Panoramica di Secure Web Proxy

Secure Web Proxy consente di proteggere il traffico agentico in uscita e il traffico web standard (HTTP e HTTPS) dalla rete interna della tua organizzazione. Quando configuri gli agenti AI e i workload non agentici in modo che utilizzino Secure Web Proxy come gateway, il proxy funge da checkpoint di sicurezza obbligatorio per qualsiasi applicazione o servizio che tenta di accedere a un sito web esterno alla tua organizzazione.

Vantaggi

Secure Web Proxy offre i seguenti vantaggi principali:

  • Governance del traffico in uscita degli agenti AI. Se integrato con Agent Gateway, Secure Web Proxy applica policy di sicurezza centralizzate per l'accesso dell'agente a strumenti, endpoint o modelli. Puoi applicare perimetri di sicurezza granulari, verificare in modo crittografico le identità degli agenti, ispezionare le chiamate allo strumento Model Context Protocol (MCP) e applicare i guardrail di sanitizzazione dei contenuti di Model Armor al traffico degli agenti in uscita.

  • Controllo degli accessi basato sull'identità. L'accesso si basa su workload crittografici e identità agentiche, anziché su posizioni di rete statiche:

    • Identità degli agenti: per gli agenti AI autonomi, puoi verificare le identità degli agenti integrandole con Identity and Access Management (IAM) e Identity-Aware Proxy (IAP) tramite i binding delle estensioni di Service Extensions.

    • Workload Identity: per i workload non agentici, puoi verificare le identità di origine utilizzando service account, tag sicuri o certificati client con mutual TLS (mTLS) di frontend.

    Questo modello incentrato sull'identità consente di applicare regole di autorizzazione granulari che aiutano a limitare il traffico web in uscita ad agenti e workload autenticati.

  • Sicurezza predefinita efficace. Secure Web Proxy ha un'impostazione predefinitadeny-all che blocca tutto il traffico in uscita finché non lo consenti esplicitamente. Google Cloud gestisce automaticamente tutti gli aggiornamenti del software e dell'infrastruttura, riducendo al minimo il rischio continuo di vulnerabilità della sicurezza.

  • Ispezione centralizzata. Secure Web Proxy consolida le richieste web in uscita dai workload cloud e dagli uffici connessi in un unico punto di ispezione per un'applicazione coerente delle policy.

  • Osservabilità e tracciamento completi. Tutto il traffico in uscita viene registrato centralmente in Cloud Logging e integrato con Cloud Trace e OpenTelemetry. Questa integrazione fornisce funzionalità complete di controllo, indagine sugli incidenti e analisi della latenza end-to-end.

Funzionalità supportate

Secure Web Proxy supporta le seguenti funzionalità:

  • Policy di accesso in uscita granulari: puoi applicare controlli di sicurezza mirati in base al tipo di traffico:

    • Traffico dell'AI agentica: quando viene eseguito il deployment come Agent Gateway, Secure Web Proxy valuta le regole dei metodi MCP, verifica le identità degli agenti e richiama i binding delle estensioni in Service Extensions per eseguire la sanitizzazione di prompt e risposte con servizi come Model Armor.
    • Traffico web standard: per il traffico web standard, Secure Web Proxy valuta le policy di sicurezza del gateway o le policy di autorizzazione per identificare i workload di origine utilizzando tag sicuri, service account o certificati mTLS di frontend. Il proxy filtra anche i nomi host, gli URL, le intestazioni e i metodi di destinazione.

    Questa funzionalità granulare delle policy ti consente di creare e gestire componenti di regole specifici e riutilizzabili in più istanze di Secure Web Proxy.

  • Scalabilità automatica dei proxy Envoy di Secure Web Proxy: Secure Web Proxy supporta la regolazione automatica delle dimensioni del pool di proxy Envoy e della capacità del pool in una regione, il che consente di ottenere prestazioni coerenti durante i periodi di domanda elevata al costo più basso. La funzionalità di scalabilità automatica gestisce automaticamente gli aggiustamenti della capacità in una regione. Ciò significa che non devi monitorare e ridimensionare manualmente il tuo parco risorse di proxy, garantendo prestazioni migliori con tempi operativi ridotti.

