Übersicht über den URL-Filterdienst

Mit dem URL-Filterdienst für die Cloud Next Generation Firewall können Sie den Zugriff auf Websites und Webseiten steuern, indem Sie ihre URLs blockieren oder zulassen. Sie können den Traffic Ihrer Arbeitslasten anhand von Domain- und SNI-Informationen (Server Name Indication) filtern, die in den ausgehenden HTTP(S)-Nachrichten verfügbar sind.

Da der URL-Filterdienst HTTP-Nachrichtenheader prüft, können Sie mit dem Dienst den Zugriff auf bestimmte Domains blockieren, auch wenn der Zielserver vertrauenswürdige Websites hostet, die Sie nicht blockieren möchten, oder wenn DNS-basierte Zugriffsbeschränkungen unwirksam sind. Sie können den URL-Filterdienst zusammen mit dem Dienst zur Einbruchserkennung und ‑vermeidung verwenden, um Traffic zu schädlichen URLs zu verweigern, den Zugriff auf schädliche Command-and-Control-Server (C2) zu verhindern und Malware in ausführbaren Dateien zu erkennen.

Der Cloud NGFW-URL-Filterdienst erstellt von Google verwaltete zonale Firewall-Endpunkte, die die Technologie zum Abfangen von Paketen verwenden, um Traffic umzuleiten und auf Übereinstimmungen mit einer Liste konfigurierter Domainnamen und SNIs zu prüfen. Google Cloud

Der Paketabfang ist eine Google Cloud Funktion, mit der Netzwerk-Appliances transparent in den Pfad des ausgewählten Netzwerkverkehrs eingefügt werden, ohne ihre vorhandenen Routingrichtlinien zu ändern.

Vorteile der Verwendung des URL-Filterdienstes

Mit dem URL-Filterdienst können Sie den Wartungsaufwand reduzieren, der durch häufig wechselnde IP-Adressen, DNS-Änderungen und andere zeitaufwendige IP-Adress-basierte Firewalländerungen entsteht. Mit dem Dienst haben Sie die genaue Kontrolle darüber, auf welche Remote-URLs Sie zugreifen können. Er bietet Ihnen eine präzisere Steuerung als IP-Adressen, die mehrere Dienste und Domains hosten können.

TLS-Prüfung

Der URL-Filterdienst kann sowohl verschlüsselten als auch unverschlüsselten Traffic verarbeiten. Für verschlüsselten Traffic können Sie die TLS-Prüfung konfigurieren, damit der URL-Filterdienst Nachrichtenheader entschlüsseln und den Domainnamen im Host-Header der Nachricht prüfen kann.

Der URL-Filterdienst kann dann die Domaindetails zusammen mit der im Klartext gesendeten SNI, die während der TLS-Aushandlung gesendet wird, verwenden, um eine Übereinstimmung mit den konfigurierten URLs zu finden, die durch das zugehörige Sicherheitsprofil definiert sind.

Ohne TLS-Prüfung kann der URL-Filterdienst den verschlüsselten HTTP(S)-Traffic weiterhin verarbeiten. Er verwendet jedoch nur die SNI aus clientHello während der TLS-Aushandlung für den URL-Abgleich. Bei unverschlüsseltem HTTP-Traffic verwendet der URL-Filterdienst den HTTP-Host-Header für die URL-Filterung, unabhängig davon, ob Sie die TLS-Prüfung aktiviert haben.

Cloud NGFW unterstützt nur das Abfangen und Entschlüsseln von TLS, um auf die Domaininformationen im Host-Header des ausgewählten verschlüsselten Traffics zuzugreifen.

Der URL-Filterdienst prüft sowohl eingehende als auch ausgehende Verbindungen, einschließlich Traffic zum und vom Internet und Traffic innerhalb von Google Cloud.

Weitere Informationen zur TLS-Prüfung in Cloud NGFW finden Sie unter TLS-Prüfung.

Informationen zum Aktivieren der TLS-Prüfung in Cloud NGFW finden Sie unter TLS-Prüfung einrichten.

Bereitstellungsmodell für den URL-Filterdienst

Das folgende Diagramm zeigt ein Beispiel für die Bereitstellung des URL-Filterdienstes mit einem Firewall-Endpunkt, der für ein VPC-Netzwerk (Virtual Private Cloud) in einer einzelnen Zone einer Region konfiguriert ist.

