Google Threat Intelligence anwenden

Mit Google Threat Intelligence können Google Cloud Armor Enterprise-Abonnenten ihren Traffic schützen, indem sie Traffic zu ihren externen Application Load Balancern basierend auf mehreren Kategorien von Bedrohungsinformationsdaten zulassen oder blockieren. Google Threat Intelligence-Daten sind in die folgenden Kategorien unterteilt:

  • Gateway-Knoten: Tor ist eine Open-Source-Software, die anonyme Kommunikation ermöglicht. Wenn Sie Nutzer ausschließen möchten, die ihre Identität ausblenden, blockieren Sie die IP-Adressen der Tor-Ausgangsknoten (Punkte, an denen der Traffic das Tor-Netzwerk verlässt).
  • Bekannte schädliche IP-Adressen: IP-Adressen, die blockiert werden müssen, um die Sicherheit Ihrer Anwendung zu verbessern, da von ihnen bekannterweise Angriffe auf Webanwendungen ausgingen.
  • Suchmaschinen: IP-Adressen, denen Sie die Aktivierung der Websiteindexierung erlauben können.
  • VPN-Anbieter: IP-Adressen, die von VPN-Anbietern mit geringer Reputation verwendet werden. Diese Kategorie kann blockiert werden, um Versuche zu verhindern, IP-adressbasierte Regeln zu umgehen.
  • Anonyme Proxys: IP-Adressen, die von bekannten anonymen Proxys verwendet werden.
  • Krypto-Miner: IP-Adressen, die von bekannten Kryptowährungs-Mining-Websites verwendet werden.
  • IP-Adressbereiche der öffentlichen Cloud: Diese Kategorie kann entweder blockiert werden, um zu verhindern, dass schädliche automatisierte Tools in Webanwendungen suchen, oder sie kann zugelassen werden, wenn Ihr Dienst andere öffentliche Clouds verwendet.

Zum Verwenden von Google Threat Intelligence definieren Sie Sicherheitsregeln, die Traffic basierend auf einigen oder allen diesen Kategorien über den Übereinstimmungsausdruck evaluateThreatIntelligence zulassen oder blockieren. Weiter wird dazu ein Feedname genutzt, der eine der vorherigen Kategorien darstellt. Außerdem müssen Sie Cloud Armor Enterprise abonnieren. Weitere Informationen zu Cloud Armor Enterprise finden Sie in der Übersicht zu Cloud Armor Enterprise.

Google Threat Intelligence konfigurieren

Wenn Sie Google Threat Intelligence verwenden möchten, konfigurieren Sie Sicherheitsrichtlinienregeln mithilfe des Übereinstimmungsausdrucks evaluateThreatIntelligence('FEED_NAME') und geben Sie einen FEED_NAME für die Kategorie an, die Sie zulassen oder blockieren möchten. Die Informationen in den einzelnen Feeds werden kontinuierlich aktualisiert, um Dienste ohne zusätzliche Konfigurationsschritte vor neuen Bedrohungen zu schützen. Gültige Argumente sind:

Feedname Beschreibung
iplist-tor-exit-nodes Entspricht den IP-Adressen der Tor-Exit-Knoten
iplist-known-malicious-ips Entspricht IP-Adressen, die bekanntermaßen Angriffe auf Webanwendungen ausführen
iplist-search-engines-crawlers Entspricht IP-Adressen von Suchmaschinen-Crawlern
iplist-vpn-providers Führt zu Übereinstimmung mit IP-Adressbereichen, die von VPN-Anbietern mit geringem Ruf verwendet werden
iplist-anon-proxies Entspricht IP-Adressbereichen, die zu offenen anonymen Proxys gehören
iplist-crypto-miners Entspricht IP-Adressbereichen, die zu Kryptomining-Websites gehören
iplist-cloudflare Entspricht den IPv4-Adressbereichen und IPv6-Adressbereichen von Cloudflare-Proxydiensten
iplist-fastly Entspricht den IP-Adressbereichen von Fastly Proxy-Diensten
iplist-imperva Entspricht den IP-Adressbereichen von Imperva-Proxydiensten
iplist-public-clouds
  • iplist-public-clouds-aws
  • iplist-public-clouds-azure
  • iplist-public-clouds-gcp
 Entspricht IP-Adressen, die zu öffentlichen Clouds gehören
  • Führt zu Übereinstimmung mit den IP-Adressbereichen, die von Amazon Web Services verwendet werden
  • Entspricht den von Microsoft Azure verwendeten IP-Adressbereichen
  • Führt zu Übereinstimmung mit den von Google Cloudverwendeten IP-Adressbereichen

Sie können eine neue Sicherheitsregel mit folgendem gcloud-Befehl, mit einem FEED_NAME aus der vorherigen Tabelle und einem beliebigen ACTION (wie allow, deny oder throttle) konfigurieren. Weitere Informationen zu Regelaktionen finden Sie unter Richtlinientypen.

gcloud compute security-policies rules create 1000 \
    --security-policy=NAME \
    --expression="evaluateThreatIntelligence('FEED_NAME')" \
    --action="ACTION"

Ersetzen Sie Folgendes:

  • NAME: Der Name der Sicherheitsrichtlinie, die Sie einrichten möchten.
  • FEED_NAME: der Feedname aus der vorherigen Tabelle
  • ACTION: die für die Regel auszuführende Aktion, z. B. allow, deny oder throttle

Beispiele für Google Threat Intelligence-Ausdrücke

  • Sie können Google Threat Intelligence mit einer Nutzer-IP verwenden.

Im folgenden Beispielbefehl wird der Feedname iplist-tor-exit-nodes mit der Nutzer-IP des Aufrufers verwendet:

    evaluateThreatIntelligence('iplist-tor-exit-nodes', origin.user_ip)

Weitere Informationen finden Sie unter Übersicht über Nutzer-IP-Adressen.

  • Sie können verhindern, dass Google Threat Intelligence eine bestimmte IP-Adresse oder einen bestimmten IP-Adressbereich blockiert, indem Sie die Adresse der Ausschlussliste hinzufügen.

Im folgenden Beispielbefehl wird der Feedname iplist-known-malicious-ips verwendet:

    evaluateThreatIntelligence('iplist-known-malicious-ips', ['ADDRESS'])

Ersetzen Sie ADDRESS durch die Adresse oder den Adressbereich, die bzw. den Sie ausschließen möchten.

  • Sie können Google Threat Intelligence mit einer Nutzer-IP-Adresse verwenden. Fügen Sie der Ausschlussliste eine IP-Adresse oder einen IP-Adressbereich hinzu, um zu verhindern, dass Google Threat Intelligence sie blockiert.

Im folgenden Beispielbefehl wird der Feedname iplist-known-malicious-ips mit einer Nutzer-IP verwendet: