Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Cloud Armor-Sicherheitsrichtlinien verwalten

Auf dieser Seite wird beschrieben, wie Sie Google Cloud Armor-Sicherheitsrichtlinien verwalten und eingehenden Traffic zu Ihrer Anwendung filtern. Cloud Armor-Sicherheitsrichtlinien schützen Ihre Webanwendungen und ‑dienste vor DDoS-Angriffen (Distributed Denial of Service) und anderen Bedrohungen aus dem Internet. Die Durchsetzung eines starken Sicherheitsstatus erfordert die Verwaltung Ihrer Sicherheitsrichtlinien durch Erstellung, Tests und Konsolidierung. Informationen zum Erstellen oder Aufrufen von Sicherheitsrichtlinien finden Sie unter Cloud Armor-Sicherheitsrichtlinien erstellen und ansehen.

Sicherheitsrichtlinien verwalten

In den folgenden Abschnitten erfahren Sie, wie Sie Ihre Sicherheitsrichtlinien auflisten, aktualisieren, löschen oder testen.

Sicherheitsrichtlinien auflisten

Folgen Sie der Anleitung in diesem Abschnitt, um Cloud Armor-Sicherheitsrichtlinien in Ihrem Projekt aufzulisten.

Console

Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

Zu Cloud Armor-Richtlinien
Wenn Sie eine Richtlinie aufrufen möchten, klicken Sie in der Liste der Richtlinien auf den Namen der jeweiligen Richtlinie.

gcloud

gcloud compute security-policies list

Beispiel:

gcloud compute security-policies list

Ausgabe:

NAME: my-policy
REGION: us-central1

Weitere Informationen finden Sie unter gcloud compute security-policies list.

Sicherheitsrichtlinien aktualisieren

In diesem Abschnitt wird beschrieben, wie Sie eine Cloud Armor-Sicherheitsrichtlinie aktualisieren. Sie können beispielsweise die Beschreibung der Richtlinie, die Standardregel und den Ziel-Backend-Dienst ändern sowie Regeln hinzufügen.

Console

Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

Zu Cloud Armor-Richtlinien
Suchen Sie in der Liste der Richtlinien nach dem Namen der Richtlinie, die Sie aktualisieren möchten, und klicken Sie bei dieser Richtlinie auf das Menü.
- Wählen Sie Bearbeiten aus, nehmen Sie Ihre Änderungen vor und klicken Sie auf Aktualisieren, um die Beschreibung oder die Standardregelaktion zu aktualisieren.
- Wählen Sie zum Hinzufügen einer Regel Regel hinzufügen aus und folgen Sie dann der Anleitung unter Regeln zu einer Sicherheitsrichtlinie hinzufügen.
- Wenn Sie den Ziel-Backend-Dienst ersetzen möchten, wählen Sie Richtlinie auf Ziel anwenden aus, klicken Sie auf Ziel hinzufügen, wählen Sie ein Ziel aus und klicken Sie anschließend auf Hinzufügen.

gcloud

Aktualisieren Sie eine Sicherheitsrichtlinie anhand der folgenden Schritte im Google Cloud CLI:

Informationen zum Aktualisieren einer Regel finden Sie unter Einzelne Regel in einer Sicherheitsrichtlinie aktualisieren.
Informationen zum Hinzufügen einer Regel finden Sie unter Regeln zu einer Sicherheitsrichtlinie hinzufügen.
Informationen zum Löschen einer Regel finden Sie unter Regeln aus einer Sicherheitsrichtlinie löschen.
Informationen zum Aktualisieren mehrerer Regeln in einer einzelnen atomaren Aktualisierung finden Sie unter Mehrere Regeln in einer Sicherheitsrichtlinie atomar aktualisieren.
Informationen zum Aktualisieren von Nichtregelfeldern (z. B. der Beschreibung) finden Sie unter Sicherheitsrichtlinien exportieren und Sicherheitsrichtlinien importieren.

Sicherheitsrichtlinien löschen

In diesem Abschnitt wird beschrieben, wie Sie eine Cloud Armor-Sicherheitsrichtlinie löschen. Entfernen Sie alle Backend-Dienste aus der Richtlinie, bevor Sie sie löschen.

