セキュリティ プロファイルの作成と管理

このページでは、Google Cloud コンソールと Google Cloud CLI を使用してセキュリティ プロファイルを作成し、管理する方法について説明します。

始める前に

• プロジェクトで Network Security API を有効にする必要があります。
• このガイドの gcloud コマンドラインのサンプルを実行する場合は、gcloud CLI をインストールします。

ロール

セキュリティ プロファイルを作成、表示、更新、削除するために必要な権限を取得するには、組織に必要な IAM ロールの付与を管理者に依頼してください。ロールの付与の詳細については、アクセスの管理をご覧ください。

セキュリティ プロファイルを作成する

作成できるセキュリティ プロファイルのタイプは threat-prevention のみです。

セキュリティ プロファイルを作成するときに、セキュリティ プロファイルの名前を文字列または一意の URL 識別子として指定できます。組織スコープのセキュリティ プロファイルの一意の URL は、次の形式で構成できます。

  organization/ORGANIZATION_ID/locations/LOCATION/securityProfiles/SECURITY_PROFILE_NAME

セキュリティ プロファイル名に一意の URL 識別子を使用している場合、セキュリティ プロファイルの組織とロケーションは URL 識別子にすでに含まれています。ただし、セキュリティ プロファイル名のみを使用する場合は、組織とロケーションを別々に指定する必要があります。一意の URL 識別子の詳細については、セキュリティ プロファイルの仕様をご覧ください。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.securityProfiles.create

ロール

• compute.networkAdmin

コンソール

1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

   [セキュリティ プロファイル] に移動

2. プロジェクト セレクタのプルダウン メニューで、組織を選択します。

3. [セキュリティ プロファイル] タブを選択します。

脅威防止のセキュリティ プロファイルを構成します。

1. [プロファイルの作成] をクリックします。
2. 必要に応じて、[名前] フィールドに名前を入力します。
   セキュリティ プロファイル名に、個人を特定できる情報やセキュリティ データなどの機密情報を含めないでください。
3. 省略可: [説明] フィールドに説明を入力します。
4. [続行] をクリックします。

必要に応じて、重大度と脅威のオーバーライドを追加します。

1. [重大度のオーバーライド] で、オーバーライドする重大度の横にある [編集] をクリックします。
2. [オーバーライド アクション] リストで、重大度レベルに適したアクションを選択します。
3. 脅威シグネチャのオーバーライドを追加するには、[ID で署名を追加] をクリックします。
4. [署名 ID] フィールドに、オーバーライドする脅威 ID を入力します。脅威 ID は脅威ダッシュボードで確認できます。
5. [オーバーライド アクション] リストで、脅威 ID に適したアクションを選択します。
6. [作成] をクリックします。

gcloud

脅威防止セキュリティ プロファイルを作成するには、gcloud network-security security-profiles threat-prevention create コマンドを使用します。

gcloud network-security security-profiles threat-prevention \
   create NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID \
   --description DESCRIPTION

次のように置き換えます。

• NAME: セキュリティ プロファイルの名前。名前は文字列または一意の URL 識別子として指定できます。

  セキュリティ プロファイル名に、個人を特定できる情報やセキュリティ データなどの機密情報を含めないでください。

• ORGANIZATION_ID: セキュリティ プロファイルが作成される組織。name フラグに一意の URL 識別子を使用する場合、organization フラグは省略できます。

• LOCATION: セキュリティ プロファイルのロケーション。

  ロケーションは常に global に設定されます。name フラグに一意の URL 識別子を使用する場合、location フラグは省略できます。

• PROJECT_ID: セキュリティ プロファイルの割り当てとアクセス制限に使用するプロジェクト ID（省略可）。

• DESCRIPTION: セキュリティ プロファイルの説明（省略可）。

注: Google Cloud CLI を使用して重大度または脅威のオーバーライドを追加するには、セキュリティ プロファイルにオーバーライド アクションを追加するをご覧ください。

セキュリティ プロファイルを一覧表示する

組織内のすべての脅威防止セキュリティ プロファイルを一覧表示できます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.securityProfiles.list

ロール

• compute.networkAdmin
• compute.networkUser
• compute.networkViewer

コンソール

1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

   [セキュリティ プロファイル] に移動

2. [セキュリティ プロファイル] タブを選択します。このタブには、構成済みのセキュリティ プロファイルのリストが表示されます。

gcloud

すべての脅威防止セキュリティ プロファイルを一覧表示するには、gcloud network-security security-profiles threat-prevention list コマンドを使用します。

gcloud network-security security-profiles threat-prevention list \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID

次のように置き換えます。

• ORGANIZATION_ID: セキュリティ プロファイルが作成される組織。

• LOCATION: セキュリティ プロファイルのロケーション。ロケーションは常に global に設定されます。

• PROJECT_ID: セキュリティ プロファイルの割り当てとアクセス制限に使用するプロジェクト ID（省略可）。

セキュリティ プロファイルを削除する

脅威防止のセキュリティ プロファイルは、名前、ロケーション、組織を指定して削除できます。ただし、セキュリティ プロファイルがセキュリティ プロファイル グループによって参照されている場合、そのセキュリティ プロファイルは削除できません。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.securityProfiles.delete

ロール

• compute.networkAdmin

コンソール

1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

   [セキュリティ プロファイル] に移動

2. [セキュリティ プロファイル] タブを選択します。このタブには、構成済みのセキュリティ プロファイルのリストが表示されます。

3. 削除するセキュリティ プロファイルを選択して、[削除] をクリックします。

4. もう一度 [削除] をクリックして確定します。

gcloud

脅威防止セキュリティ プロファイルを削除するには、gcloud network-security security-profiles threat-prevention delete コマンドを使用します。

gcloud network-security security-profiles threat-prevention \
   delete NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID

次のように置き換えます。

• NAME: 削除するセキュリティ プロファイルの名前。名前は文字列または一意の URL 識別子として指定できます。

• ORGANIZATION_ID: セキュリティ プロファイルが作成される組織。name フラグに一意の URL 識別子を使用する場合、organization フラグは省略できます。

• LOCATION: セキュリティ プロファイルのロケーション。

  ロケーションは常に global に設定されます。name フラグに一意の URL 識別子を使用する場合、location フラグは省略できます。

• PROJECT_ID: セキュリティ プロファイルの割り当てとアクセス制限に使用するプロジェクト ID（省略可）。

セキュリティ プロファイルにオーバーライド アクションを追加する

既存のセキュリティ プロファイルで、特定の脅威シグネチャまたは重大度レベルに関連付けられているアクションをオーバーライドできます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.securityProfiles.update

ロール

• compute.networkAdmin

コンソール

1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

   [セキュリティ プロファイル] に移動

2. [セキュリティ プロファイル] タブを選択します。このタブには、構成済みのセキュリティ プロファイルのリストが表示されます。

3. アクションをオーバーライドするセキュリティ プロファイルを選択し、[編集] をクリックします。

4. [重大度のオーバーライド] で、オーバーライドする重大度の横にある [編集] をクリックします。

5. [オーバーライド アクション] リストで、重大度レベルに適したアクションを選択します。

6. [確認] をクリックします。

7. [保存] をクリックします。

gcloud

脅威防止セキュリティ プロファイルにオーバーライドを追加するには、gcloud network-security security-profiles threat-prevention add-override コマンドを使用します。

gcloud network-security security-profiles threat-prevention \
   add-override NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID \
   [--severities SEVERITIES | --threat-ids THREAT_IDS] \
   --action ACTION

次のように置き換えます。

• NAME: セキュリティ プロファイルの名前。名前は文字列または一意の URL 識別子として指定できます。

• ORGANIZATION_ID: セキュリティ プロファイルが作成される組織。

  name フラグに一意の URL 識別子を使用する場合、organization フラグは省略できます。

• LOCATION: セキュリティ プロファイルのロケーション。

  ロケーションは常に global に設定されます。name フラグに一意の URL 識別子を使用する場合、location フラグは省略できます。

• PROJECT_ID: セキュリティ プロファイルの割り当てとアクセス制限に使用するプロジェクト ID（省略可）。

• SEVERITIES: アクションをオーバーライドする重大度レベルのカンマ区切りリスト。ファイアウォール エンドポイントは、指定された重大度レベルのすべての脅威に、構成された --action フラグを適用します。重大度は次のいずれかになります。

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS: アクションをオーバーライドする脅威シグネチャ ID のカンマ区切りリスト。ファイアウォール エンドポイントは、指定された脅威 ID のすべての脅威に、構成された --action フラグを適用します。

  注: 1 つのコマンドで、--severities フラグまたは --threat-ids フラグのいずれかに対してアクションのオーバーライドを指定できます。両方のアクション オーバーライドを指定するには、必須フラグを指定して別々のコマンドを実行します。

• ACTION: 指定した脅威 ID または重大度のデフォルトのアクション。ロールは次のいずれかです

  • DEFAULT
  • ALLOW
  • DENY
  • ALERT
  注: 脅威の種類によって、許可されるアクションが異なります。

セキュリティ プロファイルのオーバーライド アクションを一覧表示する

セキュリティ プロファイルのすべてのオーバーライド アクションを一覧表示できます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.addressGroups.list

ロール

• compute.networkAdmin
• compute.networkUser

コンソール

1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

   [セキュリティ プロファイル] に移動

2. [セキュリティ プロファイル] タブを選択します。このタブには、構成済みのセキュリティ プロファイルのリストが表示されます。

3. セキュリティ プロファイルを選択すると、構成済みの重大度のオーバーライド アクションと脅威シグネチャのオーバーライド アクションが表示されます。

gcloud

脅威防止セキュリティ プロファイルのすべてのオーバーライド アクションを一覧表示するには、gcloud network-security security-profiles threat-prevention list-overrides コマンドを使用します。

gcloud network-security security-profiles threat-prevention \
    list-overrides NAME \
    --organization ORGANIZATION_ID \
    --location LOCATION

