Mengonfigurasi layanan deteksi dan pencegahan penyusupan
Tetap teratur dengan koleksi
Simpan dan kategorikan konten berdasarkan preferensi Anda.
Untuk mengaktifkan layanan deteksi dan pencegahan intrusi di jaringan Anda, Anda harus menyiapkan beberapa komponen Cloud Next Generation Firewall. Dokumen ini memberikan alur kerja
tingkat tinggi yang menjelaskan cara mengonfigurasi komponen ini serta mengaktifkan deteksi dan pencegahan ancaman.
Mengonfigurasi layanan deteksi dan pencegahan penyusupan tanpa pemeriksaan TLS
Untuk mengonfigurasi layanan deteksi dan pencegahan penyusupan di jaringan Anda, lakukan tugas berikut.
lain yang diperlukan.
Buat profil keamanan jenis Threat prevention. Siapkan penggantian ancaman atau tingkat keparahan sesuai kebutuhan jaringan Anda. Anda dapat membuat satu
atau beberapa profil. Untuk mempelajari cara membuat profil keamanan, lihat Membuat profil keamanan.
Buat grup profil keamanan dengan profil keamanan yang dibuat pada
langkah sebelumnya. Untuk mempelajari cara membuat grup profil keamanan,
lihat Membuat grup profil keamanan.
Buat endpoint firewall di zona yang sama dengan workload tempat Anda ingin mengaktifkan pencegahan ancaman. Untuk mempelajari cara membuat endpoint firewall, lihat Membuat endpoint firewall.
Kaitkan endpoint firewall dengan satu atau beberapa jaringan VPC
tempat Anda ingin mengaktifkan deteksi dan pencegahan ancaman. Pastikan Anda menjalankan beban kerja di zona yang sama dengan endpoint firewall. Untuk mempelajari
cara mengaitkan endpoint firewall dengan jaringan VPC,
lihat Membuat pengaitan endpoint firewall.
Dalam kebijakan firewall global baru atau yang sudah ada, tambahkan aturan kebijakan firewall dengan
pemeriksaan Layer 7 diaktifkan (tindakan apply_security_profile_group) dan
tentukan nama grup profil keamanan yang Anda buat
pada langkah sebelumnya. Pastikan kebijakan firewall dikaitkan
dengan jaringan VPC yang sama dengan workload yang memerlukan
pemeriksaan. Untuk mempelajari lebih lanjut kebijakan firewall jaringan global dan parameter yang diperlukan untuk membuat aturan kebijakan firewall dengan pencegahan ancaman yang diaktifkan, lihat Membuat kebijakan firewall jaringan global dan Membuat aturan kebijakan firewall jaringan global.
Anda juga dapat menggunakan kebijakan firewall hierarkis untuk menambahkan aturan kebijakan firewall dengan grup profil keamanan yang dikonfigurasi. Untuk mempelajari lebih lanjut parameter yang diperlukan untuk membuat aturan kebijakan firewall hierarkis dengan pencegahan ancaman diaktifkan, lihat Membuat aturan firewall.
Mengonfigurasi layanan pencegahan dan deteksi penyusupan dengan pemeriksaan TLS
Buat profil keamanan jenis Threat prevention. Siapkan penggantian ancaman atau tingkat keparahan sesuai kebutuhan jaringan Anda. Anda dapat membuat satu
atau beberapa profil. Untuk mempelajari cara membuat profil keamanan, lihat Membuat profil keamanan.
Buat grup profil keamanan dengan profil keamanan yang dibuat pada
langkah sebelumnya. Untuk mempelajari cara membuat grup profil keamanan,
lihat Membuat grup profil keamanan.
Buat kumpulan CA dan konfigurasi kepercayaan, lalu tambahkan ke kebijakan pemeriksaan TLS Anda. Untuk mempelajari cara mengaktifkan pemeriksaan TLS di Cloud NGFW, lihat
Menyiapkan pemeriksaan TLS.
Buat endpoint firewall di zona yang sama dengan workload tempat Anda ingin mengaktifkan pencegahan ancaman. Untuk mempelajari cara membuat endpoint firewall, lihat Membuat endpoint firewall.
