דוגמאות למדיניות אבטחה

המסוף

הגדרת מדיניות האבטחה למשתמשים חיצוניים:

1. נכנסים לדף Cloud Armor policies במסוף Google Cloud .

   כניסה למדיניות Cloud Armor

2. לוחצים על יצירת מדיניות.

3. בשדה שם מזינים mobile-clients-policy.

4. בשדה Description (תיאור) מזינים Policy for external users.

5. בקטע פעולת ברירת מחדל של כלל, בוחרים באפשרות דחייה.

6. בקטע סטטוס הדחייה, בוחרים באפשרות 404 (לא נמצא).

7. לוחצים על השלב הבא.

להוסיף עוד כללים:

1. לוחצים על הוספת כלל.
2. בשדה Description (תיאור) מזינים allow traffic from 192.0.2.0/24.
3. בקטע Mode (מצב), בוחרים באפשרות Basic mode (IP addresses/ranges only) (מצב בסיסי (כתובות IP/טווחים בלבד)).
4. בשדה התאמה, מזינים 192.0.2.0/24.
5. בקטע פעולה, בוחרים באפשרות אישור.
6. בשדה עדיפות מזינים 1000.
7. לוחצים על סיום.
8. לוחצים על השלב הבא.

החלת המדיניות על יעדים:

1. לוחצים על הוספת יעד.
2. ברשימה יעד, בוחרים יעד.
3. לוחצים על סיום.
4. לוחצים על יצירת מדיניות.

אפשר להפעיל את התכונה 'הגנה דינמית' של Google Cloud Armor:

1. כדי להפעיל את ההגנה הדינמית, לוחצים על הפעלה.

הגדרת מדיניות האבטחה למשתמשים פנימיים:

1. לוחצים על יצירת מדיניות.
2. בשדה שם מזינים internal-users-policy.
3. בשדה Description (תיאור) מזינים Policy for internal test users.
4. בקטע פעולת ברירת מחדל של כלל, בוחרים באפשרות דחייה.
5. בשדה סטטוס דחייה, בוחרים באפשרות 502 (שער שגוי).
6. לוחצים על השלב הבא.

להוסיף עוד כללים:

1. לוחצים על הוספת כלל.
2. בשדה Description (תיאור) מזינים allow traffic from 198.51.100.0/24.
3. בקטע Mode (מצב), בוחרים באפשרות Basic mode (IP addresses/ranges only) (מצב בסיסי (כתובות IP/טווחים בלבד)).
4. בשדה התאמה, מזינים 198.51.100.0/24.
5. בקטע פעולה, בוחרים באפשרות אישור.
6. כדי להפעיל את האפשרות תצוגה מקדימה בלבד, מסמנים את תיבת הסימון הפעלה.
7. בשדה עדיפות מזינים 1000.
8. לוחצים על סיום.
9. לוחצים על השלב הבא.

החלת המדיניות על יעדים:

1. לוחצים על הוספת יעד.
2. ברשימה יעד, בוחרים יעד.
3. לוחצים על סיום.
4. לוחצים על יצירת מדיניות.

gcloud

1. יוצרים את כללי מדיניות האבטחה של Cloud Armor:

   gcloud compute security-policies create mobile-clients-policy \
       --description "policy for external users"
   

   gcloud compute security-policies create internal-users-policy \
       --description "policy for internal test users"
   

2. מעדכנים את כללי ברירת המחדל במדיניות האבטחה כדי לדחות תנועה:

   gcloud compute security-policies rules update 2147483647 \
       --security-policy mobile-clients-policy \
       --action "deny-404"
   

   gcloud compute security-policies rules update 2147483647 \
       --security-policy internal-users-policy \
       --action "deny-502"
   

3. מוסיפים כללים למדיניות האבטחה:

   gcloud compute security-policies rules create 1000 \
       --security-policy mobile-clients-policy \
       --description "allow traffic from 192.0.2.0/24" \
       --src-ip-ranges "192.0.2.0/24" \
       --action "allow"
   

   gcloud compute security-policies rules create 1000 \
       --security-policy internal-users-policy \
       --description "allow traffic from 198.51.100.0/24" \
       --src-ip-ranges "198.51.100.0/24" \
       --action "allow"
   

4. מצרפים את מדיניות האבטחה לשירותים לקצה העורפי:

   gcloud compute backend-services update games \
       --security-policy mobile-clients-policy
   

   gcloud compute backend-services update test-network \
       --security-policy internal-users-policy
   

5. אופציונלי: מפעילים את ההגנה הדינמית:

    gcloud compute security-policies update mobile-clients-policy \
        --enable-layer7-ddos-defense
   

    gcloud compute security-policies update internal-users-policy \
        --enable-layer7-ddos-defense
   

המסוף

כדי ליצור כללים ולצרף מדיניות אבטחה לשירות קצה עורפי:

1. נכנסים לדף Cloud Armor policies במסוף Google Cloud .