Console

Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

Zu Cloud Armor-Richtlinien
Klicken Sie auf das Kästchen neben der Richtlinie, die Sie löschen möchten.
Klicken Sie oben rechts auf der Seite auf Löschen.

gcloud

Verwenden Sie gcloud compute security-policies delete NAME. Ersetzen Sie NAME durch den Namen der Sicherheitsrichtlinie:

gcloud compute security-policies delete NAME

Sicherheitsrichtlinien testen

Es wird empfohlen, alle neuen Regeln im Vorschaumodus bereitzustellen. Prüfen Sie dann mithilfe der Anfragelogs, ob die Richtlinien und Regeln wie erwartet funktionieren.

Regeln für Sicherheitsrichtlinien verwalten

In den folgenden Abschnitten wird beschrieben, wie Sie Regeln für Sicherheitsrichtlinien auflisten, hinzufügen, aktualisieren oder löschen.

Regeln in einer Sicherheitsrichtlinie auflisten

Folgen Sie der Anleitung in diesem Abschnitt, um die Regeln in einer Cloud Armor-Sicherheitsrichtlinie aufzulisten.

Console

Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

Zu Cloud Armor-Richtlinien
Klicken Sie auf den Namen der jeweiligen Sicherheitsrichtlinie. Auf der Seite Richtliniendetails werden die Richtlinienregeln auf dem Tab Regeln angezeigt.

gcloud

Verwenden Sie den folgenden gcloud-Befehl, um alle Regeln in einer Sicherheitsrichtlinie aufzulisten:

gcloud compute security-policies describe NAME \

Verwenden Sie den folgenden gcloud-Befehl, um alle Regeln in einer einzelnen Sicherheitsrichtlinie in einer angegebenen Region zusammen mit einer Beschreibung der Richtlinie aufzulisten:

gcloud compute security-policies describe NAME \
  --region REGION

Verwenden Sie den folgenden gcloud-Befehl, um eine Regel zu beschreiben:

gcloud compute security-policies rules describe PRIORITY \
    --security-policy POLICY_NAME

Der folgende Befehl beschreibt beispielsweise die Regel mit der Priorität 1.000 in der Sicherheitsrichtlinie my-policy:

gcloud compute security-policies rules describe 1000 \
    --security-policy my-policy

Ausgabe:

action: deny(403)
description: block traffic from 192.0.2.0/24 and 198.51.100.0/24
kind: compute#securityPolicyRule
match:
  srcIpRanges:
  - '192.0.2.0/24'
  - '198.51.100.0/24'
preview: false
priority: 1000

Weitere Informationen finden Sie unter gcloud compute security-policies describe.

Regeln zu einer Sicherheitsrichtlinie hinzufügen

Folgen Sie der Anleitung in diesem Abschnitt, um einer Cloud Armor-Sicherheitsrichtlinie Regeln hinzuzufügen.

Console

Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

Zu Cloud Armor-Richtlinien
Klicken Sie auf den Namen der Sicherheitsrichtlinie, um die Seite Richtliniendetails zu öffnen.
Klicken Sie in der Mitte der Seite auf den Tab Regeln.
Klicken Sie auf Regel hinzufügen.
Optional: Geben Sie eine Beschreibung der Regel ein.
Wählen Sie den Modus aus:
- Basis-Modus: Zulassen oder Ablehnen von Traffic basierend auf IP-Adressen oder ‑Bereichen.
- Erweiterter Modus: Zulassen oder Ablehnen von Traffic basierend auf Regelausdrücken.
Geben Sie im Feld Abgleich die Bedingungen an, für die die Regel gilt:
- Standardmodus: Geben Sie einen (1) bis 10 IP-Adressbereiche ein, die in der Regel übereinstimmen sollen. Sie können maximal 10 IP-Adressbereiche hinzufügen. Informationen zu Limits finden Sie unter Kontingente und Limits für Cloud Armor.
- Erweiterter Modus:
  - Tool zur Bedingungserstellung (Vorschau): Mit dem visuellen Builder können Sie Ausdrücke erstellen, ohne CEL-Code schreiben zu müssen. Bedingungen kombinieren und gruppieren und Stringtransformationen anwenden Verwenden Sie das Tool zur Bedingungserstellung.
  - Bedingungs-Editor für Abgleich: Geben Sie einen Ausdruck ein, der anhand eingehender Anfragen ausgewertet werden soll. Weitere Informationen finden Sie in der Sprachreferenz für benutzerdefinierte Regeln.
- Der folgende Ausdruck stimmt mit Anfragen von der IP-Adresse 1.2.3.4 überein, die den String example im User-Agent-Header enthalten:
```
  inIpRange(origin.ip, '1.2.3.4/32') && has(request.headers['user-agent']) && request.headers['user-agent'].contains('example')
```
- Der folgende Ausdruck stimmt mit Anfragen überein, die ein Cookie mit einem bestimmten Wert enthalten:
```
    has(request.headers['cookie']) && request.headers['cookie'].contains('cookie_name=cookie_value')
  
