セキュリティ プロファイルの概要

セキュリティ プロファイルは、Google Cloud リソースのレイヤ 7 検査ポリシーを定義するのに役立ちます。これは、ファイアウォール エンドポイントがインターセプトしたトラフィックをスキャンし、侵入検知および防止サービス、高度なマルウェア サンドボックス（WildFire）、URL フィルタリング サービスなどのアプリケーション レイヤ サービスを提供するために使用する汎用のポリシー構造です。

このドキュメントでは、セキュリティ プロファイルとその機能について詳しく説明します。

仕様

  • Cloud Next Generation Firewall（Cloud NGFW）は、次のタイプのセキュリティ プロファイルをサポートしています。

    • THREAT_PREVENTION
    • WILDFIRE_ANALYSIS
    • URL_FILTERING

  • セキュリティ プロファイルは、組織レベルまたはプロジェクト レベルで構成できるリソースです。

    • 組織レベルのセキュリティ プロファイル: このプロファイルを使用して、組織レベルとプロジェクト レベルのファイアウォール エンドポイントを作成、管理します。

    • プロジェクト レベルのセキュリティ プロファイル: このプロファイルを使用して、同じプロジェクトにプロジェクト レベルのファイアウォール エンドポイントを作成して管理します。

  • セキュリティ プロファイルの名前は、次の URL 識別子形式で構成されます。

    • 組織レベル:

      organizations/ORGANIZATION_ID/locations/global/securityProfiles/NAME

    • プロジェクト レベル:

      projects/PROJECT_ID/locations/global/securityProfiles/NAME

    セキュリティ プロファイルの NAME は、次の要件を満たす必要があります。

    • 1 ～ 63 文字の文字列
    • 小文字の英数字またはハイフン（-）のみを使用している
    • 先頭には英字を使用してください

    例:

    • 組織レベルのセキュリティ プロファイル:

      organizations/2345678432/locations/global/securityProfiles/example-security-profile

    • プロジェクト レベルのセキュリティ プロファイル:

      projects/my-project-123/locations/global/securityProfiles/example-security-profile

    セキュリティ プロファイル名に一意の URL 識別子を使用する場合、URL には組織またはプロジェクトとロケーションが含まれます。名前のみを指定する場合は、gcloud コマンドを使用するときに、組織 ID またはプロジェクト ID とロケーションを個別に指定する必要があります。

  • セキュリティ プロファイルを作成したら、セキュリティ プロファイル グループに手動で関連付けます。このセキュリティ プロファイル グループは、レイヤ 7 検査を適用する Virtual Private Cloud（VPC）ネットワークのファイアウォール ポリシーから参照されます。

  • 各セキュリティ プロファイルにはプロジェクト ID が関連付けられている必要があります。関連付けられたプロジェクトは、セキュリティ プロファイル リソースに対する割り当てとアクセス制限に使用されます。gcloud auth activate-service-account コマンドを使用してサービス アカウントを認証する場合は、サービス アカウントをセキュリティ プロファイルに関連付けることができます。セキュリティ プロファイルの作成方法については、脅威防止セキュリティ プロファイルを作成する、高度なマルウェア サンドボックス セキュリティ プロファイルを作成する、URL フィルタリング セキュリティ プロファイルを作成するをご覧ください。

  • セキュリティ プロファイル グループにセキュリティ プロファイルを追加する場合は、次の制約が適用されます。

    • 組織レベルのセキュリティ プロファイル グループは、組織レベルのセキュリティ プロファイルのみを参照できます。
    • プロジェクト レベルのセキュリティ プロファイル グループは、同じプロジェクト内のプロジェクト レベルのセキュリティ プロファイルを参照できます。

脅威防止のセキュリティ プロファイル

Cloud NGFW は、脅威防止セキュリティ プロファイルを使用して侵入検知および防止サービスを提供します。

THREAT_PREVENTION タイプのセキュリティ プロファイルを作成すると、次のデフォルトの脅威シグネチャが、デフォルトの重大度と関連アクションとともにプロファイルに追加されます。

