Un ataque de denegación de servicio distribuido (DSD) es un intento deliberado por parte de un actor hostil para interrumpir las operaciones de los sitios, sistemas y API expuestos públicamente con el objetivo de degradar la experiencia de los usuarios legítimos. Para las cargas de trabajo que usan balanceadores de cargas de red de transferencia externos, reenvío de protocolos o VMs con direcciones IP públicas, Google Cloud Armor ofrece las siguientes opciones para ayudar a proteger y sistemas contra ataques DSD:
- Protección contra DSD de red estándar: protección básica siempre activa para el balanceador de cargas de red de transferencia externo, reenvío de protocolos o VMs con direcciones IP públicas. Este es que abarca Google Cloud Armor Standard y no requiere suscripciones adicionales.
- Protección avanzada contra DSD de red: protecciones adicionales para Suscriptores de Cloud Armor Enterprise que usan un balanceador de cargas de red de transferencia externo, reenvío de protocolos o VMs con direcciones IP públicas. Más información sobre Cloud Armor Enterprise, consulta la Descripción general de Cloud Armor Enterprise.
En este documento, se explica la diferencia entre la protección DSD de red estándar y avanzada, cómo funciona la protección avanzada contra DSD de red y cómo habilitarla.
Compara la protección contra DSD de red estándar y avanzada
Usa la siguiente tabla para comparar las características de protección estándar y avanzada contra DSD de red.
Función | Protección estándar contra DSD de red | Protección avanzada contra DSD de red |
---|---|---|
Tipo de extremo protegido |
|
|
Aplicación de la regla de reenvío | ||
Supervisión y alertas de ataques siempre activas | ||
Mitigaciones de ataques individualizados | ||
Telemetría de mitigación |
Cómo funciona la protección contra DSD de la red
La protección contra DSD de la red estándar siempre está habilitada. No es necesario realizar ninguna acción para habilitarla.
La protección contra DSD de red avanzada se configura por región. En lugar de asociar la política de seguridad perimetral de red a uno o más grupos de destino como instancias de destino, servicios de backend o instancias con direcciones IP externas la asocia con un servicio de seguridad perimetral de red en una región en particular. Cuando la habilitas para esa región, Google Cloud Armor proporciona detección y mitigación de ataques volumétricos específicos para el balanceador de cargas de red de transferencia externo, reenvío y las VMs con direcciones IP públicas en esa región. Solo puedes aplicar protección avanzada contra DSD de red para proyectos inscritos en Cloud Armor Enterprise
Cuando configuras la protección avanzada contra DSD de red, primero debes crear una política de seguridad del tipo CLOUD_ARMOR_NETWORK
en la región que elijas. Luego, debes actualizar la política de seguridad para habilitar la protección avanzada contra DSD de red. Por último, debes crear un servicio de seguridad de red perimetral, un recurso al que puedes adjuntar políticas de seguridad de tipo CLOUD_ARMOR_NETWORK
. Adjuntar la política de seguridad al servicio de seguridad perimetral de red habilita la protección avanzada contra DSD de red en todos los extremos aplicables de la región que elegiste.
La protección avanzada contra DSD de red mide el tráfico de referencia para mejorar su mitigación rendimiento. Cuando habilitas la protección avanzada contra DSD de red, hay un período de entrenamiento 24 horas antes de que la protección avanzada contra DSD de red desarrolle un modelo de referencia confiable y pueda usar su entrenamiento para mejorar sus mitigaciones. Cuando termine el período de entrenamiento, La protección avanzada contra DSD de red aplica técnicas de mitigación adicionales basadas en datos históricos tráfico.
Activa la protección contra DSD de red avanzada
Sigue estos pasos para activar la protección avanzada contra DSD de red.
Inscríbete en Cloud Armor Enterprise
Tu proyecto debe estar inscrito en Cloud Armor Enterprise para habilitarlo protección avanzada contra DSD de red por región. Una vez activadas, todas las políticas los extremos en la región activada reciben protección avanzada contra DSD de red siempre activa.
Asegúrate de que haya una suscripción activa a Cloud Armor Enterprise en tu cuenta de facturación y que el proyecto actual está inscrito en Cloud Armor Enterprise Para obtener más información sobre la inscripción en Cloud Armor Enterprise, consulta Suscribirse a Cloud Armor Enterprise y, luego, inscribir proyectos.