  • Limitazione di frequenza del servizio: Secure Web Proxy applica limiti di traffico al traffico web in uscita per impedire ai client che richiedono un uso intensivo delle risorse di esaurire la capacità del servizio o di generare costi eccessivi, come quelli associati ai token dei modelli linguistici di grandi dimensioni (LLM). Puoi collegare policy di limitazione di frequenza dei servizi ai gateway configurati con policy di sicurezza del gateway o policy di autorizzazione. Puoi utilizzare le policy di limitazione di frequenza per assegnare la priorità o limitare il traffico in base al numero di richieste e a identità client specifiche, come le entità mTLS o gli indirizzi IP di origine.

  • Crittografia end-to-end: i tunnel client-proxy possono transitare su TLS. Secure Web Proxy supporta anche HTTP e HTTPS CONNECT per le connessioni TLS end-to-end avviate dal client al server di destinazione. Questa misura di sicurezza fondamentale viene gestita automaticamente dal servizio, in modo che il traffico sia protetto senza richiedere la configurazione o il monitoraggio manuale degli standard di crittografia.

  • Integrazione di Cloud Audit Logs e Google Cloud Observability: utilizzando Google Cloud Observability, Cloud Audit Logs registra sia le azioni amministrative (modifiche alle policy) sia le richieste di accesso e le metriche (log delle transazioni proxy) per Secure Web Proxy. Questa visualizzazione unificata e integrata facilita il monitoraggio della sicurezza e i report sulla conformità.

Come funziona Secure Web Proxy

Secure Web Proxy funge da checkpoint di sicurezza obbligatorio per tutto il traffico web dalla rete della tua organizzazione a internet. I workload interni devono rispettare le regole di sicurezza di Secure Web Proxy prima di poter accedere a internet.

  1. Gateway centralizzato: i tuoi workload, come macchine virtuali (VM) e container, sono configurati per inviare tutte le richieste web in uscita all'istanza Secure Web Proxy centrale.

  2. Applicazione delle policy: il proxy esamina la richiesta e applica le tue policy di sicurezza per determinare se consentire o negare la connessione.

  3. Traffico in uscita sicuro: se la richiesta è consentita, il traffico viene instradato in modo sicuro verso internet utilizzando l'infrastruttura Google Cloud, in genere Cloud NAT. Il proxy utilizza anche Cloud DNS per risolvere gli indirizzi web esterni.

Norme e regole

Per proteggere il traffico in uscita, scegli una policy di autorizzazione o una policy di sicurezza del gateway come meccanismo di sicurezza principale per l'istanza Secure Web Proxy. Puoi configurare un solo modello di policy principale su un singolo gateway. Inoltre, puoi facoltativamente configurare policy di limitazione di frequenza dei servizi oltre alla scelta della policy principale.

  • Policy di autorizzazione: queste policy ti consentono di stabilire controlli di accesso basati sull'identità e sulla destinazione durante l'elaborazione delle richieste in uscita tramite l'istanza di Secure Web Proxy. Ti consigliamo di utilizzare questo tipo di policy per i seguenti scenari:

    • Quando esegui il deployment di Secure Web Proxy come Agent Gateway per gestire il traffico degli agenti.
    • Quando esegui il deployment di Secure Web Proxy per il traffico non agentico che richiede mTLS frontend per verificare le identità di origine o le estensioni dell'autorizzazione personalizzate.

  • Policy e regole di sicurezza del gateway: queste policy e regole definiscono i controlli degli accessi per il traffico web in uscita standard, non agentico. Una policy di sicurezza del gateway funge da container per singole regole di sicurezza che consentono o negano il traffico in base alle identità di origine (service account o tag sicuri), ai nomi host di destinazione e alle porte.

  • Policy di limitazione di frequenza dei servizi: queste policy ti consentono di applicare limiti di tasso di richieste specifici per client e a livello di servizio al traffico web in uscita per proteggere le destinazioni esterne dai sovraccarichi di traffico e controllare i costi. Puoi collegare una policy di limitazione di frequenza dei servizi a un gateway che utilizza una policy di autorizzazione o una policy di sicurezza del gateway.

Integrazione di Agent Gateway con Secure Web Proxy

I workload di AI aziendali di cui è stato eseguito il deployment in Google Cloud, tra cui soluzioni Software as a Service (SaaS) come Gemini Enterprise, ambienti Platform as a Service (PaaS) come Vertex AI Agent Engine e runtime containerizzati o self-hosted su Google Kubernetes Engine (GKE) e Cloud Run, richiedono confini di rete solidi e centralizzati per applicare la privacy dei dati, le policy di conformità e la prevenzione delle minacce.

