Die Anwendungsschichtprüfung der Cloud Next Generation Firewall bietet erweiterten Schutz für Ihre Cloud de Confiance by S3NS Ressourcen. Die Anwendungsschichtprüfung (auch als Deep Packet Inspection oder Layer-7-Prüfung bezeichnet) ist ein Sicherheitsprozess, bei dem der Inhalt von Netzwerkpaketen untersucht wird, während sie die Firewall passieren.
In diesem Dokument werden die Dienste und Komponenten beschrieben, die für die Anwendungsschichtprüfung in Cloud NGFW verwendet werden.
Dienste für die Anwendungsschichtprüfung
Cloud NGFW bietet die folgenden Dienste für die Anwendungsschichtprüfung: Dienst zur Einbruchserkennung und -vermeidung, erweiterte Malware-Sandbox (WildFire) (Vorschau) und URL-Filterdienst. Die Funktionen für die Anwendungsschichtprüfung sind in der Cloud NGFW Enterprise-Stufe verfügbar. Weitere Informationen finden Sie unter Cloud NGFW Enterprise.
Dienst zur Einbruchserkennung und -vermeidung
Der Dienst zur Einbruchserkennung und -vermeidung überwacht Ihren Cloud de Confiance Arbeitslast Traffic kontinuierlich auf schädliche Aktivitäten und ergreift präventive Maßnahmen, um diese zu verhindern. Zu den schädlichen Aktivitäten gehören Bedrohungen wie Einbrüche, Malware, Spyware und Command-and-Control-Angriffe in Ihrem Netzwerk. Weitere Informationen finden Sie unter Dienst zur Einbruchserkennung und -vermeidung.
Erweiterte Malware-Sandbox
Der Dienst „Erweiterte Malware-Sandbox“ für Cloud NGFW bietet Malwareschutz durch Inline-Machine Learning (ML) und cloudbasierte Verhaltens-Sandboxing. Der Dienst basiert auf Advanced WildFire von Palo Alto Networks und erweitert den standardmäßigen signaturbasierten Dienst zur Einbruchserkennung und -vermeidung, indem er verdächtige Dateien in Echtzeit analysiert, um zu verhindern, dass Zero-Day-Bedrohungen Ihre Arbeitslasten erreichen. Weitere Informationen finden Sie unter Erweiterte Malware-Sandbox.
URL-Filterdienst
Mit dem URL-Filterdienst können Sie den Zugriff auf Websites steuern, indem Sie bestimmte URLs blockieren oder zulassen. Dieser Dienst kann Server Name Indication (SNI) verwenden, um nach Domain zu filtern. Weitere Informationen finden Sie unter URL-Filterdienst Übersicht.
Kernkomponenten
Die Dienste für die Anwendungsschichtprüfung verwenden die folgenden Komponenten:
Firewall-Endpunkte und Firewall-Endpunktverknüpfungen: Ein Firewall Endpunkt ist eine von Google verwaltete zonale Ressource, die eine detaillierte Paket überprüfung in Ihrem Netzwerk durchführt. Eine Firewall-Endpunktverknüpfung verknüpft einen Firewall-Endpunkt mit einer Zone eines VPC-Netzwerk. Sie erstellen einen Endpunkt pro Zone in der Region, in der Sie Traffic prüfen möchten. Weitere Informationen finden Sie unter Firewall-Endpunkt.
Wenn Sie den Inhalt von verschlüsseltem Traffic prüfen möchten, erstellen Sie eine TLS-Prüfungsrichtlinie und fügen Sie sie der Firewall-Endpunktverknüpfung hinzu. Weitere Informationen finden Sie unter TLS-Prüfung.
Sicherheitsprofile: Ein Objekt, das die Konfiguration für einen bestimmten Sicherheitsdienst enthält. Firewall-Endpunkte verwenden Sicherheitsprofile, um abgefangenen Traffic zu scannen. Weitere Informationen finden Sie unter Sicherheitsprofile.
