Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Regole di sicurezza

Questa pagina spiega le regole di sicurezza del gateway e come crearle.

Secure Web Proxy consente di definire vari tipi di regole di sicurezza all'interno delle policy di sicurezza del gateway per proteggere il traffico web in uscita. Puoi utilizzare queste regole per controllare con precisione la sicurezza del traffico utilizzando dettagli specifici della richiesta, come intestazioni e pattern URL, per assicurarti che solo il traffico HTTP/S approvato lasci la rete.

Le regole di sicurezza del gateway hanno le seguenti funzionalità:

Ogni regola è un'istruzione if-then che controlla una richiesta web in base ai seguenti parametri:
- Identità di origine: chi sta effettuando la richiesta, ad esempio una macchina virtuale (VM) o un account di servizio specifico.
- Destinazione: dove viene inviata la richiesta, ad esempio un URL di destinazione o un dominio come trusted-partner.com.
- Azione: la decisione di consentire o negare il traffico.
Le regole di sicurezza del gateway forniscono un controllo granulare. Queste regole consentono di applicare standard di sicurezza diversi all'interno dell'organizzazione utilizzando definizioni chiare e strutturate.

Regole di corrispondenza host

Secure Web Proxy utilizza la corrispondenza del nome host per verificare il dominio di destinazione. La procedura di verifica varia a seconda della modalità di deployment del proxy, come mostrato nella tabella seguente.

Modalità di deployment	Procedura di verifica dell'host
Modalità proxy esplicito	Per il traffico non criptato, il proxy controlla il nome host rispetto all'intestazione della connessione HTTP. Se utilizzi gli attributi di Application Matcher per l'ispezione TLS, il proxy controlla prima il nome host a livello di connessione e poi a livello di applicazione.
Modalità hop successivo	Per il traffico criptato, il proxy controlla il nome host di destinazione rispetto al campo Server Name Indication (SNI) nella richiesta in uscita. Questo campo è visibile anche sulle connessioni sicure.

Configurare le regole di corrispondenza host per la modalità proxy esplicito

Quando esegui il deployment di Secure Web Proxy come proxy esplicito, configura le regole di corrispondenza host per verificare che le informazioni sull'host inviate dal client vengano estratte e controllate correttamente rispetto alle regole di sicurezza definite. Nella modalità proxy esplicito, i client sono configurati attivamente per inviare il traffico direttamente all'istanza di Secure Web Proxy.

La corrispondenza host nella modalità proxy esplicito funziona per diversi tipi di traffico web nel seguente modo:

Tipo di traffico	Meccanismo di corrispondenza	Configurazione della regola
HTTP non criptato	Secure Web Proxy controlla il nome host di destinazione rispetto a il campo `host` nell'intestazione `CONNECT` standard della richiesta HTTP.	Nel campo `sessionMatcher`, utilizza `host() == "example.com"`.
HTTPS criptato (senza ispezione TLS (Transport Layer Security) )	La corrispondenza host non è possibile né a livello di applicazione né a livello di sessione. Questo perché i dettagli della richiesta sono criptati e l'`destination.ip`attributo non è supportato. Devi utilizzare controlli delle policy più ampi, come la corrispondenza dell'identità di origine, o abilitare l'ispezione TLS per il filtro basato sull'host.	Per utilizzare Application Matcher, utilizza la corrispondenza dell'identità di origine, ad esempio gli account di servizio, o abilita l'ispezione TLS.
HTTPS criptato (con ispezione TLS)	Per ispezionare la richiesta completa, devi utilizzare sia il Session Matcher sia l'Application Matcher.	1. Imposta una regola Session Matcher generale che restituisca `true` o che corrisponda all'host di destinazione, ad esempio `host() == "example.com"`. 2. Nel campo `applicationMatcher`, aggiungi una regola host specifica, ad esempio `request.host() == "example.com"`.

Configurare le regole di corrispondenza host per la modalità hop successivo

Quando esegui il deployment di Secure Web Proxy come hop successivo, devi configurare le regole di corrispondenza host. Il traffico viene reindirizzato al proxy tramite una route Virtual Private Cloud (VPC) basata sugli intervalli di indirizzi IP che definisci. Le regole di corrispondenza host assicurano che il proxy identifichi correttamente l'host di destinazione controllando vari campi del traffico, come l'intestazione Server Name Indication (SNI).

