יצירה וניהול של פרופילי אבטחה למניעת איומים

כדי להגן על משאבי Google Cloud מפני איומים, אתם מגדירים ואוכפים פרופילי אבטחה למניעת איומים. במאמר הזה מוסבר איך ליצור, להציג, לשנות ולמחוק את הפרופילים האלה באמצעות מסוףGoogle Cloud או Google Cloud CLI.

המסמך מיועד למנהלי רשתות ולמהנדסי אבטחה שמגדירים מדיניות אבטחת רשת ומניעת איומים.

‫Google Cloud תומך בפרופילי אבטחה למניעת איומים בשתי רמות:

  • פרופילי אבטחה ברמת הארגון: הפעלת כללים מרכזיים למניעת איומים שאפשר להחיל על כמה פרויקטים בארגון.
  • פרופילי אבטחה ברמת הפרויקט: הפעלת כללים למניעת איומים ספציפיים לפרויקט, שמותאמים לעומסי העבודה בפרויקט אחד.

מידע נוסף זמין במאמר סקירה כללית על פרופילי אבטחה.

לפני שמתחילים

תפקידים

כדי לקבל את ההרשאות שדרושות ליצירה, לצפייה, לעדכון או למחיקה של פרופילי אבטחה, בקשו מהאדמין להקצות לכם את התפקידים הנדרשים בניהול זהויות והרשאות גישה (IAM) בארגון. כדי לקרוא הסבר על מתן תפקידים, קראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יצירת פרופיל אבטחה למניעת איומים

יוצרים פרופיל אבטחה מסוג threat-prevention ומציינים את השם של פרופיל האבטחה כמחרוזת או כמזהה ייחודי של כתובת URL.

המסוף

  1. נכנסים לדף Security profiles במסוף Google Cloud .

    מעבר אל פרופילי אבטחה

  2. בתפריט לבחירת פרויקטים, בוחרים את הארגון או הפרויקט שבו רוצים ליצור את פרופיל האבטחה.

  3. לוחצים על הכרטיסייה פרופילי אבטחה.

  4. לוחצים על יצירת פרופיל.

  5. מזינים שם בשדה שם.

  6. אם רוצים, מוסיפים תיאור בשדה Description.

  7. כדי ליצור פרופיל אבטחה של Cloud Next Generation Firewall Enterprise, בקטע Purpose בוחרים באפשרות Cloud NGFW Enterprise.

  8. כדי ליצור פרופיל אבטחה למניעת איומים, בקטע Type בוחרים באפשרות Threat prevention.

  9. לוחצים על Continue.

אם רוצים, אפשר להוסיף שינויים ברמת החומרה וברמת האיום:

  1. בקטע Severity overrides, לוחצים על Edit ליד רמת החומרה שרוצים לשנות.
  2. ברשימה Override action, בוחרים את הפעולה המתאימה לרמת החומרה.
  3. כדי להוסיף חתימת איום לביטול, לוחצים על הוספת חתימה לפי מזהה.
  4. בשדה Signature ID, מזינים את מזהה האיום שרוצים לשנות. אתם יכולים לראות את מזהי האיומים במרכז הבקרה של האיומים.
  5. ברשימה Override action, בוחרים את הפעולה המתאימה למזהה האיום.
  6. לוחצים על יצירה.

gcloud

כדי ליצור פרופיל אבטחה למניעת איומים, משתמשים בפקודה gcloud network-security security-profiles threat-prevention create:

gcloud network-security security-profiles threat-prevention create NAME \
  [--organization ORGANIZATION_ID | --project PROJECT_ID] \
  [--billing-project QUOTA_PROJECT_ID] \
  --description DESCRIPTION \
  --location global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: שם פרופיל האבטחה.

    אם לא מציינים את השם בפורמט של מזהה כתובת ה-URL הייחודי, צריך לציין את שם הארגון או הפרויקט ואת המיקום.

  • ‫ORGANIZATION_ID: מזהה הארגון. הדגל הזה משמש לפרופיל אבטחה ברמת הארגון.

