Mantenha tudo organizado com as coleções
Salve e categorize o conteúdo com base nas suas preferências.
Para ativar o serviço de prevenção de invasões na rede, você precisa configurar vários componentes do Cloud Next Generation Firewall. Veja neste documento um fluxo de trabalho de alto nível que descreve como configurar esses componentes e ativar a detecção e a prevenção de ameaças.
Configurar o serviço de prevenção de invasões sem a inspeção TLS
Para configurar o serviço de prevenção contra invasões na sua rede, execute as tarefas a seguir.
Crie um perfil de segurança do tipo Threat prevention. Configure as modificações de ameaças ou
gravidade conforme exigido pela sua rede. É possível criar um ou mais perfis. Para saber como criar perfis de segurança, consulte Criar um perfil de segurança.
Crie um grupo de perfis de segurança com o perfil criado na etapa anterior. Para saber como criar um grupo de perfis de segurança, consulte Criar um grupo de perfis de segurança.
Crie um endpoint de firewall na mesma zona das cargas de trabalho em que você quer ativar a prevenção de ameaças. Para saber como criar um endpoint de firewall, consulte Criar um endpoint de firewall.
Associe o endpoint do firewall a uma ou mais redes VPC em que você quer ativar a detecção e a prevenção de ameaças. Verifique se as cargas de trabalho estão sendo executadas na mesma zona que o endpoint de firewall. Para saber
como associar um endpoint de firewall a uma rede VPC,
consulte Criar associações de endpoints de firewall.
Em uma política de firewall global nova ou existente, adicione uma regra de política de firewall com a inspeção da camada 7 ativada (ação apply_security_profile_group) e especifique o nome do grupo de perfis de segurança que você criou na etapa anterior. Verifique se a política de firewall está associada à mesma rede VPC que as cargas de trabalho que exigem inspeção. Para saber mais sobre a política de firewall de rede global e as
parâmetros necessários para criar uma regra de política de firewall com ameaças
ativada, consulte Criar política de firewall de rede global e
Crie regras de política de firewall de rede globais.
Também é possível usar uma política hierárquica de firewall para adicionar uma regra de política de firewall com um grupo de perfis de segurança configurado. Para saber mais sobre os parâmetros necessários para criar regras hierárquicas de política de firewall com a prevenção de ameaças ativada, consulte Criar regras de firewall.
Configurar o serviço de prevenção de invasões com a inspeção de TLS
Crie um perfil de segurança do tipo Threat prevention. Configure as modificações de ameaças ou
gravidade conforme exigido pela sua rede. É possível criar um ou mais perfis. Para saber como criar perfis de segurança, consulte Criar um perfil de segurança.
Crie um grupo de perfis de segurança com o perfil criado na etapa anterior. Para saber como criar um grupo de perfis de segurança, consulte Criar um grupo de perfis de segurança.
Crie um pool de CAs e uma configuração de confiança e adicione-os à política de inspeção de TLS. Para saber como ativar a inspeção de TLS no Cloud NGFW, consulte Configurar inspeção de TLS.
Crie um endpoint de firewall na mesma zona das cargas de trabalho em que você quer ativar a prevenção de ameaças. Para saber como criar um endpoint de firewall, consulte Criar um endpoint de firewall.
Associe o endpoint do firewall a uma ou mais redes VPC em que você quer ativar a detecção e a prevenção de ameaças. Adicione a política de inspeção de TLS que você criou na etapa anterior à associação de endpoint do firewall. Verifique se as cargas de trabalho estão sendo executadas na mesma zona que o endpoint de firewall.
Em uma política de firewall global nova ou existente, adicione uma regra de política de firewall com a inspeção da camada 7 ativada (ação apply_security_profile_group) e especifique o nome do grupo de perfis de segurança que você criou na etapa anterior. Para ativar a inspeção de TLS, especifique a sinalização --tls-inspect. Verifique se a política de firewall está associada à mesma rede VPC que as cargas de trabalho que exigem inspeção. Para saber mais sobre a política de firewall de rede global e as
parâmetros necessários para criar uma regra de política de firewall com ameaças
ativada, consulte Criar política de firewall de rede global e
Crie regras de política de firewall de rede globais.
Também é possível usar uma política hierárquica de firewall para adicionar uma regra de política de firewall com um grupo de perfis de segurança configurado. Para saber mais sobre os parâmetros necessários para criar regras hierárquicas de política de firewall com a prevenção de ameaças ativada, consulte Criar regras de firewall.
Exemplo de modelo de implantação
A Figura 1 mostra um exemplo de implantação com serviço de prevenção de invasões configurado para duas redes VPC na mesma região, mas em duas zonas diferentes.
Figura 10. Implante o serviço de prevenção de invasões em uma região (clique para ampliar).
