Segui queste istruzioni per configurare Cloud IDS per la tua applicazione. Per informazioni concettuali su Cloud IDS, consulta la panoramica di Cloud IDS.
Prima di iniziare
Prima di configurare Cloud IDS, devi completare i seguenti requisiti.
Configura le autorizzazioni IAM per Cloud IDS
Cloud IDS ha diversi ruoli IAM (Identity and Access Management). Puoi utilizzare i comandi di esempio per concedere a un'entità le autorizzazioni IAM necessarie.
Ruolo Amministratore Cloud IDS (
roles/ids.admin
). Le entità progetto con questo ruolo possono creare endpoint IDS. Se sei un proprietario del progetto, disponi già di questa autorizzazione e non hai bisogno di un ruoloids.admin
esplicito per creare endpoint IDS.gcloud projects add-iam-policy-binding PROJECT_ID \ --role=roles/ids.admin \ --member=user:USER_NAME ;
Questo ruolo consente le seguenti operazioni:
- Crea endpoint
- Elimina endpoint
- Ricevi endpoint
- Elenca endpoint
Ruolo Visualizzatore Cloud IDS (
roles/ids.viewer
). I visualizzatori e le entità del progetto con questo ruolo hanno accesso di sola lettura agli endpoint IDS. Se sei un proprietario, un editor o un visualizzatore del progetto, disponi già di questa autorizzazione.gcloud projects add-iam-policy-binding PROJECT_ID \ --role=roles/ids.viewer \ --member=user:USER_NAME ;
Ruolo utente Mirroring pacchetto di Compute (
roles/compute.packetMirroringUser
). Un ruolo necessario per collegare un criterio di Mirroring pacchetto all'endpoint IDS. Se hai il ruolocompute.securityAdmin
ocontainer.serviceAgent
, disponi già di questa autorizzazione. Per ulteriori informazioni su questo ruolo, consulta il riferimento per i ruoli IAM di base e predefiniti.gcloud projects add-iam-policy-binding PROJECT_ID \ --role=roles/compute.packetMirroringUser \ --member=user:USER_NAME ;
Ruolo Visualizzatore log (
roles/logging.viewer
). È necessario un ruolo aggiuntivo per visualizzare le minacce recenti, che è una funzionalità fondamentale di Cloud IDS. Per ulteriori informazioni su questo ruolo, consulta la guida al controllo dell'accesso.gcloud projects add-iam-policy-binding PROJECT_ID \ --role=roles/logging.viewer \ --member=user:USER_NAME ;
Inoltre, devi disporre delle seguenti autorizzazioni di vario tipo:
compute.regions.list
compute.zones.list
Configura l'accesso privato ai servizi
Per creare endpoint IDS, devi abilitare l'API Service Networking e configurare il peering di rete per la rete Virtual Private Cloud (VPC). Questa operazione deve essere eseguita una sola volta per progetto del cliente e può essere eseguita utilizzando la console Google Cloud o Google Cloud CLI. Quando allochi un intervallo di indirizzi IP, deve essere un intervallo di indirizzi IP privati conforme a RFC 1918 (10.0.0.0/8
, 172.16.0.0/12
o 192.168.0.0/16
), altrimenti la creazione dell'endpoint non va a buon fine.
Per configurare l'accesso privato ai servizi:
Abilita l'API Service Networking utilizzando il comando seguente. Sostituisci
PROJECT_ID
con l'ID progetto.gcloud services enable servicenetworking.googleapis.com \ --project=PROJECT_ID
Se non hai già allocato un intervallo di indirizzi IP nella tua rete, devi allocare un intervallo IP per i servizi Google nella rete VPC. Nel seguente comando puoi omettere il campo
addresses
e Google Cloud seleziona un intervallo di indirizzi inutilizzato nella tua rete VPC:gcloud compute addresses create RESERVED_RANGE_NAME \ --global \ --purpose=VPC_PEERING \ --addresses=192.168.0.0 \ --prefix-length=16 \ --description="DESCRIPTION" \ --network=VPC_NETWORK
Sostituisci quanto segue:
RESERVED_RANGE_NAME
: un nome per l'intervallo allocato, ad esempiomy-allocated-range
DESCRIPTION
: una descrizione per l'intervallo, ad esempioallocated for my-service
VPC_NETWORK
: il nome della rete VPC, ad esempiomy-vpc-network
Crea una connessione privata a un producer di servizi. La connessione privata stabilisce una connessione di peering di rete VPC tra la tua rete VPC e la rete del producer di servizi.