  • ‫PROJECT_ID: מזהה הפרויקט. הדגל הזה משמש לפרופיל אבטחה ברמת הפרויקט.

  • ‫QUOTA_PROJECT_ID: מזהה הפרויקט לחיוב על מכסות. הדגל הזה משמש רק לפרופילי אבטחה ברמת הארגון.

  • ‫DESCRIPTION: תיאור אופציונלי של פרופיל האבטחה למניעת איומים.

הצגת רשימה ופרטים של פרופיל אבטחה

אתם יכולים להציג רשימה של כל פרופילי האבטחה למניעת איומים שנוצרו בארגון או בפרויקט. אתם יכולים גם לראות את הפרטים של פרופיל האבטחה, כמו סוג הפרופיל, המטרה והתיאור שלו.

המסוף

  1. נכנסים לדף Security profiles במסוף Google Cloud .

    מעבר אל פרופילי אבטחה

  2. בתפריט לבחירת פרויקטים, בוחרים את הארגון.

  3. לוחצים על הכרטיסייה פרופילי אבטחה. בכרטיסייה מופיעה רשימה של פרופילי אבטחה מוגדרים.

  4. כדי לסנן לפי פרופילי אבטחה למניעת איומים, בשדה Filter מציינים את Profile type בתור Threat prevention.

    בכרטיסייה מוצגת רשימה של פרופילי אבטחה למניעת איומים.

  5. לוחצים על פרופיל אבטחה מסוג Threat prevention כדי לראות את הפרטים שלו.

המסוף

  1. נכנסים לדף Security profiles במסוף Google Cloud .

    מעבר אל פרופילי אבטחה

  2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט.

  3. לוחצים על הכרטיסייה פרופילי אבטחה. בכרטיסייה מופיעה רשימה של פרופילי אבטחה מוגדרים.

  4. לוחצים על פרופיל אבטחה מסוג Threat prevention כדי לראות את פרטי הפרופיל.

gcloud

כדי להציג את כל פרופילי האבטחה למניעת איומים, משתמשים בפקודה gcloud network-security security-profiles threat-prevention list:

gcloud network-security security-profiles threat-prevention list \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

כדי לראות את הפרטים של פרופיל אבטחה למניעת איומים, משתמשים בפקודה gcloud network-security security-profiles describe:

gcloud network-security security-profiles describe NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: שם פרופיל האבטחה.

    אם לא מציינים את השם בפורמט של מזהה כתובת ה-URL הייחודי, צריך לציין את שם הארגון או הפרויקט ואת המיקום.

  • ‫ORGANIZATION_ID: מזהה הארגון שבו נמצא פרופיל האבטחה. משתמשים בדגל הזה לפרופיל אבטחה ברמת הארגון.

  • ‫PROJECT_ID: מזהה הפרויקט שבו נמצא פרופיל האבטחה. הדגל הזה משמש לפרופיל אבטחה ברמת הפרויקט.

  • ‫QUOTA_PROJECT_ID: מזהה הפרויקט לחיוב על מכסות. השתמשו בדגל הזה רק לפרופילי אבטחה ברמת הארגון.

מחיקת פרופיל אבטחה למניעת איומים

כדי למחוק פרופיל אבטחה למניעת איומים, צריך לציין את השם, המיקום והארגון או הפרויקט שלו. עם זאת, אם פרופיל אבטחה מסוים מקושר לקבוצת פרופילי אבטחה, אי אפשר למחוק אותו.

המסוף

  1. נכנסים לדף Security profiles במסוף Google Cloud .

    מעבר אל פרופילי אבטחה

  2. לוחצים על הכרטיסייה פרופילי אבטחה. בכרטיסייה מופיעה רשימה של פרופילי אבטחה מוגדרים.

  3. בוחרים את פרופיל האבטחה למניעת איומים שרוצים למחוק ולוחצים על Delete.