```
- Der folgende Ausdruck stimmt mit Anfragen aus der Region AU überein:
```
    origin.region_code == 'AU'
  
```
- Der folgende Ausdruck stimmt mit Anfragen aus der Region AU überein, die nicht im angegebenen IP-Bereich liegen:
```
    origin.region_code == "AU" && !inIpRange(origin.ip, '1.2.3.0/24')
  
```
- Der folgende Ausdruck stimmt mit Anfragen überein, wenn der URI mit einem regulären Ausdruck übereinstimmt:
```
    request.path.matches('/example_path/')
  
```
- Der folgende Ausdruck stimmt mit Anfragen überein, wenn der user-id-Header einen Base64-codierten Wert enthält, der nach der Decodierung einen bestimmten String enthält:
```
    has(request.headers['user-id']) && request.headers['user-id'].base64Decode().contains('myValue')
  
```
- Der folgende Ausdruck verwendet einen vorkonfigurierten Ausdruckssatzabgleich gegen SQLi-Angriffe:
```
    evaluatePreconfiguredWaf('sqli-stable')
  
```
Wählen Sie in der Liste Aktion die Option Zulassen oder Ablehnen aus.
Wenn Sie eine Ablehnungsregel konfigurieren, wählen Sie Status "Abgelehnt" aus.
Wenn Sie den Vorschaumodus für die Regel aktivieren möchten, klicken Sie auf Aktivieren.
Geben Sie im Feld Priorität eine positive Ganzzahl ein.
Klicken Sie auf Hinzufügen.

gcloud

Führen Sie den Befehl gcloud compute security-policies rules create PRIORITY aus. Ersetzen Sie PRIORITY durch die Priorität der Regel in der Richtlinie:

gcloud compute security-policies rules create PRIORITY \
    --security-policy POLICY_NAME \
    --description DESCRIPTION \
    --src-ip-ranges IP_RANGES | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ] \
    --preview

Der folgende Befehl fügt beispielsweise eine Regel mit der Priorität 1.000 hinzu, mit der Traffic von den IP-Adressbereichen 192.0.2.0/24 und 198.51.100.0/24 blockiert wird:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --description "block traffic from 192.0.2.0/24 and 198.51.100.0/24" \
    --src-ip-ranges "192.0.2.0/24","198.51.100.0/24" \
    --action "deny-403"

Verwenden Sie das Flag --expression, um eine Bedingung anzugeben. Der folgende Befehl fügt eine Regel hinzu, die Traffic von der IP-Adresse 1.2.3.4 zulässt, die den String example im User-Agent-Header enthält:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "inIpRange(origin.ip, '1.2.3.4/32') && has(request.headers['user-agent']) && request.headers['user-agent'].contains('example')" \
    --action allow \
    --description "Block User-Agent 'example'"

Der folgende Befehl fügt eine Regel zum Blockieren von Anfragen hinzu, wenn das Cookie der Anfrage einen bestimmten Wert enthält:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "has(request.headers['cookie']) && request.headers['cookie'].contains('80=BLAH')" \
    --action deny-403 \
    --description "Cookie Block"

Der folgende Befehl fügt eine Regel hinzu, um Anfragen aus der Region AU zu blockieren:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "origin.region_code == 'AU'" \
    --action deny-403 \
    --description "AU block"

Der folgende Befehl fügt eine Regel hinzu, um Anfragen aus der Region AU zu blockieren, die nicht im angegebenen IP-Bereich liegen:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "origin.region_code == "AU" && !inIpRange(origin.ip, '1.2.3.0/24')" \
    --action deny-403 \
    --description "country and IP block"

Der folgende Befehl fügt eine Regel hinzu, um Anfragen mit einem URI zu blockieren, der einem regulären Ausdruck entspricht:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "request.path.matches('/example_path/')" \
    --action deny-502 \
    --description "regex block"

Der folgende Befehl fügt eine Regel zum Blockieren von Anfragen hinzu, wenn der Base64-decodierte Wert des Headers user-id einen bestimmten Wert enthält:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "has(request.headers['user-id']) && request.headers['user-id'].base64Decode().contains('myValue')" \
    --action deny-403 \
    --description "country and IP block"

