Crie e faça a gestão de perfis de segurança

Esta página explica como criar e gerir perfis de segurança através da Google Cloud consola e da Google Cloud CLI.

Nota: para verificar o progresso das operações listadas nesta página, certifique-se de que a sua função de utilizador tem as seguintes autorizações da função de utilizador da rede de computação (roles/compute.networkUser):

• networksecurity.operations.get
• networksecurity.operations.list

Antes de começar

• Tem de ativar a API Network Security no seu projeto.
• Instale a CLI gcloud se quiser executar os exemplos de linha de comandos neste guia.gcloud

Funções

Para receber as autorizações necessárias para criar, ver, atualizar ou eliminar perfis de segurança, peça ao seu administrador que lhe conceda as funções de IAM necessárias na sua organização. Para mais informações sobre a concessão de funções, consulte o artigo Gerir acesso.

Crie um perfil de segurança

Só pode criar um perfil de segurança do tipo threat-prevention.

Quando cria um perfil de segurança, pode especificar o nome do perfil de segurança como uma string ou como um identificador de URL exclusivo. O URL exclusivo de um perfil de segurança ao nível da organização pode ser criado no seguinte formato:

  organization/ORGANIZATION_ID/locations/LOCATION/securityProfiles/SECURITY_PROFILE_NAME

Se usar um identificador de URL exclusivo para o nome do perfil de segurança, a organização e a localização do perfil de segurança já estão incluídas no identificador de URL. No entanto, se usar apenas o nome do perfil de segurança, tem de especificar a organização e a localização separadamente. Para mais informações acerca dos identificadores de URL únicos, consulte as especificações do perfil de segurança.

Autorizações necessárias para esta tarefa

Para realizar esta tarefa, tem de ter recebido as seguintes autorizações ou uma das seguintes funções do IAM na sua organização.

Autorizações

• networksecurity.securityProfiles.create

Funções

• networksecurity.securityProfileAdmin

Consola

1. Na Google Cloud consola, aceda à página Perfis de segurança.

   Aceda a Perfis de segurança

2. No menu do seletor de projetos, selecione a sua organização.

3. Selecione o separador Perfis de segurança.

Configure um perfil de segurança de prevenção de ameaças:

1. Clique em Criar perfil.
2. Introduza um nome no campo Nome.
   Não inclua informações sensíveis, como informações de identificação pessoal ou dados de segurança, no nome do perfil de segurança.
3. Opcional: introduza uma descrição no campo Descrição.
4. Clique em Continuar.

Opcionalmente, adicione substituições de gravidade e ameaças:

1. Em Substituições de gravidade, clique em Editar junto ao nível de gravidade que quer substituir.
2. Na lista Ação de substituição, selecione a ação adequada para o nível de gravidade.
3. Para adicionar uma substituição de assinatura de ameaça, clique em Adicionar assinatura por ID.
4. No campo ID da assinatura, introduza o ID da ameaça que quer substituir. Pode ver os IDs das ameaças no painel de controlo de ameaças.
5. Na lista Ação de substituição, selecione a ação adequada para o ID da ameaça.
6. Clique em Criar.

gcloud

Para criar um perfil de segurança de prevenção de ameaças, use o comando gcloud network-security security-profiles threat-prevention create:

gcloud network-security security-profiles threat-prevention \
   create NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID \
   --description DESCRIPTION

Substitua o seguinte:

• NAME: o nome do perfil de segurança; pode especificar o nome como uma string ou como um identificador de URL exclusivo.

  Não inclua informações sensíveis, como informações de identificação pessoal ou dados de segurança, no nome do perfil de segurança.

• ORGANIZATION_ID: a organização onde o perfil de segurança é criado. Se usar um identificador de URL exclusivo para a flag name, pode omitir a flag organization.

• LOCATION: a localização do perfil de segurança.

  A localização está sempre definida como global. Se usar um identificador de URL exclusivo para a flag name, pode omitir a flag location.

• PROJECT_ID: um ID do projeto opcional a usar para quotas e restrições de acesso no perfil de segurança.

• DESCRIPTION: uma descrição opcional para o perfil de segurança.

Nota: para adicionar substituições de gravidade ou ameaças através da CLI do Google Cloud, consulte o artigo Adicione ações de substituição num perfil de segurança.

Liste perfis de segurança

Pode listar todos os perfis de segurança de prevenção de ameaças numa organização.

