Exemples de stratégies de sécurité

Console

Configurez la stratégie de sécurité pour les utilisateurs externes :

1. Dans la console Google Cloud, accédez à la page Règles Google Cloud Armor.

   Accéder aux règles Google Cloud Armor

2. Cliquez sur Créer des règles.

3. Dans le champ Nom, saisissez mobile-clients-policy.

4. Dans le champ Description, saisissez Policy for external users.

5. Dans le champ Action de règle par défaut, sélectionnez Refuser.

6. Dans le champ État de refus, sélectionnez 404 (introuvable).

7. Cliquez sur Next step (Étape suivante).

Ajouter d'autres règles :

1. Cliquez sur Add rule (Ajouter une règle).
2. Dans le champ Description, saisissez allow traffic from 192.0.2.0/24.
3. Dans le champ Mode, sélectionnez Mode de base (adresses/plages d'adresses IP uniquement).
4. Dans le champ Correspondance, saisissez 192.0.2.0/24.
5. Dans le champ Action, sélectionnez Autoriser.
6. Dans le champ Priorité, saisissez 1000.
7. Cliquez sur OK.
8. Cliquez sur Next step (Étape suivante).

Appliquer les règles aux cibles :

1. Cliquez sur Add Target (Ajouter une cible).
2. Dans la liste Cible, sélectionnez une cible.
3. Cliquez sur OK.
4. Cliquez sur Créer une règle.

Vous pouvez également activer Google Cloud Armor Adaptive Protection:

1. Pour activer Adaptive Protection, cochez la case Activer.

Configurez la stratégie de sécurité pour les utilisateurs internes :

1. Cliquez sur Créer des règles.
2. Dans le champ Nom, saisissez internal-users-policy.
3. Dans le champ Description, saisissez Policy for internal test users.
4. Dans le champ Action de règle par défaut, sélectionnez Refuser.
5. Dans le champ État de refus, sélectionnez 502 (passerelle incorrecte).
6. Cliquez sur Next step (Étape suivante).

Ajouter d'autres règles :

1. Cliquez sur Add rule (Ajouter une règle).
2. Dans le champ Description, saisissez allow traffic from 198.51.100.0/24.
3. Dans le champ Mode, sélectionnez Mode de base (adresses/plages d'adresses IP uniquement).
4. Dans le champ Correspondance, saisissez 198.51.100.0/24.
5. Dans le champ Action, sélectionnez Autoriser.
6. Dans le champ Aperçu uniquement, cochez la case Activer.
7. Dans le champ Priorité, saisissez 1000.
8. Cliquez sur OK.
9. Cliquez sur Next step (Étape suivante).

Appliquer les règles aux cibles :

1. Cliquez sur Add Target (Ajouter une cible).
2. Dans la liste Cible, sélectionnez une cible.
3. Cliquez sur OK.
4. Cliquez sur Créer une règle.

gcloud

1. Créez les stratégies de sécurité Google Cloud Armor :

   gcloud compute security-policies create mobile-clients-policy \
       --description "policy for external users"
   

   gcloud compute security-policies create internal-users-policy \
       --description "policy for internal test users"
   

2. Remplacez les règles par défaut par les stratégies de sécurité pour refuser le trafic :

   gcloud compute security-policies rules update 2147483647 \
       --security-policy mobile-clients-policy \
       --action "deny-404"
   

   gcloud compute security-policies rules update 2147483647 \
       --security-policy internal-users-policy \
       --action "deny-502"
   

3. Ajoutez des règles aux stratégies de sécurité :

   gcloud compute security-policies rules create 1000 \
       --security-policy mobile-clients-policy \
       --description "allow traffic from 192.0.2.0/24" \
       --src-ip-ranges "192.0.2.0/24" \
       --action "allow"
   

   gcloud compute security-policies rules create 1000 \
       --security-policy internal-users-policy \
       --description "allow traffic from 198.51.100.0/24" \
       --src-ip-ranges "198.51.100.0/24" \
       --action "allow"
   

4. Associez les stratégies de sécurité aux services de backend :

   gcloud compute backend-services update games \
       --security-policy mobile-clients-policy
   

   gcloud compute backend-services update test-network \
       --security-policy internal-users-policy
   

5. Vous pouvez également activer Adaptive Protection :

   gcloud compute security-policies update mobile-clients-policy \
       --enable-layer7-ddos-defense
   

   gcloud compute security-policies update internal-users-policy \
       --enable-layer7-ddos-defense
   

