Políticas de segurança

Nesta página, explicamos as políticas de segurança de gateway e como criá-las.

Políticas de segurança de gateway

Uma política de segurança de gateway atua como um contêiner centralizado para todas as regras de segurança que controlam o fluxo de tráfego pela instância do Secure Web Proxy. As políticas permitem gerenciar de maneira eficaz o controle de acesso ao tráfego da Web de saída do proxy.

É possível definir uma política e associá-la à instância do Secure Web Proxy. Isso ajuda a garantir que todo o tráfego da Web de saída da sua rede siga um conjunto consistente de padrões de segurança.

As políticas de segurança de gateway são baseadas nos três parâmetros a seguir:

  • Origem do tráfego: o Secure Web Proxy identifica a origem do tráfego usando vários atributos, como contas de serviço, tags seguras e endereços IP.

  • Destino permitido: o Secure Web Proxy determina os destinos permitidos usando um domínio, um caminho de URL completo (se a inspeção de TLS estiver ativada), listas de URLs ou a porta de destino.

  • Detalhes da solicitação: o Secure Web Proxy avalia atributos de solicitação, como o protocolo, o método HTTP e os cabeçalhos de solicitação. Para realizar essa análise em tráfego criptografado, é necessário ativar a inspeção de TLS.

Atributos de origem

As políticas do Secure Web Proxy identificam a origem do tráfego usando os seguintes dados de Cloud Identity e de local de rede:

  • Contas de serviço: identidades exclusivas atribuídas aos seus aplicativos ou cargas de trabalho. As contas de serviço permitem criar políticas com base na função específica de um aplicativo.
  • Tags seguras: rótulos que podem ser aplicados aos recursos do Google Cloud , como instâncias de máquina virtual (VM). As tags permitem agrupar cargas de trabalho por função ou ambiente. Por exemplo, "Permitir que todos os recursos rotulados como Production acessem domínios aprovados".
  • Endereços IP: endereço de rede do remetente. É possível atribuir os endereços IP empresariais ou estáticos Google Cloud que o Secure Web Proxy usa para o tráfego de saída.

Identidades compatíveis com atributos de origem

O Secure Web Proxy usa políticas baseadas em identidade de origem, como contas de serviço e tags seguras, para controlar o tráfego da Web. Essas políticas permitem aplicar regras com base na identidade de origem do tráfego, e não apenas no endereço IP.

A tabela a seguir mostra os serviços do Google Cloud que aceitam políticas baseadas em identidade de origem:

Google Cloud serviços Suporte para contas de serviço Suporte para tags seguras
Máquina virtual (VM) do Compute Engine
Nó do Google Kubernetes Engine (GKE)
Contêiner do Google Kubernetes Engine (GKE) 1 1
VPC direta para o Cloud Run 1
Conector de acesso VPC sem servidor 2 2
Cloud VPN 1 1
Cloud Interconnect no local 1 1
Balanceador de carga de aplicativo
Balanceador de carga de rede
1 Não compatível com Google Cloud.
2 O endereço IP de origem é único e pode ser usado como alternativa.

A tabela a seguir mostra as arquiteturas de nuvem privada virtual (VPC) que dão suporte a políticas de segurança baseadas em identidade de origem:

VPC Arquitetura de VPC Suporte
Na VPC Entre projetos (VPC compartilhada)
Entre VPCs Link de peering cruzado (VPC com peering)
Entre VPCs Private Service Connect entre projetos
Entre VPCs Spokes do Network Connectivity Center entre redes

Atributos de destino

As políticas do Secure Web Proxy determinam se um destino é aprovado analisando os seguintes atributos do site ou serviço de destino:

  • Domínio de destino: o endereço do site, como example.com.

  • Listas de URLs: listas predefinidas de URLs aprovados ou bloqueados que simplificam o gerenciamento de políticas.

  • Porta de destino: porta de rede para onde a instância do Secure Web Proxy envia tráfego. Por exemplo, 443 para HTTPS.

  • Caminho completo do URL: caminho exato do site. É necessário ativar a inspeção de TLS para ver todo o conteúdo da página da Web específica.

Para o tráfego de destino HTTP e HTTPS, use o atributo de destino host e vários atributos relacionados ao destino request.*, como request.method, para seu aplicativo.

Para mais informações sobre os atributos de destino que podem ser usados para tráfego HTTP e HTTPS, consulte Atributos.

Criar uma política de segurança

Antes de criar uma política de segurança de gateway, conclua as seguintes etapas de configuração inicial:

Depois de criar uma política, é possível criar regras e adicioná-las à política. Para mais informações sobre como associar uma política à sua instância do Secure Web Proxy, consulte Configurar um proxy da Web.

Console

  1. No console do Google Cloud , acesse a página Políticas de SWP.

    Acessar as políticas do SWP

  2. Clique em Criar uma política.

  3. Insira um nome para a política que você quer criar, como policy1.

  4. Insira uma descrição da política, como My new swp policy.

  5. Na lista Regiões, selecione a região em que você quer criar a política, como us-central1.

  6. Se você quiser criar regras para a política, clique em Adicionar regra. Para mais informações, consulte Criar uma regra do Secure Web Proxy.

  7. Clique em Criar.

Cloud Shell

  1. Use o editor de texto de sua preferência para criar um arquivo policy.yaml.

  2. Adicione o seguinte ao arquivo policy.yaml que você criou:

    description: basic Secure Web Proxy policy
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1

    Substitua:

    • PROJECT_ID: ID do projeto
    • REGION: região em que a política é criada, como us-central1

  3. Crie a política do Secure Web Proxy.

    gcloud network-security gateway-security-policies import policy1 \
    --source=policy.yaml \
    --location=REGION

A seguir