Der folgende Befehl fügt eine Regel hinzu, die einen vorkonfigurierten Ausdruck verwendet, um SQLi-Angriffe abzuwenden:

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "evaluatePreconfiguredWaf('sqli-stable')" \
    --action deny-403

Einzelne Regel in einer Sicherheitsrichtlinie aktualisieren

In diesem Abschnitt wird beschrieben, wie Sie eine einzelne Regel in einer Cloud Armor-Sicherheitsrichtlinie aktualisieren können. Informationen zum atomaren Aktualisieren mehrerer Regeln finden Sie unter Mehrere Regeln in einer Sicherheitsrichtlinie atomar aktualisieren.

Console

Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

Zu Cloud Armor-Richtlinien
Klicken Sie auf den Namen der Sicherheitsrichtlinie, um die Seite Richtliniendetails zu öffnen.
Klicken Sie in der Mitte der Seite auf den Tab Regeln.
Klicken Sie neben der Regel, die Sie aktualisieren möchten, auf Bearbeiten. Die Seite Regel bearbeiten wird angezeigt.
Nehmen Sie die gewünschten Änderungen vor und klicken Sie auf Aktualisieren.

gcloud

Verwenden Sie den folgenden Befehl, um eine Regel zu aktualisieren. Sie können jeweils nur eine Sicherheitsrichtlinie aktualisieren:

gcloud compute security-policies rules update PRIORITY [ \
    --security-policy POLICY_NAME  \
    --description DESCRIPTION  \
    --src-ip-ranges IP_RANGES  | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ]  \
    --preview
  ]

Mit dem folgenden Befehl wird beispielsweise eine Regel mit der Priorität 1111 aktualisiert, um Traffic aus dem IP-Adressbereich 192.0.2.0/24 zuzulassen:

gcloud compute security-policies rules update 1111 \
    --security-policy my-policy \
    --description "allow traffic from 192.0.2.0/24" \
    --src-ip-ranges "192.0.2.0/24" \
    --action "allow"

Weitere Informationen zum vorherigen Befehl finden Sie unter gcloud compute security-policies rules update.

Um die Priorität einer Regel zu aktualisieren, müssen Sie die REST API verwenden. Weitere Informationen finden Sie unter securityPolicies.patchRule.

Tool zur Bedingungserstellung für Abgleich verwenden

Das Tool zur Bedingungserstellung für Abgleiche ist eine visuelle Oberfläche in der Google Cloud Console, mit der Sie komplexe Cloud Armor-Regelausdrücke erstellen können, ohne CEL-Code (Common Expression Language) schreiben zu müssen. Statt Code zu schreiben, können Sie die strukturierte Benutzeroberfläche des Builders verwenden, um Bedingungen und Gruppenlogik zu kombinieren. So lassen sich Syntaxfehler vermeiden und die Regelstruktur besser visualisieren. Der Builder unterstützt flache Listen und verschachtelte Logik mit bis zu fünf Ebenen von Ausdrücken. Verwenden Sie dieses Tool, wenn Sie Regeln konfigurieren, um Multi-Cloud-Back-Ends oder Hybridbereitstellungen zu schützen. In diesen Fällen müssen Sie möglicherweise bestimmte Anfrageattribute prüfen, bevor Sie Traffic weiterleiten.

Funktionen des Tools zur Bedingungserstellung für Abgleich

Das Tool zur Bedingungserstellung für Abgleich umfasst die folgenden Funktionen:

Logik und Verschachtelung: Kombinieren Sie mehrere Bedingungen mit den Operatoren AND und OR. Der Builder unterstützt das Gruppieren und Verschachteln von bis zu fünf Ausdrücken.
String-Transformationen: Wenden Sie für stringbasierte Attribute (z. B. request.path oder request.headers) Transformationen an, um Daten vor der Auswertung zu normalisieren. Folgende Transformationen werden unterstützt:
- Klein- und Großbuchstaben
- Base64-Decodierung
- URL-Decodierung und URL-Decodierung (Unicode)
- UTF-8 in Unicode umwandeln
Bidirektionale Analyse: Sie können zwischen dem visuellen Tool zum Erstellen von Abgleichsbedingungen und dem Editor für Abgleichsbedingungen mit Rohdaten wechseln. Die Benutzeroberfläche parst automatisch rohen CEL-Code in visuelle Blöcke.
Funktionsunterstützung: Der Builder bietet UI-Steuerelemente für funktionsbasierte Ausdrücke wie vorkonfigurierte WAF-Regeln, Adressgruppen und Threat Intelligence.