  4. לוחצים שוב על מחיקה כדי לאשר את הפעולה.

gcloud

כדי למחוק פרופיל אבטחה למניעת איומים, משתמשים בפקודה gcloud network-security security-profiles threat-prevention delete:

gcloud network-security security-profiles threat-prevention delete NAME \
  --organization ORGANIZATION_ID | --project PROJECT_ID \
  [--billing-project QUOTA_PROJECT_ID] \
  --location global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: שם פרופיל האבטחה.

    אם לא מציינים את השם בפורמט של מזהה כתובת ה-URL הייחודי, צריך לציין את שם הארגון או הפרויקט ואת המיקום.

  • ‫ORGANIZATION_ID: מזהה הארגון. הדגל הזה משמש לפרופיל אבטחה ברמת הארגון.

  • ‫PROJECT_ID: מזהה הפרויקט. הדגל הזה משמש לפרופיל אבטחה ברמת הפרויקט.

  • ‫QUOTA_PROJECT_ID: מזהה הפרויקט לחיוב על מכסות. הדגל הזה משמש רק לפרופילי אבטחה ברמת הארגון.

ייבוא פרופיל אבטחה למניעת איומים

אתם יכולים לייבא פרופיל אבטחה למניעת איומים (שנוצר בהתאמה אישית או שיוצא בעבר) מקובץ YAML. כשמייבאים פרופיל אבטחה למניעת איומים, אם כבר קיים פרופיל עם אותו שם, Cloud NGFW מעדכן את הפרופיל הקיים.

gcloud

כדי לייבא פרופיל אבטחה למניעת איומים מקובץ YAML, משתמשים בפקודה gcloud network-security security-profiles import:

gcloud network-security security-profiles import NAME \
  --organization ORGANIZATION_ID | --project PROJECT_ID \
  [--billing-project QUOTA_PROJECT_ID] \
  --source FILE_NAME \
  --location global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: שם פרופיל האבטחה.

    אם לא מציינים את השם בפורמט של מזהה כתובת ה-URL הייחודי, צריך לציין את שם הארגון או הפרויקט ואת המיקום.

  • ‫ORGANIZATION_ID: מזהה הארגון. הדגל הזה משמש לפרופיל אבטחה ברמת הארגון.

  • ‫PROJECT_ID: מזהה הפרויקט. הדגל הזה משמש לפרופיל אבטחה ברמת הפרויקט.

  • ‫QUOTA_PROJECT_ID: מזהה הפרויקט לחיוב על מכסות. הדגל הזה משמש רק לפרופילי אבטחה ברמת הארגון.

  • ‫FILE_NAME: הנתיב לקובץ ה-YAML שמכיל את נתוני הייצוא של ההגדרות לפרופיל האבטחה למניעת איומים. לדוגמה, threat-prevention-sp.yaml.

    קובץ ה-YAML לא יכול להכיל שדות פלט בלבד. אפשר גם להשמיט את הדגל source כדי לקרוא מהקלט הסטנדרטי (stdin).

ייצוא של פרופיל אבטחה למניעת איומים

אתם יכולים לייצא פרופיל אבטחה למניעת איומים לקובץ YAML. לדוגמה, במקום להשתמש בממשק המשתמש כדי לשנות פרופיל אבטחה גדול, אתם יכולים להשתמש בפונקציונליות הזו כדי לייצא את פרופיל האבטחה, לשנות אותו במהירות ולייבא אותו בחזרה.

gcloud

כדי לייצא פרופיל אבטחה למניעת איומים לקובץ YAML, משתמשים בפקודה gcloud beta network-security security-profiles export:

gcloud network-security security-profiles export NAME \
  --organization ORGANIZATION_ID | --project PROJECT_ID \
  [--billing-project QUOTA_PROJECT_ID] \
  --destination FILE_NAME \
  --location global

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: שם פרופיל האבטחה.

    אם לא מציינים את השם בפורמט של מזהה כתובת ה-URL הייחודי, צריך לציין את שם הארגון או הפרויקט ואת המיקום.

  • ‫ORGANIZATION_ID: מזהה הארגון. הדגל הזה משמש לפרופיל אבטחה ברמת הארגון.

