本頁面說明防火牆政策規則如何根據 Google Threat Intelligence 資料允許或封鎖流量，進而保護網路安全。Google Threat Intelligence 資料包含根據下列類別列出的 IP 位址清單：
- Tor 結束節點：Tor 是開放原始碼軟體，可啟用匿名通訊。如要排除隱藏身分的使用者，請封鎖 Tor 結束節點 (流量離開 Tor 網路的端點) 的 IP 位址。
- 已知的惡意 IP 位址：已知是網頁應用程式攻擊來源的 IP 位址。如要改善應用程式的資安態勢，請封鎖這些 IP 位址。
- 搜尋引擎：可允許啟用網站索引功能的 IP 位址。
- 公有雲 IP 位址範圍：這個類別可以封鎖，避免惡意自動化工具瀏覽網頁應用程式，也可以允許，如果您的服務使用其他公有雲。這個類別可進一步細分為下列子類別：
- Amazon Web Services 使用的 IP 位址範圍
- Microsoft Azure 使用的 IP 位址範圍
- Google Cloud使用的 IP 位址範圍
- Google 擁有的 IP 位址範圍
Google Threat Intelligence 資料清單可包含 IPv4 位址、IPv6 位址或兩者。如要在防火牆政策規則中設定 Google Threat Intelligence，請根據要允許或封鎖的類別，使用預先定義的 Google Threat Intelligence 清單名稱。這些清單會持續更新，保護服務免受新威脅，無需額外設定步驟。有效的清單名稱如下。
| 名單名稱 | 說明 |
|---|---|
| 已知的惡意 IP ( iplist-known-malicious-ips) |
比對已知會攻擊網頁應用程式的 IP 位址 |
| 搜尋引擎檢索器 ( iplist-search-engines-crawlers) |
與搜尋引擎檢索器的 IP 位址相符 |
| Tor 結束節點 ( iplist-tor-exit-nodes) |
比對 Tor 結束節點的 IP 位址 |
| 公有雲 IP ( iplist-public-clouds) |
比對屬於公有雲的 IP 位址 |
| 公有雲 - AWS ( iplist-public-clouds-aws) |
與 Amazon Web Services 使用的 IP 位址範圍相符 |
| 公有雲 - Azure ( iplist-public-clouds-azure) |
符合 Microsoft Azure 使用的 IP 位址範圍 |
| 公有雲 - Google Cloud ( iplist-public-clouds-gcp) |
比對客戶資源使用的 IP 位址範圍，例如 Compute Engine VM 和 GKE 叢集。這些範圍包含所有 Google Cloud 客戶使用的客戶指派 IP 範圍，不限於您自己的專案或組織。 |
| VPN 供應商 ( iplist-vpn-providers) |
比對屬於信譽不佳 VPN 供應商的 IP 位址 |
| 匿名 Proxy ( iplist-anon-proxies) |
比對屬於開放式匿名 Proxy 的 IP 位址 |
| 加密貨幣挖礦網站 ( iplist-crypto-miners) |
比對屬於加密貨幣挖礦網站的 IP 位址 |
搭配使用 Google Threat Intelligence 和其他防火牆政策規則篩選器
如要使用 Google Threat Intelligence 定義防火牆政策規則，請遵循下列指南：
如果是輸出規則，請使用一或多個目的地 Google Threat Intelligence 清單指定目的地。
如果是輸入規則，請使用一或多個來源 Google Threat Intelligence 清單指定來源。
您可以為階層式防火牆政策、全域網路防火牆政策和區域網路防火牆政策，設定 Google Threat Intelligence 清單。
您可以將這些清單與其他來源或目的地規則篩選器元件搭配使用。
如要瞭解 Google Threat Intelligence 清單如何與輸入規則中的其他來源篩選器搭配運作，請參閱「階層式防火牆政策中的輸入規則來源」和「網路防火牆政策中的輸入規則來源」。
如要瞭解 Google Threat Intelligence 清單如何與輸出規則中的其他目的地篩選器搭配運作，請參閱「輸出規則的目的地」。
防火牆政策規則記錄是在規則層級執行。為方便偵錯及分析防火牆規則的效果，請勿在單一防火牆規則中加入多個 Google Threat Intelligence 清單。
您可以將多個 Google Threat Intelligence 清單新增至防火牆政策規則。無論清單中包含多少 IP 位址或 IP 位址範圍，規則中的每個清單名稱都算作一個屬性。舉例來說，如果您在防火牆政策規則中加入
iplist-tor-exit-nodes、iplist-known-malicious-ips和iplist-search-engines-crawlers清單名稱，則每項防火牆政策的規則屬性數量會增加三個。如要進一步瞭解規則屬性數量，請參閱「規則屬性數量詳細資料」。
建立 Google Threat Intelligence 清單例外狀況
如果規則適用於 Google Threat Intelligence 清單，您可以使用下列技術，建立適用於 Google Threat Intelligence 清單中特定 IP 位址的例外狀況規則：
選擇性允許防火牆規則：假設您有輸入或輸出防火牆規則，會拒絕來自或傳送至 Google Threat Intelligence 清單的封包。如要允許來自或傳送至該 Google Threat Intelligence 清單中所選 IP 位址的封包，請建立個別的優先順序較高的輸入或輸出允許防火牆規則，並將例外 IP 位址指定為來源或目的地。
選擇性拒絕防火牆規則：假設您有輸入或輸出防火牆規則，允許來自或傳送至 Google Threat Intelligence 清單的封包。如要拒絕來自或傳送至該 Google Threat Intelligence 清單中所選 IP 位址的封包，請建立優先順序較高的輸入或輸出拒絕防火牆規則，並將例外 IP 位址指定為來源或目的地。