La corrispondenza host nella modalità hop successivo funziona per diversi tipi di traffico web nel seguente modo:

Tipo di traffico	Meccanismo di corrispondenza	Configurazione della regola
HTTP non criptato	Secure Web Proxy controlla il nome host di destinazione rispetto a il campo `host` nell'intestazione della richiesta HTTP standard.	Nel campo `sessionMatcher`, utilizza `host() == "example.com"`.
HTTPS criptato (senza ispezione TLS)	Secure Web Proxy controlla il nome host rispetto all' intestazione SNI nella richiesta in uscita, che è visibile anche se il resto del traffico è criptato.	Nel campo `sessionMatcher`, utilizza `host() == "example.com"`.
HTTPS criptato (con ispezione TLS)	Per ispezionare la richiesta completa, devi utilizzare sia il Session Matcher sia l'Application Matcher.	1. Imposta una regola Session Matcher generale che restituisca `true` o che corrisponda all'host di destinazione, ad esempio `host() == "example.com"`. 2. Nel campo `applicationMatcher`, aggiungi una regola host specifica, ad esempio `request.host() == "example.com"`.

Regole del proxy TCP

Le regole del proxy TCP (Transmission Control Protocol) consentono di controllare il traffico non web standard, come HTTP (porta 80) o HTTPS (porta 443). Configurando le regole del proxy TCP, puoi consentire o bloccare il traffico su qualsiasi altra porta TCP. Queste regole ti aiutano a bloccare il traffico dannoso e a gestire le applicazioni non web che utilizzano TCP.

Se il tuo carico di lavoro (ad esempio applicazioni e servizi) utilizza Secure Web Proxy come hop successivo, l'applicazione delle regole del proxy TCP è vantaggiosa. Il reindirizzamento basato su route indirizza il traffico non HTTP(S) e non web all'istanza di Secure Web Proxy. In questo modo, puoi bloccare il traffico in uscita che raggiunge siti esterni dannosi e gestire i servizi esterni a cui possono connettersi i carichi di lavoro di rete.

Configurare le regole del proxy TCP

Puoi configurare le regole del proxy TCP per la tua applicazione per proteggere il traffico non web e applicare policy di sicurezza per le applicazioni che non utilizzano HTTP/S standard, ad esempio per le porte 80 e 443.

Applicando queste regole, puoi impedire l'utilizzo non autorizzato di altre porte TCP per il trasferimento di dati o attività dannose. Questa funzionalità è particolarmente utile quando i carichi di lavoro utilizzano Secure Web Proxy come hop successivo per i protocolli non web.

Per implementare le regole del proxy TCP e creare una regola di autorizzazione o blocco del traffico per l'applicazione, devi specificare la porta di destinazione. Facoltativamente, puoi includere uno qualsiasi dei seguenti attributi di Session Matcher per perfezionare i criteri della regola di autorizzazione o blocco.

La tabella seguente fornisce ulteriori informazioni sui vari attributi che puoi utilizzare in una regola del proxy TCP:

Attributo	Tipo di attributo	Descrizione
`source.ip`	string	Indirizzo IP del client che ha inviato la richiesta.
`source.port`	string	Porta client che ha inviato la richiesta.
`destination.port`	string	Porta upstream a cui l'istanza di Secure Web Proxy invia il traffico.
`source.matchTag(SECURE_TAG)`	boolean	`True`, se l'origine è associata a `SECURE_TAG`. L'argomento è l'ID permanente del tag sicuro, ad esempio `source.matchTag('tagValues/123456')`.
`source.matchServiceAccount(SERVICE_ACCOUNT)`	boolean	`True`, se l'origine è associata a `SERVICE_ACCOUNT` ad esempio `source.matchServiceAccount('x@my-project.')`.
`inIpRange(IP_ADDRESS, IP_RANGE)`	boolean	`True`, se `IP_ADDRESS` è contenuto in `IP_RANGE`, ad esempio `inIpRange(source.ip, '1.2.3.0/24')`. Le subnet mask per gli indirizzi IPv6 non possono superare `/64`.

Esempio di regola del proxy TCP

Questo esempio mostra come definire un Secure Web Proxy gatewaySecurityPolicyRule utilizzando un' espressione CEL per consentire tutto il traffico TCP alla porta 22. Puoi utilizzare questa configurazione quando applichi le funzionalità del proxy TCP di Secure Web Proxy.

Il seguente esempio di codice mostra come definire una regola del proxy TCP:

name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/RULE_NAME
enabled: true
priority: 100 # Lower numbers have higher priority
description: "Allow TCP proxy traffic to port 22 - such as, for SSH"
basicProfile: ALLOW
sessionMatcher: "destination.port == 22"

Sostituisci quanto segue:

PROJECT_ID: ID del progetto
REGION: regione della policy
POLICY_NAME: nome della policy
RULE_NAME: nome della regola del proxy TCP. In questo esempio, possiamo considerare il suo valore come allow-ssh-tcp-proxy.