Kaitkan endpoint firewall dengan satu atau beberapa jaringan VPC
tempat Anda ingin mengaktifkan deteksi dan pencegahan ancaman. Tambahkan kebijakan inspeksi TLS yang Anda buat pada langkah sebelumnya ke asosiasi endpoint firewall. Pastikan Anda menjalankan workload di zona yang sama dengan endpoint firewall.
Untuk mempelajari cara mengaitkan endpoint firewall dengan
jaringan VPC dan mengaktifkan inspeksi TLS,
lihat Membuat pengaitan endpoint firewall.
Dalam kebijakan firewall global baru atau yang sudah ada, tambahkan aturan kebijakan firewall dengan
pemeriksaan Layer 7 diaktifkan (tindakan apply_security_profile_group) dan
tentukan nama grup profil keamanan yang Anda buat
pada langkah sebelumnya. Untuk mengaktifkan pemeriksaan TLS, tentukan tanda
--tls-inspect. Pastikan kebijakan firewall dikaitkan
dengan jaringan VPC yang sama dengan workload yang memerlukan
pemeriksaan. Untuk mempelajari lebih lanjut kebijakan firewall jaringan global dan parameter yang diperlukan untuk membuat aturan kebijakan firewall dengan pencegahan ancaman yang diaktifkan, lihat Membuat kebijakan firewall jaringan global dan Membuat aturan kebijakan firewall jaringan global.
Anda juga dapat menggunakan kebijakan firewall hierarkis untuk menambahkan aturan kebijakan firewall dengan grup profil keamanan yang dikonfigurasi. Untuk mempelajari lebih lanjut parameter yang diperlukan untuk membuat aturan kebijakan firewall hierarkis dengan pencegahan ancaman diaktifkan, lihat Membuat aturan firewall.
Contoh model deployment
Gambar 1 menunjukkan contoh deployment dengan layanan deteksi dan pencegahan intrusi yang dikonfigurasi untuk
dua jaringan VPC di region yang sama, tetapi dua zona yang berbeda.
Gambar 1. Men-deploy layanan deteksi dan pencegahan penyusupan di suatu region (klik untuk memperbesar).
Contoh deployment memiliki konfigurasi pencegahan ancaman berikut:
Dua grup profil keamanan:
Security profile group 1 dengan profil keamanan Security profile 1.
Security profile group 2 dengan profil keamanan Security profile 2.
VPC Pelanggan 1 (VPC 1) memiliki kebijakan firewall dengan grup profil keamanan yang ditetapkan ke Security profile group 1.
VPC Pelanggan 2 (VPC 2) memiliki kebijakan firewall dengan grup profil keamanan yang ditetapkan ke Security profile group 2.
Endpoint firewall Firewall endpoint 1 melakukan deteksi dan pencegahan ancaman untuk workload yang berjalan di VPC 1 dan VPC 2 di zona us-west1-a.
Endpoint firewall Firewall endpoint 2 melakukan deteksi dan pencegahan ancaman dengan pemeriksaan TLS yang diaktifkan untuk beban kerja yang berjalan di VPC 1 dan VPC 2 di zona us-west1-b.