Beschränkungen

Das Tool zur Bedingungserstellung für den Abgleich ist die Standardoberfläche für die Erstellung erweiterter Regeln. Wenn ein Ausdruck nicht unterstützte Logik enthält, z. B. unbekannte Makros, wird der Builder deaktiviert. Verwenden Sie in diesen Fällen den Roh-Text im Editor für Abgleichsbedingungen, um die Regel zu bearbeiten.

Außerdem hängt die Verfügbarkeit bestimmter Ausdrücke im Builder von der Google Cloud Armor Enterprise-Stufe Ihres Projekts und dem Typ der Sicherheitsrichtlinie ab.

Mehrere Regeln in einer Sicherheitsrichtlinie kleinstmöglich aktualisieren

Mit der Funktion für atomare Aktualisierungen können Sie Änderungen an mehreren Regeln in einer einzigen Aktualisierung anwenden. Einzelne Regelaktualisierungen können zu unbeabsichtigtem Verhalten wie Fehlern führen, da sich alte und neue Regeln möglicherweise für kurze Zeit überschneiden.

Exportieren Sie die aktuelle Sicherheitsrichtlinie in eine JSON- oder YAML-Datei und ändern Sie diese dann entsprechend, um mehrere Regeln atomar zu aktualisieren. Verwenden Sie die geänderte Datei, um eine Sicherheitsrichtlinie zu erstellen, und wechseln Sie dann die Sicherheitsrichtlinie für die Backend-Dienste.

gcloud

Exportieren Sie die Richtlinie, die Sie aktualisieren möchten, wie im folgenden Beispiel gezeigt:

gcloud compute security-policies export my-policy \
    --file-name my-file \
    --file-format yaml

Die exportierte Richtlinie sieht etwa so aus:

    description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

Ändern Sie die Richtlinie in einem Texteditor. Sie können beispielsweise die Prioritäten der vorhandenen Regeln ändern und eine Regel hinzufügen:

    description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-new-rule
      match:
        config:
          srcIpRanges:
          - '1.2.3.1'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 10
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 11
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

Erstellen Sie eine neue Cloud Armor-Sicherheitsrichtlinie und geben Sie den geänderten Dateinamen und das Format wie im folgenden Beispiel an:
```
gcloud compute security-policies create new-policy \
    --file-name modified-policy \
    --file-format yaml
```
Entfernen Sie die alte Sicherheitsrichtlinie aus dem entsprechenden Backend-Dienst, wie im folgenden Beispiel gezeigt:
```
gcloud compute backend-services update my-backend \
    --security-policy ""
```
Fügen Sie dem Backend-Dienst die neue Sicherheitsrichtlinie hinzu, wie im folgenden Beispiel gezeigt:
```
gcloud compute backend-services update my-backend \
    --security-policy new-policy
```
Wenn die alte Richtlinie nicht verwendet wird, löschen Sie sie:
```
gcloud compute security-policies delete my-policy
```

Regeln aus einer Sicherheitsrichtlinie löschen

Folgen Sie der Anleitung in diesem Abschnitt, um Regeln aus einer Cloud Armor-Sicherheitsrichtlinie zu löschen.

Console

Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

Zu Cloud Armor-Richtlinien
Klicken Sie auf den Namen der Sicherheitsrichtlinie, um die Seite Richtliniendetails zu öffnen.
Klicken Sie in der Mitte der Seite auf dem Tab Regeln das Kästchen neben der Regel an, die Sie löschen möchten.
Klicken Sie auf Löschen.

gcloud

Verwenden Sie den folgenden Befehl, um eine Regel zu entfernen. Sie können jeweils nur eine Sicherheitsrichtlinie ändern. Sie können aber mehrere Regeln gleichzeitig löschen:

gcloud compute security-policies rules delete PRIORITY [...] [
    --security-policy POLICY_NAME \
  ]

Beispiel:

gcloud compute security-policies rules delete 1000 \
    --security-policy my-policy

Sicherheitsrichtlinien anhängen und entfernen

In den folgenden Abschnitten wird beschrieben, wie Sie Sicherheitsrichtlinien anhängen und entfernen.