Se hai già una connessione privata esistente, utilizza il comando
gcloud services vpc-peerings update
per aggiornarla:gcloud services vpc-peerings update \ --service=servicenetworking.googleapis.com \ --ranges=RESERVED_RANGE_NAME \ --network=VPC_NETWORK \ --project=PROJECT_ID
Se non hai già una connessione privata, utilizza il comando
gcloud services vpc-peerings connect
. Questo comando avvia un'operazione a lunga esecuzione che restituisce il nome di un'operazione.gcloud services vpc-peerings connect \ --service=servicenetworking.googleapis.com \ --ranges=RESERVED_RANGE_NAME \ --network=VPC_NETWORK \ --project=PROJECT_ID
Sostituisci quanto segue:
RESERVED_RANGE_NAME
: il nome di uno o più intervalli allocatiVPC_NETWORK
: il nome della tua rete VPCPROJECT_ID
: l'ID del progetto che contiene la rete VPC
Per verificare se l'operazione è riuscita, utilizza il comando
gcloud services vpc-peerings operations describe
:gcloud services vpc-peerings operations describe \ --name=OPERATION_NAME
Sostituisci
OPERATION_NAME
con il nome dell'operazione restituito nel passaggio precedente.
Ripeti i passaggi 2 e 3 per ogni rete VPC da monitorare.
(Facoltativo) Abilita Controlli di servizio VPC
Dopo aver abilitato l'accesso privato ai servizi, puoi abilitare facoltativamente Controlli di servizio VPC su Cloud IDS.
Se abilitato, esegui il comando services vpc-peerings enable-vpc-service-controls
per abilitare i Controlli di servizio VPC per tutte le connessioni in peering:
gcloud services vpc-peerings enable-vpc-service-controls \ --service=servicenetworking.googleapis.com \ --network=VPC_NETWORK \ --project=PROJECT_ID
Sostituisci quanto segue:
VPC_NETWORK
: il nome della tua rete VPCPROJECT_ID
: l'ID del progetto che contiene la rete VPC
crea un endpoint Cloud IDS
Ti consigliamo di creare un endpoint IDS per ogni regione in cui hai eseguito il deployment dei carichi di lavoro. Puoi anche creare più endpoint IDS per regione. Segui i passaggi riportati di seguito per creare un endpoint IDS e assegnargli un profilo di servizio IDS.
Console
Nella console Google Cloud, vai a IDS Endpoints.
Configura l'endpoint:
- Fai clic su Crea endpoint.
- Inserisci un nome nel campo Nome endpoint.
- (Facoltativo) Inserisci una descrizione nel campo Descrizione.
- Fai clic sull'elenco a discesa Rete e seleziona la rete che vuoi che Cloud IDS esamini.
- Scegli la regione e la zona della tua rete o subnet dagli elenchi a discesa Regione e Zona.
- Fai clic su Continua.
Seleziona il profilo di servizio Cloud IDS:
- Fai clic su Seleziona il profilo di servizio IDS.
- In Livello di gravità minimo delle minacce, seleziona il livello di avviso corretto.
- Fai clic su Crea. Il processo di creazione può richiedere da 10 a 15 minuti.
Dopo la creazione dell'endpoint IDS, collega un criterio di mirroring pacchetto all'endpoint IDS:
- Seleziona la scheda Endpoint.
