סקירה כללית על Cloud Armor Enterprise

‫Google Cloud Armor Enterprise הוא שירות להגנה על אפליקציות, שעוזר להגן על אפליקציות ושירותים באינטרנט מפני התקפות מבוזרות למניעת שירות (DDoS) ואיומים אחרים מהאינטרנט. ‫Cloud Armor Enterprise עוזר להגן על אפליקציות שנפרסו ב- Google Cloud, באופן מקומי או אצל ספקי תשתית אחרים.

‫Google Cloud Armor Standard לעומת Cloud Armor Enterprise

ל-Cloud Armor יש שתי רמות שירות: Standard ו-Cloud Armor Enterprise.

‫Cloud Armor Standard כולל את הדברים הבאים:

  • מודל תמחור של תשלום לפי שימוש
  • הגנה בזמינות תמידית מפני התקפות DDoS נפחיות ומבוססות-פרוטוקול רשת בשכבה 3 ובשכבה 4 (L3 ו-L4).

  • יישום אוטומטי של מדיניות האבטחה בכל בקשה, בזמן אמת ובלי השפעה על זמן האחזור, בסוגי התשתיות הבאים:

    • מאזן עומסים גלובלי חיצוני של אפליקציות (HTTP/HTTPS)
    • מאזן עומסים קלאסי של אפליקציות (HTTP/HTTPS)
    • מאזן עומסים חיצוני אזורי של אפליקציות (HTTP/HTTPS)
    • מאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי
    • מאזן עומסי רשת גלובלי חיצוני בשרת proxy ‏(TCP/SSL)
    • Cloud CDN
    • Media CDN

  • שילוב עם Cloud CDN ו-Media CDN

  • גישה ליכולות של כללי חומת האש ליישומי אינטרנט (WAF) ב-Cloud Armor, כולל כללי WAF שהוגדרו מראש להגנה מפני עשרת סיכוני האבטחה המובילים של OWASP

‫Cloud Armor Enterprise כולל את הדברים הבאים:

כל הפרויקטים ב- Google Cloud שכוללים מאזן עומסים חיצוני של אפליקציות (ALB) או מאזן עומסי רשת חיצוני בשרת proxy, רשומים באופן אוטומטי ל-Cloud Armor Standard. אחרי שנרשמים ל-Cloud Armor Enterprise ברמת החשבון לחיוב, המשתמשים יכולים לבחור לרשום ל-Cloud Armor Enterprise פרויקטים ספציפיים שמצורפים לחשבון לחיוב.

בטבלה הבאה מפורטות רמות השירות.

Cloud Armor Standard Cloud Armor Enterprise
Paygo מדי שנה
אמצעי חיוב Pay-as-you-go Pay-as-you-go מינוי עם התחייבות ל-12 חודשים
תמחור לכל מדיניות, לכל כלל, לכל בקשה (ראו תמחור)
  • ‫200$ לחודש לכל פרויקט
  • ‫200$ לחודש לכל משאב מוגן אחרי 2 המשאבים הראשונים
  • ‫3,000$ לחודש לכל חשבון לחיוב
  • ‫30$ לחודש לכל משאב מוגן אחרי 100 המשאבים הראשונים
הגנה מפני התקפות DDoS
  • מאזן עומסים חיצוני של אפליקציות (ALB)
  • מאזן עומסי רשת חיצוני לשרת proxy
  • מאזן עומסים חיצוני של אפליקציות (ALB)
  • מאזן עומסי רשת חיצוני לשרת proxy
  • מאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי
  • העברת פרוטוקול
  • כתובות IP ציבוריות (מכונות וירטואליות)
  • מאזן עומסים חיצוני של אפליקציות (ALB)
  • מאזן עומסי רשת חיצוני לשרת proxy
  • מאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי
  • העברת פרוטוקול
  • כתובות IP ציבוריות (מכונות וירטואליות)
Cloud Armor WAF לכל מדיניות, לכל כלל, לכל בקשה (ראו תמחור) כלול ב-Paygo כלול במינוי השנתי
הגבלות על משאבים עד למגבלת המכסה עד למגבלת המכסה עד למגבלת המכסה
התחייבות לזמן שנה אחת
הגנה דינמית התראות בלבד
הגנה מתקדמת מפני התקפות DDoS ברשת
כללי מדיניות לאבטחת קצה הרשת
קבוצת כתובות
Google Threat Intelligence
מדיניות אבטחה היררכית
חשיפה להתקפות DDoS
תמיכה בתגובה להתקפות DDoS דרישות הסף
הגנה מפני חיובים שנובעים מהתקפות DDoS

ממשק קצה גלובלי (GFE)

ממשק קצה גלובלי (GFE) משלב את Cloud Armor, מאזני עומסים גלובליים חיצוניים של אפליקציות (ALB), תוספים לשירותים ו-Cloud CDN בפתרון אחד שעוזר להעביר, לשנות את קנה המידה ולאבטח את האפליקציות שפונות לאינטרנט. ברמת החיוב ממשק קצה גלובלי (GFE) Enterprise, התמחור של המוצרים האלה מאוחד בתוכנית תמחור אחת.

כשמפעילים את Global Front End Enterprise בפרויקט, מופעלות תכונות ספציפיות של Cloud Armor Enterprise במאזן העומסים הגלובלי החיצוני של האפליקציות, אבל לא משתנה רמת Cloud Armor ברמת הפרויקט. משאבים אחרים באותו פרויקט, שהם לא מאזני עומסים חיצוניים גלובליים של אפליקציות (כמו מאזני עומסים פנימיים או מאזני עומסים אזוריים), ממשיכים לפעול במסגרת רמות התמחור הנוכחיות של Cloud Armor ‏(Cloud Armor Standard או Cloud Armor Enterprise). כשמשביתים את ממשק קצה גלובלי (GFE) Enterprise, ההגנות הפעילות של Cloud Armor נקבעות לפי הרמה ברמת הפרויקט. מסוף Google Cloud לא משחזר באופן אוטומטי את הרמה הקודמת. כדי למנוע פגיעה במדיניות האבטחה או שינויים לא צפויים בחיוב, אתם צריכים להגדיר באופן ידני ומיידי את רמת החיוב ב-Cloud Armor (‏Cloud Armor Standard או Cloud Armor Enterprise PayGo).

בטבלה הבאה מוסבר איך הפעלת Global Front End Enterprise משפיעה על המשאבים, בהתאם לרמה של Cloud Armor בפרויקט.

סוג המשאב רמת הפרויקט: Cloud Armor Standard רמת הפרויקט: Cloud Armor Enterprise (תשלום לפי שימוש או מינוי שנתי)
מאזני עומסים גלובליים חיצוניים של אפליקציות (ALB) הפעלת תכונות ספציפיות של Cloud Armor Enterprise עם חיוב מאוחד:
  • כללי WAF שהוגדרו מראש ב-Cloud Armor
  • הגנה דינמית
  • Google Threat Intelligence
  • חשיפה להתקפות DDoS
  • קבוצות של כתובות
 הפעלת כל התכונות של Cloud Armor Enterprise עם חיוב מאוחד
כל המשאבים האחרים (לדוגמה, מאזני עומסים אזוריים חיצוניים של אפליקציות או מאזני עומסים פנימיים) לא מושפע (התכונות הרגילות והתמחור של Cloud Armor Standard) ללא שינוי (התכונות והתמחור של Cloud Armor Enterprise)

הרשמה ל-Cloud Armor Enterprise

ההרשמה ל-Cloud Armor Enterprise Annual מחייבת התחייבות לשנה (12 חודשים). רק משתמשים עם תפקיד והרשאות בחשבון לחיוב יכולים להירשם למינוי שנתי ל-Cloud Armor Enterprise. לחלופין, אתם יכולים להירשם ל-Cloud Armor Enterprise Paygo בלי התחייבות.

כדי להשתמש בשירותים וביכולות הנוספים של Cloud Armor Enterprise, צריך קודם להירשם ל-Cloud Armor Enterprise. אתם יכולים להירשם ל-Cloud Armor Enterprise Annual ולצרף פרויקטים ספציפיים, או לצרף פרויקט ישירות ל-Cloud Armor Enterprise Paygo.