Considerazioni importanti

Tutte le regole del proxy TCP che configuri devono avere una priorità più alta (numero inferiore) rispetto alle regole HTTP/S per assicurarti che vengano valutate e applicate per prime. Per ulteriori informazioni, consulta Ordine di valutazione delle regole.
Quando configuri le regole del proxy TCP, l'attributo host di Session Matcher non è supportato perché le informazioni sull'host non sono disponibili a livello TCP.
Le regole del proxy TCP filtrano il traffico web solo in base alla porta di destinazione. Per migliorare la sicurezza della rete, ti consigliamo di aggiungere altre condizioni utilizzando gli operatori logici AND (&&) e OR (||) e gli attributi supportati come source.ip. Ecco un esempio di come definire una regola del proxy TCP più specifica:
```
  // Allow port 22 from only a specific source IP range
  sessionMatcher: "destination.port == 22 && inIpRange(source.ip, '10.0.0.0/24')"
```
Secure Web Proxy non supporta la possibilità di configurare regole proxy per le applicazioni UDP (User Datagram Protocol). Di conseguenza, Secure Web Proxy blocca il traffico delle applicazioni basate su UDP.

Creare una regola di sicurezza

Prima di creare una regola di sicurezza del gateway, assicurati di eseguire le seguenti azioni:

Completa tutti i passaggi di configurazione iniziali.
Crea una policy

Dopo aver creato una regola e averla associata a una policy, puoi utilizzarla durante il deployment di Secure Web Proxy.

Console

Nella Google Cloud console, vai alla pagina Policy SWP.

Vai a Policy SWP
Fai clic sul nome della policy, ad esempio policy1.
Fai clic su Aggiungi regola.
Per ogni regola, procedi nel seguente modo:
1. In Priorità, inserisci un ordine di valutazione numerico per la regola. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta.
2. Nel campo Nome, inserisci un nome per la regola.
3. Nel campo Descrizione, inserisci una descrizione per la regola.
4. In Azione, seleziona una delle seguenti opzioni:
  - Consenti: per consentire le richieste di connessione che corrispondono alla regola.
  - Nega: per negare le richieste di connessione che corrispondono alla regola.
5. Nel campo Stato, seleziona una delle seguenti opzioni per l'applicazione della regola:
  - Attivato: per applicare la regola all'istanza di Secure Web Proxy.
  - Disattivato: per non applicare la regola all'istanza di Secure Web Proxy.
6. Nella sezione Corrispondenza sessione, specifica i criteri per la corrispondenza della sessione, ad esempio host() == "www.wikipedia.org".
  
  Per ulteriori informazioni sulla sintassi di SessionMatcher, consulta il riferimento al linguaggio del matcher CEL.
7. Nella sezione Corrispondenza applicazione, specifica i criteri per la corrispondenza della richiesta.
  
  Per ulteriori informazioni sulla corrispondenza del traffico TCP, consulta Configurare le regole del proxy TCP.
8. Fai clic su Aggiungi regola.

Cloud Shell

Utilizza l'editor di testo che preferisci per creare un file rule.yaml. Per ulteriori informazioni sulla sintassi di sessionMatcher, consulta il riferimento al linguaggio del matcher CEL.
```
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
description: Allow wikipedia.org
enabled: true
priority: 1
basicProfile: ALLOW
sessionMatcher: host() == 'www.wikipedia.org'
```
Sostituisci quanto segue:
- PROJECT_ID: ID del progetto
- REGION: regione della policy
- RULE_NAME: nome della regola. In questo esempio, possiamo considerare il suo valore come allow-wikipedia-org.
Facoltativo: in alternativa, se vuoi creare una regola con l'ispezione TLS abilitata, crea il file rule.yaml come mostrato qui. Per ulteriori informazioni, consulta Panoramica dell'ispezione TLS e Abilitare l'ispezione TLS.
```
  name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
  description: Allow wikipedia.org
  enabled: true
  priority: 1
  basicProfile: ALLOW
  sessionMatcher: host() == 'www.wikipedia.org'
  applicationMatcher: request.path.contains('index.html')
  tlsInspectionEnabled: true
```
Per ulteriori informazioni sulla corrispondenza del traffico TCP, consulta Configurare le regole del proxy TCP.

Importante: per abilitare l'ispezione TLS per ogni regola che crei, imposta l'attributo tlsInspectionEnabled su true per ogni regola che utilizza applicationMatcher per la corrispondenza del traffico HTTPS. L'ispezione TLS per la regola è limitata al traffico che corrisponde all' sessionMatcher attributo della regola. Per ulteriori informazioni, consulta Valutazione delle regole di ispezione TLS.

Crea la regola della policy di sicurezza.

gcloud network-security gateway-security-policies rules import allow-wikipedia-org \
    --source=rule.yaml \
    --location=REGION \
    --gateway-security-policy=policy1

Limitazioni

Se crei una policy di autorizzazione nell'istanza di Secure Web Proxy, il proxy ignora tutte le policy di sicurezza del gateway e le regole di sicurezza del gateway associate esistenti.
Secure Web Proxy non supporta la possibilità di configurare regole per le applicazioni UDP (User Datagram Protocol). Secure Web Proxy blocca il traffico delle applicazioni basate su UDP.