- Accanto all'endpoint IDS, fai clic su Allega.
- Nel campo Nome criterio, inserisci un nome per il criterio Mirroring pacchetto.
- Tocca Avanti.
- Scegli la subnet o le istanze di cui eseguire il mirroring. Puoi selezionare più subnet e istanze.
- Tocca Avanti.
- Determina se vuoi eseguire il mirroring di tutto il traffico o filtrare il traffico:
- Se vuoi eseguire il mirroring di tutto il traffico, assicurati che l'opzione Esegui il mirroring di tutto il traffico sia selezionata.
- Se vuoi filtrare il traffico in base a protocollo, intervallo di indirizzi IP o
traffico in entrata o in uscita, seleziona Esegui il mirroring del traffico filtrato:
- Seleziona Consenti tutti i protocolli o Consenti protocolli specifici.
- Seleziona Consenti tutti gli intervalli IP o Consenti intervalli IP specifici.
- Fai clic su Invia. L'endpoint viene creato.
Ora puoi controllare se sono stati generati log delle minacce. I passaggi seguenti sono facoltativi:
- Fai clic sulla scheda Minacce IDS.
- Fai clic sul nome di una minaccia per visualizzare la relativa pagina Dettagli minaccia.
- Torna alla scheda Minacce.
- Fai clic su Menu a destra dell'endpoint IDS e seleziona Visualizza log delle minacce.
gcloud
Flag facoltativi
I comandi in questa sezione potrebbero avere alcuni o tutti i seguenti flag facoltativi:
--no-async
--filter=EXPRESSION
--flatten
, --sort-by
, --filter
,
--limit
.
--limit=LIMIT
--flatten
, --sort-by
, --filter
, --limit
.
--page-size=PAGE_SIZE
--filter
e
--limit
, a seconda del servizio.
--sort-by=[FIELD,…]
--flatten
, --sort-by
, --filter
,
--limit
.
--uri
--threat-exceptions
Istruzioni
Per creare un nuovo endpoint IDS, segui questi passaggi:
Utilizza il comando
gcloud ids endpoints create
. SostituisciENDPOINT_NAME
,VPC_NETWORK
,ZONE
eSEVERITY
con informazioni che corrispondono alla tua applicazione.gcloud ids endpoints create ENDPOINT_NAME \ --network=VPC_NETWORK \ --zone=ZONE \ --severity=SEVERITY \ [--no-async] \ [GCLOUD_WIDE_FLAG...]
Il flag di gravità è obbligatorio e utilizza uno dei seguenti valori:
- INFORMATIVO
- BASSO
- MEDIO
- ALTO
- CRITICO
Dopo aver creato l'endpoint, collegavi un criterio di mirroring pacchetto. Innanzitutto, recupera l'URL dal campo
endpoint_forwarding_rule
utilizzando il seguente comando:gcloud ids endpoints describe ENDPOINT_NAME
Crea il criterio Mirroring pacchetto utilizzando questo comando:
gcloud compute packet-mirrorings create POLICY_NAME \ --region=REGION --collector-ilb=ENDPOINT_FORWARDING_RULE \ --network=VPC_NETWORK --mirrored-subnets=SUBNET
Il mirroring pacchetto ha diversi flag facoltativi, compresi quelli che puoi utilizzare per filtrare il traffico in base a protocollo, intervallo di indirizzi IP o al traffico in entrata o in uscita. Per ulteriori informazioni su questi flag facoltativi, consulta la pagina di riferimento sul mirroring pacchetto.
Per eliminare un endpoint IDS, utilizza il comando gcloud ids endpoints
delete
. Sostituisci ENDPOINT_NAME
, PROJECT_ID
e ZONE
con le informazioni che corrispondono alla tua applicazione:
gcloud ids endpoints delete ENDPOINT_NAME \ [--project=PROJECT_ID] \ [--zone=ZONE] \ [--no-async] \ [GCLOUD_WIDE_FLAG...]
