נקודת קצה של חומת אש היא משאב של Cloud Next Generation Firewall (Cloud NGFW) שמאפשר יכולות הגנה מתקדמות בשכבה 7, כמו שירות זיהוי ומניעה של פריצות, סביבה מתקדמת לבדיקת תוכנות זדוניות (WildFire) ושירות סינון כתובות URL ברשת.
בדף הזה מוסבר על נקודות הקצה של חומת האש ועל היכולות שלהן.
מפרטים
בקטע הזה מופיע סיכום של מאפייני נקודות הקצה של חומת האש. בקטעים הרלוונטיים בדף הזה מפורטות הדרישות והיכולות של ההטמעה.
נקודת קצה של חומת אש היא משאב של תחום מוגדר שאפשר להגדיר ברמת הארגון או ברמת הפרויקט.
נקודת קצה של חומת אש ברמת הארגון: מנהלי חשבון ארגוני יוצרים ומנהלים את נקודות הקצה האלה כדי לרכז את האבטחה בארגון או ברמת התיקייה.
נקודות קצה של חומת אש ברמת הפרויקט: אדמינים של פרויקטים יוצרים ומנהלים את נקודות הקצה האלה בתוך הפרויקט. אפשר לשייך כל רשת VPC בארגון לנקודת קצה ברמת הפרויקט. אם אתם לא יכולים לקבל הרשאות ברמת הארגון כדי ליצור נקודות קצה של חומת אש ברמת הארגון, אתם יכולים ליצור נקודות קצה של חומת אש ברמת הפרויקט.
נקודות הקצה של חומת האש מבצעות בדיקה של חומת האש בשכבה 7 בתנועה שנקלטה. איך פועלות נקודות קצה של חומת אש
נקודת הקצה ועומסי העבודה שרוצים להפעיל בהם את הבדיקה של שכבה 7 צריכים להיות באותו אזור. למידע נוסף, קראו את השיקולים לפריסה.
אתם יכולים ליצור נקודת קצה של חומת אש באזור מסוים ולצרף אותה לרשת VPC אחת או יותר, כדי לעקוב אחרי עומסי העבודה באותו אזור. אם רשת ה-VPC משתרעת על פני כמה אזורים, אתם יכולים לצרף נקודת קצה אחת של חומת אש בכל אזור. אם לא מצרפים נקודת קצה של חומת אש לרשת VPC באזור ספציפי, לא מתבצעת בדיקה של שכבה 7 בתנועה של עומס העבודה באותו אזור.
כדי לצרף נקודת קצה של חומת אש לרשת VPC, משתמשים בשיוך נקודת קצה של חומת אש.
נקודות קצה של חומת אש יכולות לעבד תעבורת נתונים של עד 2Gbps עם בדיקת Transport Layer Security (TLS), ועד 10Gbps בלי בדיקת TLS. תנועה מוגזמת עלולה להעמיס על נקודת הקצה ולגרום לאובדן מנות. כדי לעקוב אחרי ניצול הקיבולת של נקודת הקצה של חומת האש, אפשר לעיין במדדי אבטחת הרשת של
firewall_endpoint.כשנקודת קצה של חומת אש בודקת תעבורת נתונים שמטרגטת מאזן עומסים של אפליקציות (ALB) פנימי חוצה-אזורים (גרסת טרום-השקה (Preview)), התפוקה המקסימלית היא 1.6 Gbps.
מכיוון שנקודת הקצה לא מעבירה הודעות שלא אושרו, נקודת קצה עמוסה מדי עלולה להפיל תנועה לגיטימית אם היא לא יכולה לבדוק את התנועה.
לנקודות קצה של חומת אש יכול להיות קצב העברת נתונים מקסימלי לכל חיבור של 250Mbps של תנועה עם בדיקת TLS, ו-1.25Gbps של תנועה בלי בדיקת TLS.
אפשר ליצור נקודת קצה של חומת אש שמעבדת מסגרות ג'מבו בגודל של עד 8,588 בייטים. לחלופין, אפשר ליצור נקודת קצה בלי תמיכה ב-jumbo frame. מידע נוסף זמין במאמר גודל חבילה נתמך.
אפשר למחוק נקודת קצה של חומת אש רק אם אין רשתות VPC שמשויכות אליה. מידע נוסף זמין במאמר שיוך נקודות קצה של חומת אש.
