Mit Google Cloud Armor können Sie Ihre Cloud de Confiance by S3NS -Bereitstellungen vor Bedrohungen wie DDoS-Angriffen (Distributed Denial of Service) und Anwendungsangriffen wie Cross-Site-Scripting (XSS) und SQL-Injection (SQLi) schützen. Dieses Dokument bietet einen allgemeinen Überblick über die in Cloud Armor integrierten Schutzmaßnahmen sowie über die Optionen, die Sie manuell konfigurieren können, um Ihre Dienste zu schützen.
Sicherheitsrichtlinien
Cloud Armor-Sicherheitsrichtlinien sind Sammlungen von Cloud Armor-Regeln, die in der durch die Richtlinie konfigurierten Reihenfolge auf Anfragen angewendet werden, die für eine geschützte Ressource bestimmt sind.
Mit Cloud Armor-Sicherheitsrichtlinien können Sie Ihre Anwendungen und Dienste vor DDoS-Angriffen und anderen webbasierten Angriffen schützen. Sicherheitsrichtlinien werden häufig verwendet, um Anwendungen zu schützen, die hinter einem Load Balancer ausgeführt werden. Sie schützen aber auch andere Ressourcen, die nicht hinter einem Load Balancer ausgeführt werden, z. B. VM-Instanzen mit externen IP-Adressen. Sie müssen Sicherheitsrichtlinien manuell konfigurieren, indem Sie Übereinstimmungsbedingungen und Aktionen verwenden. Cloud Armor bietet außerdem vorkonfigurierte Sicherheitsrichtlinien für eine Vielzahl von Anwendungsfällen. Weitere Informationen finden Sie unter Cloud Armor-Sicherheitsrichtlinien – Übersicht.Sprache der Regeln
Mit Cloud Armor können Sie Regeln mit der Sprache für benutzerdefinierte Regeln erstellen, um komplexe Bedingungen zu formulieren und die Aktion zu definieren, die für übereinstimmende Anfragen ausgeführt werden soll. Eine Regel tritt in Kraft, wenn sie die Regel mit der höchsten Priorität ist, die mit den Attributen einer eingehenden Anfrage übereinstimmt. Weitere Informationen finden Sie in der Referenz zur Sprache der benutzerdefinierten Regeln für Cloud Armor.
Vorkonfigurierte WAF-Regeln
Vorkonfigurierte WAF-Regeln für Cloud Armor sind komplexe Web Application Firewall (WAF)-Regeln mit Dutzenden von Signaturen, die aus Open-Source-Branchenstandards kompiliert wurden. Jede Signatur identifiziert ein bestimmtes Angriffsmuster im Regelsatz.
Cloud Armor stellt diese Regeln wie besehen zur Verfügung, sodass Sie viele unterschiedliche Traffic-Signaturen auswerten können, indem Sie sich auf benannte Regeln beziehen. Bei diesem Ansatz muss nicht jede Signatur manuell definiert werden.
Vorkonfigurierte Regeln von Cloud Armor bieten eine zusätzliche Schutzebene für Ihre Webanwendungen und ‑dienste vor gängigen Internetangriffen und mindern die OWASP-Top-10-Risiken. Die vorkonfigurierten Regeln basieren auf dem OWASP ModSecurity Core Rule Set (CRS). Cloud Armor unterstützt CRS 4.22, 3.3 und 3.0. Wir empfehlen, keine niedrigere Version als 4.22 zu verwenden.
Sie können diese vorkonfigurierten Regeln optimieren, um ungenaue oder unnötige Signaturen zu deaktivieren. Weitere Informationen finden Sie unter Cloud Armor-WAF-Regeln optimieren.
Funktionsweise von Cloud Armor
Cloud Armor bietet immer aktiven Schutz vor volumetrischen und netzwerkprotokollbasierten DDoS-Angriffen auf L3 und L4. Die automatische Inline-Abwehr erfolgt in Echtzeit und ohne Auswirkungen auf die Latenz. Dieser Schutz ist für Anwendungen oder Dienste hinter Load-Balancern vorgesehen. Cloud Armor ist in der Lage, Netzwerkangriffe zu erkennen und zu mindern, um nur korrekt formatierte Anfragen über Load-Balancing-Proxys zuzulassen.
Cloud Armor kann vor L7-Bedrohungen (Anwendungsebene) schützen, einschließlich L7-DDoS wie HTTP-Floods. Für diesen Schutz ist jedoch eine vom Nutzer konfigurierte Sicherheitsrichtlinie mit proaktiven Regeln erforderlich. Die Sicherheitsrichtlinien erzwingen benutzerdefinierte L7-Filterrichtlinien, einschließlich vorkonfigurierter WAF-Regeln, die die Risiken der Top-10-Webanwendungs-Sicherheitslücken von OWASP verringern. Sie können Sicherheitsrichtlinien an die Backend-Dienste der folgenden Load Balancer anhängen: Cloud Armor bietet immer aktiven Schutz vor volumetrischen und netzwerkprotokollbasierten DDoS-Angriffen auf Layer 3 und Layer 4 (L3 und L4) mit automatisierter Inline-Abwehr in Echtzeit und ohne Auswirkungen auf die Latenz. Dieser Schutz ist für Anwendungen oder Dienste hinter Load-Balancern vorgesehen. Cloud Armor ist in der Lage, Netzwerkangriffe zu erkennen und zu mindern, um nur korrekt formatierte Anfragen über Load-Balancing-Proxys zuzulassen.
Cloud Armor kann Ihr System vor L7-Bedrohungen (Anwendungsebene) schützen, einschließlich L7-DDoS-Angriffen wie HTTP-Floods. Für diesen Schutz ist jedoch eine vom Nutzer konfigurierte Sicherheitsrichtlinie mit proaktiven Regeln erforderlich. Wenn diese Regeln vorhanden sind, erzwingen diese Sicherheitsrichtlinien benutzerdefinierte L7-Filterrichtlinien, einschließlich vorkonfigurierter WAF-Regeln, die die Risiken der Top 10-Webanwendungs-Sicherheitslücken von OWASP verringern. Sie können Sicherheitsrichtlinien an die Backend-Dienste regionaler externer Application Load Balancer anhängen.
Mit Cloud Armor-Sicherheitsrichtlinien können Sie den Zugriff auf Ihre Bereitstellung am Cloud de Confiance -Edge in der Nähe der Trafficquelle zulassen oder verweigern. Dies verhindert, dass unerwünschter Traffic Ressourcen verbraucht oder in Ihre VPC-Netzwerke (Virtual Private Cloud) gelangt.
Sie können einige oder alle dieser Funktionen zum Schutz Ihrer Anwendung verwenden. Sie können Sicherheitsrichtlinien verwenden, um mit bekannten Bedingungen abzugleichen, und WAF-Regeln zum Schutz vor häufigen Angriffen wie jenen im ModSecurity Core Rule Set 4.22 erstellen.