侵入防止サービスを構成する

ネットワークで侵入防止サービスを有効にするには、複数の Cloud Next Generation Firewall コンポーネントを設定する必要があります。このドキュメントでは、これらのコンポーネントを構成して脅威の検出と防止を有効にする方法について、おおまかなワークフローを示して説明します。

TLS インスペクションのない侵入防止サービスを構成する

ネットワークで侵入防止サービスを構成するには、次の操作を行います。

Threat prevention タイプのセキュリティプロファイルを作成します。ネットワークの要件に応じて、脅威や重大度のオーバーライドを設定します。プロファイルは 1 つ以上作成できます。セキュリティプロファイルの作成方法については、セキュリティプロファイルを作成するをご覧ください。
前の手順で作成したセキュリティプロファイルで、セキュリティプロファイルグループを作成します。セキュリティプロファイルグループの作成方法については、セキュリティプロファイルグループを作成するをご覧ください。
脅威の防止を有効にするワークロードと同じゾーンにファイアウォールエンドポイントを作成します。ファイアウォールエンドポイントの作成方法については、ファイアウォールエンドポイントを作成するをご覧ください。
脅威の検出と防止を有効にする 1 つ以上の VPC ネットワークにファイアウォールエンドポイントを関連付けます。ワークロードがファイアウォールエンドポイントと同じゾーンで実行されていることを確認してください。ファイアウォールエンドポイントを VPC ネットワークに関連付ける方法については、ファイアウォールエンドポイントの関連付けを作成するをご覧ください。
グローバルネットワークファイアウォールポリシーまたは階層型ファイアウォールポリシーを使用して、侵入防止サービスを構成できます。
- 新規または既存のグローバルファイアウォールポリシーで、レイヤ 7 検査が有効になっているファイアウォールポリシールール（apply_security_profile_group アクション）を追加し、前の手順で作成したセキュリティプロファイルグループの名前を指定します。ファイアウォールポリシーが、検査を必要とするワークロードと同じ VPC ネットワークに関連付けられていることを確認します。グローバルネットワークファイアウォールポリシーと、脅威防止を有効にしたファイアウォールポリシールールの作成に必要なパラメータの詳細については、グローバルネットワークファイアウォールポリシーを作成するとグローバルネットワークファイアウォールポリシールールを作成するをご覧ください。
- 階層型ファイアウォールポリシーを使用して、セキュリティプロファイルグループが構成されたファイアウォールポリシールールを追加することもできます。脅威防止を有効にして階層型ファイアウォールポリシールールを作成するために必要なパラメータの詳細については、ファイアウォールルールを作成するをご覧ください。

TLS インスペクションのある侵入防止サービスを構成する

ネットワークで Transport Layer Security（TLS）インスペクションのある侵入防止サービスを構成するには、次の操作を行います。

Threat prevention タイプのセキュリティプロファイルを作成します。ネットワークの要件に応じて、脅威や重大度のオーバーライドを設定します。プロファイルは 1 つ以上作成できます。セキュリティプロファイルの作成方法については、セキュリティプロファイルを作成するをご覧ください。
前の手順で作成したセキュリティプロファイルで、セキュリティプロファイルグループを作成します。セキュリティプロファイルグループの作成方法については、セキュリティプロファイルグループを作成するをご覧ください。
CA プールと信頼構成を作成し、TLS インスペクションポリシーに追加します。Cloud NGFW で TLS インスペクションを有効にする方法については、TLS インスペクションを設定するをご覧ください。
脅威の防止を有効にするワークロードと同じゾーンにファイアウォールエンドポイントを作成します。ファイアウォールエンドポイントの作成方法については、ファイアウォールエンドポイントを作成するをご覧ください。
脅威の検出と防止を有効にする 1 つ以上の VPC ネットワークにファイアウォールエンドポイントを関連付けます。前の手順で作成した TLS インスペクションポリシーをファイアウォールエンドポイントの関連付けに追加します。ワークロードがファイアウォールエンドポイントと同じゾーンで実行されていることを確認してください。

ファイアウォールエンドポイントを VPC ネットワークに関連付けて TLS インスペクションを有効にする方法については、ファイアウォールエンドポイントの関連付けを作成するをご覧ください。
グローバルネットワークファイアウォールポリシーまたは階層型ファイアウォールポリシーを使用して、侵入防止サービスを構成できます。
- 新規または既存のグローバルファイアウォールポリシーで、レイヤ 7 検査が有効になっているファイアウォールポリシールール（apply_security_profile_group アクション）を追加し、前の手順で作成したセキュリティプロファイルグループの名前を指定します。TLS インスペクションを有効にするには、--tls-inspect フラグを指定します。ファイアウォールポリシーが、検査を必要とするワークロードと同じ VPC ネットワークに関連付けられていることを確認します。グローバルネットワークファイアウォールポリシーと、脅威防止を有効にしたファイアウォールポリシールールの作成に必要なパラメータの詳細については、グローバルネットワークファイアウォールポリシーを作成するとグローバルネットワークファイアウォールポリシールールを作成するをご覧ください。
- 階層型ファイアウォールポリシーを使用して、セキュリティプロファイルグループが構成されたファイアウォールポリシールールを追加することもできます。脅威防止を有効にして階層型ファイアウォールポリシールールを作成するために必要なパラメータの詳細については、ファイアウォールルールを作成するをご覧ください。

デプロイモデルの例

図 1 は、同じリージョンの 2 つの異なるゾーンで 2 つの VPC ネットワークに侵入防止サービスを構成したデプロイ例を示しています。

リージョンに侵入防止サービスをデプロイする。 — **図 1.** リージョンに侵入防止サービスをデプロイする（クリックして拡大）。

この例のデプロイには、次の脅威防止構成が含まれています。

2 つのセキュリティプロファイルグループ:
1. セキュリティプロファイル Security profile 1 を持つ Security profile group 1。
2. セキュリティプロファイル Security profile 2 を持つ Security profile group 2。
ユーザーの VPC 1（VPC 1）には、セキュリティプロファイルグループが Security profile group 1 に設定されたファイアウォールポリシーがあります。
ユーザー VPC 2（VPC 2）には、セキュリティプロファイルグループが Security profile group 2 に設定されたファイアウォールポリシーがあります。
ファイアウォールエンドポイント Firewall endpoint 1 は、ゾーン us-west1-a の VPC 1 と VPC 2 で実行されているワークロードに対して脅威の検出と防止を行います。
ファイアウォールエンドポイント Firewall endpoint 2 は、ゾーン us-west1-b の VPC 1 と VPC 2 で実行されているワークロードに対して TLS インスペクションを有効にして、脅威の検出と防止を行います。