セキュリティ プロファイル グループの概要

セキュリティ プロファイル グループは、セキュリティ プロファイルのコンテナです。ファイアウォール ポリシールールは、セキュリティ プロファイル グループを参照して、ネットワーク上の侵入検知と防止サービス、高度なマルウェア サンドボックス（WildFire）（プレビュー）、URL フィルタリング サービスなどのレイヤ 7 検査を有効にします。

このドキュメントでは、セキュリティ プロファイル グループとその機能について詳しく説明します。

仕様

  • セキュリティ プロファイル グループは、組織レベルまたはプロジェクト レベルで構成できるリソースです。

    • 組織レベルのセキュリティ プロファイル グループ: これを使用して、組織全体の組織レベルのセキュリティ プロファイルをグループ化します。

    • プロジェクト レベルのセキュリティ プロファイル グループ: これを使用して、プロジェクト内のプロジェクト レベルのセキュリティ プロファイルをグループ化します。

  • セキュリティ プロファイル グループの名前は、次の URL 識別子形式で構成されます。

    • 組織レベル:

      organizations/ORGANIZATION_ID/locations/global/securityProfileGroups/NAME

    • プロジェクト レベル:

      projects/PROJECT_ID/locations/global/securityProfileGroups/NAME

    セキュリティ プロファイル グループの NAME は、次の要件を満たしている必要があります。

    • 1 ～ 63 文字の文字列
    • 小文字の英数字またはハイフン（-）のみを使用している
    • 文字で始まる

    例:

    • 組織レベルのセキュリティ プロファイル グループ:

      organizations/2345678432/locations/global/securityProfileGroups/example-security-profile-group

    • プロジェクト レベルのセキュリティ プロファイル グループ:

      projects/my-project-123/locations/global/securityProfileGroups/example-security-profile-group

    セキュリティ プロファイル グループ名に一意の URL 識別子を使用している場合、URL には組織またはプロジェクトとロケーションが含まれます。名前のみを指定する場合は、gcloud コマンドを使用するときに、組織 ID またはプロジェクト ID とロケーションを個別に指定する必要があります。

  • セキュリティ プロファイル グループには、THREAT_PREVENTION、WILDFIRE_ANALYSIS、URL_FILTERING タイプのセキュリティ プロファイルを任意の順序で追加できます。

  • セキュリティ プロファイル グループに含めることができるセキュリティ プロファイルは、タイプごとに 1 つのみです。複数のプロファイルを追加するには、プロファイルの種類が異なることを確認してください。たとえば、URL_FILTERING タイプのセキュリティ プロファイルを追加した場合、THREAT_PREVENTION タイプの 2 つ目のプロファイルを追加して、トラフィックをスキャンしてフィルタできます。不明なファイルベースのマルウェアをスキャンする WILDFIRE_ANALYSIS プロファイルを追加する場合は、セキュリティ プロファイル グループに必須の THREAT_PREVENTION プロファイルも含める必要があります。

ファイアウォール ポリシールールとの統合

セキュリティ プロファイル グループは、アクション apply_security_profile_group を使用してファイアウォール ポリシー ルールを追加する場合にのみ、ファイアウォール ポリシーに適用されます。セキュリティ プロファイル グループは、次のファイアウォール ポリシー ルールで構成できます。

  • 階層型ファイアウォール ポリシー: 組織レベルまたはフォルダレベルで管理されるこれらのポリシーは、組織レベルのセキュリティ プロファイル グループのみを参照できます。

  • グローバル ネットワーク ファイアウォール ポリシー: プロジェクト レベルで管理されるこれらのポリシーは、任意のプロジェクトから組織レベルのセキュリティ プロファイル グループとプロジェクト レベルのセキュリティ プロファイル グループを参照できます。

ネットワーク トラフィックのレイヤ 7 検査を行うには、ファイアウォール エンドポイントで使用されるセキュリティ プロファイル グループの名前をファイアウォール ポリシールールに含める必要があります。

トラフィックの検査と処理

ファイアウォール ポリシー ルールは、Virtual Private Cloud（VPC）ネットワークの受信トラフィックと送信トラフィックに適用されます。一致したトラフィックは、構成済みのセキュリティ プロファイル グループ名とともにファイアウォール エンドポイントにリダイレクトされます。

ファイアウォール エンドポイントは、セキュリティ プロファイル グループで指定されたセキュリティ プロファイルを使用して、次の処理を行います。

  • ドメイン名とサーバー名表示（SNI）情報を検査する
  • パケットをスキャンして脅威と未知のファイルベースのマルウェアを検出する
  • 構成されたアクションを適用する