A implantação de exemplo tem a seguinte configuração de prevenção de ameaças:
Dois grupos de perfis de segurança:
Security profile group 1 com o perfil de segurança Security profile 1.
Security profile group 2 com o perfil de segurança Security profile 2.
A VPC 1 do cliente (VPC 1) tem uma política de firewall com o grupo de perfis de segurança definido como Security profile group 1.
A VPC 2 do cliente (VPC 2) tem uma política de firewall com o grupo de perfis de segurança definido como Security profile group 2.
O endpoint de firewall Firewall endpoint 1 realiza a detecção e a prevenção de ameaças para cargas de trabalho em execução no VPC 1 e VPC 2 na zona us-west1-a.
O endpoint de firewall Firewall endpoint 2 realiza a detecção e a prevenção de ameaças com a inspeção de TLS ativada para cargas de trabalho em execução no VPC 1 e VPC 2 na zona us-west1-b.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2024-12-21 UTC."],[[["\u003cp\u003eThis document outlines the steps to configure intrusion prevention services within a network using Cloud Next Generation Firewall components, including both with and without TLS inspection.\u003c/p\u003e\n"],["\u003cp\u003eThe process involves creating security profiles, security profile groups, and firewall endpoints in the same zone as the workloads requiring threat prevention.\u003c/p\u003e\n"],["\u003cp\u003eFirewall endpoints must be associated with Virtual Private Cloud (VPC) networks to enable threat detection and prevention for the workloads in those networks.\u003c/p\u003e\n"],["\u003cp\u003eGlobal or hierarchical firewall policies are utilized to apply security profile groups with Layer 7 inspection enabled to specified VPC networks, thus implementing intrusion prevention.\u003c/p\u003e\n"],["\u003cp\u003eTLS inspection setup requires the creation of a CA pool and trust config, which are added to the TLS inspection policy and then to the firewall endpoint association, to ensure secure traffic inspection.\u003c/p\u003e\n"]]],[],null,["# Configure intrusion detection and prevention service\n\nTo enable intrusion detection and prevention service in your network, you must set up\nmultiple Cloud Next Generation Firewall components. This document provides a high-level\nworkflow that describes how to configure these components and enable threat\ndetection and prevention.\n\nConfigure intrusion detection and prevention service without TLS inspection\n---------------------------------------------------------------------------\n\nTo configure intrusion detection and prevention service in your network, perform the\nfollowing tasks.\n| **Note:** The following workflow provides a high-level sequence of steps required to configure intrusion detection and prevention service in your network. This workflow assumes that you have already set up your Virtual Private Cloud (VPC) network, subnets, VM instances, and other required Google Cloud resources and components.\n\n1. Create a security profile of type `Threat prevention`. Set up threat or\n severity overrides as required by your network. You can create one\n or more profiles. To learn how to create security profiles,\n see [Create a security profile](/firewall/docs/configure-security-profiles#create-security-profile).\n\n2. Create a security profile group with the security profile created in the\n preceding step. To learn how to create a security profile group,\n see [Create a security profile group](/firewall/docs/configure-security-profile-groups#create-security-profile-group).\n\n3. Create a firewall endpoint in the same zone as your workloads where you want\n to enable threat prevention. To learn how to create\n a firewall endpoint, see [Create a firewall endpoint](/firewall/docs/configure-firewall-endpoints#create-firewall-endpoint).\n\n4. Associate the firewall endpoint with one or more VPC networks\n where you want to enable threat detection and prevention. Make sure that you're\n running your workloads in the same zone as the firewall endpoint. To learn\n how to associate a firewall endpoint with a VPC network,\n see [Create firewall endpoint associations](/firewall/docs/configure-firewall-endpoint-associations#create-endpoint-association).\n\n5. You can use [global network firewall policies](/firewall/docs/network-firewall-policies)\n or [hierarchical firewall policies](/firewall/docs/firewall-policies) to\n configure intrusion detection and prevention service.\n\n - In a new or existing global firewall policy, add a firewall policy rule with\n Layer 7 inspection enabled (`apply_security_profile_group` action) and\n specify the name of the security profile group that you created\n in the preceding step. Make sure that the firewall policy is associated\n with the same VPC network as the workloads that require\n inspection. To learn more about global network firewall policy and the\n parameters required to create a firewall policy rule with threat\n prevention enabled, see [Create global network firewall policy](/firewall/docs/use-network-firewall-policies#create-network-firewall-policy) and\n [Create global network firewall policy rules](/firewall/docs/use-network-firewall-policies#create-rules).