Per descrivere un endpoint IDS, utilizza il comando gcloud ids endpoints
describe
. Sostituisci ENDPOINT_NAME
, PROJECT_ID
e ZONE
con le informazioni che corrispondono alla tua applicazione:
gcloud ids endpoints describe ENDPOINT_NAME \ [--project=PROJECT_ID] \ [--zone=ZONE] \ [GCLOUD_WIDE_FLAG...]
Per elencare gli endpoint IDS, utilizza il comando gcloud ids endpoints list
:
gcloud ids endpoints list / [--filter=EXPRESSION] \ [--limit=LIMIT] \ [--page-size=PAGE_SIZE] \ [--sort-by=[FIELD,...]] \ [--uri] \ [GCLOUD_WIDE_FLAG...]
API
Le risorse endpoint Cloud IDS hanno i seguenti campi:
Campo | Tipo | Descrizione del campo |
---|---|---|
createTime | string | [Solo output] Timestamp di creazione in formato di testo RFC 3339. |
updateTime | string | [Solo output] Timestamp dell'ultimo aggiornamento in formato di testo RFC 3339. |
name | string | [Solo output] Il nome dell'endpoint nel formato projects/{project_id}/locations/{locationId}/endpoints/{endpointId} . |
rete | string | Nome della rete VPC connessa all'endpoint IDS. Può contenere il nome della rete VPC stesso (ad esempio "src-net" ) o l'URL completo della rete (ad esempio "projects/{project_id}/global/networks/src-net" ). Questo campo è obbligatorio durante la creazione dell'endpoint. |
gravità | string | Il livello di gravità minimo dell'avviso riportato dall'endpoint. I valori possibili sono i seguenti:
Questo campo è obbligatorio durante la creazione dell'endpoint. |
description | string | Una descrizione facoltativa dell'endpoint. |
endpoint_forwarding_rule | string | [Solo output] URL dell'indirizzo di rete dell'endpoint a cui il traffico deve essere inviato dal mirroring pacchetto. |
endpoint | string | [Solo output] Indirizzo IP interno del punto di ingresso della rete dell'endpoint. |
Per creare un endpoint Cloud IDS, utilizza una richiesta POST HTTP come la seguente, sostituendo le variabili in base alle necessità. ENDPOINT_NAME
deve contenere da 1 a 63 caratteri, deve contenere solo lettere minuscole, cifre e trattini, deve iniziare con una lettera minuscola e non può terminare con un trattino.
POST https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME { "network": "NETWORK_NAME", "severity": "SEVERITY_LEVEL", }
Per eliminare un endpoint Cloud IDS, utilizza una richiesta HTTP DELETE
come la seguente, sostituendo le variabili in base alle esigenze:
DELETE https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME
Per ottenere un endpoint Cloud IDS, utilizza una richiesta HTTP GET
come la seguente, sostituendo le variabili in base alle necessità:
GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME
Per elencare tutti gli endpoint Cloud IDS in una zona, utilizza una richiesta HTTP GET
come la seguente, sostituendo le variabili in base alle necessità:
GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints
In alternativa, per elencare tutti gli endpoint Cloud IDS in tutte le zone, puoi
sostituire ZONE
con un trattino come il seguente:
GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/-/endpoints
(Facoltativo) Configura le eccezioni alle minacce
Puoi disattivare gli ID minaccia rumorosi o non necessari utilizzando il flag --threat-exceptions
quando crei o aggiorni il tuo endpoint Cloud IDS. L'esempio seguente aggiorna un endpoint Cloud IDS esistente ENDPOINT_NAME per escludere gli ID minaccia THREAT_ID1 e THREAT_ID2:
gcloud ids endpoints update ENDPOINT_NAME
--threat-exceptions=THREAT_ID1,THREAT_ID2