Autorizações necessárias para esta tarefa

Para realizar esta tarefa, tem de ter recebido as seguintes autorizações ou uma das seguintes funções do IAM na sua organização.

Autorizações

• networksecurity.securityProfiles.list

Funções

• networksecurity.securityProfileAdmin

Consola

1. Na Google Cloud consola, aceda à página Perfis de segurança.

   Aceda a Perfis de segurança

2. Selecione o separador Perfis de segurança. O separador mostra uma lista de perfis de segurança configurados.

gcloud

Para apresentar uma lista de todos os perfis de segurança de prevenção de ameaças, use o comando gcloud network-security security-profiles threat-prevention list:

gcloud network-security security-profiles threat-prevention list \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID

Substitua o seguinte:

• ORGANIZATION_ID: a organização onde os perfis de segurança são criados.

• LOCATION: a localização dos perfis de segurança. A localização está sempre definida como global.

• PROJECT_ID: um ID do projeto opcional a usar para quotas e restrições de acesso no perfil de segurança.

Elimine um perfil de segurança

Pode eliminar um perfil de segurança de prevenção de ameaças especificando o respetivo nome, localização e organização. No entanto, se um perfil de segurança for referenciado por um grupo de perfis de segurança, esse perfil de segurança não pode ser eliminado.

Autorizações necessárias para esta tarefa

Para realizar esta tarefa, tem de ter recebido as seguintes autorizações ou uma das seguintes funções do IAM na sua organização.

Autorizações

• networksecurity.securityProfiles.delete

Funções

• networksecurity.securityProfileAdmin

Consola

1. Na Google Cloud consola, aceda à página Perfis de segurança.

   Aceda a Perfis de segurança

2. Selecione o separador Perfis de segurança. O separador mostra uma lista de perfis de segurança configurados.

3. Selecione o perfil de segurança que quer eliminar e, de seguida, clique em Eliminar.

4. Clique novamente em Eliminar para confirmar.

gcloud

Para eliminar um perfil de segurança de prevenção de ameaças, use o comando gcloud network-security security-profiles threat-prevention delete:

gcloud network-security security-profiles threat-prevention \
   delete NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID

Substitua o seguinte:

• NAME: o nome do perfil de segurança que quer eliminar; pode especificar o nome como uma string ou como um identificador de URL exclusivo.

• ORGANIZATION_ID: a organização onde o perfil de segurança é criado. Se usar um identificador de URL exclusivo para a flag name, pode omitir a flag organization.

• LOCATION: a localização do perfil de segurança.

  A localização está sempre definida como global. Se usar um identificador de URL exclusivo para a flag name, pode omitir a flag location.

• PROJECT_ID: um ID do projeto opcional a usar para quotas e restrições de acesso no perfil de segurança.

Adicione ações de substituição num perfil de segurança

Pode substituir as ações associadas a assinaturas de ameaças específicas ou níveis de gravidade num perfil de segurança existente.

Autorizações necessárias para esta tarefa

Para realizar esta tarefa, tem de ter recebido as seguintes autorizações ou uma das seguintes funções do IAM na sua organização.

Autorizações

• networksecurity.securityProfiles.update

Funções

• networksecurity.securityProfileAdmin

Consola

1. Na Google Cloud consola, aceda à página Perfis de segurança.

   Aceda a Perfis de segurança

2. Selecione o separador Perfis de segurança.O separador mostra uma lista de perfis de segurança configurados.

3. Selecione o perfil de segurança onde quer substituir ações e, de seguida, clique em Editar.

4. Em Substituições de gravidade, clique em Editar junto ao nível de gravidade que quer substituir.

5. Na lista Ação de substituição, selecione a ação adequada para o nível de gravidade.

6. Clique em Confirm.

7. Clique em Guardar.

gcloud

Para adicionar uma substituição a um perfil de segurança de prevenção de ameaças, use o comando gcloud network-security security-profiles threat-prevention add-override:

gcloud network-security security-profiles threat-prevention \
   add-override NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID \
   [--severities SEVERITIES | --threat-ids THREAT_IDS | --antivirus PROTOCOLS] \
   --action ACTION

Nota: pode especificar substituições de ações para a flag --severities, a flag --threat-ids ou a flag --antivirus num único comando. Para especificar substituições de ações com duas ou mais flags de substituição, execute comandos separados.

Substitua o seguinte:

• NAME: o nome do perfil de segurança; pode especificar o nome como uma string ou como um identificador de URL exclusivo.

