הגדרת כללי מדיניות האבטחה של Cloud Armor

המסוף

1. נכנסים לדף Cloud Armor policies במסוף Cloud de Confiance .

   כניסה למדיניות Cloud Armor

2. כדי להציג מדיניות מסוימת, בדף מדיניות אבטחה, ברשימת המדיניות, לוחצים על השם שלה.

gcloud

gcloud compute security-policies list

לדוגמה:

gcloud compute security-policies list

פלט:

NAME: my-policy
REGION: us-central1

מידע נוסף זמין במאמר gcloud compute security-policies list.

המסוף

1. נכנסים לדף Cloud Armor policies במסוף Cloud de Confiance .

   כניסה למדיניות Cloud Armor

2. כדי לעדכן מדיניות מסוימת, בדף מדיניות אבטחה, ברשימת המדיניות, לוחצים על more_vertתפריט לצד המדיניות שרוצים לעדכן.

   • כדי לעדכן את תיאור המדיניות של פעולת ברירת המחדל של הכלל, בוחרים באפשרות עריכה, מבצעים את השינויים ולוחצים על עדכון.
   • כדי להוסיף כלל, לוחצים על הוספת כלל ופועלים לפי ההוראות שבמאמר הוספת כללים למדיניות אבטחה.
   • כדי לשנות את שירות הקצה העורפי שאליו המדיניות מיועדת, בוחרים באפשרות החלת המדיניות על היעד, לוחצים על הוספת יעד, בוחרים יעד ואז לוחצים על הוספה.

gcloud

כדי לעדכן מדיניות אבטחה, משתמשים בהוראות הבאות של Google Cloud CLI:

• כדי לעדכן כלל במדיניות אבטחה, אפשר לעיין במאמר עדכון כלל יחיד במדיניות אבטחה.
• כדי להוסיף כלל למדיניות אבטחה, אפשר לעיין במאמר הוספת כללים למדיניות אבטחה.
• כדי למחוק כלל ממדיניות אבטחה, אפשר לעיין במאמר בנושא מחיקת כללים ממדיניות אבטחה.
• כדי לעדכן כמה כללים בעדכון אחד (עדכון אטומי), אפשר לעיין במאמר בנושא עדכון אטומי של כמה כללים במדיניות אבטחה.
• כדי לעדכן שדות שאינם שדות של כללים במדיניות אבטחה (למשל שדה התיאור), אפשר לעיין במאמרים בנושא ייצוא מדיניות אבטחה וייבוא מדיניות אבטחה.

המסוף

1. נכנסים לדף Cloud Armor policies במסוף Cloud de Confiance .

   כניסה למדיניות Cloud Armor

2. בדף מדיניות אבטחה, מסמנים את תיבת הסימון לצד השם של מדיניות האבטחה שרוצים למחוק.

3. בפינה השמאלית העליונה של הדף, לוחצים על deleteמחיקה.

gcloud

שימוש ב-gcloud compute security-policies delete NAME. מחליפים את NAME בשם מדיניות האבטחה:

gcloud compute security-policies delete NAME

המסוף

1. נכנסים לדף Cloud Armor policies במסוף Cloud de Confiance .

   כניסה למדיניות Cloud Armor

2. בדף מדיניות אבטחה, לוחצים על השם של מדיניות האבטחה. יופיע הדף פרטי המדיניות, וכללי המדיניות יופיעו בכרטיסייה כללים באמצע הדף.

gcloud

משתמשים בפקודה gcloud הבאה כדי להציג רשימה של כל הכללים במדיניות אבטחה אחת, יחד עם תיאור של המדיניות:

gcloud compute security-policies describe NAME \

כדי לראות רשימה של כל הכללים במדיניות אבטחה יחידה באזור מסוים, יחד עם תיאור של המדיניות, משתמשים בפקודה gcloud הבאה:

gcloud compute security-policies describe NAME \
  --region REGION

משתמשים בפקודה gcloud הבאה כדי לתאר כלל עם העדיפות שצוינה במדיניות האבטחה שצוינה:

gcloud compute security-policies rules describe PRIORITY \
    --security-policy POLICY_NAME

לדוגמה, הפקודה הבאה מתארת את הכלל עם העדיפות 1000 במדיניות האבטחה my-policy:

gcloud compute security-policies rules describe 1000 \
    --security-policy my-policy

פלט:

action: deny(403)
description: block traffic from 192.0.2.0/24 and 198.51.100.0/24
kind: compute#securityPolicyRule
match:
  srcIpRanges:
  - '192.0.2.0/24'
  - '198.51.100.0/24'
preview: false
priority: 1000

מידע נוסף זמין במאמר gcloud compute security-policies describe.

המסוף

1. נכנסים לדף Cloud Armor policies במסוף Cloud de Confiance .