  • ‫PROJECT_ID: מזהה הפרויקט. הדגל הזה משמש לפרופיל אבטחה ברמת הפרויקט.

  • ‫QUOTA_PROJECT_ID: מזהה הפרויקט לחיוב על מכסות. הדגל הזה משמש רק לפרופילי אבטחה ברמת הארגון.

  • ‫FILE_NAME: הנתיב לקובץ ה-YAML שאליו Cloud NGFW ייצא את ההגדרות של פרופיל האבטחה למניעת איומים. לדוגמה, threat-prevention-sp.yaml.

    נתוני ההגדרות שמיוצאים לא מכילים שדות פלט בלבד. אפשר גם להשמיט את הדגל destination כדי לכתוב לפלט הסטנדרטי (stdout).

הוספת פעולות שיעקפו את פרופיל האבטחה למניעת איומים

אתם יכולים לשנות את הפעולות שמשויכות לחתימות איום ספציפיות או לרמות חומרה ספציפיות בפרופיל אבטחה קיים למניעת איומים.

המסוף

  1. נכנסים לדף Security profiles במסוף Google Cloud .

    מעבר אל פרופילי אבטחה

  2. בתפריט לבחירת פרויקטים, בוחרים את הארגון או הפרויקט.

  3. לוחצים על הכרטיסייה פרופילי אבטחה. בכרטיסייה מופיעה רשימה של פרופילי אבטחה מוגדרים.

  4. בוחרים את פרופיל האבטחה שבו רוצים לשנות את הפעולות ולוחצים על Edit.

  5. בקטע Severity overrides, לוחצים על Edit ליד רמת החומרה שרוצים לשנות.

  6. ברשימה Override action, בוחרים את הפעולה המתאימה לרמת החומרה.

  7. לוחצים על אישור.

  8. לוחצים על Save.

gcloud

כדי להוסיף שינוי לפרופיל אבטחה למניעת איומים, משתמשים בפקודה gcloud network-security security-profiles threat-prevention add-override:

gcloud network-security security-profiles threat-prevention add-override NAME \
  --location global \
  [--organization ORGANIZATION_ID | --project PROJECT_ID] \
  [--billing-project QUOTA_PROJECT_ID] \
  [--severities SEVERITIES | --threat-ids THREAT_IDS | --antivirus PROTOCOLS] \
  --action ACTION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של פרופיל האבטחה. אפשר לציין את השם כמחרוזת או כמזהה ייחודי של כתובת URL.

  • ‫ORGANIZATION_ID: מזהה הארגון. הדגל הזה משמש לפרופיל אבטחה ברמת הארגון.

  • ‫PROJECT_ID: מזהה הפרויקט. הדגל הזה משמש לפרופיל אבטחה ברמת הפרויקט.

  • ‫QUOTA_PROJECT_ID: מזהה הפרויקט לחיוב על מכסות. הדגל הזה משמש רק לפרופילי אבטחה ברמת הארגון.

  • ‫SEVERITIES: רשימה מופרדת בפסיקים של רמות חומרה שרוצים לשנות את הפעולה שלהן. נקודת הקצה של חומת האש מחילה את הדגל --action שהוגדר על כל האיומים ברמות החומרה שצוינו.

    רמת החומרה יכולה להיות אחת מהאפשרויות הבאות:

    • INFORMATIONAL
    • LOW
    • MEDIUM
    • HIGH
    • CRITICAL

  • ‫THREAT_IDS: רשימה מופרדת בפסיקים של מזהי חתימות איומים שרוצים לשנות את הפעולה שלהם. נקודת הקצה של חומת האש מחילה את הדגל --action שהוגדר על כל האיומים של מזהי האיומים שצוינו.

  • ‫PROTOCOLS: רשימה מופרדת בפסיקים של פרוטוקולי רשת שצריך לעקוב אחריהם כדי לזהות איומי אנטי-וירוס. מידע נוסף זמין במאמר פרוטוקולים נתמכים.

  • ‫ACTION: הפעולה שתתבצע במזהי האיומים או ברמות החומרה שצוינו. למידע נוסף, קראו את המאמר פעולות נתמכות.