  • 脆弱性検出シグネチャ
  • スパイウェア対策シグネチャ
  • ウイルス対策シグネチャ
  • DNS シグネチャ

脅威防止セキュリティ プロファイルに重大度のオーバーライドを追加できます。デフォルトのシグネチャにはそれぞれ脅威の重大度があります。重大度は、検出された脅威のリスクを示します。各重大度レベルには、デフォルトのアクションが関連付けられています。デフォルトのアクションには、Cloud NGFW が特定の重大度レベルの脅威を処理するために行う対策を指定します。脅威防止セキュリティ プロファイルを使用して、重大度レベルのデフォルトのアクションをオーバーライドします。

次のアクションがサポートされます。

  • デフォルト: 脅威に関連付けられたデフォルトのアクションを実行します。
  • 拒否: 脅威をログに記録してパケットをドロップします。
  • アラート: 脅威をログに記録して、セッションを許可します。
  • 許可: 検出された脅威を無視します。

脅威防止セキュリティ プロファイルを作成すると、すべての重大度レベルのデフォルト オーバーライド アクションが Default に設定されます。

脅威防止セキュリティ プロファイルにシグネチャのオーバーライドを追加することもできます。それぞれの脅威シグネチャには、デフォルトのアクションが関連付けられています。脅威防止セキュリティ プロファイルを使用すると、前述のアクションを使用してこれらのデフォルト アクションをオーバーライドできます。署名のオーバーライドは、重大度のオーバーライドよりも優先されます。

脅威防止の構成方法については、侵入検知および防止サービスを構成するをご覧ください。

高度なマルウェア サンドボックスのセキュリティ プロファイル

Cloud NGFW は、高度なマルウェア サンドボックス セキュリティ プロファイルを使用して、マルウェア分析のセキュリティ ポリシーと動作を定義します。WILDFIRE_ANALYSIS セキュリティ プロファイル タイプを使用して、ファイアウォールが潜在的な脅威を検出して対応する方法を構成します。

詳細については、高度なマルウェア サンドボックスの概要をご覧ください。

次のパラメータを使用します。これらのパラメータは高度なマルウェア サンドボックス構成の一部であり、gcloud network-security security-profiles wildfire-analysis コマンドを使用して構成できます。

  • 送信ルール: Cloud NGFW Enterprise が非同期分析のために高度なマルウェア サンドボックスにアップロードするファイルを定義します。これらのルールは add-submission-rule コマンドを使用して構成します。

    • 送信するファイル形式を指定するには、--file-types フラグを使用して ANY_FILE、APK、ARCHIVE、EMAIL_LINK、FLASH、JAR、LINUX、MS_OFFICE、PDF、PE、SCRIPT のいずれかを選択します。
    • --direction フラグを使用して、UPLOAD、DOWNLOAD、BOTH などのトラフィックの方向を指定します。

  • インライン クラウド分析ルール: これらのルールを使用して、リアルタイム保護を構成します。これらのルールは add-inline-cloud-analysis-rule コマンドを使用して構成します。

    • --file-types フラグを使用してファイル形式（ANY_FILE ファイルまたは PE ファイルに制限）を指定します。
    • --direction フラグを使用して、トラフィックの方向（DOWNLOAD または BOTH）を指定します。
    • --action フラグを使用して、脅威の検出時に実行するアクション（ALLOW、DENY、ALERT）を定義します。

  • インライン ML 構成: 機械学習（ML）エンジンを有効または無効にして、WINDOWS_EXECUTABLE、POWERSHELL_SCRIPT1、POWERSHELL_SCRIPT2、ELF、MS_OFFICE などの特定のファイル形式の悪意のあるコンテンツを動的に検出します。これらのエンジンを構成するには、次のフラグを指定して update コマンドを使用します。

    • --[no-]analyze-windows-executables
    • --[no-]analyze-powershell-script-1
    • --[no-]analyze-powershell-script-2
    • --[no-]analyze-elf
    • --[no-]analyze-ms-office
    • --[no-]analyze-shell
    • --[no-]analyze-ooxml
    • --[no-]analyze-macho