איך פועלות נקודות קצה של חומת אש
Cloud NGFW משתמש בטכנולוגיית יירוט החבילות של Google Cloudכדי להפנות את התנועה מעומסי העבודה של Google Cloud ברשת VPC לנקודות הקצה של חומת האש. יירוט חבילות הוא יכולת של Google Cloud שמאפשרת להוסיף מכשירי רשת לנתיב של תנועת הרשת שנבחרה, בלי לשנות את מדיניות הניתוב הקיימת של התנועה.
Cloud NGFW מפנה את תעבורת הנתונים של עומס העבודה ברשת VPC לנקודת הקצה של חומת האש רק אם מגדירים בדיקה של שכבה 7 לזרימה הזו. לאחר מכן, Cloud NGFW מוסיף מזהה רשת VPC לכל חבילת נתונים שמופנית לנקודת הקצה של חומת האש לבדיקה בשכבה 7. אם יש לכם כמה רשתות VPC עם טווחי כתובות IP חופפים, מזהה הרשת הזה עוזר לוודא שכל חבילה שמועברת משויכת בצורה נכונה לרשת ה-VPC שלה.
קיבולת וביצועים
לנקודות קצה של חומת אש יכול להיות קצב העברת נתונים מקסימלי לכל חיבור של 250Mbps לתנועה עם בדיקת TLS, ו-1.25Gbps לתנועה בלי בדיקת TLS. תנועה מוגזמת עלולה להעמיס על נקודת הקצה ולגרום לאובדן מנות. מכיוון שנקודת הקצה לא מעבירה הודעות שלא אושרו, נקודת קצה עמוסה מדי עלולה להפיל תנועה לגיטימית אם היא לא יכולה לבדוק את התנועה.
כדי לעקוב אחרי ניצול הקיבולת של נקודת קצה של חומת אש, קראו את המאמר מדדי אבטחת הרשת של firewall_endpoint.
גודל החבילה הנתמך
נקודת קצה של חומת אש יכולה לתמוך או לא לתמוך במסגרות ג'מבו.
נקודת קצה של חומת אש עם תמיכה ב-jumbo frame יכולה לקבל חבילות בגודל של עד 8,588 בייטים.
ב-Cloud NGFW נשמרים עוד 308 בייטים לאנקפסולציה של GENEVE (שנדרשת לבדיקת נתונים) ולהרחבות אחרות. לכן, גודל החבילה הכולל של 8,896 בייטים תואם ליחידת השידור המקסימלית (MTU) הגבוהה ביותר שנתמכת ב- Google Cloud .
נקודת קצה של חומת אש בלי תמיכה ב-jumbo frame יכולה לקבל חבילות בגודל של עד 1,460 בייטים.
כדי לבצע בדיקה של שכבה 7, צריך להגדיר את רשתות ה-VPC שמשויכות לנקודת הקצה כך שיעמדו במגבלות ה-MTU הבאות:
בנקודת קצה עם תמיכה ב-jumbo frame, ודאו שרשתות ה-VPC משתמשות ב-MTU של 8,588 בייטים או פחות.
בנקודת קצה ללא תמיכה ב-jumbo frame, ודאו שרשתות ה-VPC משתמשות ב-MTU של 1,460 בייטים או פחות.
אפשר ליצור נקודת קצה של חומת אש עם או בלי תמיכה ב-jumbo frame. עם זאת, אי אפשר להגדיר מחדש נקודת קצה קיימת כדי להוסיף או להסיר תמיכה ב-jumbo frame. כדי להוסיף או להסיר תמיכה ב-jumbo frame, צריך למחוק את נקודת הקצה וליצור אותה מחדש. למידע נוסף, קראו את המאמר יצירת נקודת קצה של חומת אש.
שיקולים לגבי הפריסה
כדי לצרף נקודת קצה של חומת אש לרשת VPC, משתמשים בשיוך נקודת קצה של חומת אש. כדי לעקוב אחרי עומסי עבודה, אתם יכולים ליצור נקודת קצה של חומת אש באזור מסוים ולצרף אותה לרשת VPC אחת או יותר באותו אזור. אם רשת ה-VPC משתרעת על פני כמה אזורים, אפשר לצרף נקודת קצה אחת של חומת אש בכל אזור.
כשיוצרים את נקודת הקצה של חומת האש באותו אזור שבו נמצאים עומסי העבודה, נהנים מהיתרונות הבאים:
- זמן אחזור קצר יותר. מכיוון שנקודות הקצה של חומת האש יכולות ליירט, לבדוק ולהזריק מחדש את התנועה לרשת, זמן האחזור נמוך יותר מזה של נקודות קצה של חומת אש באזורים שונים.