Console

Créez des règles et des stratégies de sécurité Google Cloud Armor, et associez une stratégie de sécurité à un service de backend :

1. Dans la console Google Cloud, accédez à la page Règles Google Cloud Armor.

   Accéder aux règles Google Cloud Armor

2. Cliquez sur Créer des règles.

3. Dans le champ Nom, saisissez le nom de votre stratégie.

4. Facultatif : saisissez une description de la stratégie.

5. Pour le champ Type de stratégie, sélectionnez Stratégie de sécurité backend ou Stratégie de sécurité périphérique.

6. Dans le champ Action de règle par défaut, sélectionnez Autoriser pour une règle par défaut qui autorise l'accès à une adresse IP ou à une plage d'adresses IP, ou Refuser pour une règle par défaut qui en interdit l'accès.

   La règle par défaut est la règle de priorité la plus basse qui ne prend effet que si aucune autre règle ne s'applique.

7. Si vous configurez une règle de refus, sélectionnez un message État de refus. Il s'agit du message d'erreur que Google Cloud Armor affiche si un utilisateur sans droit d'accès effectue une tentative d'accès.

8. Quel que soit le type de règle que vous configurez, cliquez sur Étape suivante.

Ajouter d'autres règles :

1. Cliquez sur Add rule (Ajouter une règle).
2. Facultatif : entrez la description de la règle.

3. Sélectionner le mode :

   • Mode de base : autorisez ou refusez le trafic en fonction d'adresses IP ou de plages d'adresses IP.
   • Mode avancé : autorisez ou refusez le trafic en fonction d'expressions de règle.

4. Dans le champ Correspondance, spécifiez les conditions dans lesquelles la règle s'applique :

   • Mode de base : saisissez les adresses IP ou les plages d'adresses IP à mettre en correspondance dans la règle.
   • Mode avancé : saisissez une expression ou des sous-expressions avec lesquelles évaluer les requêtes entrantes. Pour en savoir plus sur la façon d'écrire les expressions, consultez la section Configurer les attributs de langage des règles personnalisées.

5. Dans le champ Action, sélectionnez Autoriser ou Refuser pour autoriser ou refuser le trafic si la règle correspond.

6. Pour activer le mode Aperçu, cochez la case Activer. En mode aperçu, vous pouvez voir comment la règle se comporte, mais celle-ci n'est pas activée.

7. Saisissez la priorité de la règle. Il peut s'agir de n'importe quel entier positif compris entre 0 et 2 147 483 646 (inclus). Pour en savoir plus sur l'ordre d'évaluation, consultez la section Ordre d'évaluation des règles.

8. Cliquez sur OK.

9. Pour ajouter d'autres règles, cliquez sur Ajouter une règle, puis répétez les étapes précédentes. Sinon, cliquez sur Étape suivante.

Appliquer les règles aux cibles :

1. Cliquez sur Add Target (Ajouter une cible).
2. Dans la liste Cible, sélectionnez une cible.
3. Pour ajouter d'autres cibles, cliquez sur Ajouter une cible.
4. Cliquez sur OK.
5. Cliquez sur Créer une règle.

gcloud

1. Pour créer une stratégie de sécurité Google Cloud Armor, utilisez la commande gcloud compute security-policies create.

   Dans le champ type, utilisez CLOUD_ARMOR pour créer une stratégie de sécurité backend ou CLOUD_ARMOR_EDGE pour créer une stratégie de sécurité périphérique. L'option type est facultative. Si aucun type n'est spécifié, une stratégie de sécurité backend est créée par défaut:

   gcloud compute security-policies create NAME \
      [--type=CLOUD_ARMOR|CLOUD_ARMOR_EDGE] \
      [--file-format=FILE_FORMAT | --description=DESCRIPTION] \
      [--file-name=FILE_NAME]
   
   

   Remplacez les éléments suivants :

   • NAME: nom de la stratégie de sécurité
   • DESCRIPTION: description de la stratégie de sécurité

   La commande suivante met à jour une stratégie que vous avez créée précédemment, active l'analyse JSON et modifie le niveau de journalisation en VERBOSE :

   gcloud compute security-policies update my-policy \
       --json-parsing=STANDARD \
       --log-level=VERBOSE
   

2. Pour ajouter des règles à une stratégie de sécurité, utilisez la commande gcloud compute security-policies rules create PRIORITY.

   gcloud compute security-policies rules create PRIORITY  \
       [--security-policy POLICY_NAME] \
       [--description DESCRIPTION] \
       --src-ip-ranges IP_RANGE,... | --expression EXPRESSION \
       --action=[ allow | deny-403 | deny-404 | deny-502 ] \
       [--preview]
   

   Remplacez PRIORITY par la priorité attribuée à la règle dans la stratégie. Pour en savoir plus sur le fonctionnement de la priorité des règles, consultez la section Ordre d'évaluation des règles.

