Google Cloud Armor vous aide à protéger vos déploiements Trusted Cloud by S3NS contre différents types de menaces, y compris les attaques par déni de service distribué (DDoS) et les attaques d'applications telles que les scripts intersites (XSS) et l'injection SQL (SQLi). Cloud Armor est doté de certaines protections automatiques et d'autres que vous devez configurer manuellement. Ce document offre un aperçu général de ces fonctionnalités, dont certaines ne sont disponibles que pour les équilibreurs de charge d'application externes globaux et les équilibreurs de charge d'application classiques.
Règles de sécurité
Utilisez les stratégies de sécurité Cloud Armor pour protéger les applications s'exécutant derrière un équilibreur de charge contre les attaques par déni de service distribué (DDoS) et d'autres attaques sur le Web, qu'elles soient déployées sur Trusted Cloud by S3NS, dans un déploiement hybride ou dans une architecture multicloud. Les stratégies de sécurité peuvent être configurées manuellement, avec des conditions de correspondance configurables et des actions dans une stratégie de sécurité. Cloud Armor inclut également des stratégies de sécurité préconfigurées qui couvrent divers cas d'utilisation. Pour en savoir plus, consultez la Présentation des règles de sécurité Cloud Armor.
Langage de règles
Cloud Armor vous permet de définir des règles priorisées avec des conditions de correspondance et des actions configurables dans une stratégie de sécurité. Une règle prend effet, ce qui signifie que l'action configurée est appliquée si la règle est la règle de priorité la plus élevée dont les attributs correspondent aux attributs de la requête entrante. Pour en savoir plus, consultez la documentation de référence sur le langage des règles personnalisées Cloud Armor.
Règles WAF préconfigurées
Les règles WAF préconfigurées Google Cloud Armor sont des règles complexes de pare-feu d'application Web (WAF, web application firewall) composées de dizaines de signatures, qui sont compilées à partir des normes Open Source. Chaque signature correspond à une règle de détection d'attaques dans l'ensemble de règles. Google propose ces règles en l'état. Elles permettent à Cloud Armor d'évaluer des dizaines de signatures de trafic distinctes en se référant à des règles bien nommées, plutôt que de vous obliger à définir chaque signature manuellement.
Les règles préconfigurées de Cloud Armor permettent de protéger vos services et applications Web contre les attaques courantes provenant d'Internet. Elles contribuent également à réduire les dix risques OWASP les plus importants. La source des règles est l'ensemble de règles de base OWASP 3.3.2 (CRS).
Ces règles préconfigurées peuvent être ajustées pour désactiver les signatures denses ou inutiles. Pour en savoir plus, consultez Ajuster les règles WAF Cloud Armor.
Fonctionnement de Cloud Armor
Cloud Armor offre une protection permanente contre les attaques DDoS volumétriques basées sur le réseau ou le protocole. Cette protection concerne les applications ou les services situés derrière des équilibreurs de charge. Elle est capable de détecter et de limiter les attaques réseau afin de n'autoriser que les requêtes bien formées via les proxys d'équilibrage de charge. Les règles de sécurité appliquent des règles de filtrage personnalisées de couche 7, y compris des règles WAF préconfigurées qui limitent les 10 principaux risques de vulnérabilité des applications Web selon l'OWASP. Vous pouvez associer des règles de sécurité aux services de backend des équilibreurs de charge d'application externes régionaux.Les stratégies de sécurité Cloud Armor vous permettent d'autoriser ou de refuser l'accès à votre déploiement à la périphérie de Trusted Cloud , aussi près que possible de la source du trafic entrant. Cela empêche le trafic indésirable de consommer des ressources ou d'entrer dans vos réseaux de cloud privé virtuel (VPC, Virtual Private Cloud).
Vous pouvez utiliser tout ou partie de ces fonctionnalités pour protéger votre application. Vous pouvez utiliser des stratégies de sécurité pour qu'elles correspondent à des conditions connues, et créer des règles WAF pour vous protéger contre les attaques courantes telles que celles consignées dans l'ensemble de règles de base ModSecurity 3.3.2.