Questa pagina spiega le regole di sicurezza del gateway e come crearle.
Secure Web Proxy consente di definire vari tipi di regole di sicurezza all'interno delle policy di sicurezza del gateway per proteggere il traffico web in uscita. Puoi utilizzare queste regole per controllare con precisione la sicurezza del traffico utilizzando dettagli specifici della richiesta, come intestazioni e pattern URL, per assicurarti che solo il traffico HTTP/S approvato lasci la rete.
Le regole di sicurezza del gateway hanno le seguenti funzionalità:
Ogni regola è un'istruzione
if-thenche controlla una richiesta web in base ai seguenti parametri:Identità di origine: chi sta effettuando la richiesta, ad esempio una macchina virtuale (VM) o un account di servizio specifico.
Destinazione: dove viene inviata la richiesta, ad esempio un URL di destinazione o un dominio come
trusted-partner.com.Azione: la decisione di consentire o negare il traffico.
Le regole di sicurezza del gateway forniscono un controllo granulare. Queste regole consentono di applicare standard di sicurezza diversi all'interno dell'organizzazione utilizzando definizioni chiare e strutturate.
Regole di corrispondenza host
Secure Web Proxy utilizza la corrispondenza del nome host per verificare il dominio di destinazione. La procedura di verifica varia a seconda della modalità di deployment del proxy, come mostrato nella tabella seguente.
| Modalità di deployment | Procedura di verifica dell'host |
|---|---|
| Modalità proxy esplicito | Per il traffico non criptato, il proxy controlla il nome host rispetto all'intestazione della connessione HTTP. Se utilizzi gli attributi di Application Matcher per l'ispezione TLS, il proxy controlla prima il nome host a livello di connessione e poi a livello di applicazione. |
| Modalità hop successivo | Per il traffico criptato, il proxy controlla il nome host di destinazione rispetto al campo Server Name Indication (SNI) nella richiesta in uscita. Questo campo è visibile anche sulle connessioni sicure. |
Configurare le regole di corrispondenza host per la modalità proxy esplicito
Quando esegui il deployment di Secure Web Proxy come proxy esplicito, configura le regole di corrispondenza host per verificare che le informazioni sull'host inviate dal client vengano estratte e controllate correttamente rispetto alle regole di sicurezza definite. Nella modalità proxy esplicito, i client sono configurati attivamente per inviare il traffico direttamente all'istanza di Secure Web Proxy.
La corrispondenza host nella modalità proxy esplicito funziona per diversi tipi di traffico web nel seguente modo:
| Tipo di traffico | Meccanismo di corrispondenza | Configurazione della regola |
|---|---|---|
| HTTP non criptato | Secure Web Proxy controlla il nome host di destinazione rispetto a
il campo host nell'intestazione CONNECT standard
della richiesta HTTP. |
Nel campo sessionMatcher, utilizza
host() == "example.com". |
| HTTPS criptato (senza ispezione TLS (Transport Layer Security) ) | La corrispondenza host non è possibile né a livello di applicazione
né a livello di sessione. Questo perché i dettagli della richiesta sono criptati e l'destination.ipattributo non è supportato. Devi utilizzare controlli delle policy più ampi, come
la corrispondenza dell'identità di origine, o abilitare l'ispezione TLS
per il filtro basato sull'host. |
Per utilizzare Application Matcher, utilizza la corrispondenza dell'identità di origine, ad esempio gli account di servizio, o abilita l'ispezione TLS. |
| HTTPS criptato (con ispezione TLS) | Per ispezionare la richiesta completa, devi utilizzare sia il Session Matcher sia l'Application Matcher. | 1. Imposta una regola Session Matcher generale che restituisca
true o che corrisponda all'host di destinazione, ad esempio
host() == "example.com".