   כניסה למדיניות Cloud Armor

2. בדף מדיניות אבטחה, לוחצים על שם מדיניות האבטחה. מוצג הדף פרטי המדיניות.

3. באמצע הדף, לוחצים על הכרטיסייה כללים.

4. לוחצים על הוספת כלל.

5. אופציונלי: מזינים תיאור של הכלל.

6. בוחרים מצב:

   • מצב בסיסי: מאפשר או דוחה תנועה על סמך כתובות IP או טווחי כתובות IP.
   • מצב מתקדם: מאפשר או דוחה תנועה על סמך ביטויי כללים.

7. בשדה התאמה, מציינים את התנאים שבהם הכלל חל:

   • מצב בסיסי: מזינים טווח אחד (1) עד 10 של כתובות IP להתאמה בכלל. אפשר להוסיף עד 10 טווחי כתובות IP. לגבי מגבלות, אפשר לעיין במאמר בנושא מכסות ומגבלות של Cloud Armor.

   • מצב מתקדם:

     • כלי ליצירת תנאי התאמה (תצוגה מקדימה): אפשר להשתמש בכלי החזותי ליצירת ביטויים בלי לכתוב קוד CEL גולמי. אפשר להוסיף תנאים, לקבץ אותם ולהחיל עליהם טרנספורמציות של מחרוזות. מידע נוסף מופיע במאמר בנושא שימוש בכלי ליצירת תנאי התאמה.
     • Match condition editor: מזינים ביטוי או ביטויי משנה להערכה מול בקשות נכנסות. מידע על אופן הכתיבה של הביטויים ועל קריאת הדוגמאות הבאות מופיע במאמר בנושא שפת כללים בהתאמה אישית.

   • הביטוי הבא תואם לבקשות מכתובת ה-IP‏ 1.2.3.4 שמכילות את המחרוזת example בכותרת User-Agent:

     inIpRange(origin.ip, '1.2.3.4/32') && has(request.headers['user-agent']) && request.headers['user-agent'].contains('example')
     

   • הביטוי הבא תואם לבקשות שכוללות קובץ Cookie עם ערך ספציפי:

     has(request.headers['cookie']) && request.headers['cookie'].contains('cookie_name=cookie_value')
     

   • הביטוי הבא תואם לבקשות מהאזור AU:

     origin.region_code == 'AU'
     

   • הביטוי הבא תואם לבקשות מהאזור AU שלא נמצאות בטווח כתובות ה-IP שצוין:

     origin.region_code == "AU" && !inIpRange(origin.ip, '1.2.3.0/24')
     

   • הביטוי הבא מתאים לבקשות אם ה-URI תואם לביטוי רגולרי:

     request.path.matches('/example_path/')
     

   • הביטוי הבא תואם לבקשות אם הערך מפוענח מ-Base64 של הכותרת user-id מכיל ערך ספציפי:

     has(request.headers['user-id']) && request.headers['user-id'].base64Decode().contains('myValue')
     

   • הביטוי הבא משתמש בקבוצת ביטויים שהוגדרה מראש כדי להתאים להתקפות SQLi:

     evaluatePreconfiguredWaf('sqli-stable')
     

8. בקטע פעולה, בוחרים באפשרות אישור או דחייה.

9. אם מגדירים כלל דחייה, בוחרים הודעה של סטטוס דחייה.

10. כדי להפעיל את מצב התצוגה המקדימה של הכלל, מסמנים את התיבה הפעלה.

11. בשדה עדיפות מזינים מספר שלם חיובי.

12. לוחצים על הוספה.

gcloud

משתמשים בפקודה gcloud compute security-policies rules create PRIORITY. מחליפים את PRIORITY בעדיפות של הכלל במדיניות:

gcloud compute security-policies rules create PRIORITY \
    --security-policy POLICY_NAME \
    --description DESCRIPTION \
    --src-ip-ranges IP_RANGES | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ] \
    --preview

לדוגמה, הפקודה הבאה מוסיפה כלל לחסימת תנועה מטווח כתובות ה-IP‏ 192.0.2.0/24 ו-198.51.100.0/24. הכלל הוא בעדיפות 1000 והוא כלל במדיניות שנקראת my-policy:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --description "block traffic from 192.0.2.0/24 and 198.51.100.0/24" \
    --src-ip-ranges "192.0.2.0/24","198.51.100.0/24" \
    --action "deny-403"

משתמשים בדגל --expression כדי לציין תנאי בהפניה לשפה של כללים בהתאמה אישית. הפקודה הבאה מוסיפה כלל שמאפשר תעבורה מכתובת ה-IP‏ 1.2.3.4 ומכילה את המחרוזת example בכותרת סוכן המשתמש:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "inIpRange(origin.ip, '1.2.3.4/32') && has(request.headers['user-agent']) && request.headers['user-agent'].contains('example')" \
    --action allow \
    --description "Block User-Agent 'example'"