Sicherheitsrichtlinie an einen Backend-Dienst anhängen

Folgen Sie der Anleitung in diesem Abschnitt, um eine Cloud Armor-Sicherheitsrichtlinie an einen Backend-Dienst anzuhängen. Sie können eine Sicherheitsrichtlinie an mehrere Back-End-Dienste anhängen. An einen Back-End-Dienst kann jedoch jeweils nur ein Typ von Sicherheitsrichtlinien angehängt werden.

Console

Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

Zu Cloud Armor-Richtlinien
Klicken Sie auf den Namen der Sicherheitsrichtlinie, um die Seite Richtliniendetails zu öffnen.
Klicken Sie in der Mitte der Seite auf den Tab Ziele.
Klicken Sie auf Richtlinie auf neues Ziel anwenden.
Klicken Sie auf Ziel hinzufügen.
Wählen Sie in der Liste Ziel ein Ziel aus und klicken Sie anschließend auf Hinzufügen.

gcloud

Verwenden Sie den Befehl gcloud compute backend-services und das Flag --security-policy, wenn Sie eine Backend-Sicherheitsrichtlinie an einen Backend-Dienst anhängen:

gcloud compute backend-services update my-backend \
    --security-policy my-policy

Wenn Sie eine Edge-Sicherheitsrichtlinie an einen Backend-Dienst anhängen, verwenden Sie den Befehl gcloud compute backend-services und das Flag --edge-security-policy:

gcloud compute backend-services update my-backend \
    --edge-security-policy my-policy

Sicherheitsrichtlinie aus einem Backend-Dienst entfernen

Folgen Sie der Anleitung in diesem Abschnitt, um eine Cloud Armor-Sicherheitsrichtlinie von einem Backend-Dienst zu entfernen.

Console

Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

Zu Cloud Armor-Richtlinien
Klicken Sie auf den Namen der Sicherheitsrichtlinie, um die Seite Richtliniendetails zu öffnen.
Klicken Sie in der Mitte der Seite auf den Tab Ziele.
Wählen Sie den Ziel-Backend-Dienst aus, aus dem Sie die Richtlinie entfernen.
Klicken Sie auf Entfernen.
Klicken Sie in der Meldung Ziel entfernen auf Entfernen.

gcloud

Wenn Sie eine Backend-Sicherheitsrichtlinie entfernen, verwenden Sie den Befehl gcloud compute backend-services und das Flag --security-policy:

gcloud compute backend-services update my-backend \
    --security-policy ""

Wenn Sie eine Edge-Sicherheitsrichtlinie entfernen, verwenden Sie den Befehl gcloud compute backend-services und das Flag --edge-security-policy:

gcloud compute backend-services update my-backend \
    --edge-security-policy ""

Sicherheitsrichtlinie an einen Backend-Bucket anhängen

Folgen Sie der Anleitung in diesem Abschnitt, um eine Cloud Armor-Edge-Sicherheitsrichtlinie an einen Backend-Bucket anzuhängen. Sie können eine Edge-Sicherheitsrichtlinie an mehrere Backend-Buckets anhängen.

Console

Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

Zu Cloud Armor-Richtlinien
Klicken Sie auf den Namen der Sicherheitsrichtlinie, um die Seite Richtliniendetails zu öffnen.
Klicken Sie in der Mitte der Seite auf den Tab Ziele.
Klicken Sie auf Richtlinie auf neues Ziel anwenden.
Klicken Sie auf Ziel hinzufügen.
Wählen Sie in der Liste Ziel ein Ziel aus und klicken Sie anschließend auf Hinzufügen.

gcloud

Wenn Sie eine Edge-Sicherheitsrichtlinie an einen Backend-Bucket anhängen, verwenden Sie den Befehl cloud compute backend-buckets und das Flag --edge-security-policy:

gcloud compute backend-services update my-bucket \
    --edge-security-policy my-edge-policy

Sicherheitsrichtlinie aus einem Backend-Bucket entfernen

Folgen Sie der Anleitung in diesem Abschnitt, um eine Cloud Armor-Edge-Sicherheitsrichtlinie aus einem Backend-Bucket zu entfernen.

