Cloud NGFW の階層

Cloud Next Generation Firewall（Cloud NGFW）の機能は、Essentials、Standard、Enterprise の 3 つの階層で利用できます。これらの階層では、特定の Cloud NGFW 機能が料金別にグループ化されています。

Cloud NGFW ティアを選択または登録することはありません。代わりに、ファイアウォール ルールで必要な機能を有効にすると、使用する機能の階層に基づいてGoogle Cloud が課金されます。上位ティアの機能を使用するルールに対してネットワーク トラフィックが評価された場合にのみ、上位ティアの料金が発生します。詳細については、Cloud NGFW の料金をご覧ください。

このドキュメントでは、Cloud NGFW のティアとその機能の概要について説明します。

Cloud NGFW の階層と機能

Cloud NGFW のティアシステムは、セキュリティ費用をきめ細かく管理できるように設計されています。任意の階層のファイアウォール機能を、階層型ファイアウォール ポリシー、グローバル ネットワーク ファイアウォール ポリシー、リージョン ネットワーク ファイアウォール ポリシーに適用できます。

Cloud NGFW Essentials

Cloud NGFW Essentials は、ベースライン セキュリティや内部セグメンテーションなどの基本的な機能を提供します。

Cloud NGFW Essentials には次の機能が含まれています。

  • セキュアタグを使用すると、 Google Cloudリソースのマイクロセグメンテーションときめ細かい制御を実現できます。セキュアタグは、一意の ID と厳格な IAM 制御によって一元管理されます。これらのセキュアタグをファイアウォール ルール内で参照することで、リージョン、ネットワーク、階層全体でより緊密かつ均一なアクセス制御を行うことができます。

  • アドレス グループは、複数の IP アドレスと IP 範囲を 1 つの名前付き論理単位に結合します。複数のファイアウォール ルールで同じアドレス グループを使用して、上り（内向き）の送信元または下り（外向き）の宛先を定義できます。

  • VPC ファイアウォール ルールでは、ネットワーク タグとサービス アカウントを使用して、ネットワーク レベルで受信トラフィックと送信トラフィックをフィルタできます。

Cloud NGFW Standard

Cloud NGFW Standard ティアでは、完全修飾ドメイン名（FQDN）オブジェクトや脅威インテリジェンスなどの高度な機能が提供されます。スタンダード ティアの場合、スタンダード ティアの機能によって評価されるトラフィックの North-South トラフィック（VM インスタンスとインターネット間のトラフィック）に対してのみ課金されます。

Cloud NGFW Standard には次の機能が含まれています。

Cloud NGFW Enterprise

Cloud NGFW Enterprise には、Cloud NGFW の最も高度な機能が含まれています。エンタープライズ ティアでは、南北トラフィック（VM インスタンスとインターネット間のトラフィック）、東西トラフィック（VPC ネットワーク内のリソース間のトラフィック）、サポートされている内部ロードバランサをターゲットとするトラフィックに対して課金されます。

Cloud NGFW Enterprise 機能を含むファイアウォール ポリシー ルールによって接続が評価されると、次のコンポーネントに基づいて追加料金が発生します。

  • デプロイされたファイアウォール エンドポイントごとに 1 時間あたりの料金。
  • 検査対象のトラフィックに対する GB あたりの料金。

Cloud NGFW Enterprise には次の機能が含まれています。

  • Transport Layer Security（TLS）のインターセプトと復号を行うシグネチャ ベースの侵入検知と防止サービス。このサービスは、ネットワーク上でマルウェア、スパイウェア、コマンド アンド コントロール攻撃などの脅威を検知し、攻撃を未然に防ぎます。

  • Transport Layer Security（TLS）インターセプトを備えた高度なマルウェア サンドボックス（WildFire）。高度なリアルタイム分析により、未知のファイルベースのマルウェアからネットワークを保護します。このサービスは、ワークロードに到達するファイルをスキャンします。Cloud Next Generation Firewall Enterprise データプレーンの高度なマルウェア サンドボックス インライン ML がファイルを分析するか、サービスがファイルを高度なマルウェア サンドボックス クラウドにアップロードして分析します。

  • Transport Layer Security（TLS）インスペクションを備えた URL フィルタリング サービス。URL をブロックまたは許可することで、ウェブサイトやウェブページへのアクセスを制御できます。FQDN フィルタリングでは、ネットワーク レイヤで解決された IP アドレスのみが参照されますが、URL フィルタリングはアプリケーション レイヤで動作し、完全な URL パスを検査します。これにより、ドメイン全体だけでなく、特定のウェブサイトや個々のサブページへのアクセスをブロックまたは許可できます。

ティア別の機能分類

次の表に、Cloud NGFW の機能と課金ティアをまとめます。

機能 ティア
ステートフル インスペクション Essentials
セキュア タグ Essentials
アドレス グループ Essentials
VPC ファイアウォール ルール Essentials
FQDN オブジェクト 標準
位置情報オブジェクト 標準
脅威インテリジェンス 標準
侵入検知および防止サービス Enterprise
高度なマルウェア サンドボックス Enterprise
URL フィルタリング サービス Enterprise
TLS インスペクション Enterprise

料金

Cloud NGFW の各ティアの料金は異なります。ファイアウォール ポリシーでは、単一のティアの機能を持つルールを使用することも、複数のティアの機能を持つルールを組み合わせることもできます。1 つのルールで複数の階層の機能を使用する場合、 Google Cloud は使用された最上位の階層のレートでトラフィックを課金します。たとえば、ファイアウォール ルールに Standard 機能と Enterprise 機能の両方が含まれている場合、Cloud NGFW は一致するトラフィックを Enterprise 料金で評価します。

Cloud NGFW では、同じトラフィック フローが複数のルールで評価されても、同じトラフィック フローに対して 2 回課金されることはありません。主に、VM インスタンスとの間のトラフィックのデータ処理に対して料金が発生します。これらの料金は、ファイアウォール ルールがトラフィックを評価するときに適用されます。ルールがトラフィックを許可するか拒否するかは関係ありません。

異なる階層の機能を含むファイアウォール ルールによって評価されるトラフィックのデータ処理に対して料金が発生します。さまざまなシナリオの料金については、Cloud NGFW の料金をご覧ください。

次のステップ