   כניסה למדיניות Cloud Armor

2. לוחצים על יצירת מדיניות.

3. בשדה Name, מזינים את שם המדיניות.

4. אופציונלי: מזינים תיאור של המדיניות.

5. בקטע סוג המדיניות בוחרים באפשרות מדיניות אבטחה של ה-Backend או מדיניות אבטחה של Edge.

6. בקטע פעולת ברירת מחדל של כלל, בוחרים באפשרות אישור כדי לאפשר גישה כברירת מחדל, או באפשרות דחייה כדי לדחות גישה כברירת מחדל.

   כלל ברירת המחדל הוא כלל בעדיפות הכי נמוכה, והוא נכנס לתוקף רק אם אף כלל אחר לא חל.

7. אם מגדירים כלל Deny (דחייה), בוחרים סטטוס דחייה Response code (קוד תגובה). קוד הסטטוס הזה מוחזר על ידי Cloud Armor אם בקשה נדחית.

8. לוחצים על השלב הבא.

להוסיף עוד כללים:

1. לוחצים על הוספת כלל.
2. אופציונלי: מזינים תיאור לכלל.

3. בוחרים את המצב:

   • מצב בסיסי: מאפשר או דוחה תנועה על סמך כתובות IP או טווחי כתובות IP.
   • מצב מתקדם: מאפשר או דוחה תנועה על סמך ביטויי כללים.

4. בשדה התאמה, מציינים את התנאים שהכלל חל עליהם:

   • מצב בסיסי: מזינים כתובות IP או טווחי כתובות IP שצריכים להתאים לכלל.
   • מצב מתקדם: מזינים ביטוי להערכה מול בקשות נכנסות. מידע על מאפייני שפה של כללים מותאמים אישית

5. בקטע פעולה, בוחרים באפשרות אישור או דחייה.

6. כדי להפעיל את מצב התצוגה המקדימה, בוחרים באפשרות הפעלה. במצב תצוגה מקדימה, Cloud Armor מתעד את ההשפעה של הכלל בלי לאכוף אותו.

7. מזינים את העדיפות של הכלל (0 עד 2,147,483,646). סדר ההערכה של הכללים

8. לוחצים על סיום.

9. כדי להוסיף עוד כללים, לוחצים על הוספת כלל. אחרת, לוחצים על השלב הבא.

החלת המדיניות על יעדים:

1. לוחצים על הוספת יעד.
2. ברשימה יעד, בוחרים יעד.
3. כדי להוסיף עוד יעדים, לוחצים על הוספת יעד.
4. לוחצים על סיום.
5. לוחצים על יצירת מדיניות.

gcloud

1. כדי ליצור כללי מדיניות אבטחה של Cloud Armor, משתמשים בפקודה gcloud compute security-policies create.

   משתמשים בדגל --type כדי לציין CLOUD_ARMOR (backend) או CLOUD_ARMOR_EDGE (edge). אם לא מציינים את הדגל, ‫Cloud Armor יוצר מדיניות אבטחה של קצה עורפי:

    gcloud compute security-policies create NAME \
        [--type=CLOUD_ARMOR|CLOUD_ARMOR_EDGE] \
        [--file-format=FILE_FORMAT | --description=DESCRIPTION] \
        [--file-name=FILE_NAME]
   
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫NAME: השם של מדיניות האבטחה
   • ‫FILE_FORMAT: הפורמט של הקובץ שצוין ב---file-name. מציינים yaml או json
   • ‫DESCRIPTION: תיאור מדיניות האבטחה
   • ‫FILE_NAME: השם של קובץ שמכיל ייצוא של מדיניות האבטחה בפורמט YAML או JSON

   הפקודה הבאה מעדכנת מדיניות, מפעילה ניתוח של JSON ומשנה את רמת היומן ל-VERBOSE:

    gcloud compute security-policies update my-policy \
        --json-parsing=STANDARD \
        --log-level=VERBOSE
   

2. כדי להוסיף כללים למדיניות אבטחה, משתמשים בפקודה gcloud compute security-policies rules create PRIORITY.