\n\n - You can also use a hierarchical firewall policy to add a firewall policy\n rule with a security profile group configured. To learn more about the\n parameters required to create hierarchical firewall policy rules with\n threat prevention enabled, see [Create firewall\n rules](/firewall/docs/using-firewall-policies#create-rules).\n\nConfigure intrusion detection and prevention service with TLS inspection\n------------------------------------------------------------------------\n\nTo configure intrusion detection and prevention service with\n[Transport Layer Security (TLS) inspection](/firewall/docs/about-tls-inspection)\nin your network, perform the following tasks.\n| **Note:** The following workflow provides a high-level sequence of steps required to configure intrusion detection and prevention service with TLS inspection in your network. This workflow assumes that you have already set up your VPC network, subnets, VM instances, and other required Google Cloud resources and components.\n\n1. Create a security profile of type `Threat prevention`. Set up threat or\n severity overrides as required by your network. You can create one\n or more profiles. To learn how to create security profiles,\n see [Create a security profile](/firewall/docs/configure-security-profiles#create-security-profile).\n\n2. Create a security profile group with the security profile created in the\n preceding step. To learn how to create a security profile group,\n see [Create a security profile group](/firewall/docs/configure-security-profile-groups#create-security-profile-group).\n\n3. Create a CA pool and a trust config, and add them to your TLS inspection\n policy. To learn how to enable TLS inspection in Cloud NGFW, see\n [Set up TLS inspection](/firewall/docs/setup-tls-inspection).\n\n4. Create a firewall endpoint in the same zone as your workloads where you want\n to enable threat prevention. To learn how to create\n a firewall endpoint, see [Create a firewall endpoint](/firewall/docs/configure-firewall-endpoints#create-firewall-endpoint).\n\n5. Associate the firewall endpoint with one or more VPC networks\n where you want to enable threat detection and prevention. Add the TLS\n inspection policy you created in the preceding step to the firewall endpoint\n association. Make sure that you're running your workloads in the same zone\n as the firewall endpoint.\n\n To learn how to associate a firewall endpoint with\n a VPC network and enable TLS inspection,\n see [Create firewall endpoint associations](/firewall/docs/configure-firewall-endpoint-associations#create-endpoint-association).\n6. You can use [global network firewall policies](/firewall/docs/network-firewall-policies)\n or [hierarchical firewall policies](/firewall/docs/firewall-policies) to\n configure intrusion detection and prevention service.\n\n - In a new or existing global firewall policy, add a firewall policy rule with\n Layer 7 inspection enabled (`apply_security_profile_group` action) and\n specify the name of the security profile group that you created\n in the preceding step. To enable TLS inspection, specify the\n `--tls-inspect` flag. Make sure that the firewall policy is associated\n with the same VPC network as the workloads that require\n inspection. To learn more about global network firewall policy and the\n parameters required to create a firewall policy rule with threat\n prevention enabled, see [Create global network firewall policy](/firewall/docs/use-network-firewall-policies#create-network-firewall-policy) and\n [Create global network firewall policy rules](/firewall/docs/use-network-firewall-policies#create-rules).\n\n - You can also use a hierarchical firewall policy to add a firewall policy\n rule with a security profile group configured. To learn more about the\n parameters required to create hierarchical firewall policy rules with\n threat prevention enabled, see [Create firewall\n rules](/firewall/docs/using-firewall-policies#create-rules).\n\nExample deployment model\n------------------------\n\nFigure 1 shows an example deployment with intrusion detection and prevention service configured for\ntwo VPC networks in the same region but two different\nzones.\n[](/static/firewall/images/firewall-ips/ips-sample-deployment-in-region.svg) **Figure 1.** Deploy intrusion detection and prevention service in a region (click to enlarge).\n\nThe example deployment has the following threat prevention configuration:\n\n1. Two security profile groups:\n\n 1. `Security profile group 1` with security profile `Security profile 1`.\n\n 2. `Security profile group 2` with security profile `Security profile 2`.\n\n2. Customer VPC 1 (`VPC 1`) has firewall policy with security profile group\n set to `Security profile group 1`.\n\n3. Customer VPC 2 (`VPC 2`) has firewall policy with security profile group\n set to `Security profile group 2`.\n\n4. Firewall endpoint `Firewall endpoint 1` performs threat detection and\n prevention for workloads running on `VPC 1`and`VPC 2` in zone `us-west1-a`.\n\n5. Firewall endpoint `Firewall endpoint 2` performs threat detection and\n prevention with TLS inspection enabled for workloads running on `VPC 1` and\n `VPC 2` in zone `us-west1-b`.\n\nWhat's next\n-----------\n\n- [Security profile overview](/firewall/docs/about-security-profiles)\n- [Security profile group overview](/firewall/docs/about-security-profile-groups)\n- [Firewall endpoint overview](/firewall/docs/about-firewall-endpoints)"]]
