Übersicht über die Sicherheitsrichtlinien

Auf dieser Seite wird beschrieben, wie Sie mit Google Cloud Armor-Sicherheitsrichtlinien Ihre Google Cloud Bereitstellungen schützen können.

Cloud Armor-Sicherheitsrichtlinien schützen Ihre Anwendung durch Layer-7-Filter und Scrubbing eingehender Anfragen für häufige Webangriffe oder andere Layer-7-Attribute, um den Traffic zu blockieren, bevor er Ihre Back-End-Dienste mit Load-Balancing oder Ihre Back-End-Buckets erreicht. Jede Sicherheitsrichtlinie besteht aus einer Reihe von Regeln, die für Attribute von Layer 3 bis Layer 7 konfiguriert werden können. Die Regeln können Traffic anhand von Bedingungen filtern, z. B. IP-Adresse, IP-Bereich, Regionscode oder Anfrageheader einer eingehenden Anfrage.

Cloud Armor-Sicherheitsrichtlinien sind für die folgenden Load-Balancer- und Endpunkttypen verfügbar:

  • Alle externen Application Load Balancer, einschließlich klassischer Application Load Balancer
  • Regionaler interner Application Load Balancer
  • Globaler externer Proxy-Network Load Balancer (TCP/SSL)
  • Klassischer Proxy-Network Load Balancer (TCP/SSL)
  • Regionaler externer Passthrough-Network Load Balancer (TCP/UDP)
  • Externe Protokollweiterleitung
  • VMs mit externen IPv4-Adressen oder externen IPv6-Adressbereichen, die einer Netzwerkschnittstelle zugewiesen sind

Der Load Balancer kann sich in der Premium-Stufe oder Standardstufe befinden.

Die Backends für den Backend-Dienst können beliebige der folgenden sein:

Wenn Sie Cloud Armor zum Schutz einer Hybridbereitstellung oder einer Multi-Cloud-Architektur verwenden, müssen die Back-Ends Internet-NEGs oder Hybrid-NEGs sein. Cloud Armor schützt auch serverlose NEGs, wenn der Traffic über einen Load-Balancer geleitet wird. Informationen dazu, wie Sie Traffic über Ihren Load-Balancer leiten, bevor er Ihre serverlose NEG erreicht, finden Sie unter Steuerelemente für eingehenden Traffic.

Cloud Armor bietet außerdem erweiterten DDoS-Netzwerkschutz für regionale externe Passthrough-Network Load Balancer, Protokollweiterleitung und VMs mit öffentlichen IP-Adressen. Weitere Informationen zum erweiterten DDoS-Schutz finden Sie unter Erweiterten DDoS-Netzwerkschutz konfigurieren.

Google Cloud -Bereitstellungen mit Cloud Armor-Sicherheitsrichtlinien schützen

Externes Load-Balancing wird an den weltweiten Edge-Netzwerkstandorten von Google in Google Points of Presence (PoPs) implementiert. In der Premium-Stufe gelangt Traffic, der an einen externen Load-Balancer weitergeleitet wird, in den PoP, der dem Nutzer am nächsten ist. Anschließend wird Load-Balancing für das globale Google-Netzwerk auf dem nächstgelegenen Backend mit ausreichender Kapazität ausgeführt. In der Standard-Stufe gelangt Nutzertraffic über Peering, den ISP oder Transit-Netzwerke in die Google-Netzwerke der Region, in der Sie Ihre Google Cloud-Ressourcen bereitgestellt haben.

Mit Cloud Armor-Sicherheitsrichtlinien können Sie Anfragen an Ihre Backend-Dienste am Google Cloud -Edge so nah wie möglich an der Quelle des eingehenden Traffics zulassen, ablehnen, ratenbegrenzen oder umleiten. Dies verhindert, dass unerwünschter Traffic Ressourcen verbraucht oder in Ihre VPC-Netzwerke (Virtual Private Cloud) gelangt.

Das folgende Diagramm zeigt den Standort der globalen externen Application Load Balancer, der klassischen Application Load Balancer sowie des Google-Netzwerks und der Google-Rechenzentren.

Cloud Armor-Richtlinie am Netzwerkrand
Cloud Armor-Richtlinie am Netzwerkrand (zum Vergrößern anklicken).

Voraussetzungen

Das sind die Anforderungen für die Verwendung von Cloud Armor-Sicherheitsrichtlinien:

  • Das Load-Balancing-Schema des Back-End-Dienstes muss EXTERNAL, EXTERNAL_MANAGED oder INTERNAL_MANAGED sein.
  • Das Protokoll des Backend-Dienstes muss entweder HTTP, HTTPS, HTTP/2, UDP, TCP, SSL oder UNSPECIFIED sein.

Cloud Armor-Sicherheitsrichtlinien

Cloud Armor-Sicherheitsrichtlinien sind Regeln, die Attribute von Layer 3 bis Layer 7 abgleichen, um externe Anwendungen oder Dienste zu schützen. Jede Regel wird im Hinblick auf den eingehenden Traffic ausgewertet.

