Configurar IDS de Cloud

Usa estas instrucciones para configurar el IDS de Cloud para tu aplicación. Para información conceptual sobre el IDS de Cloud, consulta el Descripción general de IDS de Cloud.

Antes de comenzar

Antes de configurar el IDS de Cloud, debes completar los siguientes requisitos.

Configura permisos de IAM para IDS de Cloud

IDS de Cloud tiene varios roles de Identity and Access Management (IAM). Puedes usar el ejemplo para otorgar a una principal los permisos de IAM necesarios.

• Función de administrador de IDS de Cloud (roles/ids.admin). Principales del proyecto con este rol puede crear extremos de IDS. Si eres el propietario del proyecto, ya tienes este permiso y no necesitas un permiso La función ids.admin para crear extremos de IDS.

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/ids.admin \
     --member=user:USER_NAME ;
  

  Esta función habilita las siguientes operaciones:

  • Crear extremo
  • Borrar extremo
  • Obtener extremo
  • Mostrar extremo

• Función de visualizador de IDS de Cloud (roles/ids.viewer). Visualizadores de proyectos y principales con este rol tienen acceso de solo lectura a los extremos de IDS. Si eres un propietario, editor o lector del proyecto, ya tienes este permiso.

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/ids.viewer \
     --member=user:USER_NAME ;
  

• Rol del usuario de duplicación de paquetes de Compute (roles/compute.packetMirroringUser). Es un rol. necesaria para adjuntar una política de duplicación de paquetes al extremo IDS. Si tienes el compute.securityAdmin o container.serviceAgent, ya tienes este permiso. Para obtener más información sobre este rol, consulta la referencia de roles básicos y predefinidos de IAM.

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/compute.packetMirroringUser \
     --member=user:USER_NAME ;
  

• Rol de visualizador de registros (roles/logging.viewer). Se necesita un rol adicional. para ver las amenazas recientes, que es una característica fundamental de IDS de Cloud. Para obtener más información sobre este rol, consulta la Guía de control de acceso.

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/logging.viewer \
     --member=user:USER_NAME ;
  

Además, necesitas otros permisos:

• compute.regions.list
• compute.zones.list

Configura el acceso privado a servicios

Para crear extremos de IDS, debes habilitar Service Networking y configura el intercambio de tráfico entre redes para la red de nube privada virtual (VPC). Esta solo se debe realizar una vez por proyecto de cliente y se puede hacer usando la consola de Google Cloud o Google Cloud CLI. Cuando asignas un rango de direcciones IP, debe ser un rango de direcciones IP privadas que cumpla con RFC 1918 (10.0.0.0/8, 172.16.0.0/12 o 192.168.0.0/16), o fallará la creación del extremo.

Sigue estos pasos para configurar el acceso privado a los servicios:

1. Habilita la API de Service Networking con el siguiente comando. Reemplaza PROJECT_ID por el ID del proyecto.

   gcloud services enable servicenetworking.googleapis.com \
    --project=PROJECT_ID
   

2. Si aún no asignaste un rango de direcciones IP en tu red, puedes debes asignar un rango de IP para los servicios de Google en tu VPC en cada red. En el siguiente comando, puedes omitir el campo addresses y Google Cloud selecciona un rango de direcciones sin usar en tu VPC red:

   gcloud compute addresses create RESERVED_RANGE_NAME \
     --global \
     --purpose=VPC_PEERING \
     --addresses=192.168.0.0 \
     --prefix-length=16 \
     --description="DESCRIPTION" \
     --network=VPC_NETWORK
   

   Reemplaza lo siguiente:

   • RESERVED_RANGE_NAME: Es un nombre para el rango asignado. como my-allocated-range

   • DESCRIPTION: Es una descripción para el rango, como allocated for my-service

   • VPC_NETWORK: Es el nombre de tu VPC. red, como my-vpc-network

3. Crear una conexión privada a un productor de servicios. La conexión privada establece un intercambio de tráfico entre redes de VPC entre tu red de VPC y la productor de servicios en cada red.

