安全性設定檔群組總覽

安全性設定檔群組是安全性設定檔的容器。防火牆政策規則會參照安全性設定檔群組，為網路啟用第 7 層檢查，例如入侵偵測與防範服務、進階惡意軟體沙箱 (WildFire) 和網址篩選服務。

本文將詳細介紹安全性設定檔群組及其功能。

規格

  • 安全性設定檔群組是可在組織或專案層級設定的資源。

    • 組織層級安全性設定檔群組：用於將整個組織的組織層級安全性設定檔分組。

    • 專案層級安全性設定檔群組：用於將專案中的專案層級安全性設定檔分組。

  • 安全性設定檔群組名稱的設定格式為下列網址 ID：

    • 機構層級：

      organizations/ORGANIZATION_ID/locations/global/securityProfileGroups/NAME

    • 專案層級：

      projects/PROJECT_ID/locations/global/securityProfileGroups/NAME

    安全性設定檔群組的 NAME 必須符合下列規定：

    • 長度介於 1 到 63 個半形字元的字串
    • 只能包含小寫英數字元或連字號 (-)
    • 開頭須為英文字母

    範例：

    • 組織層級安全性設定檔群組：

      organizations/2345678432/locations/global/securityProfileGroups/example-security-profile-group

    • 專案層級安全性設定檔群組：

      projects/my-project-123/locations/global/securityProfileGroups/example-security-profile-group

    如果使用不重複的網址 ID 做為安全設定檔群組名稱，網址會包含組織或專案，以及位置。如果只指定名稱，則在使用 gcloud 指令時，必須另外提供組織 ID 或專案 ID 和位置。

  • 在安全性設定檔群組中，您可以依任何順序新增 THREAT_PREVENTION、WILDFIRE_ANALYSIS 或 URL_FILTERING 類型的安全性設定檔。

  • 安全性設定檔群組只能包含一個各類型的安全性設定檔。如要新增多個設定檔，請確保這些設定檔屬於不同類型。舉例來說，如果您新增 URL_FILTERING 類型的安全防護設定檔，可以新增 THREAT_PREVENTION 類型的第二個設定檔，用於掃描及篩選流量。如果新增 WILDFIRE_ANALYSIS 設定檔來掃描未知的檔案型惡意軟體，您也必須在安全性設定檔群組中加入必要的 THREAT_PREVENTION 設定檔。

與防火牆政策規則整合

只有在新增動作為 apply_security_profile_group 的防火牆政策規則時，安全性設定檔群組才會套用至防火牆政策。您可以在下列防火牆政策規則中設定安全性設定檔群組：

  • 階層式防火牆政策：在組織或資料夾層級管理，只能參照組織層級的安全設定檔群組。

  • 全域網路防火牆政策：在專案層級管理，可參照組織層級安全設定檔群組，以及任何專案的專案層級安全設定檔群組。

如要對網路流量執行第 7 層檢查，防火牆政策規則必須包含防火牆端點要使用的安全性設定檔群組名稱。

流量檢查和處理

防火牆政策規則適用於虛擬私有雲 (VPC) 網路的傳入和傳出流量。比對成功的流量會重新導向至防火牆端點，並附上設定的安全性設定檔群組名稱。

防火牆端點會使用安全性設定檔群組中指定的安全性設定檔，執行下列操作：

  • 檢查網域和伺服器名稱指示 (SNI) 資訊
  • 掃描封包，找出威脅和未知的檔案型惡意軟體
  • 套用設定的動作

檢查序列

防火牆端點通常會按照下列順序處理安全性設定檔：

  1. 網址篩選：端點會執行 URL_FILTERING 安全性設定檔。
  2. 威脅防護和惡意軟體分析：端點會執行 THREAT_PREVENTION 安全性設定檔。啟用進階惡意軟體沙箱後，WILDFIRE_ANALYSIS 安全性設定檔也會與威脅防護設定檔一併執行。

威脅掃描邏輯

掃描威脅時，進階惡意軟體沙箱會結合使用裝置端和雲端式分析引擎。這項服務提供下列類型的保護：

  • 即時防護：檢查已知惡意軟體特徵，並使用裝置端機器學習 (ML) 模型，動態分析及封鎖未知威脅。
  • 即時雲端分析：在檔案進入網路前，先在雲端評估檔案。
  • 非同步深度沙箱：如果不明檔案通過即時檢查，防火牆會根據您設定的提交規則，擷取並上傳至進階惡意軟體沙箱雲端進行分析。

如要進一步瞭解設定，請參閱下列文件：

資源關聯

每個安全性設定檔群組都必須有相關聯的專案 ID。相關聯的專案會用於安全性設定檔群組資源的配額和存取限制。

如果您使用 gcloud auth activate-service-account 指令驗證服務帳戶，可以將服務帳戶與安全性設定檔群組建立關聯。

詳情請參閱「建立安全性設定檔群組」。

組織層級和專案層級安全性設定檔群組的差異

以下重點摘要說明組織層級和專案層級安全性設定檔群組之間的差異：

  • 組織層級的安全設定檔群組適用於組織層級和專案層級的端點。
  • 專案層級安全性設定檔群組適用於專案層級防火牆端點，且兩者必須位於相同專案。無法套用至組織層級防火牆端點。
  • 組織層級的安全設定檔群組只能包含組織層級的安全設定檔。
  • 專案層級的安全性設定檔群組，只能包含位於相同專案中的專案層級安全性設定檔。

後續步驟