O Cloud Next Generation Firewall (Cloud NGFW) é um serviço de firewall de nuvem distribuído e moderno que permite proteger suas cargas de trabalho do Google Cloud , como aplicativos e serviços executados no Google Cloud ou que consomem recursos do Google Cloud.
O Cloud NGFW oferece inspeção com estado e controle de aplicativos da camada 7 para o tráfego norte-sul (que entra ou sai de uma rede de nuvem privada virtual (VPC)) e o tráfego leste-oeste (comunicação entre recursos nas redes VPC). Para segurança avançada, o Cloud NGFW inclui serviço de detecção e prevenção de intrusões, sandbox de malware avançado (WildFire) e serviço de filtragem de URL. O serviço de detecção e prevenção de intrusões inspeciona o tráfego na camada do aplicativo para identificar e bloquear ameaças baseadas em rede. O serviço de filtragem de URL permite controlar o acesso a sites e páginas da Web bloqueando ou permitindo os URLs deles.
Neste documento, apresentamos uma visão geral dos recursos, dos níveis de serviço e das diferentes redes compatíveis com o Cloud NGFW.
Principais recursos do Cloud NGFW
O Cloud NGFW oferece os seguintes recursos de segurança principais:
Serviço de firewall distribuído. O Cloud NGFW aplica regras de firewall a instâncias de VM, recursos baseados em VM e balanceadores de carga compatíveis em uma rede VPC para permitir, negar ou enviar tráfego para inspeção.
Políticas de firewall de rede globais e regionais. O Cloud NGFW permite agrupar regras de firewall em objetos de política que podem ser aplicados de maneira consistente em várias redes de nuvem privada virtual (VPC), globalmente ou em uma região específica. Para mais informações, consulte Políticas de firewall de rede global e Políticas de firewall de rede regional.
Políticas de firewall hierárquicas. O Cloud NGFW permite agrupar regras de firewall em objetos de política que podem ser aplicados em toda a organização ou a pastas específicas. Essas políticas fornecem uma aplicação de firewall consistente em toda a hierarquia de recursos do Google Cloud. Para mais informações, consulte Políticas de firewall hierárquicas.
Segurança em várias camadas. O Cloud NGFW protege suas cargas de trabalho aplicando controles nas camadas 3, 4 e 7 da pilha de rede. É possível criar regras de firewall que controlam o tráfego na camada de rede e na camada do aplicativo.
Controle granular e microssegmentação. A microssegmentação é uma prática de segurança que divide uma rede em zonas pequenas e distintas para criar uma estrutura de confiança zero para suas cargas de trabalho. Com as tags seguras, é possível ativar a microssegmentação e aplicar regras de segurança granulares baseadas em identidade para filtrar o tráfego interno e externo.
Integração com balanceadores de carga: para proteger o tráfego de entrada, o Cloud NGFW se integra aos proxies gerenciados do Envoy que alimentam os balanceadores de carga de aplicativo internos e os balanceadores de carga de rede de proxy internos. É possível aplicar a filtragem de camada 3 e camada 4 aos dois tipos de balanceador de carga. Além disso, é possível aplicar a filtragem da camada do aplicativo 7 (pré-lançamento) aos balanceadores de carga de aplicativo internos entre regiões. Os balanceadores de carga de rede de proxy interno não oferecem suporte à inspeção da camada 7.
Níveis do Cloud NGFW
Os recursos do Cloud NGFW são categorizados nos seguintes níveis:
Cloud Next Generation Firewall Essentials: o nível de serviço de firewall básico oferecido pelo Google Cloud . Os recursos desse nível permitem criar regras com base em atributos de rede padrão, incluindo intervalos de IP, portas e protocolos. Os recursos desse nível são oferecidos sem custo financeiro.
Cloud Next Generation Firewall Standard: estende os recursos do nível Essentials com recursos aprimorados, como objetos de nome de domínio totalmente qualificado (FQDN, na sigla em inglês) e inteligência contra ameaças.
O sistema de níveis do Cloud NGFW oferece controle granular sobre seus gastos com segurança. Para mais informações sobre os recursos, os níveis e os preços do Cloud NGFW, consulte Níveis do Cloud NGFW e Preços do Cloud NGFW.
Redes VPC compatíveis
O Cloud NGFW é compatível com as seguintes redes VPC, cada uma projetada para requisitos de carga de trabalho e perfis de desempenho específicos.
Rede VPC regular: as redes VPC regulares são compatíveis com as seguintes políticas de firewall do Cloud NGFW:
- Políticas globais de firewall de rede
- Políticas de firewall de rede regional
- Políticas de firewall hierárquicas
As redes VPC regulares também são compatíveis com regras de firewall da VPC.
Rede de acesso direto à memória remota (RDMA): é possível proteger redes RDMA aplicando políticas de firewall de rede regional.
Balanceadores de carga compatíveis
O Cloud NGFW também é compatível com os seguintes balanceadores de carga baseados no Envoy:
| Tipo de política | Nível do Cloud NGFW | Balanceadores de carga compatíveis |
|---|---|---|
| Políticas de firewall de rede globais | Essentials e Standard |
Para mais informações, consulte Usar políticas de firewall de rede global para proteger balanceadores de carga baseados no Envoy. |
| Políticas de firewall de rede globais | Enterprise | Balanceadores de carga de aplicativo internos entre regiões (pré-lançamento)
Para mais informações, consulte Usar políticas de firewall de rede global para proteger balanceadores de carga baseados no Envoy. |
| Políticas de firewall da rede regional | Essentials e Standard |
Para mais informações, consulte Usar políticas de firewall de rede regional para proteger balanceadores de carga de aplicativo internos e balanceadores de carga de rede de proxy internos. |
| Políticas de firewall da rede regional | Enterprise | Sem suporte |
| Políticas de firewall hierárquicas | Todos os níveis | Sem suporte |
| Regras de firewall da VPC | Todos os níveis | Sem suporte |