Cloud NGFW unterstützt die folgenden Arten von Sicherheitsprofilen:
THREAT_PREVENTION: Konfiguriert den Dienst zur Einbruchserkennung und -vermeidung.WILDFIRE_ANALYSIS: Konfiguriert die erweiterte Malware-Sandbox.URL_FILTERING: Definiert Regeln für den URL-Filterdienst.
Sicherheitsprofilgruppe: Ein Container für Sicherheitsprofile. Eine Sicherheitsprofilgruppe kann nur ein Sicherheitsprofil jedes Typs enthalten. Weitere Informationen finden Sie unter Sicherheitsprofilgruppe.
Aktion
apply_security_profile_group: Eine Firewallregelaktion, die den abgefangenen Traffic zur Prüfung an einen Firewall-Endpunkt weiterleitet. Weitere Informationen finden Sie unter Aktion bei Übereinstimmung.
Informationen zum Zusammenspiel der Kernkomponenten finden Sie unter Funktionsweise des Dienstes zur Einbruchserkennung und -vermeidung, Funktionsweise der erweiterten Malware-Sandbox, und Funktionsweise des URL-Filterdienstes.
Ressourcen auf Organisations- und Projektebene
Sie können Komponenten für die Anwendungsschichtprüfung auf Organisations- oder Projektebene erstellen und konfigurieren. Ressourcen auf Organisationsebene gelten in der gesamten Organisation über hierarchische Firewallrichtlinien. Ressourcen auf Projektebene gelten nur zwischen Projekten mit globalen Netzwerk-Firewallrichtlinien.
- Verwenden Sie Ressourcen auf Organisationsebene, um obligatorische, organisationsweite Sicherheitsrichtlinien zu erzwingen.
- Verwenden Sie Ressourcen auf Projektebene, um Regeln für eine bestimmte Anwendung zu verwalten.
In der folgenden Tabelle werden die Eigenschaften von Ressourcen auf Organisations- und Projektebene verglichen:
| Funktion | Ressourcen auf Organisationsebene | Ressourcen auf Projektebene |
|---|---|---|
| Berechtigungen | Erfordern IAM-Rollen auf Organisationsebene für die Konfiguration. | Erfordern IAM-Rollen auf Projektebene für die Konfiguration. |
| Hierarchische Richtlinien | Können von hierarchischen Firewallrichtlinien referenziert werden. | Können nicht von hierarchischen Firewallrichtlinien referenziert werden. |
| Umfang | Sicherheitsprofilgruppen auf Organisationsebene werden automatisch auf alle Firewall-Endpunkte in der Organisation angewendet. | Sicherheitsprofilgruppen auf Projektebene gelten nur für Firewall Endpunkte innerhalb des jeweiligen Projekts. Sie können nicht projektübergreifend angewendet werden. |
| Abrechnung | Die Betriebszeit von Firewall-Endpunkten wird einem von Ihnen angegebenen Abrechnungsprojekt in Rechnung gestellt. | Die Betriebszeit von Firewall-Endpunkten wird direkt dem Projekt in Rechnung gestellt, zu dem die Ressource gehört. |
Beschränkungen
Sicherheitsprofilgruppen auf Projektebene gelten nur für Firewall-Endpunkte im selben Projekt. Sie können nicht projektübergreifend angewendet werden.
Sie können ein Projekt, das Ressourcen auf Projektebene enthält, nicht zu einer anderen Organisation migrieren.
Sie können ein VPC-Netzwerk nur mit einem Firewall-Endpunkt pro Zone verknüpfen. Für jede Zone müssen Sie entweder einen Endpunkt auf Projektebene oder auf Organisationsebene verwenden.
Wenn Sie ein VPC-Netzwerk mit einem Firewall-Endpunkt auf Projektebene in einem anderen Projekt verknüpfen, müssen sich beide Projekte in derselben Organisation befinden.