מומלץ לרשום את הפרויקטים ל-Cloud Armor Enterprise בהקדם האפשרי, כי ההפעלה יכולה להימשך עד שעה. בדרך כלל, שדרוג מ-Cloud Armor Standard ל-Enterprise לא משבש את הזמינות של האפליקציה. עם זאת, כשאתם מבצעים שינויים במדיניות האבטחה, חשוב שתשקלו היטב את ההשלכות על החיוב.

מאזן עומסים חיצוני של אפליקציות (ALB) ומאזן עומסי רשת חיצוני לשרת proxy

אחרי שרושמים פרויקט ל-Cloud Armor Enterprise, כללי ההעברה שבפרויקט מתווספים לרישום. בנוסף, כל השירותים לקצה העורפי וקטגוריות הקצה העורפי נחשבים למשאבים מוגנים, והם נמדדים במסגרת העלות של המשאבים המוגנים ב-Cloud Armor Enterprise. שירותי הקצה העורפי וקטגוריות הקצה העורפי ב-Cloud Armor Enterprise Annual נצברים בכל הפרויקטים הרשומים בחשבון לחיוב, ואילו שירותי הקצה העורפי וקטגוריות הקצה העורפי ב-Cloud Armor Enterprise Paygo נצברים בתוך הפרויקט.

ההגנה שפועלת ללא הפסקה על כללי העברה, שירותים לקצה העורפי וקטגוריות קצה עורפי כוללת צמצום של התקפות DDoS נפחיות ומבוססות-פרוטוקול רשת בשכבות L3 ו-L4. כדי להגן מפני איומים בשכבת האפליקציה, כולל L7 DDoS, צריך ליצור מדיניות אבטחה עם כללים להפחתת הסיכון.

מדיניות אבטחה היררכית

כשמצרפים מדיניות אבטחה היררכית, כל אחד מהפרויקטים שיורשים את מדיניות האבטחה ההיררכית חייב להיות רשום ל-Cloud Armor Enterprise. זה כולל את כל הפרויקטים בארגון או בתיקייה עם מדיניות אבטחה היררכית שלא הוחרגו באופן מפורש, ואת כל הפרויקטים עם מדיניות אבטחה היררכית שמצורפת ישירות לפרויקט.

  • פרויקטים שמקושרים לחשבון לחיוב ב-Cloud עם מינוי ל-Cloud Armor Enterprise Annual, נרשמים אוטומטית ל-Cloud Armor Enterprise Annual אם הם עדיין לא רשומים.
  • בלי מינוי שנתי ל-Cloud Armor Enterprise, פרויקטים נרשמים באופן אוטומטי ל-Cloud Armor Enterprise Paygo כשהם יורשים מדיניות אבטחה היררכית. אם רשמתם את חשבון לחיוב ל-Cloud Armor Enterprise Annual אחרי שהפרויקט נרשם אוטומטית ל-Cloud Armor Enterprise Paygo, הפרויקט לא יירשם אוטומטית ל-Annual. מידע נוסף על Cloud Armor Enterprise Paygo זמין במאמר Cloud Armor Standard לעומת Cloud Armor Enterprise.
  • אם מעדכנים מדיניות אבטחה היררכית כדי להחריג פרויקט אחרי שהפרויקט נרשם באופן אוטומטי ל-Cloud Armor Enterprise, הפרויקט לא יוסר מההרשמה באופן אוטומטי. כדי לבטל את ההרשמה של הפרויקט באופן ידני, קראו את המאמר הסרת פרויקט מ-Cloud Armor Enterprise.
  • אי אפשר להסיר פרויקט מ-Cloud Armor Enterprise אם יש לו מדיניות אבטחה היררכית שעברה בירושה.

ההרשמה האוטומטית יכולה להימשך עד יום העסקים הבא. במהלך תקופת הניסיון, כללי מדיניות האבטחה ההיררכיים שלכם בתוקף ולא תחויבו בעלויות של Cloud Armor Enterprise. אחרי שרושמים את הפרויקט, יומני הביקורת מתעדכנים בהתאם לסטטוס של הפרויקט ב-Cloud Armor Enterprise. רמת הפרויקט החדשה מופיעה גם במסוףGoogle Cloud .

הפרויקטים נרשמים באופן אוטומטי רק אם לפחות שירות קצה עורפי אחד עבור מאזני עומסים חיצוניים גלובליים משתמש ב-HTTP, ב-HTTPS, ב-HTTP2, ב-H2C או ב-GRPC.

