Policy di sicurezza

Questa pagina spiega le policy di sicurezza del gateway e come crearle.

Policy di sicurezza del gateway

Una policy di sicurezza del gateway funge da container centralizzato per tutte le regole di sicurezza che regolano il flusso di traffico attraverso l'istanza di Secure Web Proxy. Le policy consentono di gestire in modo efficace il controllo dell'accesso per il traffico web in uscita del proxy.

Puoi definire una policy e associarla alla tua istanza di Secure Web Proxy. In questo modo, tutto il traffico web in uscita dalla tua rete rispetta un insieme coerente di standard di sicurezza.

Le policy di sicurezza del gateway si basano sui tre parametri seguenti:

  • Origine del traffico: Secure Web Proxy identifica l'origine del traffico utilizzando vari attributi, come service account, tag sicuri e indirizzi IP.

  • Destinazione consentita: Secure Web Proxy determina le destinazioni consentite utilizzando un dominio, un percorso URL completo (se l'ispezione TLS è abilitata), elenchi di URL o la porta di destinazione.

  • Dettagli della richiesta: Secure Web Proxy valuta gli attributi della richiesta, come il protocollo, il metodo HTTP e le intestazioni della richiesta. Per eseguire questa analisi per il traffico criptato, devi abilitare l'ispezione TLS.

Attributi di origine

Le policy di Secure Web Proxy identificano l'origine del traffico utilizzando i seguenti dati sull'identità cloud e sulla posizione di rete:

  • Service account: identità univoche assegnate alle tue applicazioni o ai tuoi workload. I service account ti consentono di creare policy basate sulla funzione specifica di un'applicazione.
  • Tag sicuri: etichette che puoi applicare alle tue risorse Google Cloud , come le istanze di macchine virtuali (VM). I tag ti consentono di raggruppare i workload per funzione o ambiente. Ad esempio, "Consenti a tutte le risorse con etichetta Production di accedere ai domini approvati".
  • Indirizzi IP: indirizzo di rete del mittente. Puoi assegnare i tuoi indirizzi IP aziendali o statici Google Cloud utilizzati da Secure Web Proxy per il traffico in uscita.

Identità supportate per gli attributi di origine

Secure Web Proxy utilizza policy basate sull'identità di origine, come service account e tag sicuri, per controllare il traffico web. Queste policy ti consentono di applicare regole basate sull'identità di origine del traffico, anziché solo sull'indirizzo IP.

La tabella seguente mostra i servizi Google Cloud che supportano le policy basate sull'identità di origine:

ServiziGoogle Cloud Assistenza per i service account Assistenza di Tag protetti
Macchina virtuale (VM) di Compute Engine
Nodo Google Kubernetes Engine (GKE)
Container Google Kubernetes Engine (GKE) 1 1
VPC diretto per Cloud Run 1
Connettore di accesso VPC serverless 2 2
Cloud VPN 1 1
Cloud Interconnect on-premise 1 1
Bilanciatore del carico delle applicazioni
Bilanciatore del carico di rete
1 Non supportato da Google Cloud.
2 L'indirizzo IP di origine è univoco e può essere utilizzato al suo posto.

La tabella seguente mostra le architetture Virtual Private Cloud (VPC) che supportano le policy di sicurezza basate sull'identità di origine:

VPC Architettura VPC Assistenza
All'interno del VPC Tra progetti (VPC condiviso)
VPC incrociato Link di peering incrociato (VPC in peering)
VPC incrociato Cross Private Service Connect
VPC incrociato Spoke di Network Connectivity Center tra reti

Attributi di destinazione

Le policy di Secure Web Proxy determinano se una destinazione è approvata analizzando i seguenti attributi del sito web o del servizio di destinazione:

  • Dominio di destinazione: l'indirizzo del sito web, ad esempio example.com.

  • Elenchi di URL: elenchi predefiniti di URL approvati o bloccati che semplificano la gestione delle policy.

  • Porta di destinazione: porta di rete a cui l'istanza Secure Web Proxy invia il traffico. Ad esempio, 443 per HTTPS.

  • Percorso dell'URL completo: percorso esatto del sito web. Per visualizzare l'intero contenuto della pagina web specifica, devi attivare l'ispezione TLS.

Per il traffico di destinazione HTTP e HTTPS, puoi utilizzare l'attributo di destinazione host e vari attributi correlati alla destinazione request.*, come request.method, per la tua applicazione.

Per saperne di più sugli attributi di destinazione che puoi utilizzare per il traffico HTTP e HTTPS, consulta Attributi.

Crea una policy di sicurezza

Prima di creare una policy di sicurezza del gateway, assicurati di completare i seguenti passaggi di configurazione iniziale:

Dopo aver creato una policy, puoi creare regole e aggiungerle alla policy. Per saperne di più su come associare una policy alla tua istanza di Secure Web Proxy, consulta Configura un proxy web.

Console

  1. Nella console Google Cloud , vai alla pagina Policy SWP.

    Vai a Policy SWP

  2. Fai clic su Crea una policy.

  3. Inserisci un nome per la policy che vuoi creare, ad esempio policy1.

  4. Inserisci una descrizione della policy, ad esempio My new swp policy.

  5. Nell'elenco Regioni, seleziona la regione in cui vuoi creare la policy, ad esempio us-central1.

  6. Se vuoi creare regole per la policy, fai clic su Aggiungi regola. Per saperne di più, consulta Crea una regola di Secure Web Proxy.

  7. Fai clic su Crea.

Cloud Shell

  1. Utilizza l'editor di testo che preferisci per creare un file policy.yaml.

  2. Aggiungi quanto segue al file policy.yaml che hai creato:

    description: basic Secure Web Proxy policy
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1

    Sostituisci quanto segue:

    • PROJECT_ID: l'ID del progetto
    • REGION: la regione in cui viene creata la policy, ad esempio us-central1

  3. Crea la policy di Secure Web Proxy.

    gcloud network-security gateway-security-policies import policy1 \
    --source=policy.yaml \
    --location=REGION

Passaggi successivi