Security Command Center ist die Sicherheits- und Risikodatenbank für Google Cloud. Das Security Command Center umfasst ein Risiko-Dashboard und ein Analysesystem, mit denenGoogle Cloud -Sicherheits- und Datenrisiken in einer Organisation erkannt, verstanden und behoben werden können.
Google Cloud Armor wird automatisch in Security Command Center eingebunden und exportiert zwei Ergebnisse in das Security Command Center-Dashboard: Zulässige Trafficspitze und Erhöhung des Ablehnungsverhältnisses. In diesem Leitfaden werden die Ergebnisse und ihre Interpretation beschrieben.
Wenn Sie Cloud Armor noch nicht im Security Command Center aktiviert haben, finden Sie weitere Informationen unter Security Command Center konfigurieren. Sie können Ergebnisse im Security Command Center nur für Projekte sehen, bei denen Security Command Center auf Organisationsebene aktiviert ist.
Ergebnis zu Spitzen beim zulässigen Traffic
Zulässiger Traffic besteht aus wohlgeformten HTTP(S)-Anfragen, die Ihre Backend-Dienste erreichen sollen, nachdem eine Cloud Armor-Sicherheitsrichtlinie durchgesetzt wurde.
Das Ergebnis Zulässige Trafficspitze informiert Sie über eine Spitze beim zulässigen Traffic pro Backend-Dienst. Ein Ergebnis wird generiert, wenn die zulässige Anzahl von Anfragen pro Sekunde (RPS) im Vergleich zum in der jüngeren Vergangenheit beobachteten normalen Volumen plötzlich zunimmt. Die RPS, aus der die Spitze bestand, und die RPS des jüngeren Verlaufs werden als Teil des Ergebnisses bereitgestellt.
Anwendungsfall: potenzielle L7-Angriffe
DDoS-Angriffe (Distributed Denial of Service) treten auf, wenn Angreifer große Mengen von Anfragen senden, um einen Zieldienst zu überlasten. Der Layer-7-DDoS-Angriffstraffic weist normalerweise einen Anstieg der Anzahl von Anfragen pro Sekunde auf.
Ein Ergebnis zu einer Spitze beim zulässigen Traffic gibt Auskunft über den Backend-Dienst, an den die RPS-Spitze gerichtet ist, und über die Traffic-Eigenschaften, die Cloud Armor veranlasst haben, ihn als RPS-Spitze zu klassifizieren. Stellen Sie anhand dieser Informationen Folgendes fest:
- Ob ein potenzieller Layer-7-DDoS-Angriff im Gange ist.
- Auf welchen Dienst abgezielt wird.
- Mit welchen Maßnahmen Sie den potenziellen Angriff entschärfen können.
Der folgende Screenshot zeigt ein Beispiel für ein Ergebnis vom Typ Zulässiger Traffic-Anstieg im Security Command Center-Dashboard.
Google Cloud berechnet die Werte Long_Term_Allowed_RPS und Short_Term_Allowed_RPS anhand von Cloud Armor-Verlaufsdaten.
Ergebnis zu einer erhöhten Ablehnungsrate
Das Ergebnis Steigendes Ablehnungsverhältnis informiert Sie darüber, dass der Anteil des Traffics, den Cloud Armor aufgrund einer vom Nutzer konfigurierten Regel in einer Sicherheitsrichtlinie blockiert, gestiegen ist. Obwohl die Ablehnung erwartet wird und sich nicht auf den Backend-Dienst auswirkt, hilft Ihnen dieses Ergebnis, auf einen Anstieg des unerwünschten und potenziell schädlichen Traffics aufmerksam zu werden, der auf Ihre Anwendungen abzielt. Die RPS des abgelehnten Traffics und der gesamte eingehende Traffic werden als Teil des Ergebnisses angegeben.
Anwendungsfall: L7-Angriffe abmildern
Mit dem Ergebnis Steigendes Ablehnungsverhältnis können Sie sowohl die Auswirkungen erfolgreicher Abwehrmaßnahmen als auch erhebliche Änderungen im Verhalten bösartiger Clients sehen. Das Ergebnis gibt Auskunft über das Backend, an das der abgelehnte Traffic gerichtet war, und über die Traffic-Eigenschaften, die Cloud Armor veranlasst haben, das Ergebnis zu melden. Verwenden Sie diese Informationen, um zu bewerten, ob der abgelehnte Traffic im Detail untersucht werden muss, um Ihre Abmilderungen weiter zu stärken.
Der folgende Screenshot zeigt ein Beispiel für das Ergebnis Steigendes Ablehnungsverhältnis im Security Command Center-Dashboard.
Google Cloud berechnet die Werte Long_Term_Denied_RPS und Long_Term_Incoming_RPS anhand von Cloud Armor-Verlaufsdaten.
Google Cloud Armor Adaptive Protection
Der adaptive Schutz sendet Telemetriedaten an das Security Command Center. Weitere Informationen zu Ergebnissen von Adaptive Protection finden Sie unter Monitoring, Benachrichtigungen und Logging in der Übersicht zu Adaptive Protection.
Erweiterter DDoS-Netzwerkschutz
Der erweiterte DDoS-Schutz für Netzwerke sendet Telemetriedaten an das Security Command Center. Weitere Informationen zu Ergebnissen des erweiterten DDoS-Netzwerkschutzes finden Sie unter Security Command Center-Ergebnisse.
Nach Normalisierung des Traffics
Mit den Ergebnissen im Security Command Center werden Sie darüber benachrichtigt, dass zu einem Zeitpunkt ein bestimmtes Verhalten beobachtet wurde. Wenn das Verhalten behoben ist, wird keine Benachrichtigung gesendet.
Bestehende Ergebnisse können aktualisiert werden, wenn die aktuellen Traffic-Eigenschaften im Vergleich zu bestehendem Verhalten merklich zunehmen. Wenn es kein Folgeergebnis gibt, ist entweder das Verhalten abgeklungen oder das Traffic-Aufkommen (zulässig oder abgelehnt) hat sich nicht wesentlich erhöht, nachdem das erste Ergebnis erstellt wurde.