• ORGANIZATION_ID: a organização onde o perfil de segurança é criado.

  Se usar um identificador de URL exclusivo para a flag name, pode omitir a flag organization.

• LOCATION: a localização do perfil de segurança.

  A localização está sempre definida como global. Se usar um identificador de URL exclusivo para a flag name, pode omitir a flag location.

• PROJECT_ID: um ID do projeto opcional a usar para quotas e restrições de acesso no perfil de segurança.

• SEVERITIES: uma lista separada por vírgulas de níveis de gravidade para substituir a ação. O ponto final da firewall aplica a flag --action configurada a todas as ameaças dos níveis de gravidade especificados. A gravidade pode ser qualquer uma das seguintes:

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS: uma lista de IDs de assinatura de ameaças separados por vírgulas para substituir a ação. O ponto final da firewall aplica a flag --action configurada a todas as ameaças dos IDs de ameaças especificados.

• PROTOCOLS: uma lista separada por vírgulas de protocolos de rede a monitorizar quanto à ameaça de antivírus. Para mais informações, consulte os protocolos suportados.

• ACTION: a ação para os IDs de ameaças ou as gravidades especificados. Para mais informações, consulte as ações suportadas.

  Nota: para tipos de ameaças específicos, nem todas as ações são permitidas.

Liste ações de substituição num perfil de segurança

Pode listar todas as ações de substituição num perfil de segurança.

Autorizações necessárias para esta tarefa

Para realizar esta tarefa, tem de ter recebido as seguintes autorizações ou uma das seguintes funções do IAM na sua organização.

Autorizações

• networksecurity.securityProfiles.list

Funções

• networksecurity.securityProfileAdmin

Consola

1. Na Google Cloud consola, aceda à página Perfis de segurança.

   Aceda a Perfis de segurança

2. Selecione o separador Perfis de segurança.O separador mostra uma lista de perfis de segurança configurados.

3. Selecione o perfil de segurança para ver as ações de substituição de gravidade configuradas e as ações de substituição de assinatura de ameaça.

gcloud

Para apresentar uma lista de todas as ações de substituição num perfil de segurança de prevenção de ameaças, use o comando gcloud network-security security-profiles threat-prevention list-overrides:

gcloud network-security security-profiles threat-prevention \
    list-overrides NAME \
    --organization ORGANIZATION_ID \
    --location LOCATION

Substitua o seguinte:

• NAME: o nome do perfil de segurança; pode especificar o nome como uma string ou como um identificador de URL exclusivo.

• ORGANIZATION_ID: a organização onde o perfil de segurança é criado.

  Se usar um identificador de URL exclusivo para a flag name, pode omitir a flag organization.

• LOCATION: a localização do perfil de segurança.

  A localização está sempre definida como global. Se usar um identificador de URL exclusivo para a flag name, pode omitir a flag location.

Atualize as ações de substituição num perfil de segurança

Pode atualizar as ações de substituição existentes para níveis de gravidade ou assinaturas de ameaças num perfil de segurança.

Autorizações necessárias para esta tarefa

Para realizar esta tarefa, tem de ter recebido as seguintes autorizações ou uma das seguintes funções do IAM na sua organização.

Autorizações

• networksecurity.securityProfiles.update

Funções

• networksecurity.securityProfileAdmin

Consola

1. Na Google Cloud consola, aceda à página Perfis de segurança.

   Aceda a Perfis de segurança

2. Selecione o separador Perfis de segurança. O separador mostra uma lista de perfis de segurança configurados.

3. Selecione o perfil de segurança e, de seguida, clique em Editar.

4. Em Substituições de gravidade, clique em Editar junto ao nível de gravidade onde quer atualizar a ação de substituição.

5. Na lista Ação de substituição, selecione a ação adequada para o nível de gravidade.

6. Clique em Confirm.

7. Clique em Guardar.

gcloud

Para atualizar uma ação de substituição num perfil de segurança de prevenção de ameaças, use o comando gcloud network-security security-profiles threat-prevention update-override:

gcloud network-security security-profiles threat-prevention \
   update-override NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID \
   [--severities SEVERITIES | --threat-ids THREAT_IDS | --antivirus PROTOCOLS] \
   --action ACTION

Nota: pode especificar substituições de ações para a flag --severities, a flag --threat-ids ou a flag --antivirus num único comando. Para especificar substituições de ações com duas ou mais flags de substituição, execute comandos separados.