- אין תנועה בין אזורים. כדי להוזיל את העלויות, כדאי להשאיר את התנועה באותו אזור.
- תנועה אמינה יותר. אם התנועה נשארת באותו אזור, אין סיכון להפסקות שירות בין אזורים.
אם לא תקשרו נקודת קצה של חומת אש לרשת VPC באזור ספציפי, Cloud NGFW לא יבצע בדיקה של שכבה 7 בתנועה של עומס העבודה באזור הזה.
תשתית ואמינות
כשיוצרים נקודת קצה של חומת אש, Google מספקת קבוצה של מכונות וירטואליות (VM) ייעודיות. הארכיטקטורה הזו מבטיחה אמינות, ביצועים ובידוד אבטחה לתנועה, וגם ניהול אישורים.
כדי לספק זמינות גבוהה, Google משתמשת במנגנונים מתאימים של יתירות כשל בנקודות הקצה של חומת האש. המנגנונים האלה מבטיחים הגנה אמינה של חומת אש לכל המכונות הווירטואליות ברשת ה-VPC המשויכת.
שיוכים של נקודות קצה של חומת אש
שיוך נקודת קצה של חומת אש מקשר בין נקודת קצה של חומת אש לבין רשת VPC באותו אזור. אחרי שתגדירו את השיוך הזה, Cloud NGFW יעביר את תעבורת הנתונים של עומס העבודה האזורי ברשת ה-VPC שדורשת בדיקה של שכבה 7 לנקודת הקצה המצורפת של חומת האש.
אפשר לשייך רשת VPC לנקודת קצה של חומת אש ברמת הארגון או ברמת הפרויקט. כדי לשייך רשת VPC, צריך להביא בחשבון את הדברים הבאים:
שיוך בין פרויקטים: אם נקודת הקצה ורשת ה-VPC נמצאות בפרויקטים שונים, שני הפרויקטים צריכים להיות שייכים לאותו ארגון.
מגבלה אזורית: אפשר לשייך רשת VPC רק לנקודת קצה אחת של חומת אש בכל אזור. המגבלה הזו כוללת גם נקודות קצה ברמת הארגון וגם נקודות קצה ברמת הפרויקט.
יירוט תנועה על ידי נקודות קצה של חומת אש ברמת הפרויקט
כדי ליירט ולבדוק תנועה באמצעות נקודת קצה של חומת אש ברמת הפרויקט, צריך לוודא שהדרישות הבאות מתקיימות:
- רשת VPC באזור של המכונה הווירטואלית משויכת לנקודת הקצה של חומת האש לטירגוט.
- התנועה תואמת לכלל מדיניות חומת אש עם הפעולה
apply_security_profile_group. - קבוצת פרופילי האבטחה נמצאת באותו פרויקט שבו נמצאת נקודת הקצה של חומת האש.
נקודת קצה של חומת אש לסביבה מתקדמת לבדיקת תוכנות זדוניות
כדי להרחיב את ההגנה על הרשת מעבר להתאמת חתימות בסיסית, אתם יכולים ליצור נקודת קצה של חומת אש עם סביבה מתקדמת לבדיקת תוכנות זדוניות. השירות לזיהוי ומניעת פריצות יכול לחסום רק תוכנות זדוניות עם חתימות מוכרות, אבל הסביבה המתקדמת לבדיקת תוכנות זדוניות מוסיפה עדכונים כמעט בזמן אמת כדי לזהות ולחסום איומים חדשים שמבוססים על קבצים.
כשמפעילים את הסביבה המתקדמת לבדיקת תוכנות זדוניות בזמן שיוצרים או עורכים נקודת קצה של חומת אש, אפשר לקבוע הגדרות נוספות בקטע Advanced malware sandbox configuration. ההגדרות הנוספות האלה כוללות:
WildFire region: האזור הגיאוגרפי שבו נקודת הקצה של חומת האש שולחת קבצים לא ידועים או חשודים לניתוח איומים. אם לא תציינו אזור, נקודת הקצה תוגדר כברירת מחדל לענן האזורי הקרוב ביותר שזמין לסביבה המתקדמת לבדיקת תוכנות זדוניות, כדי לצמצם את זמן האחזור.
Content cloud region: האזור בענן התוכן שבו נקודת הקצה תשתמש. כברירת מחדל, המערכת בוחרת את האזור הזמין הקרוב ביותר.
