Die Anwendungsebenenprüfung der Cloud Next Generation Firewall (Cloud NGFW) bietet erweiterten Schutz für Ihre Google Cloud -Ressourcen. Die Prüfung auf Anwendungsebene, auch als Deep Packet Inspection oder Layer-7-Prüfung bezeichnet, ist ein Sicherheitsprozess, bei dem der Inhalt von Netzwerkpaketen untersucht wird, während sie die Firewall passieren.
In diesem Dokument werden die Dienste und Komponenten beschrieben, die für die Prüfung der Anwendungsebene in Cloud NGFW verwendet werden.
Prüfdienste für die Anwendungsebene
Die Cloud NGFW bietet die folgenden Dienste zur Prüfung der Anwendungsebene: Einbruchserkennung und -prävention, Advanced Malware Sandbox (WildFire) und URL-Filterung. Funktionen zur Prüfung der Anwendungsebene sind in der Cloud NGFW Enterprise-Stufe verfügbar. Weitere Informationen finden Sie unter Cloud NGFW Enterprise.
Dienst zur Einbruchserkennung und -vermeidung
Der Dienst zur Einbruchserkennung und -vermeidung überwacht Ihren Google Cloud -Arbeitslast-Traffic kontinuierlich auf schädliche Aktivitäten und ergreift präventive Maßnahmen zu deren Vermeidung. Zu den schädlichen Aktivitäten gehören Bedrohungen wie Einbrüche, Malware, Spyware und Command-and-Control-Angriffe in Ihrem Netzwerk. Weitere Informationen finden Sie unter Übersicht: Dienst zur Angriffserkennung und -prävention.
Advanced Malware Sandbox
Der Dienst „Erweiterte Malware-Sandbox“ für Cloud NGFW bietet Malware-Schutz mithilfe von Inline-Machine-Learning (ML) und cloudbasiertem Verhaltens-Sandboxing. Der Dienst basiert auf Advanced WildFire von Palo Alto Networks und erweitert den standardmäßigen signaturbasierten Einbruchserkennungs- und -präventionsdienst, indem verdächtige Dateien in Echtzeit ausgewertet werden, um zu verhindern, dass Zero-Day-Bedrohungen Ihre Arbeitslasten erreichen. Weitere Informationen finden Sie unter Übersicht über die erweiterte Malware-Sandbox.
URL-Filterdienst
Mit dem URL-Filterdienst können Sie den Zugriff auf Websites steuern, indem Sie bestimmte URLs blockieren oder zulassen. Dieser Dienst kann die Server Name Indication (SNI) verwenden, um nach Domain zu filtern. Weitere Informationen finden Sie unter Übersicht über den URL-Filterdienst.
Kernkomponenten
Prüfdienste auf Anwendungsebene verwenden die folgenden Komponenten:
Firewall-Endpunkte und Firewall-Endpunktverknüpfungen: Ein Firewall-Endpunkt ist eine von Google verwaltete zonale Ressource, die eine Deep Packet Inspection in Ihrem Netzwerk durchführt. Eine Firewall-Endpunktverknüpfung verknüpft einen Firewall-Endpunkt mit einer Zone eines VPC-Netzwerks (Virtual Private Cloud). Sie erstellen einen Endpunkt pro Zone in der Region, in der Sie Traffic prüfen möchten. Weitere Informationen finden Sie unter Firewall-Endpunkte.
Wenn Sie den Inhalt von verschlüsseltem Traffic prüfen möchten, erstellen Sie eine TLS-Prüfungsrichtlinie und fügen Sie sie der Firewall-Endpunktverknüpfung hinzu. Weitere Informationen finden Sie unter TLS-Prüfung.
Sicherheitsprofile: Ein Objekt, das die Konfiguration für einen bestimmten Sicherheitsdienst enthält. Firewall-Endpunkte verwenden Sicherheitsprofile, um abgefangenen Traffic zu scannen. Weitere Informationen finden Sie unter Sicherheitsprofile – Übersicht.
