Cloud Next Generation Firewall の機能は、Essentials、Standard、Enterprise の 3 つの階層で利用できます。これらの階層では、特定の Cloud NGFW 機能が料金ごとにグループ化されています。
Cloud NGFW 階層を選択したり、サブスクライブしたりすることはありません。代わりに、ファイアウォールルールで必要な機能を有効にすると、使用する機能の階層に基づいて課金されます。Google Cloud 上位階層の機能を使用するルールに対してネットワーク トラフィックが評価された場合にのみ、上位階層の料金が発生します。詳細については、 Cloud NGFW の料金をご覧ください。
このドキュメントでは、Cloud NGFW の階層とその機能の概要について説明します。
Cloud NGFW の階層と機能
Cloud NGFW 階層システムは、セキュリティ費用をきめ細かく管理できるように設計されています。任意の階層のファイアウォール機能を、階層型ファイアウォール ポリシー、グローバル ネットワーク ファイアウォール ポリシー、リージョン ネットワーク ファイアウォール ポリシーに適用できます。
Cloud NGFW Essentials
Cloud NGFW Essentials は、ベースライン セキュリティや内部セグメンテーションなどの基本的な機能を提供します。
Cloud NGFW Essentials には次の機能が含まれています。
セキュア タグを使用すると、リソースの マイクロセグメンテーションときめ細かい制御を実現できます。 Google Cloud セキュア タグは、一意の ID と厳格な IAM 制御によって一元管理されます。これらのセキュア タグをファイアウォール ルールで参照することで、リージョン、ネットワーク、階層全体でより緊密かつ均一なアクセス制御を行うことができます。
アドレス グループは、 複数の IP アドレスと IP 範囲を 1 つの名前付き論理単位に結合します。複数のファイアウォール ルールで同じアドレス グループを使用して、上り（内向き）の送信元または下り（外向き）の宛先を定義できます。
VPC ファイアウォール ルールは、 ネットワーク タグとサービス アカウントを使用して、ネットワーク レベルで受信トラフィックと送信トラフィックをフィルタできます。
Cloud NGFW Standard
Cloud NGFW Standard 階層では、完全修飾ドメイン名（FQDN）オブジェクトや脅威インテリジェンスなどの高度な機能を利用できます。Standard 階層では、Standard 階層の機能によって評価されるトラフィックに対してのみ、南北トラフィック（VM インスタンスとインターネット間のトラフィック）の料金が発生します。
Cloud NGFW Standard には次の機能が含まれています。
完全修飾ドメイン名（FQDN）オブジェクト を使用すると、IP アドレスではなくドメイン名を使用して、上り（内向き）の送信元または下り（外向き）の宛先を定義できます。
位置情報オブジェクトを使用すると、IP アドレスの位置情報を使用して、上り（内向き）の送信元または下り（外向き）の宛先を 定義できます。
Cloud NGFW Enterprise
Cloud NGFW Enterprise には、Cloud NGFW の最も高度な機能が含まれています。Enterprise 階層では、南北トラフィック（VM インスタンスとインターネット間のトラフィック）と東西トラフィック（VPC ネットワーク内のリソース間のトラフィック）の両方に対して課金されます。
Cloud NGFW Enterprise 機能を含むファイアウォール ポリシールールによって接続が評価されると、次のコンポーネントに基づいて追加料金が発生します。
- デプロイされたファイアウォール エンドポイントごとに時間単位で課金。
- 検査されたトラフィックの GB あたりの料金。
Cloud NGFW Enterprise には次の機能が含まれています。
- Transport Layer Security（TLS）のインターセプトと復号を行うシグネチャベースの侵入検知と防止サービス 。このサービスは、ネットワーク上でマルウェア、スパイウェア、コマンド アンド コントロール攻撃などの脅威を検知し、攻撃を未然に防止します。
- URL フィルタリング サービス（Transport Layer Security（TLS）インスペクション搭載）。URL をブロックまたは許可することで、ウェブサイトやウェブページへのアクセスを制御できます。FQDN フィルタリングではネットワーク レイヤで解決された IP アドレスのみが認識されますが、URL フィルタリングはアプリケーション レイヤで動作して完全な URL パスを検査します。これにより、ドメイン全体だけでなく、特定のウェブサイトや個々のサブページへのアクセスをブロックまたは許可できます。
階層別の機能の分類
次の表に、Cloud NGFW の機能とその課金階層をまとめます。
| 機能 | 階層 |
| ステートフル インスペクション | Essentials |
| セキュア タグ | Essentials |
| アドレス グループ | Essentials |
| VPC ファイアウォール ルール | Essentials |
| FQDN オブジェクト | Standard |
| 位置情報オブジェクト | Standard |
| 脅威インテリジェンス | Standard |
| 侵入検知および防止サービス | Enterprise |
| URL フィルタリング サービス | Enterprise |
| TLS インスペクション | Enterprise |
料金
Cloud NGFW の各階層の料金は異なります。ファイアウォール ポリシーでは、単一階層の機能を持つルールを使用することも、複数の階層の機能を持つルールを組み合わせることもできます。1 つのルールで複数の 階層の機能を使用する場合、 Google Cloud は使用されている最も高い階層のレートでトラフィックを課金します。たとえば、ファイアウォール ルールに Standard 機能と Enterprise 機能の両方が含まれている場合、Cloud NGFW は一致するトラフィックを Enterprise レートで評価します。
同じトラフィック フローが複数のルールによって評価された場合でも、Cloud NGFW で同じトラフィックに対して二重に課金されることはありません。主に、VM インスタンスとの間のトラフィックのデータ処理に対して課金されます。これらの料金は、ルールがトラフィックを許可するか拒否するかにかかわらず、ファイアウォール ルールがトラフィックを評価するときに適用されます。
異なる階層の機能を含むファイアウォール ルールによって評価されるトラフィックのデータ処理に対して課金されます。さまざまなシナリオの料金については、Cloud NGFW の料金をご覧ください。