Configura il servizio di prevenzione delle intrusioni

Per attivare il servizio di prevenzione delle intrusioni nella tua rete, devi configurare diversi componenti di Cloud Next Generation Firewall. Questo documento fornisce una panoramica che descrive come configurare questi componenti e abilitare le minacce il rilevamento e la prevenzione.

Configurare il servizio di prevenzione delle intrusioni senza ispezione TLS

Per configurare il servizio di prevenzione delle intrusioni nella rete, svolgi le seguenti attività.

Nota: il seguente flusso di lavoro fornisce una sequenza di alto livello dei passaggi necessari per configurare il servizio di prevenzione delle intrusioni nella tua rete. Questo flusso di lavoro presuppone di aver già configurato la rete, le subnet, Istanze VM e altri componenti e risorse Google Cloud necessari.

1. Crea un profilo di sicurezza di tipo Threat prevention. configura una minaccia o automaticamente la gravità, in base a quanto richiesto dalla tua rete. Puoi crearne uno o più profili. Per scoprire come creare profili di sicurezza, consulta Creare un profilo di sicurezza.

2. Crea un gruppo di profili di sicurezza con il profilo di sicurezza creato nel passaggio precedente. Per scoprire come creare un gruppo di profili di sicurezza: consulta Creare un gruppo di profili di sicurezza.

3. Crea un endpoint firewall nella stessa zona dei carichi di lavoro in cui vuoi attivare la prevenzione delle minacce. Per scoprire come creare un endpoint firewall, consulta Creare un endpoint firewall.

4. Associa l'endpoint firewall a una o più reti VPC dove vuoi attivare il rilevamento e la prevenzione delle minacce. Assicurati di avere che eseguono i carichi di lavoro nella stessa zona dell'endpoint firewall. Per scoprire come associare un endpoint firewall a una rete VPC, consulta Creare associazioni di endpoint firewall.

5. Puoi utilizzare i criteri firewall di rete globali o criteri firewall gerarchici e configurare il servizio di prevenzione delle intrusioni.

   • In un criterio firewall globale nuovo o esistente, aggiungi una regola del criterio firewall con l'ispezione a livello 7 abilitata (azione apply_security_profile_group) e specifica il nome del gruppo di profili di sicurezza creato nel passaggio precedente. Assicurati che il criterio firewall sia associato con la stessa rete VPC dei carichi di lavoro che richiedono o un controllo. Per scoprire di più sul criterio firewall di rete globale e sui parametri necessari per creare una regola del criterio firewall con la prevenzione delle minacce abilitata, consulta Creare un criterio firewall di rete globale e Creare regole del criterio firewall di rete globale.

   • Puoi anche utilizzare un criterio firewall gerarchico per aggiungere una regola del criterio firewall con un gruppo di profili di sicurezza configurato. Per saperne di più sulle necessari per creare regole di criterio firewall gerarchiche con funzionalità di prevenzione delle minacce attivata; consulta l'articolo Creare un firewall .

Configura il servizio di prevenzione delle intrusioni con l'ispezione TLS

Per configurare il servizio di prevenzione delle intrusioni con Ispezione TLS (Transport Layer Security) nella tua rete, esegui le seguenti attività.

Nota: il seguente flusso di lavoro fornisce una sequenza di alto livello dei passaggi necessari per configurare il servizio di prevenzione delle intrusioni con ispezione TLS nella tua rete. Questo flusso di lavoro presuppone che tu abbia già configurato la rete VPC, le subnet, le istanze VM e altre risorse e componenti Google Cloud richiesti.

1. Crea un profilo di sicurezza di tipo Threat prevention. Configura le sostituzioni di minacce o gravità in base alle esigenze della tua rete. Puoi creare uno o più profili. Per scoprire come creare profili di sicurezza, consulta Creare un profilo di sicurezza.

2. Crea un gruppo di profili di sicurezza con il profilo di sicurezza creato nel passaggio precedente. Per scoprire come creare un gruppo di profili di sicurezza, consulta Creare un gruppo di profili di sicurezza.

3. Crea un pool di CA e una configurazione attendibilità e aggiungili al criterio di ispezione TLS. Per scoprire come abilitare l'ispezione TLS in Cloud NGFW, consulta Configura l'ispezione TLS.

4. Crea un endpoint firewall nella stessa zona dei carichi di lavoro in cui vuoi per abilitare la prevenzione delle minacce. Per scoprire come creare un endpoint firewall, consulta Creare un endpoint firewall.

5. Associa l'endpoint firewall a una o più reti VPC dove vuoi attivare il rilevamento e la prevenzione delle minacce. Aggiungi il criterio di ispezione TLS che hai creato nel passaggio precedente all'associazione dell'endpoint firewall. Assicurati di eseguire i carichi di lavoro nella stessa zona dell'endpoint del firewall.

   Per scoprire come associare un endpoint firewall a una rete VPC e abilitare l'ispezione TLS, consulta Creare associazioni di endpoint firewall.

6. Puoi utilizzare i criteri firewall di rete globali o i criteri firewall gerarchici per configurare un servizio di prevenzione delle intrusioni.

   • In un criterio firewall globale nuovo o esistente, aggiungi una regola del criterio firewall con l'ispezione a livello 7 abilitata (azione apply_security_profile_group) e specifica il nome del gruppo di profili di sicurezza creato nel passaggio precedente. Per abilitare l'ispezione TLS, specifica --tls-inspect flag. Assicurati che il criterio firewall sia associato con la stessa rete VPC dei carichi di lavoro che richiedono o un controllo. Per scoprire di più sul criterio firewall di rete globale e sui parametri necessari per creare una regola del criterio firewall con la prevenzione delle minacce abilitata, consulta Creare un criterio firewall di rete globale e Creare regole del criterio firewall di rete globale.

   • Puoi anche usare un criterio firewall gerarchico per aggiungere un criterio firewall regola con un gruppo di profili di sicurezza configurato. Per scoprire di più sui parametri necessari per creare regole dei criteri firewall gerarchici con la prevenzione delle minacce abilitata, consulta Creare regole firewall.

Modello di deployment di esempio

La Figura 1 mostra un esempio di implementazione con il servizio di prevenzione delle intrusioni configurato per due reti VPC nella stessa regione, ma in due zone diverse.

Figura 1. Implementa il servizio di prevenzione delle intrusioni in una regione (fai clic per ingrandire).

Il deployment di esempio ha la seguente configurazione di prevenzione delle minacce:

1. Due gruppi di profili di sicurezza:

   1. Security profile group 1 con profilo di sicurezza Security profile 1.

   2. Security profile group 2 con profilo di sicurezza Security profile 2.

2. Il VPC del cliente 1 (VPC 1) ha un criterio firewall con un gruppo di profili di sicurezza impostato su Security profile group 1.

3. La VPC 2 (VPC 2) del cliente ha un criterio firewall con il gruppo di profili di sicurezza impostato su Security profile group 2.

4. L'endpoint firewall Firewall endpoint 1 esegue il rilevamento e la prevenzione delle minacce per i carichi di lavoro in esecuzione su VPC 1 e VPC 2 nella zona us-west1-a.

5. L'endpoint firewall Firewall endpoint 2 esegue il rilevamento e la prevenzione delle minacce con l'ispezione TLS abilitata per i carichi di lavoro in esecuzione su VPC 1 e VPC 2 nella zona us-west1-b.

Passaggi successivi

• Panoramica del profilo di sicurezza
• Panoramica del gruppo di profili di sicurezza
• Panoramica degli endpoint firewall