   Par exemple, la commande suivante ajoute une règle pour bloquer le trafic provenant des plages d'adresses IP 192.0.2.0/24 et 198.51.100.0/24. La règle a la priorité 1000, et il s'agit d'une règle d'une stratégie appelée my-policy.

   gcloud compute security-policies rules create 1000 \
       --security-policy my-policy \
       --description "block traffic from 192.0.2.0/24 and 198.51.100.0/24" \
       --src-ip-ranges "192.0.2.0/24","198.51.100.0/24" \
       --action "deny-403"
   

   Si vous ajoutez l'option --preview, la règle est ajoutée à la stratégie, mais elle n'est pas appliquée, et tout trafic qui déclenche la règle est uniquement consigné.

   gcloud compute security-policies rules create 1000 \
       --security-policy my-policy \
       --description "block traffic from 192.0.2.0/24 and 198.51.100.0/24" \
       --src-ip-ranges "192.0.2.0/24","198.51.100.0/24" \
       --action "deny-403" \
       --preview
   

   Utilisez l'option --expression pour spécifier une condition personnalisée. Pour en savoir plus, consultez la section Configurer les attributs de langage des règles personnalisées. La commande suivante ajoute une règle pour autoriser le trafic provenant de l'adresse IP 1.2.3.4 et contient la chaîne example dans l'en-tête user-agent :

   gcloud compute security-policies rules create 1000 \
       --security-policy my-policy \
       --expression "inIpRange(origin.ip, '1.2.3.4/32') && has(request.headers['user-agent']) && request.headers['user-agent'].contains('example')" \
       --action allow \
       --description "Block User-Agent 'example'"
   

   La commande suivante ajoute une règle pour bloquer les requêtes si leur cookie contient une valeur spécifique :

   gcloud compute security-policies rules create 1000 \
       --security-policy my-policy \
       --expression "has(request.headers['cookie']) && request.headers['cookie'].contains('cookie_name=cookie_value')" \
       --action "deny-403" \
       --description "Cookie Block"
   

   La commande suivante ajoute une règle pour bloquer les requêtes provenant de la région AU :

   gcloud compute security-policies rules create 1000 \
       --security-policy my-policy \
       --expression "origin.region_code == 'AU'" \
       --action "deny-403" \
       --description "AU block"
   

   La commande suivante ajoute une règle pour bloquer les requêtes de la région AU qui ne se trouvent pas dans la plage d'adresses IP spécifiée :

   gcloud compute security-policies rules create 1000 \
       --security-policy my-policy \
       --expression "origin.region_code == 'AU' && !inIpRange(origin.ip, '1.2.3.0/24')" \
       --action "deny-403" \
       --description "country and IP block"
   

   La commande suivante ajoute une règle pour bloquer les requêtes dont l'URI correspond à une expression régulière :

   gcloud compute security-policies rules create 1000 \
       --security-policy my-policy \
       --expression "request.path.matches('/example_path/')" \
       --action "deny-403" \
       --description "regex block"
   

   La commande suivante ajoute une règle pour bloquer les requêtes si la valeur décodée en base64 de l'en-tête user-id contient une valeur spécifique :

   gcloud compute security-policies rules create 1000 \
       --security-policy my-policy \
       --expression "has(request.headers['user-id']) && request.headers['user-id'].base64Decode().contains('myValue')" \
       --action "deny-403" \
       --description "country and IP block"
   

   La commande suivante ajoute une règle qui utilise un ensemble d'expressions préconfiguré pour atténuer les attaques SQLi :

   gcloud compute security-policies rules create 1000 \
       --security-policy my-policy \
       --expression "evaluatePreconfiguredExpr('sqli-stable')" \
       --action "deny-403"
   

   La commande suivante ajoute une règle qui utilise une expression préconfigurée pour autoriser l'accès à partir de toutes les adresses IP d'une liste d'adresses IP nommée :

   gcloud compute security-policies rules create 1000 \
       --security-policy my-policy \
       --expression "evaluatePreconfiguredExpr('sourceiplist-fastly')" \
       --action "allow"