Substitua o seguinte:

• NAME: o nome do perfil de segurança; pode especificar o nome como uma string ou como um identificador de URL exclusivo.

• ORGANIZATION_ID: a organização onde o perfil de segurança é criado.

  Se usar um identificador de URL exclusivo para a flag name, pode omitir a flag organization.

• LOCATION: a localização do perfil de segurança.

  A localização está sempre definida como global. Se usar um identificador de URL exclusivo para a flag name, pode omitir a flag location.

• PROJECT_ID: um ID do projeto opcional a usar para quotas e restrições de acesso no perfil de segurança.

• SEVERITIES: uma lista separada por vírgulas dos níveis de gravidade para os quais quer atualizar as substituições. A gravidade pode ser qualquer uma das seguintes:

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS: uma lista de IDs de assinaturas de ameaças separados por vírgulas para os quais quer atualizar as substituições.

• PROTOCOLS: uma lista separada por vírgulas de protocolos de rede a monitorizar quanto à ameaça de antivírus. Os seguintes protocolos são suportados:

  • SMTP
  • SMB
  • POP3
  • IMAP
  • HTTP2
  • HTTP
  • FTP

• ACTION: a ação predefinida para as gravidades ou os IDs de ameaças especificados. A ação pode ser uma das seguintes:

  • DEFAULT
  • ALLOW
  • DENY
  • ALERT
  Nota: para tipos de ameaças específicos, nem todas as ações são permitidas.

Elimine ações de substituição de um perfil de segurança

Pode eliminar ações de substituição existentes para níveis de gravidade ou assinaturas de ameaças de um perfil de segurança.

Autorizações necessárias para esta tarefa

Para realizar esta tarefa, tem de ter recebido as seguintes autorizações ou uma das seguintes funções do IAM na sua organização.

Autorizações

• networksecurity.securityProfiles.delete

Funções

• networksecurity.securityProfileAdmin

Consola

1. Na Google Cloud consola, aceda à página Perfis de segurança.

   Aceda a Perfis de segurança

2. Selecione o separador Perfis de segurança. O separador mostra uma lista de perfis de segurança configurados.

3. Selecione o perfil de segurança e, de seguida, clique em Editar.

4. Em Substituições de gravidade, clique em Editar junto ao nível de gravidade onde quer eliminar a ação de substituição.

5. Na lista Ação de substituição, selecione Sem substituição.

6. Clique em Confirm.

7. Em Substituições de assinatura, selecione o ID da ameaça que quer eliminar.

8. Clique em Eliminar.

9. Clique em Guardar.

gcloud

Para eliminar uma ação de substituição de um perfil de segurança de prevenção de ameaças, use o comando gcloud network-security security-profiles threat-prevention delete-override:

gcloud network-security security-profiles threat-prevention \
   delete-override NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID \
   [--severities SEVERITIES | --threat-ids THREAT_IDS | --antivirus PROTOCOLS] \

Nota: pode especificar substituições de ações para a flag --severities, a flag --threat-ids ou a flag --antivirus num único comando. Para especificar substituições de ações com duas ou mais flags de substituição, execute comandos separados.

Substitua o seguinte:

• NAME: o nome do perfil de segurança; pode especificar o nome como uma string ou como um identificador de URL exclusivo.

• ORGANIZATION_ID: a organização onde o perfil de segurança é criado.

  Se usar um identificador de URL exclusivo para a flag name, pode omitir a flag organization.

• LOCATION: a localização do perfil de segurança.

  A localização está sempre definida como global. Se usar um identificador de URL exclusivo para a flag name, pode omitir a flag location.

• PROJECT_ID: um ID do projeto opcional a usar para quotas e restrições de acesso no perfil de segurança.

• SEVERITIES: uma lista separada por vírgulas dos níveis de gravidade para os quais quer eliminar substituições. A gravidade pode ser qualquer uma das seguintes:

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS: uma lista separada por vírgulas de IDs de assinaturas de ameaças para os quais quer eliminar substituições.

• PROTOCOLS: uma lista separada por vírgulas de protocolos de rede a monitorizar quanto à ameaça de antivírus. Os seguintes protocolos são suportados:

  • SMTP
  • SMB
  • POP3
  • IMAP
  • HTTP2
  • HTTP
  • FTP

O que se segue?

• Crie e faça a gestão de grupos de perfis de segurança
• Crie e faça a gestão de pontos finais de firewall