Configura el servicio de prevención de intrusiones

Para habilitar el servicio de prevención de intrusiones en tu red, debes configurar varios componentes de Cloud Next Generation Firewall. En este documento, se proporciona un flujo de trabajo de alto nivel en el que se describe cómo configurar estos componentes y habilitar la detección y prevención de amenazas.

Configura el servicio de prevención de intrusiones sin inspección de TLS

Para configurar el servicio de prevención de intrusiones en tu red, realiza las siguientes tareas.

Nota: El siguiente flujo de trabajo proporciona una secuencia de pasos de alto nivel necesarios para configurar el servicio de prevención de intrusiones en tu red. En este flujo de trabajo, se supone que ya configuraste la red de nube privada virtual (VPC), las subredes, las instancias de VM y otros recursos y componentes de Google Cloud necesarios.

1. Crea un perfil de seguridad de tipo Threat prevention. Configura las anulaciones de gravedad o amenaza según lo requiera tu red. Puedes crear uno o más perfiles. Para obtener información sobre cómo crear perfiles de seguridad, consulta Crea un perfil de seguridad.

2. Crea un grupo de perfiles de seguridad con el perfil de seguridad creado en el paso anterior. Si quieres obtener información sobre cómo crear un grupo de perfiles de seguridad, consulta Crea un grupo de perfiles de seguridad.

3. Crea un extremo de firewall en la misma zona en la que están tus cargas de trabajo en las que deseas habilitar la prevención de amenazas. Para obtener información sobre cómo crear un extremo de firewall, consulta Crea un extremo de firewall.

4. Asocia el extremo de firewall con una o más redes de VPC en las que deseas habilitar la detección y prevención de amenazas. Asegúrate de ejecutar las cargas de trabajo en la misma zona que el extremo del firewall. Para obtener información sobre cómo asociar un extremo de firewall con una red de VPC, consulta Crea asociaciones de extremos de firewall.

5. Puedes usar políticas de firewall de red globales o políticas de firewall jerárquicas para configurar el servicio de prevención de intrusiones.

   • En una política de firewall global nueva o existente, agrega una regla de política de firewall con la inspección de capa 7 habilitada (acción apply_security_profile_group) y especifica el nombre del grupo de perfil de seguridad que creaste en el paso anterior. Asegúrate de que la política de firewall esté asociada con la misma red de VPC que las cargas de trabajo que requieren inspección. Para obtener más información sobre la política de firewall de red global y los parámetros necesarios para crear una regla de política de firewall con la prevención de amenazas habilitada, consulta Crea una política de firewall de red global y Crea reglas de políticas de firewall de red globales.

   • También puedes usar una política de firewall jerárquica para agregar una regla de política de firewall con un grupo de perfil de seguridad configurado. Si deseas obtener más información sobre los parámetros necesarios para crear reglas de políticas de firewall jerárquicas con la prevención de amenazas habilitada, consulta Crea reglas de firewall.

Configura el servicio de prevención de intrusiones con una inspección de TLS

Para configurar el servicio de prevención de intrusiones con la inspección de seguridad de la capa de transporte (TLS) en tu red, realiza las siguientes tareas.

Nota: El siguiente flujo de trabajo proporciona una secuencia de pasos de alto nivel necesarios para configurar el servicio de prevención de intrusiones con inspección de TLS en tu red. En este flujo de trabajo, se supone que ya configuraste la red de VPC, las subredes, las instancias de VM y otros recursos y componentes de Google Cloud necesarios.

1. Crea un perfil de seguridad de tipo Threat prevention. Configura las anulaciones de gravedad o amenaza según lo requiera tu red. Puedes crear uno o más perfiles. Para obtener información sobre cómo crear perfiles de seguridad, consulta Crea un perfil de seguridad.

2. Crea un grupo de perfiles de seguridad con el perfil de seguridad creado en el paso anterior. Si quieres obtener información sobre cómo crear un grupo de perfiles de seguridad, consulta Crea un grupo de perfiles de seguridad.

3. Crea un grupo de CA y una configuración de confianza y agrégalos a tu política de inspección de TLS. Para obtener información sobre cómo habilitar la inspección de TLS en Cloud NGFW, consulta Configura la inspección de TLS.

4. Crea un extremo de firewall en la misma zona en la que están tus cargas de trabajo en las que deseas habilitar la prevención de amenazas. Para obtener información sobre cómo crear un extremo de firewall, consulta Crea un extremo de firewall.

5. Asocia el extremo de firewall con una o más redes de VPC en las que deseas habilitar la detección y prevención de amenazas. Agrega la política de inspección de TLS que creaste en el paso anterior a la asociación del extremo de firewall. Asegúrate de ejecutar las cargas de trabajo en la misma zona que el extremo del firewall.

   Para obtener información sobre cómo asociar un extremo de firewall con una red de VPC y habilitar la inspección de TLS, consulta Crea una asociación de extremo de firewall.

6. Puedes usar políticas de firewall de red globales o políticas de firewall jerárquicas para configurar un servicio de prevención de intrusiones.

   • En una política de firewall global nueva o existente, agrega una regla de política de firewall con la inspección de capa 7 habilitada (acción apply_security_profile_group) y especifica el nombre del grupo de perfil de seguridad que creaste en el paso anterior. Para habilitar la inspección de TLS, especifica la marca --tls-inspect. Asegúrate de que la política de firewall esté asociada con la misma red de VPC que las cargas de trabajo que requieren inspección. Para obtener más información sobre la política de firewall de red global y los parámetros necesarios para crear una regla de política de firewall con la prevención de amenazas habilitada, consulta Crea una política de firewall de red global y Crea reglas de políticas de firewall de red globales.

   • También puedes usar una política de firewall jerárquica para agregar una regla de política de firewall con un grupo de perfil de seguridad configurado. Si deseas obtener más información sobre los parámetros necesarios para crear reglas de políticas de firewall jerárquicas con la prevención de amenazas habilitada, consulta Crea reglas de firewall.

Ejemplo de modelo de implementación

En la figura 1, se muestra un ejemplo de implementación con el servicio de prevención de intrusiones configurado para dos redes de VPC en la misma región, pero en dos zonas diferentes.

Figura 1. Implementa el servicio de prevención de intrusiones en una región (haz clic para ampliar).

La implementación de ejemplo tiene la siguiente configuración de prevención de amenazas:

1. Dos grupos de perfiles de seguridad:

   1. Security profile group 1 con el perfil de seguridad Security profile 1.

   2. Security profile group 2 con el perfil de seguridad Security profile 2.

2. La VPC 1 del cliente (VPC 1) tiene una política de firewall con el grupo de perfil de seguridad configurado como Security profile group 1.

3. La VPC 2 del cliente (VPC 2) tiene una política de firewall con el grupo de perfil de seguridad configurado como Security profile group 2.

4. El extremo de firewall Firewall endpoint 1 realiza la detección y prevención de amenazas para las cargas de trabajo que se ejecutan en VPC 1 y VPC 2 en la zona us-west1-a.

5. El extremo de firewall Firewall endpoint 2 realiza la detección y prevención de amenazas con la inspección de TLS habilitada para las cargas de trabajo que se ejecutan en VPC 1 y VPC 2 en la zona us-west1-b.

¿Qué sigue?

• Descripción general del perfil de seguridad
• Descripción general del grupo de perfiles de seguridad
• Descripción general del extremo de firewall