    gcloud compute security-policies rules create PRIORITY  \
        [--security-policy POLICY_NAME] \
        [--description DESCRIPTION] \
        --src-ip-ranges IP_RANGE,... | --expression EXPRESSION \
        --action=[ allow | deny-403 | deny-404 | deny-502 ] \
        [--preview]
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PRIORITY: העדיפות של הכלל. סדר ההערכה של הכללים
   • POLICY_NAME: השם של מדיניות האבטחה
   • ‫DESCRIPTION: תיאור הכלל
   • ‫IP_RANGE,...: רשימה מופרדת בפסיקים של טווחי כתובות IP
   • ‫EXPRESSION: ביטוי בשפת הכללים של Cloud Armor

   לדוגמה, הפקודה הבאה מוסיפה כלל לחסימת תנועה מ-192.0.2.0/24 ומ-198.51.100.0/24. העדיפות של הכלל היא 1000:

    gcloud compute security-policies rules create 1000 \
        --security-policy my-policy \
        --description "block traffic from 192.0.2.0/24 and 198.51.100.0/24" \
        --src-ip-ranges "192.0.2.0/24","198.51.100.0/24" \
        --action "deny-403"
   

   אם מוסיפים את הדגל --preview, הכלל נוסף למדיניות אבל לא נאכף, וכל תנועה שמפעילה את הכלל מתועדת בלבד.

    gcloud compute security-policies rules create 1000 \
        --security-policy my-policy \
        --description "block traffic from 192.0.2.0/24 and 198.51.100.0/24" \
        --src-ip-ranges "192.0.2.0/24","198.51.100.0/24" \
        --action "deny-403" \
        --preview
   

   משתמשים בדגל --expression כדי לציין תנאי בהתאמה אישית. מידע על מאפייני שפה של כללים מותאמים אישית הפקודה הבאה מוסיפה כלל שמאפשר תנועה מכתובת ה-IP‏ 1.2.3.4 שמכילה את המחרוזת example בכותרת User-Agent:

    gcloud compute security-policies rules create 1000 \
        --security-policy my-policy \
        --expression "inIpRange(origin.ip, '1.2.3.4/32') && has(request.headers['user-agent']) && request.headers['user-agent'].contains('example')" \
        --action allow \
        --description "Block User-Agent 'example'"
   

   הפקודה הבאה מוסיפה כלל לחסימת בקשות אם קובץ ה-Cookie של הבקשה מכיל ערך ספציפי:

    gcloud compute security-policies rules create 1000 \
        --security-policy my-policy \
        --expression "has(request.headers['cookie']) && request.headers['cookie'].contains('cookie_name=cookie_value')" \
        --action "deny-403" \
        --description "Cookie Block"
   

   הפקודה הבאה מוסיפה כלל לחסימת בקשות מהאזור AU:

    gcloud compute security-policies rules create 1000 \
        --security-policy my-policy \
        --expression "origin.region_code == 'AU'" \
        --action "deny-403" \
        --description "AU block"
   

   הפקודה הבאה מוסיפה כלל לחסימת בקשות מהאזור AU שלא נמצאות בטווח כתובות ה-IP שצוין:

    gcloud compute security-policies rules create 1000 \
        --security-policy my-policy \
        --expression "origin.region_code == 'AU' && !inIpRange(origin.ip, '1.2.3.0/24')" \
        --action "deny-403" \
        --description "country and IP block"
   

   הפקודה הבאה מוסיפה כלל לחסימת בקשות עם URI שתואם לביטוי רגולרי:

    gcloud compute security-policies rules create 1000 \
        --security-policy my-policy \
        --expression "request.path.matches('/example_path/')" \
        --action "deny-403" \
        --description "regex block"
   

   הפקודה הבאה מוסיפה כלל לחסימת בקשות אם הערך המפוענח ב-Base64 של הכותרת user-id מכיל ערך ספציפי:

    gcloud compute security-policies rules create 1000 \
        --security-policy my-policy \
        --expression "has(request.headers['user-id']) && request.headers['user-id'].base64Decode().contains('myValue')" \
        --action "deny-403" \
        --description "country and IP block"
   

   הפקודה הבאה מוסיפה כלל שמשתמש בקבוצת ביטויים שהוגדרה מראש כדי לצמצם את הסיכון להתקפות SQLi:

    gcloud compute security-policies rules create 1000 \
        --security-policy my-policy \
        --expression "evaluatePreconfiguredWaf('sqli-v422-stable')" \
        --action "deny-403"
   

   הפקודה הבאה מוסיפה כלל שמשתמש בביטוי שהוגדר מראש כדי לאפשר גישה מכל כתובות ה-IP ברשימת כתובות IP עם שם:

    gcloud compute security-policies rules create 1000 \
        --security-policy my-policy \
        --expression "evaluatePreconfiguredWaf('sourceiplist-fastly')" \
         --action "allow"