למידע נוסף על מדיניות אבטחה היררכית, קראו את הסקירה הכללית על מדיניות אבטחה היררכית.

תמיכה בתגובה להתקפות DDoS

במסגרת התמיכה בתגובה להתקפות DDoS, צוות המומחים שמגן על כל שירותי Google זמין מסביב לשעון כדי לעזור לכם להתמודד עם התקפות DDoS, ואפילו להציע לכם פתרונות בהתאמה אישית. אתם יכולים לפנות לתמיכה בזמן מתקפה כדי לקבל עזרה בהפחתת המתקפה, או לפנות באופן יזום כדי לתכנן אירוע קרוב עם נפח גבוה או אירוע שעשוי להיות ויראלי (אירוע שעשוי למשוך כמות גדולה במיוחד של מבקרים).

התמיכה היזומה זמינה לכל לקוחות Cloud Armor Enterprise, גם אם הם לא השלימו בדיקה של מצב ההגנה מפני התקפות DDoS. תמיכה פרואקטיבית מאפשרת לנו להחיל כללים שהוגדרו מראש, שמטרגטים סוגים נפוצים של התקפות DDoS לפני שההתקפה מגיעה ל-Cloud Armor. איך מקבלים תמיכה בנושא בקשות שקשורות ל-DDoS?

בדיקת מצב ההגנה מפני DDoS

מטרת הבדיקה היא לשפר את היעילות והאפקטיביות של תהליך התגובה למתקפת DDoS. במהלך תהליך הבדיקה אנחנו לומדים על תרחיש השימוש והארכיטקטורה הייחודיים שלכם, ומוודאים שכללי מדיניות האבטחה של Cloud Armor מוגדרים בהתאם לשיטות המומלצות שלנו. כך תוכלו לשפר את העמידות המונעת שלכם להתקפות DDoS.

השירות של בדיקת ההגנה מפני מתקפות DDoS ניתן ללקוחות עם מינוי שנתי ל-Cloud Armor Enterprise וחשבון Premium ב-Cloud Customer Care.

מי זכאי לתמיכה בתגובה להתקפות DDoS

כדי לפתוח בקשה ולקבל עזרה מצוות התמיכה של Cloud Armor DDoS, אתם צריכים לעמוד בקריטריונים הבאים:

  • בחשבון לחיוב יש מינוי שנתי פעיל ל-Cloud Armor Enterprise.
  • לחשבון לחיוב יש חשבון Premium ב-Cloud Customer Care.
  • הפרויקט ב- Google Cloud עם עומס העבודה שמותקף רשום ל-Cloud Armor Enterprise Annual.
    • אם אתם משתמשים בהפניה לשירות בפרויקטים שונים, גם הפרויקט של שירות הקצה הקדמי וגם הפרויקט של שירות הקצה העורפי צריכים להיות רשומים למינוי השנתי ל-Cloud Armor Enterprise.
  • ללקוחות שנרשמו למינוי שנתי ל-Cloud Armor Enterprise אחרי 3 בספטמבר 2024: הפרויקט עם עומס העבודה שמותקף צריך לעבור בדיקה שנתית של מצב ה-DDoS.

גם אם הלקוחות לא זכאים לתמיכה, צוות Cloud Customer Care שלנו עוזר במהלך מתקפה באמצעות ניפוי באגים של כללים, הבהרת התנהגות וטיפול בחששות ספציפיים לגבי כללי מדיניות קיימים.

איך מקבלים תמיכה במקרה של מתקפת DDoS?

