Implantar automaticamente as regras sugeridas da Proteção adaptável

Este documento apresenta as etapas de configuração para implantar automaticamente as regras sugeridas que a Proteção adaptável gera. Para ativar a implantação automática de regras, crie uma regra de marcador com os seguintes valores:

  • Expressão correspondente: evaluateAdaptiveProtectionAutoDeploy()
  • Ação: qualquer uma
  • Prioridade: qualquer uma. Recomendamos que você defina uma regra de permissão explícita com prioridade mais alta que as outras para tráfego legítimo de alta prioridade.

Se você usa um proxy upstream para proteger o balanceador de carga de aplicativo externo, como uma CDN de terceiros, é possível configurar a regra do marcador de posição para corresponder às solicitações com base no endereço IP do cliente original de um cabeçalho especificado ou de diversos cabeçalhos. Para usar esse recurso em fase de pré-lançamento, configure a opção userIpRequestHeaders[] no campo advancedOptionsConfig. Para mais informações, consulte a referência do recurso ComputeSecurityPolicy.

Exemplos de regras de marcador

Os comandos a seguir são exemplos de regras de marcador para as políticas de segurança chamadas de POLICY_NAME, cada uma com uma ação de regra diferente. É possível adicionar essas regras a uma política de segurança existente ou criar uma nova. Para mais informações sobre como criar políticas de segurança, consulte Configurar políticas de segurança do Google Cloud Armor.

Bloquear tráfego malicioso

Neste exemplo de regra, avaliamos como true as solicitações que a Proteção adaptável identifica como tráfego de ataque, e o Google Cloud Armor aplica a ação de bloqueio à solicitação de ataque:

gcloud compute security-policies rules create 1000 \
    --security-policy POLICY_NAME \
    --expression "evaluateAdaptiveProtectionAutoDeploy()" \
    --action deny-403

Redirecionar tráfego malicioso para um teste reCAPTCHA

Esta regra de exemplo redireciona o tráfego que a Proteção adaptável identifica como malicioso para um teste reCAPTCHA:

gcloud compute security-policies rules create 1000 \
    --security-policy POLICY_NAME \
    --expression "evaluateAdaptiveProtectionAutoDeploy()" \
    --action redirect \
    --redirect-type google-recaptcha

Limite de taxa de tráfego malicioso

Este exemplo aplica a limitação de taxa do Google Cloud Armor ao tráfego que a Proteção adaptável identifica como malicioso:

gcloud compute security-policies rules create 1000 \
    --security-policy POLICY_NAME \
    --expression "evaluateAdaptiveProtectionAutoDeploy()" \
    --action throttle \
    --rate-limit-threshold-count 500 \
    --rate-limit-threshold-interval-sec 120 \
    --conform-action allow \
    --exceed-action deny-404 \
    --enforce-on-key ip

Configurar parâmetros de implantação automática da Proteção adaptável

É possível configurar os limites para a implantação automática de regras ajustando os parâmetros a seguir. Se você não definir o valor de um parâmetro, o Google Cloud Armor usará o valor padrão.

  • Limite de carga: durante um ataque de alerta, a Proteção adaptável identifica novos invasores somente quando a carga para o serviço de back-end que está sob ataque excede esse limite. Além disso, as regras são implantadas automaticamente apenas para alertas quando a carga para o serviço de back-end que está sob ataque excede esse limite.

    • Valor padrão: 0.8

  • Limite de confiança: as regras são implantadas automaticamente apenas para alertas de ataques em potencial com pontuações de confiança maiores que esse limite.

    • Valor padrão: 0.5

  • Limite de valor de referência afetado: as regras são apenas implantadas automaticamente quando o impacto estimado no tráfego do valor de referência da mitigação sugerida está abaixo desse limite. impactedBaselineProportion e impactedbaselinePolicyProportion precisam ser menores que o limite do valor de referência afetado.

    • Valor padrão: 0.01 por cento (0,01%, não 1%)

  • Expiração definida: o Google Cloud Armor deixa de aplicar a ação na regra implantada automaticamente a um invasor identificado após essa duração. A regra continua funcionando com base em novas solicitações.

    • Valor padrão: 7200 segundos

Use o comando de exemplo a seguir para atualizar sua política de segurança e usar limites não padrão implantados automaticamente. Substitua NAME pelo nome da política de segurança e as variáveis restantes pelos valores que você quer para a política.

gcloud beta compute security-policies update NAME [
    --layer7-ddos-defense-auto-deploy-load-threshold LOAD_THRESHOLD
    --layer7-ddos-defense-auto-deploy-confidence-threshold CONFIDENCE_THRESHOLD
    --layer7-ddos-defense-auto-deploy-impacted-baseline-threshold IMPACTED_BASELINE_THRESHOLD
    --layer7-ddos-defense-auto-deploy-expiration-sec EXPIRATION_SEC
]

Logging

Os registros gerados por regras implantadas automaticamente com a Proteção adaptável têm estes campos adicionais:

  • autoDeployed: depois de configurar a implantação automática de regras, cada registro de alerta gerado pela Proteção adaptável tem o campo booleano autoDeployed, que indica se uma defesa automática foi acionada. Quando autoDeployed é definido como true, isso indica que a regra de marcador de posição evaluateAdaptiveProtectionAutoDeploy() já avaliou que os limites de confiança e valor de referência afetado do ataque excederam os parâmetros de implantação automática configurados. Em seguida, o sistema começa a monitorar a carga dinâmica. Quando a carga ultrapassa o limite configurado, a regra é implantada automaticamente para mitigar o ataque.
  • adaptiveProtection.autoDeployAlertId: sempre que a Proteção adaptável realiza uma ação em uma solicitação como parte de uma defesa automática, o registro de solicitação tem o campo adicional adaptiveProtection.autoDeployAlertId, que registra o ID do alerta. Esse campo aparece em enforcedSecurityPolicy ou previewSecurityPolicy, dependendo se a política de segurança está no modo de prévia.

Para ver registros de solicitações, consulte Usar o registro de solicitações. A captura de tela a seguir mostra um exemplo de entrada de registro da Proteção adaptativa, com os campos autoDeployed e adaptiveProtection.autoDeployAlertId.

Um exemplo de registro da proteção adaptativa.
Um exemplo de registro da Proteção adaptativa (clique para ampliar).

Limitações

  • A Proteção adaptável só está disponível para políticas de segurança de back-end anexadas a serviços de back-end que são expostos por um balanceador de carga de aplicativo externo. A proteção adaptável não está disponível para balanceadores de carga de rede de proxy externo.