  • インライン ML 例外: 特定のファイルに対してインライン ML エンジンをバイパスするルールを作成します。add-inline-ml-exception コマンドを使用して例外を構成します。

    • --partial-hash フラグを使用して、ファイルのハッシュの一部を指定します。
    • --filename フラグを使用してファイル名を指定します。

  • リアルタイム ルックアップ: 高度なマルウェア サンドボックス クラウドに対してリアルタイム シグネチャ ルックアップを実行して、既知のマルウェアの最初の転送を防ぐ際に、Cloud NGFW がファイル転送を保留するかどうかを決定します。この設定は、 Google Cloud コンソールでプロファイルを作成するとデフォルトで有効になり、gcloud CLI または API を使用してプロファイルを作成するとデフォルトで無効になります。この設定を構成するには、update コマンドと --[no-]wildfire-realtime-lookup フラグを使用します。

  • 脅威とプロトコルのオーバーライド: 高度なマルウェア サンドボックスのシグネチャが一致した場合に、デフォルトのアクションをオーバーライドします。add-override コマンドを使用してオーバーライドを構成します。次のアクションをオーバーライドできます。

    • プロトコルのオーバーライド: HTTP、SMTP、FTP などの指定されたプロトコルで発生するすべての高度なマルウェア サンドボックスまたはインライン ML 脅威に、DENY などの特定のアクションを適用します。これらを構成するには、--wildfire フラグまたは --wildfire-inline-ml フラグと --action フラグを使用します。

    • 脅威 ID のオーバーライド: ベンダー指定の正確な脅威 ID を指定して、署名の例外を追加します。多くの場合、これには、誤検知アラートを抑制するためにアクションを ALLOW に変更することが含まれます。これらは、--threat-ids フラグと --action フラグを使用して構成します。

高度なマルウェア サンドボックス セキュリティ プロファイルをセキュリティ プロファイル グループに関連付けて、これらのルールをネットワーク トラフィックに適用します。また、同じグループに脅威防止セキュリティ プロファイルも含めます。高度なマルウェア サンドボックスのセキュリティ プロファイルを作成するには、高度なマルウェア サンドボックスのセキュリティ プロファイルを作成するをご覧ください。

URL フィルタリング セキュリティ プロファイル

Cloud NGFW は、URL フィルタリング セキュリティ プロファイルを使用して URL フィルタリング サービスを構成します。

URL フィルタリング セキュリティ プロファイルは、1 つ以上の URL フィルタを使用してファイアウォール エンドポイントのセキュリティ ポリシーを定義するセキュリティ プロファイルの一種です。URL フィルタは、一意の優先度とアクションを持つマッチャー文字列のリストです。マッチャー文字列には、Cloud NGFW が評価対象の HTTP メッセージと照合するドメイン名が含まれています。暗号化されたメッセージの場合、Cloud NGFW は、TLS ネゴシエーション中に送信された SNI とマッチャー文字列を照合します。TLS インスペクションを有効にすると、Cloud NGFW はメッセージ ヘッダーを復号し、ホストヘッダーも評価します。暗号化されていないトラフィックの場合、Cloud NGFW は常にマッチャー文字列を HTTP メッセージのホストヘッダーと比較します。

URL フィルタの優先度は、priority フィールドを使用して指定する一意の値によって決まります。URL フィルタの優先度の値は 0～2147483647 の範囲で指定できます。Cloud NGFW は、最も小さい数値（最も高い優先度を表す）を最初に処理し、一致が見つかるまで、次に大きい数値を処理します。Cloud NGFW は、URL フィルタリング リスト内の個々のドメインを優先順位に従って評価しません。

URL フィルタリング セキュリティ プロファイルの作成と管理の詳細については、URL フィルタリング セキュリティ プロファイルの作成と管理をご覧ください。

URL フィルタリングの構成方法については、URL フィルタリング サービスを構成するをご覧ください。

割り当て

セキュリティ プロファイルに関連付けられた割り当てを表示するには、割り当てと上限をご覧ください。

次のステップ