Beispiel für ein Bereitstellungsmodell des URL-Filterdienstes.
Beispiel für ein Bereitstellungsmodell des URL-Filterdienstes (zum Vergrößern klicken)

Komponenten des URL-Filterdienstes

Für den URL-Filterdienst sind drei Hauptelemente erforderlich, die Sie konfigurieren müssen. Das Sicherheitsprofil für die URL-Filterung und die zugehörige Sicherheitsprofilgruppe, ein Firewall-Endpunkt zum Empfangen von Traffic und die Firewallrichtlinien, die an den Endpunkt angehängt sind.

Sicherheitsprofile und Sicherheitsprofilgruppen

Cloud NGFW verwendet Sicherheitsprofile und Sicherheitsprofilgruppen, um den URL-Filterdienst zu implementieren.

  • Sicherheitsprofile für die URL-Filterung sind generische Richtlinienstrukturen vom Typ url-filtering, die URL-Filter mit Abgleichstrings enthalten. Der URL-Filterdienst verwendet diese Strings, um sie mit dem Domainnamen und der SNI der HTTP(S)-Nachricht abzugleichen. Jeder URL-Filter enthält eine Liste von Abgleichstrings, eine eindeutige Priorität und eine Aktion.

    Weitere Informationen zu Sicherheitsprofilen für die URL-Filterung finden Sie unter Sicherheitsprofil für die URL-Filterung.

  • Sicherheitsprofilgruppen dienen als Container für Sicherheitsprofile. Jede Gruppe enthält ein oder mehrere Sicherheitsprofile verschiedener Typen. Eine Sicherheitsprofilgruppe kann beispielsweise Sicherheitsprofile der Typen url-filtering und threat-prevention enthalten. Eine Firewallrichtlinienregel verweist auf eine Sicherheitsprofilgruppe, um entweder den URL-Filterdienst oder den Dienst zur Einbruchserkennung und ‑vermeidung oder beide für den Netzwerkverkehr zu aktivieren.

    Weitere Informationen zu Sicherheitsprofilgruppen, siehe Sicherheitsprofilgruppen.

Firewall-Endpunkt

Ein Firewall-Endpunkt ist eine Organisationsressource, die auf zonaler Ebene erstellt wird und Layer-7-Traffic in derselben Zone prüfen kann, in der sie bereitgestellt wird. Die Endpunkte sind mit einem oder mehreren VPCs in derselben Zone verknüpft. Wenn Sie Traffic für eine virtuelle Ziel-VM-Instanz filtern möchten, erstellen Sie den Firewall-Endpunkt in derselben Zone wie den VPC, in dem sich die Ziel-VM befindet.

Für den URL-Filterdienst gleicht der Firewall-Endpunkt die Domain aus dem Host-Header der Nachricht oder die SNI, die während der TLS-Aushandlung für verschlüsselten Traffic ohne TLS-Prüfung abgerufen wurde, mit den URL-Filtern im Sicherheitsprofil für die URL-Filterung ab. Wenn der Endpunkt eine Übereinstimmung erkennt, führt er die mit dem URL-Filter verknüpfte Aktion für die Verbindung aus. Diese Aktion kann die Standardaktion oder eine konfigurierte Aktion im Sicherheitsprofil für die URL-Filterung sein.

Weitere Informationen zu Firewall-Endpunkten und zu ihrer Konfiguration finden Sie unter Firewall-Endpunkte.

Firewallrichtlinien

Firewallrichtlinien gelten direkt für den gesamten ein- und ausgehenden Traffic einer VM. Sie können hierarchische Firewallrichtlinien und globale Netzwerk-Firewallrichtlinien verwenden, um Firewallrichtlinienregeln mit Layer-7-Prüfung zu konfigurieren.

Firewallrichtlinien-Regeln

Mit Firewallrichtlinienregeln können Sie den Typ des Traffics steuern, der abgefangen und geprüft werden soll. Erstellen Sie eine Firewallrichtlinienregel, um den URL-Filterdienst zu konfigurieren:

  • Bestimmen Sie den zu prüfenden Traffic-Typ mithilfe mehrerer Layer-3- und Layer-4-Firewallrichtlinienregel-Komponenten.
  • Geben Sie für die Aktion apply_security_profile_group für den übereinstimmenden Traffic den Namen der Sicherheitsprofilgruppe an.

Den vollständigen Workflow des URL-Filterdienstes finden Sie unter URL-Filterdienst konfigurieren.