検査シーケンス

ファイアウォール エンドポイントは通常、次の順序でセキュリティ プロファイルを処理します。

  1. URL フィルタリング: エンドポイントは URL_FILTERING セキュリティ プロファイルを適用します。
  2. 脅威対策とマルウェア分析: エンドポイントで THREAT_PREVENTION セキュリティ プロファイルが実行されます。高度なマルウェア サンドボックスが有効になっている場合、脅威防止プロファイルとともに WILDFIRE_ANALYSIS セキュリティ プロファイルも実行されます。

脅威スキャン ロジック

脅威スキャン中、Advanced malware sandbox はオンボックスとクラウドベースの分析エンジンを組み合わせて使用します。次の種類の保護を提供します。

  • リアルタイム保護: 既知のマルウェア シグネチャをチェックし、オンボックスの ML モデルを使用して未知の脅威を動的に分析してブロックします。
  • インライン クラウド分析: ファイルがネットワークに到達する前に、クラウドでファイルを評価します。
  • 非同期の詳細なサンドボックス: 不明なファイルがリアルタイム チェックに合格した場合、ファイアウォールは構成された送信ルールに基づいてファイルを抽出して高度なマルウェア サンドボックス クラウドにアップロードし、分析します。

構成の詳細については、次のドキュメントをご覧ください。

リソースの関連付け

各セキュリティ プロファイル グループにはプロジェクト ID が関連付けられている必要があります。関連付けられたプロジェクトは、セキュリティ プロファイル グループ リソースに対する割り当てとアクセス制限に使用されます。

gcloud auth activate-service-account コマンドを使用してサービス アカウントを認証する場合は、サービス アカウントをセキュリティ プロファイル グループに関連付けることができます。

詳細については、セキュリティ プロファイル グループを作成するをご覧ください。

組織レベルのセキュリティ プロファイル グループとプロジェクト レベルのセキュリティ プロファイル グループの違い

組織レベルとプロジェクト レベルのセキュリティ プロファイル グループの違いをまとめると、次のようになります。

  • 組織レベルのセキュリティ プロファイル グループは、組織レベルとプロジェクト レベルの両方のエンドポイントに適用されます。
  • プロジェクト レベルのセキュリティ プロファイル グループは、セキュリティ プロファイル グループと同じプロジェクトにあるプロジェクト レベルのファイアウォール エンドポイントに適用されます。組織レベルのファイアウォール エンドポイントには適用できません。
  • 組織レベルのセキュリティ プロファイル グループには、組織レベルのセキュリティ プロファイルのみを含めることができます。
  • プロジェクト レベルのセキュリティ プロファイル グループには、同じプロジェクトに存在するプロジェクト レベルのセキュリティ プロファイルのみを含めることができます。

Identity and Access Management ロール

Identity and Access Management（IAM）ロールは、次のセキュリティ プロファイル グループのアクションを管理します。

  • 組織またはプロジェクトでのセキュリティ プロファイル グループの作成
  • 組織またはプロジェクトでのセキュリティ プロファイル グループの変更または削除
  • 組織またはプロジェクトのセキュリティ プロファイル グループの詳細を表示する
  • 組織またはプロジェクト内のセキュリティ プロファイル グループのリストを表示する
  • ファイアウォール ポリシー ルールでのセキュリティ プロファイル グループの使用

次の表に、各ステップに必要なロールを示します。

機能 必要なロール
セキュリティ プロファイル グループを作成する 次のいずれかのロール:
  • Compute ネットワーク管理者（roles/compute.networkAdmin）
  • 組織レベルのセキュリティ プロファイル グループの場合は組織レベルで、プロジェクト レベルのセキュリティ プロファイル グループの場合はプロジェクト レベルまたは組織レベルで付与されるセキュリティ プロファイル管理者（roles/networksecurity.securityProfileAdmin）
セキュリティ プロファイル グループを変更する 次のいずれかのロール:
  • Compute ネットワーク管理者（roles/compute.networkAdmin）
  • 組織レベルのセキュリティ プロファイル グループの場合は組織レベルで、プロジェクト レベルのセキュリティ プロファイル グループの場合はプロジェクト レベルまたは組織レベルで付与されるセキュリティ プロファイル管理者（roles/networksecurity.securityProfileAdmin）
セキュリティ プロファイル グループを削除する 次のいずれかのロール:
  • Compute ネットワーク管理者（roles/compute.networkAdmin）
  • 組織レベルのセキュリティ プロファイル グループの場合は組織レベルで、プロジェクト レベルのセキュリティ プロファイル グループの場合はプロジェクト レベルまたは組織レベルで付与されるセキュリティ プロファイル管理者（roles/networksecurity.securityProfileAdmin）
組織とプロジェクトのセキュリティ プロファイル グループの詳細を表示する 次のいずれかのロール:
組織とプロジェクト内のすべてのセキュリティ プロファイル グループを表示する 次のいずれかのロール:
ファイアウォール ポリシー ルールでセキュリティ プロファイル グループを使用する 次のいずれかのロール:

次のステップ