[[["Mudah dipahami","easyToUnderstand","thumb-up"],["Memecahkan masalah saya","solvedMyProblem","thumb-up"],["Lainnya","otherUp","thumb-up"]],[["Sulit dipahami","hardToUnderstand","thumb-down"],["Informasi atau kode contoh salah","incorrectInformationOrSampleCode","thumb-down"],["Informasi/contoh yang saya butuhkan tidak ada","missingTheInformationSamplesINeed","thumb-down"],["Masalah terjemahan","translationIssue","thumb-down"],["Lainnya","otherDown","thumb-down"]],["Terakhir diperbarui pada 2025-09-01 UTC."],[[["\u003cp\u003eThis document outlines the steps to configure intrusion prevention services within a network using Cloud Next Generation Firewall components, including both with and without TLS inspection.\u003c/p\u003e\n"],["\u003cp\u003eThe process involves creating security profiles, security profile groups, and firewall endpoints in the same zone as the workloads requiring threat prevention.\u003c/p\u003e\n"],["\u003cp\u003eFirewall endpoints must be associated with Virtual Private Cloud (VPC) networks to enable threat detection and prevention for the workloads in those networks.\u003c/p\u003e\n"],["\u003cp\u003eGlobal or hierarchical firewall policies are utilized to apply security profile groups with Layer 7 inspection enabled to specified VPC networks, thus implementing intrusion prevention.\u003c/p\u003e\n"],["\u003cp\u003eTLS inspection setup requires the creation of a CA pool and trust config, which are added to the TLS inspection policy and then to the firewall endpoint association, to ensure secure traffic inspection.\u003c/p\u003e\n"]]],[],null,["# Configure intrusion detection and prevention service\n\nTo enable intrusion detection and prevention service in your network, you must set up\nmultiple Cloud Next Generation Firewall components. This document provides a high-level\nworkflow that describes how to configure these components and enable threat\ndetection and prevention.\n\nConfigure intrusion detection and prevention service without TLS inspection\n---------------------------------------------------------------------------\n\nTo configure intrusion detection and prevention service in your network, perform the\nfollowing tasks.\n| **Note:** The following workflow provides a high-level sequence of steps required to configure intrusion detection and prevention service in your network. This workflow assumes that you have already set up your Virtual Private Cloud (VPC) network, subnets, VM instances, and other required Google Cloud resources and components.\n\n1. Create a security profile of type `Threat prevention`. Set up threat or\n severity overrides as required by your network. You can create one\n or more profiles. To learn how to create security profiles,\n see [Create a security profile](/firewall/docs/configure-security-profiles#create-security-profile).\n\n2. Create a security profile group with the security profile created in the\n preceding step. To learn how to create a security profile group,\n see [Create a security profile group](/firewall/docs/configure-security-profile-groups#create-security-profile-group).\n\n3. Create a firewall endpoint in the same zone as your workloads where you want\n to enable threat prevention. To learn how to create\n a firewall endpoint, see [Create a firewall endpoint](/firewall/docs/configure-firewall-endpoints#create-firewall-endpoint).\n\n4. Associate the firewall endpoint with one or more VPC networks\n where you want to enable threat detection and prevention. Make sure that you're\n running your workloads in the same zone as the firewall endpoint. To learn\n how to associate a firewall endpoint with a VPC network,\n see [Create firewall endpoint associations](/firewall/docs/configure-firewall-endpoint-associations#create-endpoint-association).\n\n5. You can use [global network firewall policies](/firewall/docs/network-firewall-policies)\n or [hierarchical firewall policies](/firewall/docs/firewall-policies) to\n configure intrusion detection and prevention service.\n\n - In a new or existing global firewall policy, add a firewall policy rule with\n Layer 7 inspection enabled (`apply_security_profile_group` action) and\n specify the name of the security profile group that you created\n in the preceding step. Make sure that the firewall policy is associated\n with the same VPC network as the workloads that require\n inspection. To learn more about global network firewall policy and the\n parameters required to create a firewall policy rule with threat\n prevention enabled, see [Create global network firewall policy](/firewall/docs/use-network-firewall-policies#create-network-firewall-policy) and\n [Create global network firewall policy rules](/firewall/docs/use-network-firewall-policies#create-rules).\n\n - You can also use a hierarchical firewall policy to add a firewall policy\n rule with a security profile group configured. To learn more about the\n parameters required to create hierarchical firewall policy rules with\n threat prevention enabled, see [Create firewall\n rules](/firewall/docs/using-firewall-policies#create-rules).