次のように置き換えます。

• NAME: セキュリティ プロファイルの名前。名前は文字列または一意の URL 識別子として指定できます。

• ORGANIZATION_ID: セキュリティ プロファイルが作成される組織。

  name フラグに一意の URL 識別子を使用する場合、organization フラグは省略できます。

• LOCATION: セキュリティ プロファイルのロケーション。

  ロケーションは常に global に設定されます。name フラグに一意の URL 識別子を使用する場合、location フラグは省略できます。

セキュリティ プロファイルのオーバーライド アクションを更新する

セキュリティ プロファイルの重大度または脅威シグネチャの既存のオーバーライド アクションを更新できます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.securityProfiles.update

ロール

• compute.networkAdmin

コンソール

1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

   [セキュリティ プロファイル] に移動

2. [セキュリティ プロファイル] タブを選択します。このタブには、構成済みのセキュリティ プロファイルのリストが表示されます。

3. セキュリティ プロファイルを選択して、[編集] をクリックします。

4. [重大度のオーバーライド] で、オーバーライド アクションを更新する重大度の横にある [編集] をクリックします。

5. [オーバーライド アクション] リストで、重大度レベルに適したアクションを選択します。

6. [確認] をクリックします。

7. [保存] をクリックします。

gcloud

脅威防止セキュリティ プロファイルのオーバーライド アクションを更新するには、gcloud network-security security-profiles threat-prevention update-override コマンドを使用します。

gcloud network-security security-profiles threat-prevention \
   update-override NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID \
   [--severities SEVERITIES | --threat-ids THREAT_IDS] \
   --action ACTION

次のように置き換えます。

• NAME: セキュリティ プロファイルの名前。名前は文字列または一意の URL 識別子として指定できます。

• ORGANIZATION_ID: セキュリティ プロファイルが作成される組織。

  name フラグに一意の URL 識別子を使用する場合、organization フラグは省略できます。

• LOCATION: セキュリティ プロファイルのロケーション。

  ロケーションは常に global に設定されます。name フラグに一意の URL 識別子を使用する場合、location フラグは省略できます。

• PROJECT_ID: セキュリティ プロファイルの割り当てとアクセス制限に使用するプロジェクト ID（省略可）。

• SEVERITIES: オーバーライドを更新する重大度レベルのカンマ区切りリスト。重大度は次のいずれかになります。

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS: オーバーライドを更新する脅威シグネチャ ID のカンマ区切りのリスト。

  注: 1 つのコマンドで --severities フラグまたは --threat-ids フラグのアクション オーバーライドを更新できます。両方のアクション オーバーライドを指定するには、必須フラグを指定して別々のコマンドを実行します。

• ACTION: 指定した脅威 ID または重大度のデフォルトのアクション。ロールは次のいずれかです

  • DEFAULT
  • ALLOW
  • DENY
  • ALERT
  注: 脅威の種類によって、許可されるアクションが異なります。

セキュリティ プロファイルからオーバーライド アクションを削除する

セキュリティ プロファイルから、重大度レベルまたは脅威シグネチャの既存のオーバーライド アクションを削除できます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.securityProfiles.delete

ロール

• compute.networkAdmin

コンソール

1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

   [セキュリティ プロファイル] に移動

2. [セキュリティ プロファイル] タブを選択します。このタブには、構成済みのセキュリティ プロファイルのリストが表示されます。

3. セキュリティ プロファイルを選択して、[編集] をクリックします。

4. [重大度のオーバーライド] で、オーバーライド アクションを削除する重大度の横にある [編集] をクリックします。

5. [オーバーライド アクション] リストで、[オーバーライドなし] を選択します。

6. [確認] をクリックします。

7. [署名のオーバーライド] で、削除する脅威 ID を選択します。

8. [削除] をクリックします。

9. [保存] をクリックします。

gcloud

脅威防止セキュリティ プロファイルからオーバーライド アクションを削除するには、gcloud network-security security-profiles threat-prevention delete-override コマンドを使用します。

gcloud network-security security-profiles threat-prevention \
   delete-override NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID \
   [--severities SEVERITIES | --threat-ids THREAT_IDS]

次のように置き換えます。

• NAME: セキュリティ プロファイルの名前。名前は文字列または一意の URL 識別子として指定できます。

• ORGANIZATION_ID: セキュリティ プロファイルが作成される組織。

  name フラグに一意の URL 識別子を使用する場合、organization フラグは省略できます。

• LOCATION: セキュリティ プロファイルのロケーション。

  ロケーションは常に global に設定されます。name フラグに一意の URL 識別子を使用する場合、location フラグは省略できます。

• PROJECT_ID: セキュリティ プロファイルの割り当てとアクセス制限に使用するプロジェクト ID（省略可）。

• SEVERITIES: オーバーライドを削除する重大度のカンマ区切りリスト。重大度は次のいずれかになります。

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS: オーバーライドを削除する脅威シグネチャ ID のカンマ区切りのリスト。

次のステップ

• セキュリティ プロファイル グループの作成と管理
• ファイアウォール エンドポイントの作成と管理