Sie können auch sichere Tags in Firewallregeln verwenden, um den URL-Filterdienst zu konfigurieren. Sie können auf einer beliebigen Segmentierung aufbauen, die Sie mithilfe von Tags in Ihrem Netzwerk eingerichtet haben, und die Traffic-Prüfungslogik um den URL-Filterdienst erweitern.

Wenn Sie eine Firewallrichtlinienregel konfigurieren möchten, die eine Sicherheitsprofilgruppe für die Platzhalter-Domainfilterung verwendet (z. B. *.example.com), legen Sie den Ziel-IP-Bereich auf 0.0.0.0/0 fest. Dies ist erforderlich, da der Platzhalterabgleich auf Layer 7 durch das Sicherheitsprofil erfolgt. Wenn Sie die Firewallregel so einschränken möchten, dass sie nur mit Internet-Traffic übereinstimmt, verwenden Sie Netzwerkkontexte, die auf INTERNET festgelegt sind.

Funktionsweise des URL-Filterdienstes

Der URL-Filterdienst verarbeitet den HTTP(S)-Traffic in der folgenden Reihenfolge:

  1. Der URL-Filterdienst wendet Firewallrichtlinienregeln auf den Traffic zu und von den VM-Instanzen oder Google Kubernetes Engine-Clustern (GKE) im Netzwerk an.

  2. Der URL-Filterdienst fängt übereinstimmenden Traffic ab und sendet ihn zur Layer-7-Prüfung an den Firewall-Endpunkt.

  3. Bei verschlüsseltem Traffic, bei dem die TLS-Prüfung aktiviert ist, entschlüsselt der URL-Filterdienst die Nachrichtenheader und verwendet die im Host-Header angegebene Domain zusammen mit der SNI, die während der TLS-Aushandlung gesendet wurde, um nach einer Übereinstimmung mit den konfigurierten URLs zu suchen.

    Wenn der Traffic verschlüsselt ist, die TLS-Prüfung aber nicht aktiviert ist, bleibt der Nachrichtenheader verschlüsselt. Stattdessen verwendet der URL-Filterdienst die Domain, die während der TLS-Aushandlung in der SNI angegeben wurde.

    Bei unverschlüsseltem Traffic verwendet der URL-Filterdienst immer die im Host-Header angegebene Domain, um nach einer Übereinstimmung zu suchen.

  4. Wenn die URL-Informationen übereinstimmen, führt der URL-Filterdienst die im Sicherheitsprofil konfigurierte Aktion für diese Verbindung aus.

    Wenn der URL-Filterdienst den ausgehenden Traffic zulässt, kann der Dienst zur Einbruchserkennung und ‑vermeidung (falls aktiviert) den Traffic weiter auf Bedrohungen prüfen.

Beschränkungen

  • Die URL-Filterung unterstützt nur http/1.x und http/2. QUIC, verschlüsselte SNI (ESNI) oder Encrypted Client Hello (ECH) werden nicht unterstützt, wenn die TLS-Prüfung aktiviert ist.

    Wenn Sie die TLS-Prüfung aktivieren, leitet Cloud NGFW keinen QUIC-, ESNI- oder ECH-Traffic weiter. Wenn Sie die TLS-Prüfung jedoch deaktivieren, leitet Cloud NGFW diesen Traffic ohne Zugriff auf die Domain- und SNI-Informationen weiter. In diesem Fall lässt Cloud NGFW QUIC-, ESNI- und ECH-Traffic nur zu, wenn ein expliziter URL-Filter für die Zulassung verfügbar ist. Wenn kein expliziter Zulassungsfilter vorhanden ist, blockiert der implizite Standard-URL-Filter für die Ablehnung den QUIC-, ESNI- und ECH-Traffic. Weitere Informationen zu expliziten URL-Filtern für die Zulassung und impliziten URL-Filtern für die Ablehnung finden Sie unter Impliziter URL-Filter für die Ablehnung.

  • Firewall-Endpunkte können nur IP-Pakete mit einer begrenzten Größe unterstützen. Weitere Informationen finden Sie unter Unterstützte Paketgröße.

  • Die Prüfung von ausgehendem Traffic von serverlosen Arbeitslasten wird nicht unterstützt. Diese Einschränkung gilt für Traffic, der sowohl über ausgehenden Direct VPC-Traffic als auch über Connectors für serverlosen VPC-Zugriffweitergeleitet wird. Weitere Informationen finden Sie unter Ausgehenden Direct VPC-Traffic und VPC-Connectors vergleichen.

Nächste Schritte