\n\nConfigure intrusion detection and prevention service with TLS inspection\n------------------------------------------------------------------------\n\nTo configure intrusion detection and prevention service with\n[Transport Layer Security (TLS) inspection](/firewall/docs/about-tls-inspection)\nin your network, perform the following tasks.\n| **Note:** The following workflow provides a high-level sequence of steps required to configure intrusion detection and prevention service with TLS inspection in your network. This workflow assumes that you have already set up your VPC network, subnets, VM instances, and other required Google Cloud resources and components.\n\n1. Create a security profile of type `Threat prevention`. Set up threat or\n severity overrides as required by your network. You can create one\n or more profiles. To learn how to create security profiles,\n see [Create a security profile](/firewall/docs/configure-security-profiles#create-security-profile).\n\n2. Create a security profile group with the security profile created in the\n preceding step. To learn how to create a security profile group,\n see [Create a security profile group](/firewall/docs/configure-security-profile-groups#create-security-profile-group).\n\n3. Create a CA pool and a trust config, and add them to your TLS inspection\n policy. To learn how to enable TLS inspection in Cloud NGFW, see\n [Set up TLS inspection](/firewall/docs/setup-tls-inspection).\n\n4. Create a firewall endpoint in the same zone as your workloads where you want\n to enable threat prevention. To learn how to create\n a firewall endpoint, see [Create a firewall endpoint](/firewall/docs/configure-firewall-endpoints#create-firewall-endpoint).\n\n5. Associate the firewall endpoint with one or more VPC networks\n where you want to enable threat detection and prevention. Add the TLS\n inspection policy you created in the preceding step to the firewall endpoint\n association. Make sure that you're running your workloads in the same zone\n as the firewall endpoint.\n\n To learn how to associate a firewall endpoint with\n a VPC network and enable TLS inspection,\n see [Create firewall endpoint associations](/firewall/docs/configure-firewall-endpoint-associations#create-endpoint-association).\n6. You can use [global network firewall policies](/firewall/docs/network-firewall-policies)\n or [hierarchical firewall policies](/firewall/docs/firewall-policies) to\n configure intrusion detection and prevention service.\n\n - In a new or existing global firewall policy, add a firewall policy rule with\n Layer 7 inspection enabled (`apply_security_profile_group` action) and\n specify the name of the security profile group that you created\n in the preceding step. To enable TLS inspection, specify the\n `--tls-inspect` flag. Make sure that the firewall policy is associated\n with the same VPC network as the workloads that require\n inspection. To learn more about global network firewall policy and the\n parameters required to create a firewall policy rule with threat\n prevention enabled, see [Create global network firewall policy](/firewall/docs/use-network-firewall-policies#create-network-firewall-policy) and\n [Create global network firewall policy rules](/firewall/docs/use-network-firewall-policies#create-rules).\n\n - You can also use a hierarchical firewall policy to add a firewall policy\n rule with a security profile group configured. To learn more about the\n parameters required to create hierarchical firewall policy rules with\n threat prevention enabled, see [Create firewall\n rules](/firewall/docs/using-firewall-policies#create-rules).\n\nExample deployment model\n------------------------\n\nFigure 1 shows an example deployment with intrusion detection and prevention service configured for\ntwo VPC networks in the same region but two different\nzones.\n[](/static/firewall/images/firewall-ips/ips-sample-deployment-in-region.svg) **Figure 1.** Deploy intrusion detection and prevention service in a region (click to enlarge).\n\nThe example deployment has the following threat prevention configuration:\n\n1. Two security profile groups:\n\n 1. `Security profile group 1` with security profile `Security profile 1`.\n\n 2. `Security profile group 2` with security profile `Security profile 2`.\n\n2. Customer VPC 1 (`VPC 1`) has firewall policy with security profile group\n set to `Security profile group 1`.\n\n3. Customer VPC 2 (`VPC 2`) has firewall policy with security profile group\n set to `Security profile group 2`.\n\n4. Firewall endpoint `Firewall endpoint 1` performs threat detection and\n prevention for workloads running on `VPC 1`and`VPC 2` in zone `us-west1-a`.\n\n5. Firewall endpoint `Firewall endpoint 2` performs threat detection and\n prevention with TLS inspection enabled for workloads running on `VPC 1` and\n `VPC 2` in zone `us-west1-b`.\n\nWhat's next\n-----------\n\n- [Security profile overview](/firewall/docs/about-security-profiles)\n- [Security profile group overview](/firewall/docs/about-security-profile-groups)\n- [Firewall endpoint overview](/firewall/docs/about-firewall-endpoints)"]]