Die Cloud NGFW unterstützt die folgenden Arten von Sicherheitsprofilen:
THREAT_PREVENTION: Konfiguriert den Dienst zur Einbruchserkennung und -vermeidung.WILDFIRE_ANALYSIS: Konfiguriert die Advanced Malware Sandbox.URL_FILTERING: Definiert Regeln für den URL-Filterdienst.
Sicherheitsprofilgruppe: Ein Container für Sicherheitsprofile. Eine Sicherheitsprofilgruppe kann nur ein Sicherheitsprofil jedes Typs enthalten. Weitere Informationen finden Sie unter Sicherheitsprofilgruppe – Übersicht.
apply_security_profile_group-Aktion: Eine Firewallregelaktion, die den abgefangenen Traffic zur Prüfung an einen Firewallendpunkt weiterleitet. Weitere Informationen finden Sie unter Aktion bei Übereinstimmung.
Informationen zur Funktionsweise der Kernkomponenten finden Sie unter Funktionsweise des Einbruchserkennungs- und Einbruchspräventionsdienstes, Funktionsweise der Advanced Malware Sandbox und Funktionsweise des URL-Filterdienstes.
Ressourcen auf Organisations- und Projektebene
Sie können Komponenten für die Prüfung der Anwendungsebene auf Organisations- oder Projektebene erstellen und konfigurieren. Ressourcen auf Organisationsebene werden über hierarchische Firewallrichtlinien in der gesamten Organisation angewendet. Ressourcen auf Projektebene gelten nur zwischen Projekten mit globalen Netzwerk-Firewallrichtlinien.
- Verwenden Sie Ressourcen auf Organisationsebene, um obligatorische, organisationsweite Sicherheitsrichtlinien durchzusetzen.
- Verwenden Sie Ressourcen auf Projektebene, um Regeln für eine bestimmte Anwendung zu verwalten.
In der folgenden Tabelle werden die Merkmale von Ressourcen auf Organisations- und Projektebene verglichen:
| Funktion | Ressourcen auf Organisationsebene | Ressourcen auf Projektebene |
|---|---|---|
| Berechtigungen | Erfordern IAM-Rollen (Identity and Access Management) auf Organisationsebene für die Konfiguration. | Erfordert IAM-Rollen auf Projektebene für die Konfiguration. |
| Hierarchische Richtlinien | Kann von hierarchischen Firewallrichtlinien referenziert werden. | Kann nicht von hierarchischen Firewallrichtlinien referenziert werden. |
| Umfang | Sicherheitsprofilgruppen auf Organisationsebene werden automatisch auf alle Firewall-Endpunkte in der Organisation angewendet. | Sicherheitsprofilgruppen auf Projektebene gelten nur für Firewall-Endpunkte innerhalb des jeweiligen Projekts. Sie können sie nicht projektübergreifend anwenden. |
| Abrechnung | Die Betriebszeit des Firewall-Endpunkts wird einem von Ihnen angegebenen Abrechnungsprojekt in Rechnung gestellt. | Die Betriebszeit des Firewall-Endpunkts wird direkt dem Projekt in Rechnung gestellt, zu dem die Ressource gehört. |
Beschränkungen
Sicherheitsprofilgruppen auf Projektebene gelten nur für Firewall-Endpunkte im selben Projekt. Sie können sie nicht projektübergreifend anwenden.
Sie können ein Projekt, das Ressourcen auf Projektebene enthält, nicht in eine andere Organisation migrieren.
Sie können ein VPC-Netzwerk nur mit einem Firewall-Endpunkt pro Zone verknüpfen. Für jede Zone müssen Sie entweder einen Endpunkt auf Projektebene oder auf Organisationsebene verwenden.
Wenn Sie ein VPC-Netzwerk mit einem Firewall-Endpunkt auf Projektebene in einem anderen Projekt verknüpfen, müssen sich beide Projekte in derselben Organisation befinden.