הפקודה הבאה מוסיפה כלל לחסימת בקשות אם קובץ ה-Cookie של הבקשה מכיל ערך ספציפי:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "has(request.headers['cookie']) && request.headers['cookie'].contains('80=BLAH')" \
    --action deny-403 \
    --description "Cookie Block"

הפקודה הבאה מוסיפה כלל לחסימת בקשות מהאזור AU:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "origin.region_code == 'AU'" \
    --action deny-403 \
    --description "AU block"

הפקודה הבאה מוסיפה כלל לחסימת בקשות מהאזור AU שלא נמצאות בטווח כתובות ה-IP שצוין:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "origin.region_code == "AU" && !inIpRange(origin.ip, '1.2.3.0/24')" \
    --action deny-403 \
    --description "country and IP block"

הפקודה הבאה מוסיפה כלל לחסימת בקשות עם URI שתואם לביטוי רגולרי:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "request.path.matches('/example_path/')" \
    --action deny-502 \
    --description "regex block"

הפקודה הבאה מוסיפה כלל לחסימת בקשות אם הערך מפוענח מ-Base64 של הכותרת user-id מכיל ערך ספציפי:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "has(request.headers['user-id']) && request.headers['user-id'].base64Decode().contains('myValue')" \
    --action deny-403 \
    --description "country and IP block"

הפקודה הבאה מוסיפה כלל שמשתמש בקבוצת ביטויים שהוגדרה מראש כדי לצמצם את הסיכון להתקפות SQLi:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "evaluatePreconfiguredWaf('sqli-stable')" \
    --action deny-403

המסוף

1. נכנסים לדף Cloud Armor policies במסוף Cloud de Confiance .

   כניסה למדיניות Cloud Armor

2. בדף מדיניות אבטחה, לוחצים על שם מדיניות האבטחה. מוצג הדף פרטי המדיניות.

3. באמצע הדף, לוחצים על הכרטיסייה כללים.

4. לצד הכלל שרוצים לעדכן, לוחצים על editעריכה. יופיע הדף עריכת הכלל.

5. מבצעים את השינויים הרצויים ולוחצים על עדכון.

gcloud

משתמשים בפקודה הזו כדי לעדכן כלל עם העדיפות שצוינה במדיניות אבטחה ייעודית. אפשר לעדכן רק מדיניות אבטחה אחת בכל פעם באמצעות הפקודה הזו:

gcloud compute security-policies rules update PRIORITY [ \
    --security-policy POLICY_NAME  \
    --description DESCRIPTION  \
    --src-ip-ranges IP_RANGES  | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ]  \
    --preview
  ]
  

לדוגמה, הפקודה הבאה מעדכנת כלל עם עדיפות 1111 כדי לאפשר תנועה מטווח כתובות ה-IP‏ 192.0.2.0/24:

gcloud compute security-policies rules update 1111 \
    --security-policy my-policy \
    --description "allow traffic from 192.0.2.0/24" \
    --src-ip-ranges "192.0.2.0/24" \
    --action "allow"

מידע נוסף על הפקודה הזו זמין במאמר gcloud compute security-policies rules update.

כדי לעדכן את העדיפות של כלל, צריך להשתמש ב-API בארכיטקטורת REST. מידע נוסף זמין במאמר securityPolicies.patchRule.

gcloud

1. מייצאים את המדיניות שרוצים לעדכן, כמו בדוגמה הבאה:

   gcloud compute security-policies export my-policy \
       --file-name my-file \
       --file-format yaml
   

   המדיניות המיוצאת תיראה דומה לדוגמה הבאה:

   description: my description
   fingerprint: PWfLGDWQDLY=
   id: '123'
   name: my-policy
   rules:
   - action: deny(404)
     description: my-rule-1
     match:
       expr:
         expression: evaluatePreconfiguredWaf('xss-stable')
       versionedExpr: SRC_IPS_V1
     preview: false
     priority: 1
   - action: allow
     description: my-rule-2
     match:
       config:
         srcIpRanges:
         - '1.2.3.4'
       versionedExpr: SRC_IPS_V1
     preview: false
     priority: 2
   - action: deny
     description: default rule
     kind: compute#securityPolicyRule
     match:
       config:
         srcIpRanges:
         - '*'
       versionedExpr: SRC_IPS_V1
     preview: false
     priority: 2147483647
   selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy
   