הצגת רשימה של פעולות שינוי בפרופיל אבטחה למניעת איומים

אתם יכולים להציג רשימה של כל פעולות הביטול בפרופיל אבטחה למניעת איומים.

המסוף

  1. נכנסים לדף Security profiles במסוף Google Cloud .

    מעבר אל פרופילי אבטחה

  2. בתפריט לבחירת פרויקטים, בוחרים את הארגון או הפרויקט.

  3. לוחצים על הכרטיסייה פרופילי אבטחה. בכרטיסייה מופיעה רשימה של פרופילי אבטחה מוגדרים.

  4. בוחרים את פרופיל האבטחה כדי לראות את פעולות שינוי רמת החומרה ופעולות שינוי חתימת האיום שהוגדרו.

gcloud

כדי להציג את רשימת פעולות הביטול בפרופיל האבטחה למניעת איומים, משתמשים בפקודה gcloud network-security security-profiles threat-prevention list-overrides:

gcloud network-security security-profiles threat-prevention list-overrides NAME \
  --location global \
  [--organization ORGANIZATION_ID | --project PROJECT_ID]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של פרופיל האבטחה. אפשר לציין את השם כמחרוזת או כמזהה ייחודי של כתובת URL.

  • ‫ORGANIZATION_ID: מזהה הארגון. הדגל הזה משמש לפרופיל אבטחה ברמת הארגון.

  • ‫PROJECT_ID: מזהה הפרויקט. הדגל הזה משמש לפרופיל אבטחה ברמת הפרויקט.

עדכון פעולות שינוי בפרופיל אבטחה למניעת איומים

אתם יכולים לעדכן פעולות קיימות לשינוי ברירת המחדל של רמות החומרה או חתימות האיומים בפרופיל האבטחה למניעת איומים.

המסוף

  1. נכנסים לדף Security profiles במסוף Google Cloud .

    מעבר אל פרופילי אבטחה

  2. בתפריט לבחירת פרויקטים, בוחרים את הארגון או הפרויקט.

  3. לוחצים על הכרטיסייה פרופילי אבטחה. בכרטיסייה מופיעה רשימה של פרופילי אבטחה מוגדרים.

  4. בוחרים את פרופיל האבטחה ולוחצים על עריכה.

  5. בקטע Severity overrides, לוחצים על Edit ליד רמת החומרה שבה רוצים לעדכן את פעולת ההחלפה.

  6. ברשימה Override action, בוחרים את הפעולה המתאימה לרמת החומרה.

  7. לוחצים על אישור.

  8. לוחצים על Save.

gcloud

כדי לעדכן פעולת שינוי בפרופיל אבטחה למניעת איומים, משתמשים בפקודה gcloud network-security security-profiles threat-prevention update-override:

gcloud network-security security-profiles threat-prevention update-override NAME \
  --location global \
  [--organization ORGANIZATION_ID | --project PROJECT_ID] \
  [--billing-project QUOTA_PROJECT_ID] \
  [--severities SEVERITIES | --threat-ids THREAT_IDS | --antivirus PROTOCOLS] \
  --action ACTION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של פרופיל האבטחה. אפשר לציין את השם כמחרוזת או כמזהה ייחודי של כתובת URL.

  • ‫ORGANIZATION_ID: מזהה הארגון. הדגל הזה משמש לפרופיל אבטחה ברמת הארגון.

  • ‫PROJECT_ID: מזהה הפרויקט. הדגל הזה משמש לפרופיל אבטחה ברמת הפרויקט.

  • ‫QUOTA_PROJECT_ID: מזהה הפרויקט לחיוב על מכסות. הדגל הזה משמש רק לפרופילי אבטחה ברמת הארגון.

  • ‫SEVERITIES: רשימה מופרדת בפסיקים של רמות החומרה שרוצים לעדכן את ההגדרות שלהן.