הגנה על חיובי DDoS

כדי להשתמש בהגנה על החיוב מפני התקפות DDoS ב-Cloud Armor, צריך לרשום את הפרויקט למינוי שנתי ל-Cloud Armor Enterprise. התוכנית מספקת קרדיטים לשימוש עתידי ב-Google Cloud , במקרים של עלייה בחיובים של Cloud Load Balancing, של Cloud Armor ושל העברת נתונים יוצאים ברשת האינטרנט, בין אזורים ובין תחומים, כתוצאה מהתקפת DDoS מאומתת. אם בקשה להחזר כספי אושרה וניתן זיכוי, אי אפשר להשתמש בזיכוי כדי לקזז את השימוש הקיים, אלא רק כדי לקזז את השימוש העתידי. בטבלה הבאה מפורטים המשאבים שכלולים בהגנה על החיוב מפני התקפות DDoS:

סוג נקודת הקצה הגדלת השימוש המכוסה
  • מאזן עומסים חיצוני של אפליקציות (ALB)
  • מאזן עומסי רשת חיצוני לשרת proxy
 Cloud Armor עמלת עיבוד נתונים ב-Cloud Armor Enterprise
רשת העברת נתונים יוצאת
בין אזורים שונים
בין אזורים
קישור בין רשתות שכנות דרך ספק (carrier peering)
מאזן עומסים עמלת עיבוד נתונים נכנסים
עמלת עיבוד נתונים יוצאים
Cloud CDN עמלת תעבורת נתונים יוצאת (egress) של Cloud CDN
העברת נתונים מהמטמון
מילוי המטמון
בקשות לחיפוש במטמון של HTTP/HTTPS
Media CDN עמלת תעבורת נתונים יוצאת (egress) של Media CDN
העברת נתונים מהמטמון
  • מאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי
  • העברת פרוטוקול
  • כתובות IP ציבוריות (מכונות וירטואליות)
 Cloud Armor עמלת עיבוד נתונים ב-Cloud Armor Enterprise
רשת העברת נתונים יוצאת
בין אזורים שונים
בין אזורים
קישור בין רשתות שכנות דרך ספק (carrier peering)
מאזן עומסים עמלת עיבוד נתונים נכנסים
עמלת עיבוד נתונים יוצאים

כדי להפעיל את ההגנה על חיובי DDoS, קראו את המאמר הפעלת ההגנה על חיובי DDoS.

העברת פרויקטים בין חשבונות לחיוב

החל מ-3 בספטמבר 2024, אם תעבירו את הפרויקט מחשבון לחיוב אחד לחשבון אחר בזמן שאתם מנויים ל-Cloud Armor Enterprise Annual, אבל החשבון החדש לחיוב לא מנוי ל-Cloud Armor Enterprise Annual, הפרויקט יחזור ל-Cloud Armor Standard אחרי שההעברה תסתיים – אלא אם לפרויקט יש מדיניות אבטחה היררכית בפועל, ובמקרה כזה הפרויקט ישונמך ל-Cloud Armor Enterprise Paygo. לכן, אם אתם רוצים להשאיר את הפרויקט ב-Cloud Armor Enterprise Annual בלי זמן השבתה, מומלץ להירשם ל-Cloud Armor Enterprise Annual בחשבון החדש לחיוב לפני שמתחילים את תהליך ההעברה. אתם יכולים גם להעביר את המינוי מחשבון אחד לחיוב לחשבון אחר באמצעות פנייה לתמיכה בנושאי חיוב ב-Cloud.

פרויקטים שרשומים ל-Cloud Armor Enterprise Paygo לא מושפעים מהעברת החשבון לחיוב.

שדרוג לאחור מ-Cloud Armor Enterprise

כשמסירים פרויקט מ-Cloud Armor Enterprise, כל כללי מדיניות האבטחה שמשתמשים בכללים עם תכונות בלעדיות ל-Cloud Armor Enterprise (כללים מתקדמים) מוקפאים. לכללי מדיניות אבטחה קפואים יש את המאפיינים הבאים:

  • ‫Cloud Armor ממשיך להעריך את התנועה לפי הכללים במדיניות, כולל כללים מתקדמים.
  • אי אפשר לצרף את מדיניות האבטחה ליעדים חדשים.
  • אפשר לבצע רק את הפעולות הבאות במדיניות האבטחה:
    • אתם יכולים למחוק כללים של מדיניות אבטחה.
    • אם אתם לא משנים את עדיפות הכלל, אתם יכולים לעדכן את הכללים המתקדמים כך שלא ישתמשו יותר בתכונות שבלעדיות ל-Cloud Armor Enterprise. אם תשנו את כל הכללים המתקדמים באופן הזה, המדיניות לא תהיה יותר במצב הקפאה. למידע נוסף על עדכון כללים של מדיניות אבטחה, ראו עדכון כלל יחיד במדיניות אבטחה.