2. משתמשים בעורך טקסט כדי לשנות את המדיניות. לדוגמה, אפשר לשנות את העדיפויות של הכללים הקיימים ולהוסיף כלל חדש:

   description: my description
   fingerprint: PWfLGDWQDLY=
   id: '123'
   name: my-policy
   rules:
   - action: deny(404)
     description: my-rule-1
     match:
       expr:
         expression: evaluatePreconfiguredWaf('xss-stable')
       versionedExpr: SRC_IPS_V1
     preview: false
     priority: 1
   - action: allow
     description: my-new-rule
     match:
       config:
         srcIpRanges:
         - '1.2.3.1'
       versionedExpr: SRC_IPS_V1
     preview: false
     priority: 10
   - action: allow
     description: my-rule-2
     match:
       config:
         srcIpRanges:
         - '1.2.3.4'
       versionedExpr: SRC_IPS_V1
     preview: false
     priority: 11
   - action: deny
     description: default rule
     kind: compute#securityPolicyRule
     match:
       config:
         srcIpRanges:
         - '*'
       versionedExpr: SRC_IPS_V1
     preview: false
     priority: 2147483647
   selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy
   

3. יוצרים כללי מדיניות אבטחה חדשים ב-Cloud Armor ומציינים את שם הקובץ והפורמט ששונו, כמו בדוגמה הבאה:

   gcloud compute security-policies create new-policy \
       --file-name modified-policy \
       --file-format yaml
   

4. מסירים את מדיניות האבטחה הישנה משירות לקצה העורפי הרלוונטי, כמו בדוגמה הבאה:

   gcloud compute backend-services update my-backend \
       --security-policy ""
   

5. מוסיפים את מדיניות האבטחה החדשה לשירות לקצה העורפי, כמו בדוגמה הבאה:

   gcloud compute backend-services update my-backend \
       --security-policy new-policy
   

6. אם לא נעשה שימוש במדיניות הישנה, מוחקים אותה:

   gcloud compute security-policies delete my-policy
   

המסוף

1. נכנסים לדף Google Cloud Armor policies במסוף Cloud de Confiance .

   מעבר אל כללי מדיניות של Google Cloud Armor

2. לוחצים על שם מדיניות האבטחה. יוצג הדף Policy details.

3. באמצע הדף, בכרטיסייה Rules (כללים), מסמנים את תיבת הסימון לצד הכלל שרוצים למחוק.

4. לוחצים על deleteמחיקה.

gcloud

משתמשים בפקודה הזו כדי להסיר כלל עם העדיפות שצוינה ממדיניות אבטחה ייעודית. אפשר לשנות רק מדיניות אבטחה אחת בכל פעם, אבל אפשר למחוק כמה כללים בבת אחת:

gcloud compute security-policies rules delete PRIORITY [...] [
    --security-policy POLICY_NAME \
  ]

לדוגמה:

gcloud compute security-policies rules delete 1000 \
    --security-policy my-policy

המסוף

1. נכנסים לדף Cloud Armor policies במסוף Cloud de Confiance .

   כניסה למדיניות Cloud Armor

2. בדף מדיניות אבטחה, לוחצים על שם מדיניות האבטחה. מוצג הדף פרטי המדיניות.

3. באמצע הדף, לוחצים על הכרטיסייה יעדים.

4. לוחצים על החלת המדיניות על יעד חדש.

5. לוחצים על הוספת יעד.

6. ברשימה יעד, בוחרים יעד ולוחצים על הוספה.

gcloud

כשמצרפים מדיניות אבטחה לקצה העורפי לשירות קצה עורפי, משתמשים בפקודה gcloud compute backend-services ובדגל --security-policy:

gcloud compute backend-services update my-backend \
    --security-policy my-policy

כשמצרפים מדיניות אבטחה של Edge לשירות קצה עורפי, משתמשים בפקודה gcloud compute backend-services ובדגל --edge-security-policy:

gcloud compute backend-services update my-backend \
    --edge-security-policy my-policy

המסוף

1. נכנסים לדף Cloud Armor policies במסוף Cloud de Confiance .

כניסה למדיניות Cloud Armor

1. בדף מדיניות אבטחה, לוחצים על שם מדיניות האבטחה. מוצג הדף פרטי המדיניות.
2. באמצע הדף, לוחצים על הכרטיסייה יעדים.
3. בוחרים את שירות ה-Backend של היעד שממנו רוצים להסיר את המדיניות.
4. לוחצים על הסרה.
5. בהודעה הסרת יעד, לוחצים על הסרה.

gcloud

כדי להסיר מדיניות אבטחה של קצה עורפי, משתמשים בפקודה gcloud compute backend-services ובדגל --security-policy:

gcloud compute backend-services update my-backend \
    --security-policy ""

כדי להסיר מדיניות אבטחה של קצה הרשת, משתמשים בפקודה gcloud compute backend-services ובדגל --edge-security-policy:

gcloud compute backend-services update my-backend \
    --edge-security-policy ""