Security Command Center הוא מסד הנתונים של האבטחה והסיכונים ב- Google Cloud. ב-Security Command Center יש לוח בקרה לניהול סיכונים ומערכת ניתוח נתונים, שמאפשרים לזהות, להבין ולתקן סיכוני אבטחה וסיכונים שקשורים לנתונים ב-Google Cloud בארגון.
Google Cloud Armor משולב באופן אוטומטי ב-Security Command Center ומייצא שני ממצאים למרכז הבקרה של Security Command Center: עלייה חדה בתנועה המותרת ועלייה ביחס הדחייה. במדריך הזה מוסבר מהם הממצאים ואיך לפרש אותם.
אם Cloud Armor עדיין לא מופעל ב-Security Command Center, קראו את המאמר הגדרת Security Command Center. הממצאים שמוצגים ב-Security Command Center הם רק של פרויקטים שבהם Security Command Center מופעל ברמת הארגון.
ממצא: עלייה חדה מותרת בתנועה
תנועה מותרת מורכבת מבקשות HTTP(S) תקינות שמיועדות להגיע לשירותים לקצה העורפי אחרי אכיפה של מדיניות האבטחה של Cloud Armor.
הממצא Allowed traffic spike מתריע על עלייה חדה בתנועה המותרת, על בסיס כל שירות לקצה העורפי. ממצא נוצר כשיש עלייה פתאומית במספר המותר של בקשות לשנייה (RPS) בהשוואה לנפח הרגיל שנצפה בהיסטוריה האחרונה. ה-RPS שגרם לעלייה החדה וה-RPS של ההיסטוריה האחרונה מוצגים כחלק מהממצא.
תרחיש לדוגמה: התקפות פוטנציאליות בשכבה 7
התקפות מניעת שירות מבוזרות (DDoS) מתרחשות כשתוקפים שולחים כמויות גדולות של בקשות כדי להעמיס על שירות היעד. בדרך כלל, תנועה של התקפת DDoS בשכבה 7 מתבטאת בעלייה חדה במספר הבקשות לשנייה.
בממצא Allowed traffic spike מזוהה השירות לקצה העורפי שאליו מופנית העלייה החדה ב-RPS, ומפורטים מאפייני התנועה שגרמו ל-Cloud Armor לסווג אותה כעלייה חדה ב-RPS. אתם יכולים להשתמש במידע הזה כדי לקבוע:
- אם מתרחשת מתקפת DDoS פוטנציאלית בשכבה 7.
- השירות שאליו מיועדת הבקשה.
- הפעולות שאתם יכולים לבצע כדי לצמצם את ההתקפה הפוטנציאלית.
בצילום המסך הבא מוצגת דוגמה לממצא Allowed traffic spike בלוח הבקרה של Security Command Center.
Google Cloud מחשב את הערכים Long_Term_Allowed_RPS ו-Short_Term_Allowed_RPS על סמך מידע היסטורי של Cloud Armor.
ממצא: עלייה בשיעור הדחיות
הממצא Increasing deny ratio מודיע לכם שיש עלייה ביחס של תנועת הגולשים ש-Cloud Armor חוסם בגלל כלל שהמשתמש הגדיר במדיניות אבטחה. למרות שהדחייה צפויה ולא משפיעה על שירות לקצה העורפי, הממצא הזה עוזר להתריע על עלייה בתעבורת נתונים לא רצויה ועלולה להיות זדונית שמטרגטת את האפליקציות שלכם. ה-RPS של התנועה שנדחתה והתנועה הנכנסת הכוללת מוצגים כחלק מהממצא.
תרחיש לדוגמה: צמצום מתקפות בשכבה 7
הממצא Increasing deny ratio מאפשר לראות גם את ההשפעה של פעולות מוצלחות להפחתת סיכונים וגם שינויים משמעותיים בהתנהגות של לקוחות זדוניים. הממצא מזהה את הקצה העורפי שאליו הופנתה תעבורת הנתונים שנדחתה, ומספק את מאפייני תעבורת הנתונים שגרמו ל-Cloud Armor להעלות את הממצא. אתם יכולים להשתמש במידע הזה כדי להחליט אם צריך לבחון לעומק את התנועה שנדחתה כדי לשפר את אמצעי ההגנה.
בצילום המסך הבא מוצגת דוגמה לממצא Increasing deny ratio בלוח הבקרה של Security Command Center.
Google Cloud מחשב את הערכים Long_Term_Denied_RPS ו-Long_Term_Incoming_RPS על סמך מידע היסטורי של Cloud Armor.
Google Cloud Armor Adaptive Protection
ההגנה מבוססת-ההתאמה שולחת נתוני טלמטריה ל-Security Command Center. למידע נוסף על הממצאים של Adaptive Protection, קראו את המאמר מעקב, התראות ורישום ביומן בסקירה הכללית על Adaptive Protection.
הגנה מתקדמת מפני התקפות DDoS ברשת
ההגנה המתקדמת מפני מתקפות DDoS ברשת שולחת נתוני טלמטריה ל-Security Command Center. למידע נוסף על ממצאים של הגנה מתקדמת מפני מתקפות DDoS ברשת, קראו את המאמר ממצאים של Security Command Center.
אחרי שהתנועה חוזרת למצב רגיל
הממצאים של Security Command Center הם התראות על כך שהתנהגות מסוימת נצפתה בנקודת זמן מסוימת. לא נשלחת התראה כשההתנהגות הזו מסתיימת.
יכול להיות שיהיו עדכונים לממצאים קיימים אם המאפיינים של התנועה הנוכחית יגדלו באופן משמעותי בהשוואה למאפיינים הקיימים. אם אין ממצא המשך, סימן שההתנהגות נעלמה או שנפח התנועה לא גדל באופן משמעותי (אישור או דחייה) אחרי שהממצא הראשוני נוצר.