Die Cloud Next Generation Firewall (Cloud NGFW) ist ein verteilter, moderner Cloud-Firewalldienst, mit dem Sie Ihre Arbeitslasten in Google Cloud sichern können, z. B. Anwendungen und Dienste, die in Google Cloud ausgeführt werden oder Ressourcen von Google Cloudnutzen.
Die Cloud NGFW bietet zustandsorientierte Prüfung und Layer-7-Anwendungssteuerung sowohl für Nord-Süd-Traffic (Traffic, der in ein VPC-Netzwerk (Virtual Private Cloud) ein- oder ausgeht) als auch für Ost-West-Traffic (Kommunikation zwischen Ressourcen innerhalb von VPC-Netzwerken). Für erweiterte Sicherheit bietet die Cloud NGFW einen Dienst zur Einbruchserkennung und -prävention, eine Advanced Malware Sandbox (WildFire) und einen Dienst zur URL-Filterung. Der Dienst zur Einbruchserkennung und -vermeidung prüft den Traffic auf der Anwendungsebene, um netzwerkbasierte Bedrohungen zu identifizieren und zu blockieren. Mit dem URL-Filterdienst können Sie den Zugriff auf Websites und Webseiten steuern, indem Sie deren URLs blockieren oder zulassen.
Dieses Dokument bietet eine Übersicht über die Funktionen, Dienststufen und die verschiedenen Netzwerke, die von Cloud NGFW unterstützt werden.
Wichtige Funktionen von Cloud NGFW
Die Cloud NGFW bietet die folgenden wichtigen Sicherheitsfunktionen:
Verteilter Firewalldienst: Die Cloud NGFW wendet Firewallregeln auf VM-Instanzen, VM-basierte Ressourcen und unterstützte Load Balancer in einem VPC-Netzwerk an, um Traffic zuzulassen, abzulehnen oder zur Prüfung zu senden.
Globale und regionale Netzwerk-Firewallrichtlinien Mit der Cloud NGFW können Sie Firewallregeln in Richtlinienobjekte gruppieren, die Sie konsistent auf mehrere VPC-Netzwerke (Virtual Private Cloud) anwenden können, entweder global oder innerhalb einer bestimmten Region. Weitere Informationen finden Sie unter Globale Netzwerk-Firewallrichtlinien und Regionale Netzwerk-Firewallrichtlinien.
Hierarchische Firewallrichtlinien. Mit der Cloud NGFW können Sie Firewallregeln in Richtlinienobjekten gruppieren, die Sie auf Ihre gesamte Organisation oder auf bestimmte Ordner anwenden können. Diese Richtlinien bieten eine konsistente Firewall-Erzwingung in der gesamten Google Cloud-Ressourcenhierarchie. Weitere Informationen finden Sie unter Hierarchische Firewallrichtlinien.
Mehrstufige Sicherheit: Cloud NGFW schützt Ihre Arbeitslasten, indem Kontrollen auf Layer 3, Layer 4 und Layer 7 des Netzwerkstacks angewendet werden. Sie können Firewallregeln erstellen, die den Traffic auf der Netzwerk- und Anwendungsebene steuern.
Detaillierte Kontrolle und Mikrosegmentierung: Die Mikrosegmentierung ist eine Sicherheitsmaßnahme, bei der ein Netzwerk in kleine, unterschiedliche Zonen aufgeteilt wird, um ein Zero-Trust-Framework für Ihre Arbeitslasten zu erstellen. Mit sicheren Tags können Sie die Mikrosegmentierung aktivieren und detaillierte, identitätsbasierte Sicherheitsregeln anwenden, um sowohl internen als auch externen Traffic zu filtern.
Integration in Load Balancer: Zum Schutz des eingehenden Traffics wird die Cloud NGFW in die verwalteten Envoy-Proxys eingebunden, die interne Application Load Balancer und interne Proxy-Network Load Balancer unterstützen. Sie können Layer-3- und Layer-4-Filter auf beide Load-Balancer-Typen anwenden. Außerdem können Sie Layer-7-Filter (Vorschau) auf regionenübergreifende interne Application Load Balancer anwenden. Interne Proxy-Network Load Balancer unterstützen keine Layer-7-Prüfung.
Cloud NGFW-Stufen
Cloud NGFW-Funktionen sind in die folgenden Stufen unterteilt:
Cloud Next Generation Firewall Essentials: die grundlegende Firewall-Dienststufe, die Google Cloud bietet. Mit den Funktionen dieser Stufe können Sie Regeln basierend auf Standardnetzwerkattributen wie IP-Bereichen, Ports und Protokollen erstellen. Die Funktionen dieser Stufe werden kostenlos angeboten.
Cloud Next Generation Firewall Standard: Erweitert die Funktionen der Essentials-Stufe um erweiterte Funktionen wie FQDN-Objekte (voll qualifizierte Domainnamen) und Threat Intelligence.
Das Stufensystem der Cloud NGFW ermöglicht Ihnen eine detaillierte Kontrolle über Ihre Sicherheitsausgaben. Weitere Informationen zu den Funktionen, Stufen und Preisen von Cloud NGFW finden Sie unter Cloud NGFW-Stufen und Cloud NGFW-Preise.
Unterstützte VPC-Netzwerke
Die Cloud NGFW unterstützt die folgenden VPC-Netzwerke, die jeweils für bestimmte Arbeitslastanforderungen und Leistungsprofile entwickelt wurden.
Reguläres VPC-Netzwerk: Reguläre VPC-Netzwerke unterstützen die folgenden Cloud NGFW-Firewallrichtlinien:
- Globale Netzwerk-Firewallrichtlinien
- Regionale Netzwerk-Firewallrichtlinien
- Hierarchische Firewallrichtlinien
Reguläre VPC-Netzwerke unterstützen auch VPC-Firewallregeln.
RDMA-Netzwerk (Remote Direct Memory Access): Sie können RDMA-Netzwerke schützen, indem Sie regionale Netzwerk-Firewallrichtlinien anwenden.
Unterstützte Load-Balancer
Cloud NGFW unterstützt auch die folgenden Envoy-basierten Load Balancer:
| Richtlinientyp | Cloud NGFW-Stufe | Unterstützte Load-Balancer |
|---|---|---|
| Globale Netzwerk-Firewallrichtlinien | Essentials und Standard |
Weitere Informationen finden Sie unter Globale Netzwerk-Firewallrichtlinien zum Schutz von Envoy-basierten Load Balancern verwenden. |
| Globale Netzwerk-Firewallrichtlinien | Enterprise | Regionenübergreifende interne Application Load Balancer (Vorschau)
Weitere Informationen finden Sie unter Globale Netzwerk-Firewallrichtlinien zum Schutz von Envoy-basierten Load Balancern verwenden. |
| Regionale Netzwerk-Firewallrichtlinien | Essentials und Standard |
Weitere Informationen finden Sie unter Regionale Netzwerk-Firewallrichtlinien zum Schutz interner Application Load Balancer und interner Proxy-Network Load Balancer verwenden. |
| Regionale Netzwerk-Firewallrichtlinien | Enterprise | Nicht unterstützt |
| Hierarchische Firewallrichtlinien | Alle Stufen | Nicht unterstützt |
| VPC-Firewallregeln | Alle Stufen | Nicht unterstützt |