME

    השדה NAME של קבוצת פרופילי האבטחה צריך לעמוד בדרישות הבאות:

    • מחרוזת באורך של 1 עד 63 תווים
    • מכיל רק תווים אלפאנומריים באותיות קטנות או מקפים (-)
    • מתחיל באות

    דוגמאות:

    • קבוצת פרופילי אבטחה ברמת הארגון:

      organizations/2345678432/locations/global/securityProfileGroups/example-security-profile-group

    • קבוצת פרופילי אבטחה ברמת הפרויקט:

      projects/my-project-123/locations/global/securityProfileGroups/example-security-profile-group

    אם משתמשים במזהה הייחודי של כתובת ה-URL בתור השם של קבוצת פרופילי האבטחה, כתובת ה-URL כוללת את הארגון או הפרויקט ואת המיקום. אם מציינים רק את השם, צריך לספק את מזהה הארגון או את מזהה הפרויקט ואת המיקום בנפרד כשמשתמשים בפקודות gcloud.

  • בקבוצת פרופילי אבטחה, אתם יכולים להוסיף פרופילי אבטחה מסוג THREAT_PREVENTION,‏ WILDFIRE_ANALYSIS או URL_FILTERING בכל סדר.

  • קבוצת פרופילי אבטחה יכולה להכיל רק פרופיל אבטחה אחד מכל סוג. כדי להוסיף כמה פרופילים, צריך לוודא שהם מסוגים שונים. לדוגמה, אם מוסיפים פרופיל אבטחה מסוג URL_FILTERING, אפשר להוסיף פרופיל שני מסוג THREAT_PREVENTION כדי לסרוק את התנועה ולסנן אותה. אם מוסיפים פרופיל WILDFIRE_ANALYSIS כדי לסרוק תוכנות זדוניות לא ידועות שמבוססות על קבצים, צריך לכלול גם פרופיל THREAT_PREVENTION חובה בקבוצת פרופילי האבטחה.

שילוב עם כללי מדיניות חומת אש

קבוצות של פרופילי אבטחה חלות על כללי מדיניות של חומת אש רק כשמוסיפים כלל למדיניות של חומת האש עם הפעולה apply_security_profile_group. אפשר להגדיר קבוצות של פרופילי אבטחה בכללים הבאים של מדיניות חומת האש:

כדי לבצע בדיקה של תעבורת הנתונים ברשת בשכבה 7, כלל מדיניות חומת האש צריך להכיל את השם של קבוצת פרופילי האבטחה שבה תשתמש נקודת הקצה של חומת האש.

בדיקה ועיבוד של תנועה

הכלל של מדיניות חומת האש חל על תעבורת הנתונים הנכנסת והיוצאת של רשת הענן הפרטי הווירטואלי (VPC). תנועה תואמת מופנית מחדש לנקודת הקצה של חומת האש, יחד עם השם של קבוצת פרופילי האבטחה שהוגדרה.

נקודת הקצה של חומת האש משתמשת בפרופילי האבטחה שצוינו בקבוצת פרופילי האבטחה כדי לבצע את הפעולות הבאות:

  • בדיקת פרטי הדומיין וציון שם השרת (SNI)
  • סריקת חבילות לאיתור איומים ותוכנות זדוניות לא ידועות שמבוססות על קבצים
  • הפעלת הפעולות שהוגדרו

רצף הבדיקה

בדרך כלל, נקודת הקצה של חומת האש מעבדת את פרופילי האבטחה בסדר הבא:

  1. סינון כתובות URL: נקודת הקצה מפעילה את פרופיל האבטחה URL_FILTERING.
  2. מניעת איומים וניתוח תוכנות זדוניות: נקודת הקצה מריצה את פרופיל האבטחה של THREAT_PREVENTION. כשמפעילים את הסביבה המתקדמת לבדיקת תוכנות זדוניות, פרופיל האבטחה של WILDFIRE_ANALYSIS פועל גם לצד פרופיל מניעת האיומים.

לוגיקת סריקת האיומים

במהלך סריקת איומים, הסביבה המתקדמת לבדיקת תוכנות זדוניות משתמשת בשילוב של מנועי ניתוח נתונים במכשיר ומבוססי-ענן. הוא מספק את סוגי ההגנה הבאים:

  • הגנה בזמן אמת: בדיקה מול חתימות ידועות של תוכנות זדוניות ושימוש במודלים של למידת מכונה (ML) במכשיר כדי לנתח ולחסום באופן דינמי איומים לא ידועים.
  • ניתוח נתונים בענן בזמן אמת: הערכת קבצים בענן לפני שהם מגיעים לרשת.
  • ארגז חול אסינכרוני מעמיק: אם קבצים לא מוכרים עוברים את הבדיקות בזמן אמת, חומת האש מחלצת ומעלה אותם לענן של הסביבה המתקדמת לבדיקת תוכנות זדוניות, כדי לנתח אותם על סמך כללי השליחה שהגדרתם.

מידע נוסף על הגדרות זמין במאמרים הבאים:

שיוך משאבים

לכל קבוצת פרופילי אבטחה צריך להיות מזהה פרויקט משויך. הפרויקט המשויך משמש למכסות ולהגבלות גישה למשאבים של קבוצת פרופילי האבטחה.

אם אתם מאמתים את חשבון השירות באמצעות הפקודה gcloud auth activate-service-account, אתם יכולים לשייך את חשבון השירות לקבוצת פרופילי האבטחה.

מידע נוסף זמין במאמר יצירת קבוצת פרופילי אבטחה.

ההבדלים בין קבוצות של פרופילי אבטחה ברמת הארגון וברמת הפרויקט

הנקודות הבאות מסכמות את ההבדלים בין קבוצות של פרופילי אבטחה ברמת הארגון וברמת הפרויקט :

  • קבוצות של פרופילי אבטחה ברמת הארגון חלות על נקודות קצה ברמת הארגון וברמת הפרויקט.
  • קבוצות של פרופילי אבטחה ברמת הפרויקט חלות על נקודות קצה של חומת אש ברמת הפרויקט, שנמצאות באותו פרויקט כמו הקבוצה של פרופילי האבטחה. אי אפשר להחיל אותם על נקודות קצה של חומת אש ברמת הארגון.
  • קבוצת פרופילי אבטחה ברמת הארגון יכולה להכיל רק פרופילי אבטחה ברמת הארגון.
  • קבוצת פרופילי אבטחה ברמת הפרויקט יכולה להכיל רק פרופילי אבטחה ברמת הפרויקט שקיימים באותו פרויקט.

המאמרים הבאים