Configura los permisos de Identity and Access Management (IAM)
Para configurar, actualizar o borrar un servicio de seguridad perimetral de Google Cloud Armor, sigue estos pasos: necesitas los siguientes permisos de IAM:
compute.networkEdgeSecurityServices.create
compute.networkEdgeSecurityServices.update
compute.networkEdgeSecurityServices.get
compute.networkEdgeSecurityServices.delete
En la siguiente tabla, se enumeran los permisos básicos de las funciones de IAM y sus métodos de API asociados.
Permiso de IAM | Métodos de la API |
---|---|
compute.networkEdgeSecurityServices.create |
networkEdgeSecurityServices insert |
compute.networkEdgeSecurityServices.update |
networkEdgeSecurityServices patch |
compute.networkEdgeSecurityServices.get |
networkEdgeSecurityServices get |
compute.networkEdgeSecurityServices.delete |
networkEdgeSecurityServices delete |
compute.networkEdgeSecurityServices.list |
networkEdgeSecurityServices aggregatedList |
Para obtener más información sobre los permisos de IAM que necesitas cuando usas Google Cloud Armor, consulta Configura permisos de IAM para las políticas de seguridad de Google Cloud Armor.
Configura la protección avanzada contra DSD de red
Sigue estos pasos para habilitar la protección avanzada contra DSD de red.
Crea una política de seguridad de tipo
CLOUD_ARMOR_NETWORK
o usa una política de seguridad existente con el tipoCLOUD_ARMOR_NETWORK
.gcloud compute security-policies create SECURITY_POLICY_NAME \ --type CLOUD_ARMOR_NETWORK \ --region REGION
Reemplaza lo siguiente:
SECURITY_POLICY_NAME
: Es el nombre que deseas. tu política de seguridad para queREGION
: Es la región en la que deseas que la política de seguridad que se aprovisionará
Actualiza la política de seguridad recién creada o existente estableciendo la marca
--network-ddos-protection
aADVANCED
.gcloud compute security-policies update SECURITY_POLICY_NAME \ --network-ddos-protection ADVANCED \ --region REGION
También puedes establecer la marca
--network-ddos-protection
enADVANCED_PREVIEW
para habilitar la política de seguridad en modo de vista previa.gcloud beta compute security-policies update SECURITY_POLICY_NAME \ --network-ddos-protection ADVANCED_PREVIEW \ --region REGION
Crea un servicio de seguridad perimetral de red que haga referencia a la política de seguridad.
gcloud compute network-edge-security-services create SERVICE_NAME \ --security-policy SECURITY_POLICY_NAME \ --region REGION
Inhabilita la protección avanzada contra DSD de la red
Para inhabilitar la protección avanzada contra DSD de red, puedes actualizar o borrar la configuración política de la empresa.
Actualiza la política de seguridad
Usa el siguiente comando para actualizar la política de seguridad a fin de establecer la marca --network-ddos-protection
en STANDARD
. Reemplaza las variables con información relevante para tu implementación.
gcloud compute security-policies update SECURITY_POLICY_NAME \ --network-ddos-protection STANDARD \ --region REGION
Borra la política de seguridad
Antes de borrar una política de seguridad perimetral de red, primero debes quitarla del servicio de seguridad perimetral de la red porque no puedes borrar las políticas de seguridad de Google Cloud. Sigue estos pasos para borrar tu política de seguridad:
Quita tu política del servicio de seguridad perimetral de la red o bórralo de la red.
Para quitar tu política del servicio de seguridad perimetral de red, usa el siguiente comando:
gcloud compute network-edge-security-services update SERVICE_NAME \ --security-policy="" \ --region=REGION_NAME
Para borrar el servicio de seguridad perimetral de red, usa el siguiente comando:
gcloud compute network-edge-security-services delete SERVICE_NAME \ --region=REGION_NAME
Borra la política de seguridad con el siguiente comando:
gcloud compute security-policies delete SECURITY_POLICY_NAME
Usa el modo de vista previa
El modo de vista previa te permite supervisar los efectos de la protección avanzada contra DSD de red sin aplicar la mitigación.
Los suscriptores de Cloud Armor Enterprise también pueden habilitar el modo de vista previa para políticas avanzadas de protección contra DSD de red. En el modo de vista previa, recibes todos los registros y telemetría sobre el ataque detectado y la mitigación propuesta. Sin embargo, el la mitigación propuesta no se aplica. Esto te permite probar la eficacia de la mitigación antes de habilitarla. Debido a que cada política es configurado por región, puedes habilitar o inhabilitar el modo de vista previa por región.