Agent Gateway fornisce una gestione centralizzata delle policy, la verifica dell'identità crittografica e guardrail di sicurezza per gli agenti AI. Per gli agenti eseguiti su GKE o Cloud Run, puoi eseguire il deployment di un'istanza Secure Web Proxy come Agent Gateway. Questa configurazione ti consente di applicare policy di sicurezza centralizzate per il traffico in uscita verso LLM, strumenti MCP, API esterne, agenti remoti o destinazioni web standard.

L'utilizzo di un'istanza Secure Web Proxy con una risorsa agentGateway offre i seguenti vantaggi:

  • Governance centralizzata delle policy: applica le policy di autorizzazione definite su una risorsa agentGateway alla tua istanza di Secure Web Proxy. Questa funzionalità ti consente di creare una security posture unificata in più ambienti degli agenti.

  • Identità dell'agente e mTLS: utilizza la convalida del certificato client e le policy di autorizzazione per verificare e limitare in modo crittografico le comunicazioni in uscita in base all'identità dell'agente.

  • Limitazione dello strumento MCP: applica regole HTTP granulari alle interazioni degli agenti con i server degli strumenti MCP esterni, limitando metodi di strumenti specifici (come tools/list o tools/call) e parametri dei metodi.

  • Verifica e sanitizzazione del payload: esegui l'integrazione direttamente con Model Armor utilizzando le associazioni di estensioni in Service Extensions per ispezionare i prompt e le risposte dell'agente alla ricerca di fughe di dati sensibili o attacchi di prompt injection.

Modalità di deployment

Puoi eseguire il deployment dell'istanza di Secure Web Proxy in una delle seguenti modalità:

  • Modalità di routing del proxy esplicito: in questa modalità, devi configurare esplicitamente gli ambienti e i client dei workload in modo che puntino direttamente al server proxy. Secure Web Proxy isola quindi i client da internet. In questo modo, Secure Web Proxy funge da intermediario, stabilendo nuove connessioni TCP per il client e garantendo che ogni connessione soddisfi i requisiti della policy di sicurezza amministrata.

  • Modalità di collegamento al servizio Private Service Connect: in questa modalità, puoi centralizzare i deployment dei proxy web in un'architettura complessa con più Virtual Private Cloud (VPC).

  • Modalità hop successivo: in questa modalità, puoi configurare l'istanza di Secure Web Proxy in modo che agisca come hop successivo per il routing nella tua rete. In altre parole, puoi configurare il routing di rete in modo che invii automaticamente il traffico in uscita all'istanza Secure Web Proxy. Questo metodo di deployment riduce l'overhead amministrativo della tua organizzazione perché non devi configurare manualmente ogni workload o client di origine per l'utilizzo del proxy.

Limitazioni

  • Versioni IP: Secure Web Proxy supporta solo IPv4; IPv6 non è supportato.

  • Versioni HTTP: Secure Web Proxy supporta le versioni HTTP/0.9, 1.0, 1.1 e 2.0. HTTP/3 non è supportato.

  • Ambito di deployment: puoi eseguire il deployment di un'istanza di Secure Web Proxy solo in un progetto host, non in un progetto di servizio.

Altri strumenti Google Cloud da considerare

Puoi integrare Secure Web Proxy con i seguenti strumenti Google Cloud per migliorare la security posture complessiva dei tuoi workload e delle tue applicazioni:

  • Utilizza mTLS frontend per consentire a Secure Web Proxy di configurare le identità client convalidate nelle policy di autorizzazione e applicare controllo dell'accesso granulare per il traffico in uscita.

  • Utilizza Certificate Manager per gestire i trust anchor (certificati radice) e le CA intermedie necessarie per convalidare i certificati client nelle connessioni mTLS frontend a Secure Web Proxy.

  • Implementa i Controlli di servizio VPC per impedire l'esfiltrazione di dati dai servizi Google Cloud , come Cloud Storage e BigQuery.

  • Utilizza Trace per ottenere dati di tracciamento distribuito per le richieste in uscita e analizzare la latenza di rete end-to-end.

Passaggi successivi