Configurar o Cloud IDS

Use estas instruções para configurar o Cloud IDS para seu aplicativo. Para informações conceituais sobre o Cloud IDS, consulte a Informações gerais do Cloud IDS.

Antes de começar

Antes de configurar o Cloud IDS, você precisa atender aos requisitos a seguir.

Configurar permissões do IAM para o Cloud IDS

O Cloud IDS tem vários papéis do Identity and Access Management (IAM). Use os comandos de exemplo para conceder a um principal as permissões necessárias do IAM.

• Papel de administrador do Cloud IDS (roles/ids.admin). Principais do projeto com esse papel pode criar endpoints SDI. Se você é proprietário do projeto, já tem essa permissão e não precisa de um papel ids.admin explícito para criar endpoints do IDS.

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/ids.admin \
     --member=user:USER_NAME ;
  

  Esse papel permite as seguintes operações:

  • Criar endpoint
  • Excluir endpoint
  • Acessar endpoint
  • Listar endpoint

• Papel Leitor do Cloud IDS (roles/ids.viewer). Visualizadores do projeto e principais com esse papel têm acesso somente leitura aos endpoints do SDI. Se você é proprietário, editor ou visualizador do projeto, já tem essa permissão.

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/ids.viewer \
     --member=user:USER_NAME ;
  

• Papel função do usuário do espelhamento de pacotes do Compute (roles/compute.packetMirroringUser). Um papel para anexar uma política de espelhamento de pacotes ao endpoint do SDI. Se você tiver o Função compute.securityAdmin ou container.serviceAgent, você já tem essa permissão. Para mais informações sobre essa função, consulte a Papéis básicos e predefinidos do IAM como referência.

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/compute.packetMirroringUser \
     --member=user:USER_NAME ;
  

• Papel de Visualizador de registros (roles/logging.viewer). É necessário um outro papel para conferir as ameaças recentes, que é um recurso essencial do Cloud IDS. Para mais informações sobre essa função, consulte a Guia de controle de acesso.

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/logging.viewer \
     --member=user:USER_NAME ;
  

Além disso, você precisa das seguintes permissões diversas:

• compute.regions.list
• compute.zones.list

Configurar o acesso privado a serviços

Para criar endpoints do SDI, você precisa ativar a rede de serviços e configurar o peering de rede da nuvem privada virtual (VPC). Isso só precisa ser feito uma vez por projeto do cliente e pode ser feito usando o o console do Google Cloud ou a Google Cloud CLI. Ao alocar um intervalo de endereços IP, ele precisa ser um intervalo de endereços IP particular compatível com o RFC 1918 (10.0.0.0/8, 172.16.0.0/12 ou 192.168.0.0/16), ou a criação do endpoint falha.

Siga as etapas abaixo para configurar o acesso a serviços particulares:

1. Ative a API Service Networking usando o comando a seguir. Substitua PROJECT_ID pelo ID do projeto.

   gcloud services enable servicenetworking.googleapis.com \
    --project=PROJECT_ID
   

2. Se você ainda não alocou um intervalo de endereços IP na sua rede, precisa alocar um intervalo de IP para serviços do Google na sua VPC em uma rede VPC. No comando a seguir, é possível omitir o campo addresses e O Google Cloud seleciona um intervalo de endereços não utilizado na sua VPC rede:

   gcloud compute addresses create RESERVED_RANGE_NAME \
     --global \
     --purpose=VPC_PEERING \
     --addresses=192.168.0.0 \
     --prefix-length=16 \
     --description="DESCRIPTION" \
     --network=VPC_NETWORK
   

   Substitua:

   • RESERVED_RANGE_NAME: um nome para o intervalo alocado; como my-allocated-range

   • DESCRIPTION: uma descrição para o intervalo, como allocated for my-service

   • VPC_NETWORK: o nome da VPC. rede, como my-vpc-network

3. Criar uma conexão privada a um produtor de serviços. A conexão particular estabelece uma conexão de Peering de rede VPC entre sua rede VPC e a rede do produtor de serviços.

   Se você já tiver uma conexão privada, use o comando gcloud services vpc-peerings update para atualizá-la:

   gcloud services vpc-peerings update \
     --service=servicenetworking.googleapis.com \
     --ranges=RESERVED_RANGE_NAME \
     --network=VPC_NETWORK \
     --project=PROJECT_ID
   

   Se você ainda não tiver uma conexão particular, use o comando gcloud services vpc-peerings connect. Esse comando inicia uma operação de longa duração que retorna um nome de operação.

   gcloud services vpc-peerings connect \
     --service=servicenetworking.googleapis.com \
     --ranges=RESERVED_RANGE_NAME \
     --network=VPC_NETWORK \
     --project=PROJECT_ID
   

   Substitua:

   • RESERVED_RANGE_NAME: o nome de um ou mais intervalos alocados

   • VPC_NETWORK: o nome da rede VPC.

   • PROJECT_ID: o ID do projeto que contém sua rede VPC

   Para verificar se a operação foi bem-sucedida, use o método Comando gcloud services vpc-peerings operations describe:

   gcloud services vpc-peerings operations describe \
       --name=OPERATION_NAME
   

   Substitua OPERATION_NAME pelo nome da operação. retornado na etapa anterior.

Repita as etapas 2 e 3 para cada rede VPC que você quer monitorar.

Opcional: ativar o VPC Service Controls

Depois que o acesso a serviços particulares estiver ativado, será possível ativar VPC Service Controls no Cloud IDS. Se ativado, execute o comando services vpc-peerings enable-vpc-service-controls. para ativar o VPC Service Controls para todas as conexões de peering:

gcloud services vpc-peerings enable-vpc-service-controls \
    --service=servicenetworking.googleapis.com \
    --network=VPC_NETWORK \
    --project=PROJECT_ID

Substitua:

• VPC_NETWORK: o nome da rede VPC.

• PROJECT_ID: o ID do projeto que contém seu Rede VPC

criar um endpoint do Cloud IDS

Recomendamos criar um endpoint SDI para cada região onde você tem cargas de trabalho implantadas. Também é possível criar vários endpoints SDI por região. Usar as etapas a seguir para criar um endpoint SDI e atribuir a ele um serviço do SDI perfil.

gcloud ids endpoints delete ENDPOINT_NAME \
   [--project=PROJECT_ID] \
   [--zone=ZONE] \
   [--no-async] \
   [GCLOUD_WIDE_FLAG...]

gcloud ids endpoints describe ENDPOINT_NAME \
   [--project=PROJECT_ID] \
   [--zone=ZONE] \
   [GCLOUD_WIDE_FLAG...]

gcloud ids endpoints list /
    [--filter=EXPRESSION] \
    [--limit=LIMIT] \
    [--page-size=PAGE_SIZE] \
    [--sort-by=[FIELD,...]] \
    [--uri] \
    [GCLOUD_WIDE_FLAG...]

POST https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME
{
    "network": "NETWORK_NAME",
    "severity": "SEVERITY_LEVEL",
}

DELETE https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME

GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME

GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints

GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/-/endpoints

Opcional: configurar exceções de ameaças

Você pode desativar IDs de ameaças barulhentos ou desnecessários usando o a sinalização --threat-exceptions ao criar ou atualizar o Cloud IDS; endpoint do Google Cloud. O exemplo a seguir atualiza um endpoint do Cloud IDS ENDPOINT_NAME para isentar os IDs de ameaças THREAT_ID1 e THREAT_ID2:

   gcloud ids endpoints update ENDPOINT_NAME 

      --threat-exceptions=THREAT_ID1,THREAT_ID2
   

A seguir

• Examinar registros
• Resolver problemas