    רמת החומרה יכולה להיות אחת מהאפשרויות הבאות:

    • INFORMATIONAL
    • LOW
    • MEDIUM
    • HIGH
    • CRITICAL

  • ‫THREAT_IDS: רשימה מופרדת בפסיקים של מזהי חתימות איומים שרוצים לעדכן את השינויים שלהם.

  • ‫PROTOCOLS: רשימה מופרדת בפסיקים של פרוטוקולי רשת שצריך לעקוב אחריהם כדי לזהות איומי אנטי-וירוס.

    אלה הפרוטוקולים הנתמכים:

    • SMTP
    • SMB
    • POP3
    • IMAP
    • HTTP2
    • HTTP
    • FTP

  • ‫ACTION: פעולת ברירת המחדל למזהי האיומים או לרמות החומרה שצוינו.

    הפעולה יכולה להיות אחת מהאפשרויות הבאות:

    • DEFAULT
    • ALLOW
    • DENY
    • ALERT

מחיקת פעולות ביטול מפרופיל אבטחה למניעת איומים

אתם יכולים למחוק פעולות קיימות של שינוי הגדרות ברירת המחדל של רמות חומרה או חתימות איומים מפרופיל אבטחה למניעת איומים.

המסוף

  1. נכנסים לדף Security profiles במסוף Google Cloud .

    מעבר אל פרופילי אבטחה

  2. בתפריט לבחירת פרויקטים, בוחרים את הארגון או הפרויקט.

  3. לוחצים על הכרטיסייה פרופילי אבטחה. בכרטיסייה מופיעה רשימה של פרופילי אבטחה מוגדרים.

  4. בוחרים את פרופיל האבטחה ולוחצים על עריכה.

  5. בקטע Severity overrides, לוחצים על Edit ליד רמת החומרה שבה רוצים למחוק את פעולת ההחרגה.

  6. ברשימה פעולת שינוי, בוחרים באפשרות ברירת מחדל.

  7. לוחצים על אישור.

  8. בקטע Signature overrides, בוחרים את מזהה האיום שרוצים למחוק.

  9. לוחצים על Delete.

  10. לוחצים על Save.

gcloud

כדי למחוק פעולת שינוי מפרופיל אבטחה למניעת איומים, משתמשים בפקודה gcloud network-security security-profiles threat-prevention delete-override:

gcloud network-security security-profiles threat-prevention delete-override NAME \
  --location global \
  [--organization ORGANIZATION_ID | --project PROJECT_ID] \
  [--billing-project QUOTA_PROJECT_ID] \
  [--severities SEVERITIES | --threat-ids THREAT_IDS | --antivirus PROTOCOLS]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של פרופיל האבטחה. אפשר לציין את השם כמחרוזת או כמזהה ייחודי של כתובת URL.

  • ‫ORGANIZATION_ID: מזהה הארגון. הדגל הזה משמש לפרופיל אבטחה ברמת הארגון.

  • ‫PROJECT_ID: מזהה הפרויקט. הדגל הזה משמש לפרופיל אבטחה ברמת הפרויקט.

  • ‫QUOTA_PROJECT_ID: מזהה הפרויקט לחיוב על מכסות. הדגל הזה משמש רק לפרופילי אבטחה ברמת הארגון.

  • ‫SEVERITIES: רשימה מופרדת בפסיקים של רמות החומרה שרוצים למחוק את ההגדרות שלהן.

    רמת החומרה יכולה להיות אחת מהאפשרויות הבאות:

    • INFORMATIONAL
    • LOW
    • MEDIUM
    • HIGH
    • CRITICAL

  • ‫THREAT_IDS: רשימה מופרדת בפסיקים של מזהי חתימות איומים שרוצים למחוק את ההגדרות שלהם.

  • ‫PROTOCOLS: רשימה מופרדת בפסיקים של פרוטוקולי רשת שצריך לעקוב אחריהם כדי לזהות איומי אנטי-וירוס.

    אלה הפרוטוקולים הנתמכים:

    • SMTP
    • SMB
    • POP3
    • IMAP
    • HTTP2
    • HTTP
    • FTP

המאמרים הבאים