זמן קצוב לחיפוש חתימה: משך הזמן המקסימלי (באלפיות השנייה) שבו חומת האש מחזיקה קובץ בזמן שהענן של "סביבה מתקדמת לבדיקת תוכנות זדוניות" מבצע חיפוש חתימה בזמן אמת.
פעולה במקרה של זמן קצוב לתפוגה בחיפוש חתימה: מגדירה את התגובה של חומת האש אם החיפוש של החתימה בזמן אמת חורג מסף הזמן הקצוב לתפוגה שהוגדר. אפשר
AllowאוDenyאת הקובץ. פעולת ברירת המחדל היאAllow.חסימת תגובות חלקיות של HTTP: מאפשרת לחסום את החידוש של הורדות קובצי HTTP זדוניים שנחסמו. האפשרות הזו מספקת את רמת האבטחה הגבוהה ביותר.
משך הזמן המקסימלי לניתוח נתונים בענן בזמן אמת: הזמן המקסימלי (בשניות או באלפיות השנייה, בהתאם לממשק) שבו חומת האש מחזיקה קובץ בזמן שניתוח הנתונים בענן בזמן אמת מעריך אותו.
פעולת זמן קצוב לתפוגה של ניתוח נתונים בענן בזמן אמת: מגדירה את הפעולה שתתבצע אם תהליך ניתוח הנתונים בענן בזמן אמת יסתיים בגלל זמן קצוב לתפוגה. אפשר להגדיר את המדיניות הזו כך שהיא
AllowאוDenyאת העברת הקבצים. פעולת ברירת המחדל היאAllow.Enable submission timeout logging: מאפשרת להפעיל יצירת יומנים לקבצים שהזמן הקצוב שלהם פג במהלך ניתוח נתונים בענן בזמן אמת.
למידע ולמידה על סביבה מתקדמת לבדיקת תוכנות זדוניות, ראה סקירה כללית על סביבה מתקדמת לבדיקת תוכנות זדוניות
כדי ליצור נקודת קצה של חומת אש עם סביבה מתקדמת לבדיקת תוכנות זדוניות, קראו את המאמר יצירת נקודות קצה של חומת אש ושיוכים של נקודות קצה.
תפקידי IAM
תפקידי ניהול זהויות והרשאות גישה (IAM) קובעים את הפעולות הבאות של נקודות קצה של חומת אש:
- יצירת נקודת קצה של חומת אש בארגון או בפרויקט
- שינוי או מחיקה של נקודת קצה של חומת אש בארגון או בפרויקט
- הצגת הפרטים של נקודת קצה של חומת אש בארגון או בפרויקט
- הצגת כל נקודות הקצה של חומת האש שהוגדרו בארגון או בפרויקט
בטבלה הבאה מתוארים התפקידים שנדרשים לכל שלב.
| יכולת | התפקיד הנדרש |
|---|---|
| יצירת נקודת קצה של חומת אש | אחד מהתפקידים הבאים:
|
| שינוי נקודת קצה של חומת אש | אחד מהתפקידים הבאים:
|
| מחיקה של נקודת קצה של חומת אש | אחד מהתפקידים הבאים:
|
| הצגת פרטים על נקודת הקצה של חומת האש | אחד מהתפקידים הבאים:
|
| הצגת כל נקודות הקצה של חומת האש | אחד מהתפקידים הבאים:
|
תפקידי IAM קובעים את הפעולות הבאות של שיוך נקודות קצה של חומת אש:
- יצירת שיוך של נקודת קצה של חומת אש בפרויקט
- שינוי או מחיקה של שיוך נקודת קצה של חומת אש
- הצגת הפרטים של שיוך נקודת קצה של חומת אש
- הצגת כל השיוכים של נקודות הקצה של חומת האש שהוגדרו בפרויקט
בטבלה הבאה מתוארים התפקידים שנדרשים לכל שלב.
| יכולת | התפקיד הנדרש |
|---|---|
| יצירת שיוך של נקודת קצה של חומת אש | אחד מהתפקידים הבאים:
|
| שינוי השיוך של נקודת קצה של חומת אש | אחד מהתפקידים הבאים:
|
| מחיקת שיוך של נקודת קצה של חומת אש | אחד מהתפקידים הבאים:
|
| הצגת פרטים על השיוך של נקודת הקצה של חומת האש בפרויקט | אחד מהתפקידים הבאים:
|
| הצגת כל השיוכים של נקודות הקצה של חומת האש בפרויקט. | אחד מהתפקידים הבאים:
|
מכסות
כדי לראות את המכסות שמשויכות לנקודות קצה של חומת אש, קראו את המאמר מכסות ומגבלות.