   Si ya tienes una conexión privada, usa el Comando gcloud services vpc-peerings update para actualizarlo:

   gcloud services vpc-peerings update \
     --service=servicenetworking.googleapis.com \
     --ranges=RESERVED_RANGE_NAME \
     --network=VPC_NETWORK \
     --project=PROJECT_ID
   

   Si aún no tienes una conexión privada, usa el Comando gcloud services vpc-peerings connect Este comando inicia una operación de larga duración que muestra un nombre de operación.

   gcloud services vpc-peerings connect \
     --service=servicenetworking.googleapis.com \
     --ranges=RESERVED_RANGE_NAME \
     --network=VPC_NETWORK \
     --project=PROJECT_ID
   

   Reemplaza lo siguiente:

   • RESERVED_RANGE_NAME: Es el nombre de uno o más. rangos asignados

   • VPC_NETWORK: Es el nombre de tu red de VPC.

   • PROJECT_ID: El ID del proyecto que contiene tu red de VPC

   Para comprobar si la operación se realizó correctamente, usa el Comando gcloud services vpc-peerings operations describe:

   gcloud services vpc-peerings operations describe \
       --name=OPERATION_NAME
   

   Reemplaza OPERATION_NAME por el nombre de la operación. que se devolvió en el paso anterior.

Repite los pasos 2 y 3 para cada red de VPC que quieras supervisar.

Habilita los Controles del servicio de VPC (opcional)

Una vez habilitado el acceso privado a servicios, puedes habilitar los Controles del servicio de VPC en Cloud IDS. Si está habilitado, ejecuta el comando services vpc-peerings enable-vpc-service-controls. a fin de habilitar los Controles del servicio de VPC para todas tus conexiones de intercambio de tráfico:

gcloud services vpc-peerings enable-vpc-service-controls \
    --service=servicenetworking.googleapis.com \
    --network=VPC_NETWORK \
    --project=PROJECT_ID

Reemplaza lo siguiente:

• VPC_NETWORK es el nombre de tu red de VPC.

• PROJECT_ID: Es el ID del proyecto que contiene tu red de VPC.

Crea un extremo de IDS de Cloud

Recomendamos que crees un extremo de IDS para cada región en la que las cargas de trabajo implementadas. También puedes crear varios extremos de IDS por región. Usa sigue estos pasos para crear un extremo de IDS y asignarle un servicio de IDS perfil.

gcloud ids endpoints delete ENDPOINT_NAME \
   [--project=PROJECT_ID] \
   [--zone=ZONE] \
   [--no-async] \
   [GCLOUD_WIDE_FLAG...]

gcloud ids endpoints describe ENDPOINT_NAME \
   [--project=PROJECT_ID] \
   [--zone=ZONE] \
   [GCLOUD_WIDE_FLAG...]

gcloud ids endpoints list /
    [--filter=EXPRESSION] \
    [--limit=LIMIT] \
    [--page-size=PAGE_SIZE] \
    [--sort-by=[FIELD,...]] \
    [--uri] \
    [GCLOUD_WIDE_FLAG...]

POST https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME
{
    "network": "NETWORK_NAME",
    "severity": "SEVERITY_LEVEL",
}

DELETE https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME

GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME

GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints

GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/-/endpoints

Opcional: Configura excepciones de amenazas

Puede inhabilitar los ID de amenazas ruidosos o innecesarios mediante el La marca --threat-exceptions cuando creas o actualizas tu IDS de Cloud extremo. En el siguiente ejemplo, se actualiza un extremo de IDS de Cloud existente ENDPOINT_NAME para eximir los IDs de amenaza THREAT_ID1 y THREAT_ID2:

   gcloud ids endpoints update ENDPOINT_NAME 

      --threat-exceptions=THREAT_ID1,THREAT_ID2
   

¿Qué sigue?

• Cómo examinar los registros
• Soluciona problemas