Eine Cloud Armor-Sicherheitsrichtlinienregel besteht aus einer Abgleichsbedingung und einer Aktion, die ausgeführt werden muss, wenn diese Bedingung erfüllt ist. Eine Bedingung kann beispielsweise sein, ob die Client-IP-Adresse des eingehenden Traffics mit einer bestimmten IP-Adresse oder einem CIDR-Bereich übereinstimmt (Regeln für Listen zum Zulassen und Sperren von IP-Adressen). Alternativ können Sie mithilfe der Referenz zur Sprache für benutzerdefinierte Regeln für Cloud Armor benutzerdefinierte Bedingungen erstellen, die mit verschiedenen Attributen des eingehenden Traffics übereinstimmen, z. B. den Werten für URL-Pfad, Anfragemethode oder Anfrageheader.

Wenn eine eingehende Anfrage eine Bedingung in einer Sicherheitsrichtlinienregel erfüllt, lässt Cloud Armor die Anfrage zu, lehnt sie ab oder leitet sie weiter, je nachdem, ob die Regel eine Zulassungsregel, eine Ablehnungsregel oder eine Weiterleitungsregel ist. Es können dabei zusätzliche Aktionsparameter angewendet werden, zum Beispiel Anfrageheader. Dieses Feature ist Teil der Cloud Armor-Bot-Verwaltung. Weitere Informationen zur Bot-Verwaltung finden Sie in der Übersicht über die Bot-Verwaltung.

Cloud Armor bietet zwei Kategorien von Sicherheitsrichtlinien: hierarchische Sicherheitsrichtlinien und Sicherheitsrichtlinien auf Dienstebene. Hierarchische Sicherheitsrichtlinien werden auf Organisations-, Ordner- oder Projektebene angehängt, während Sicherheitsrichtlinien auf Dienstebene einem oder mehreren Back-End-Diensten zugeordnet werden. Weitere Informationen zu hierarchischen Sicherheitsrichtlinien finden Sie unter Hierarchische Sicherheitsrichtlinien – Übersicht.

Ein Backend-Dienst kann gleichzeitig zwei Sicherheitsrichtlinien auf Dienstebene zugeordnet sein, aber nicht zwei Backend-Sicherheitsrichtlinien oder zwei Edge-Sicherheitsrichtlinien. Ihre Backend-Dienste müssen jedoch nicht alle derselben Sicherheitsrichtlinie zugeordnet sein. Informationen zum Anhängen und Entfernen von Sicherheitsrichtlinien aus unterstützten Back-End-Diensten und ‑Funktionen finden Sie unter Sicherheitsrichtlinien anhängen und entfernen.

Wenn eine Cloud Armor-Sicherheitsrichtlinie einem beliebigen Backend-Dienst zugeordnet ist, kann sie nicht gelöscht werden. Ein Backend-Dienst kann unabhängig davon gelöscht werden, ob ihm eine Sicherheitsrichtlinie zugeordnet ist.

Wenn mehrere Weiterleitungsregeln auf einen Back-End-Dienst verweisen, dem eine Sicherheitsrichtlinie zugeordnet ist, werden die Richtlinienregeln für den gesamten Traffic erzwungen, der an jeder IP-Adresse der Weiterleitungsregel eingeht.

Im folgenden Diagramm ist die Cloud Armor-Sicherheitsrichtlinie internal-users-policy dem Back-End-Dienst test-network zugeordnet.

Cloud Armor-Sicherheitsrichtlinie am Netzwerkrand
Cloud Armor-Sicherheitsrichtlinie am Netzwerkrand (zum Vergrößern anklicken)
Cloud Armor-Sicherheitsrichtlinien haben die folgenden Funktionen:

  • Sie können das QUIC-Protokoll optional mit Load-Balancern verwenden, die Cloud Armor nutzen.

  • Sie können Cloud Armor mit Load-Balancern verwenden, die sich in einer der folgenden Netzwerkdienststufen befinden:

    • Premium-Stufe
    • Standard-Stufe

  • Sie können Backend-Sicherheitsrichtlinien mit GKE und dem Standard-Ingress-Controller verwenden.

  • Sie können eine Standardsicherheitsrichtlinie verwenden, die den Traffic über einen benutzerdefinierten Schwellenwert drosselt, wenn Sie einen der folgenden Load-Balancer konfigurieren:

    • Globaler externer Application Load Balancer
    • Klassischer Application Load Balancer
    • Regionaler externer Application Load Balancer
    • Regionaler interner Application Load Balancer
    • Globaler externer Proxy-Network Load Balancer (TCP/SSL)
    • Klassischer Proxy-Network Load Balancer (TCP/SSL)

Außerdem können Sie vorkonfigurierte WAF-Regeln für Cloud Armor konfigurieren. Dabei handelt es sich um komplexe WAF-Regeln (Web Application Firewall) mit Dutzenden von Signaturen, die aus Open-Source-Branchenstandards zusammengestellt wurden. Jede Signatur entspricht einer Angriffserkennungsregel im Regelsatz. Google bietet diese Regeln wie besehen an. Die Regeln ermöglichen es Cloud Armor, Dutzende von unterschiedlichen Traffic-Signaturen auszuwerten. Dabei bezieht sich Cloud Armor auf Regeln, die praktischerweise benannt sind, anstatt dass Sie jede Signatur manuell definieren müssen. Weitere Informationen zu vorkonfigurierten WAF-Regeln finden Sie in der Übersicht über vorkonfigurierte WAF-Regeln.

Arten von Sicherheitsrichtlinien

In den folgenden Tabellen sind die verschiedenen Arten von Sicherheitsrichtlinien auf Dienstebene aufgeführt und was sich mit ihnen machen lässt. Ein Häkchen () gibt an, dass der Typ der Sicherheitsrichtlinie das Feature unterstützt.