אתם יכולים גם להירשם מחדש ל-Cloud Armor Enterprise Annual או ל-Cloud Armor Enterprise Paygo כדי לשחזר את הגישה לכללי מדיניות האבטחה שהוקפאו.

השבתת ממשק קצה גלובלי (GFE) Enterprise

כשמשביתים את ממשק קצה גלובלי (GFE) Enterprise בפרויקט:

  • ההגנות הפעילות של Cloud Armor חוזרות לרמה שפעילה ברמת הפרויקט.
  • מסוף Google Cloud לא משחזר באופן אוטומטי רמה קודמת ולא מגדיר רמה חלופית.
  • כדי למנוע פגיעה במדיניות האבטחה או חיובים לא צפויים, אתם צריכים לבחור באופן ידני ומיידי רמת חיוב ב-Cloud Armor (או Cloud Armor Standard או Cloud Armor Enterprise PayGo).

הגנה מתקדמת מפני התקפות DDoS ברשת

הגנה מתקדמת מפני התקפות DDoS ברשת זמינה רק לפרויקטים שרשומים ל-Cloud Armor Enterprise. כשמסירים מ-Cloud Armor Enterprise פרויקט עם מדיניות DDoS מתקדמת ופעילה ברשת, עדיין מחויבים על התכונה הזו בהתאם לתמחור של Cloud Armor Enterprise.

מומלץ למחוק את כל הכללים של ההגנה המתקדמת מפני התקפות DDoS ברשת לפני שמבטלים את ההרשמה של הפרויקט ל-Cloud Armor Enterprise, אבל אפשר גם למחוק את הכללים האלה אחרי שמשנמכים את המינוי.

תנאים והגבלות

אלה התנאים וההגבלות של Cloud Armor Enterprise:

  • באופן כללי: אם פרויקט שרשום ל-Cloud Armor Enterprise חווה מתקפת מניעת שירות של צד שלישי בנקודת קצה מוגנת ("מתקפה שעומדת בתנאים"), והתנאים שמתוארים בקטע הבא מתקיימים, Google מספקת זיכוי שווה ערך לעמלות הכלולות, בתנאי שהעמלות הכלולות שנצברו חורגות מסף המינימום. בדיקות עומסים והערכות אבטחה שמבוצעות על ידי הלקוח או בשמו לא נחשבות למתקפות כשירות.
  • תנאים: הלקוח צריך לשלוח בקשה לתמיכה בנושאי חיוב ב-Cloud תוך 30 יום מסיום המתקפה שעומדת בתנאים. הבקשה צריכה לכלול הוכחה למתקפה שעומדת בתנאים, כמו יומנים או נתוני טלמטריה אחרים שמציינים את מועד המתקפה ואת הפרויקטים והמשאבים שהותקפו, והערכה של העמלות הכלולות שנגבו. ‫Google תקבע באופן סביר אם מגיעים לכם זיכויים ואת הסכום המתאים. תנאים אחרים לתכונות מסוימות של Cloud Armor כלולים במסמכי התיעוד.
  • זיכויים: לכל זיכוי שניתן ללקוח בקשר לסעיף הזה אין ערך כספי, ואפשר להשתמש בו רק כדי לקזז עמלות עתידיות על השירותים. התוקף של הקרדיטים האלה יפוג 12 חודשים אחרי שהם הונפקו, או כשההסכם יסתיים או יפוג.
  • הגדרות:
    • העמלות הכלולות: כל העמלות שהלקוח צבר כתוצאה ישירה מהמתקפה שעומדת בתנאים, עבור:
      • עיבוד נתונים נכנסים ויוצאים של שירות Google Cloud Load Balancer.
      • עיבוד נתונים ב-Cloud Armor Enterprise לשירות Cloud Armor.
      • תעבורת נתונים יוצאת (egress) ברשת, כולל תעבורה בין אזורים, בין תחומים, באינטרנט ודרך ספק (carrier peering).
    • סף מינימלי: הסכום המינימלי של העמלות המכוסות שעומדות בדרישות לקבלת זיכוי לפי הסעיף הזה, כפי שנקבע על ידי Google מעת לעת ונמסר ללקוח לפי בקשה.

המאמרים הבאים