Console

Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

Zu Cloud Armor-Richtlinien
Klicken Sie auf den Namen der Sicherheitsrichtlinie, um die Seite Richtliniendetails zu öffnen.
Klicken Sie in der Mitte der Seite auf den Tab Ziele.
Wählen Sie den Ziel-Backend-Dienst aus, aus dem Sie die Richtlinie entfernen.
Klicken Sie auf Entfernen.
Klicken Sie in der Meldung Ziel entfernen auf Entfernen.

gcloud

Wenn Sie eine Edge-Sicherheitsrichtlinie aus einem Backend-Bucket entfernen, verwenden Sie den Befehl cloud compute backend-buckets und das Flag --edge-security-policy:

gcloud compute backend-services update my-bucket \
    --edge-security-policy ""

Sicherheitsrichtlinien importieren und exportieren

In den folgenden Abschnitten wird beschrieben, wie Sie Sicherheitsrichtlinien importieren und exportieren können.

Sicherheitsrichtlinien exportieen

Mit dem Google Cloud CLI können Sie eine Cloud Armor-Sicherheitsrichtlinie als YAML- oder JSON-Datei exportieren. Diese Funktion bietet folgende Vorteile:

Kopie zur Versionsverwaltung oder Sicherung speichern: Beim Exportieren wird eine lokale Kopie Ihrer Richtlinie erstellt. Sie können diese Kopie in Versionsverwaltungssystemen als Sicherung speichern oder Änderungen erfassen. Sie können sie später wieder importieren, um eine frühere Version wiederherzustellen.
Richtlinien lokal ändern und aktualisieren: Sie können exportierte Richtlinien offline mit einem Texteditor ändern. Nachdem Sie Änderungen vorgenommen haben, importieren Sie die aktualisierte Richtlinie noch einmal, um die Änderungen in Cloud Armor zu übernehmen.

gcloud

Im folgenden Befehl ist NAME der Name der Sicherheitsrichtlinie. Gültige Dateiformate sind YAML und JSON. Wenn Sie das Dateiformat nicht angeben, verwendet Cloud Armor YAML.

gcloud compute security-policies export NAME \
    --file-name FILE_NAME  \
    --file-format FILE_FORMAT

Das folgende Beispiel zeigt den Befehl zum Exportieren der Sicherheitsrichtlinie my-policy in die Datei my-file im YAML-Format:

gcloud compute security-policies export my-policy \
    --file-name my-file \
    --file-format yaml

Das folgende Beispiel zeigt eine exportierte Sicherheitsrichtlinie:

description: my description
fingerprint: PWfLGDWQDLY=
id: '123'
name: my-policy
rules:
- action: allow
  description: default rule
  match:
      config:
        srcIpRanges:
        - '*'
      versionedExpr: SRC_IPS_V1
    preview: false
    priority: 2147483647
  selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

Ändern Sie die exportierte Datei mit einem Texteditor und importieren Sie sie dann mit dem Befehl import wieder in Google Cloud .

Sicherheitsrichtlinien importieren

Mit der Google Cloud CLI können Sie Cloud Armor-Sicherheitsrichtlinien aus einer YAML- oder JSON-Datei importieren. Mit dem Befehl import können Sie nicht die Regeln einer vorhandenen Richtlinie aktualisieren. Stattdessen müssen Sie sie nacheinander mithilfe des Verfahrens Einzelne Regel in einer Sicherheitsrichtlinie aktualisieren aktualisieren. Wenn Sie alle Regeln gleichzeitig aktualisieren möchten, nutzen Sie die Methode Mehrere Regeln in einer Sicherheitsrichtlinie atomar aktualisieren.

gcloud

Importieren Sie Sicherheitsrichtlinien mit dem folgenden gcloud compute security-policies import NAME-Befehl.

gcloud compute security-policies import NAME \
    --file-name FILE_NAME  \
   [--file-format FILE_FORMAT]

Mit dem folgenden Befehl wird durch Importieren der Datei my-file beispielsweise die Richtlinie my-policy aktualisiert.

gcloud compute security-policies import my-policy \
    --file-name my-file \
    --file-format json

Ersetzen Sie NAME durch den Namen der Sicherheitsrichtlinie. Wenn Sie das Dateiformat nicht angeben, wird das richtige Format von der Dateistruktur abgeleitet. Wenn die Struktur ungültig ist, gibt die gcloud CLI eine Fehlermeldung zurück.