Para habilitar el modo de vista previa, establece la marca --ddos-protection
en ADVANCED_PREVIEW
.
Puedes usar el siguiente ejemplo para actualizar una política existente.
gcloud beta compute security-policies update POLICY_NAME \ --network-ddos-protection ADVANCED_PREVIEW \ --region=REGION
Reemplaza lo siguiente:
POLICY_NAME
: Es el nombre de la política.REGION
: Es la región en la que se encuentra la política. ubicado.
Si tu política de seguridad está en modo de vista previa durante un ataque activo y quieres
Para aplicar las mitigaciones, puedes actualizar tu política de seguridad y definir las
la marca --network-ddos-protection
a ADVANCED
. La política se aplica de manera forzosa
casi de inmediato, y el siguiente evento de registro MITIGATION_ONGOING
reflejará el
cambio. Los eventos de registro MITIGATION_ONGOING
ocurren cada cinco minutos.
Telemetría de mitigación de DSD de red
Google Cloud Armor genera tres tipos de registros de eventos cuando mitigan los ataques DSD
ataques: MITIGATION_STARTED
, MITIGATION_ONGOING
y MITIGATION_ENDED
. Tú
Puedes usar los siguientes filtros de registro para ver tus registros por tipo de mitigación:
Tipo de mitigación | Filtro de registro |
---|---|
Inicio de la mitigación | resource.type="network_security_policy" jsonPayload.mitigationType="MITIGATION_STARTED" |
Mitigación en curso | resource.type="network_security_policy" jsonPayload.mitigationType="MITIGATION_ONGOING" |
Final de la mitigación | resource.type="network_security_policy" jsonPayload.mitigationType="MITIGATION_ENDED" |
Registros de eventos de mitigación de ataques de Cloud Logging
En las siguientes secciones, se proporcionan ejemplos del formato de registro para cada tipo de registro de acontecimientos:
Inicio de la mitigación
@type: "type.googleapis.com/google.cloud.networksecurity.cloudarmor.logging.v1.CloudArmorMitigationAlert" alertId: "11275630857957031521" mitigation_type: "MITIGATION_STARTED" target_vip: "XXX.XXX.XXX.XXX" total_volume: { pps: 1400000 bps: 140000000 } started: { total_attack_volume: { pps: 1100000 bps: 110000000 } classified_attack: { attack_type: "NTP-udp" attack_volume: { pps: 500000 bps: 50000000 } } classified_attack: { attack_type: "CHARGEN-udp" attack_volume: { pps: 600000 bps: 60000000 } } }
Mitigación en curso
@type: "type.googleapis.com/google.cloud.networksecurity.cloudarmor.logging.v1.CloudArmorMitigationAlert" alertId: "11275630857957031521" mitigation_type: "MITIGATION_ONGOING" target_vip: "XXX.XXX.XXX.XXX" total_volume: { pps: 1500000 bps: 150000000 } ongoing: { total_attack_volume: { pps: 1100000 bps: 110000000 } classified_attack: { attack_type: "NTP-udp" attack_volume: { pps: 500000 bps: 50000000 } } classified_attack: { attack_type: "CHARGEN-udp" attack_volume: { pps: 600000 bps: 60000000 } } }
Mitigación completada
@type: "type.googleapis.com/google.cloud.networksecurity.cloudarmor.logging.v1.CloudArmorMitigationAlert" alertId: "11275630857957031521" mitigation_type: "MITIGATION_ENDED" target_vip: "XXX.XXX.XXX.XXX" ended: { attack_duration_seconds: 600 attack_type: "NTP-udp" }
En el modo de vista previa, cada uno de los mitigation_type
anteriores aparece como precedente
por PREVIEWED_
. Por ejemplo, en el modo de vista previa, MITIGATION_STARTED
es en lugar de
PREVIEWED_MITIGATION_STARTED
Para ver estos registros, ve al Explorador de registros y visualiza el recurso network_security_policy
.
Para obtener más información sobre cómo ver registros, consulta Visualiza los registros.
¿Qué sigue?
- Obtén más información para configurar políticas de seguridad perimetral de red.
- Obtén más información sobre Cloud Armor Enterprise