Wenn der Fingerabdruck der Richtlinie beim Import veraltet ist, gibt Cloud Armor einen Fehler zurück. Das bedeutet, dass die Richtlinie seit dem letzten Export geändert wurde. Verwenden Sie zur Behebung dieses Problems den Befehl describe der Richtlinie, um den neuesten Fingerabdruck abzurufen. Sie können --format=yaml oder --format=json mit dem Befehl describe verwenden, um den Vergleich zu erleichtern. Vergleichen Sie den Abschnitt rules der describe-Ausgabe mit dem Abschnitt rules in Ihrer Richtliniendatei, führen Sie alle Unterschiede zusammen und ersetzen Sie dann den veralteten Fingerabdruck in Ihrer Datei durch den neuesten aus der describe-Ausgabe.

Verfügbare vorkonfigurierte Regeln auflisten

Zusätzlich zu Regeln, die Sie selbst konfigurieren, bietet Cloud Armor vorkonfigurierte Regeln, die Sie in Ihren Sicherheitsrichtlinien verwenden können. Sie können vorkonfigurierte Regeln auflisten, um die vordefinierten Anwendungsschutzregeln und -signaturen wie das von Cloud Armor bereitgestellte OWASP Core Rule Set anzeigen zu lassen. Diese Regeln enthalten integrierte Signaturen, mit denen Cloud Armor eingehende Anfragen auswertet. Sie können diese vorkonfigurierten Regeln mithilfe der Sprachreferenz für benutzerdefinierte Regeln neuen oder vorhandenen Regeln hinzufügen.

Weitere Informationen finden Sie unter Vorkonfigurierte Regeln.

gcloud

Führen Sie den Befehl gcloud compute security-policies list-preconfigured-expression-sets aus:

gcloud compute security-policies list-preconfigured-expression-sets

Das folgende Beispiel zeigt die Form der Befehlsausgabe:

EXPRESSION_SET
expression-set-1
   RULE_ID                SENSITIVITY
   expression-set-1-id-1  sensitivity-value-1
   expression-set-1-id-2  sensitivity-value-2
expression-set-2
   alias-1
   RULE_ID                SENSITIVITY
   expression-set-2-id-1  sensitivity-value-1
   expression-set-2-id-2  sensitivity-value-2

Das folgende Beispiel enthält ein Beispiel der tatsächlichen Befehlsausgabe. Beachten Sie, dass die tatsächliche Ausgabe alle Regeln enthält, die unter Cloud Armor-WaF-Regeln abstimmen aufgeführt sind.

gcloud compute security-policies list-preconfigured-expression-sets

EXPRESSION_SET
sqli-canary
    RULE_ID                          SENSITIVITY
    owasp-crs-v042200-id942120-sqli  2
    …
xss-canary
    RULE_ID                         SENSITIVITY
    owasp-crs-v042200-id941110-xss  1
    owasp-crs-v042200-id941120-xss  2
…
sourceiplist-fastly
sourceiplist-cloudflare
sourceiplist-imperva

Cloud Armor-Sicherheitsrichtlinien verwalten Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.

Sicherheitsrichtlinien verwalten

Sicherheitsrichtlinien auflisten

Console

gcloud

Sicherheitsrichtlinien aktualisieren

Console

gcloud

Sicherheitsrichtlinien löschen

Console

gcloud

Sicherheitsrichtlinien testen

Regeln für Sicherheitsrichtlinien verwalten

Regeln in einer Sicherheitsrichtlinie auflisten

Console

gcloud

Regeln zu einer Sicherheitsrichtlinie hinzufügen

Console

gcloud

Einzelne Regel in einer Sicherheitsrichtlinie aktualisieren

Console

gcloud

Tool zur Bedingungserstellung für Abgleich verwenden

Funktionen des Tools zur Bedingungserstellung für Abgleich

Beschränkungen

Mehrere Regeln in einer Sicherheitsrichtlinie kleinstmöglich aktualisieren

gcloud

Regeln aus einer Sicherheitsrichtlinie löschen

Console

gcloud

Sicherheitsrichtlinien anhängen und entfernen

Sicherheitsrichtlinie an einen Backend-Dienst anhängen

Console

gcloud

Sicherheitsrichtlinie aus einem Backend-Dienst entfernen

Console

gcloud

Sicherheitsrichtlinie an einen Backend-Bucket anhängen

Console

gcloud

Sicherheitsrichtlinie aus einem Backend-Bucket entfernen

Console

gcloud

Sicherheitsrichtlinien importieren und exportieren

Sicherheitsrichtlinien exportieen

gcloud

Sicherheitsrichtlinien importieren

gcloud

Verfügbare vorkonfigurierte Regeln auflisten

gcloud

Nächste Schritte

Cloud Armor-Sicherheitsrichtlinien verwalten