2. Nel campo |
Configurare le regole di corrispondenza host per la modalità hop successivo
Quando esegui il deployment di Secure Web Proxy come hop successivo, devi configurare le regole di corrispondenza host. Il traffico viene reindirizzato al proxy tramite una route Virtual Private Cloud (VPC) basata sugli intervalli di indirizzi IP che definisci. Le regole di corrispondenza host assicurano che il proxy identifichi correttamente l'host di destinazione controllando vari campi del traffico, come l'intestazione Server Name Indication (SNI).
La corrispondenza host nella modalità hop successivo funziona per diversi tipi di traffico web nel seguente modo:
| Tipo di traffico | Meccanismo di corrispondenza | Configurazione della regola |
|---|---|---|
| HTTP non criptato | Secure Web Proxy controlla il nome host di destinazione rispetto a
il campo host nell'intestazione della richiesta HTTP standard. |
Nel campo sessionMatcher, utilizza
host() == "example.com". |
| HTTPS criptato (senza ispezione TLS) | Secure Web Proxy controlla il nome host rispetto all' intestazione SNI nella richiesta in uscita, che è visibile anche se il resto del traffico è criptato. | Nel campo sessionMatcher, utilizza
host() == "example.com". |
| HTTPS criptato (con ispezione TLS) | Per ispezionare la richiesta completa, devi utilizzare sia il Session Matcher sia l'Application Matcher. | 1. Imposta una regola Session Matcher generale che restituisca
true o che corrisponda all'host di destinazione, ad esempio
host() == "example.com".
2. Nel campo |
Regole del proxy TCP
Le regole del proxy TCP (Transmission Control Protocol) consentono di controllare il traffico non web standard, come HTTP (porta 80) o HTTPS (porta 443). Configurando le regole del proxy TCP, puoi consentire o bloccare il traffico su qualsiasi altra porta TCP. Queste regole ti aiutano a bloccare il traffico dannoso e a gestire le applicazioni non web che utilizzano TCP.
Se il tuo carico di lavoro (ad esempio applicazioni e servizi) utilizza Secure Web Proxy come hop successivo, l'applicazione delle regole del proxy TCP è vantaggiosa. Il reindirizzamento basato su route indirizza il traffico non HTTP(S) e non web all'istanza di Secure Web Proxy. In questo modo, puoi bloccare il traffico in uscita che raggiunge siti esterni dannosi e gestire i servizi esterni a cui possono connettersi i carichi di lavoro di rete.
Configurare le regole del proxy TCP
Puoi configurare le regole del proxy TCP per la tua applicazione per proteggere il traffico non web e applicare policy di sicurezza per le applicazioni che non utilizzano HTTP/S standard, ad esempio per le porte 80 e 443.
Applicando queste regole, puoi impedire l'utilizzo non autorizzato di altre porte TCP per il trasferimento di dati o attività dannose. Questa funzionalità è particolarmente utile quando i carichi di lavoro utilizzano Secure Web Proxy come hop successivo per i protocolli non web.
Per implementare le regole del proxy TCP e creare una regola di autorizzazione o blocco del traffico per l'applicazione, devi specificare la porta di destinazione. Facoltativamente, puoi includere uno qualsiasi dei seguenti attributi di Session Matcher per perfezionare i criteri della regola di autorizzazione o blocco.
La tabella seguente fornisce ulteriori informazioni sui vari attributi che puoi utilizzare in una regola del proxy TCP:
| Attributo | Tipo di attributo | Descrizione |
|---|---|---|
source.ip |
string | Indirizzo IP del client che ha inviato la richiesta. |
source.port |
string | Porta client che ha inviato la richiesta. |
destination.port |
string | Porta upstream a cui l'istanza di Secure Web Proxy invia il traffico. |
source.matchTag(SECURE_TAG) |
boolean |
L'argomento è l'ID permanente del tag sicuro, ad esempio
|
source.matchServiceAccount(SERVICE_ACCOUNT) |
boolean | True, se l'origine è associata a
SERVICE_ACCOUNT ad esempio
source.matchServiceAccount('x@my-project.iam.gserviceaccount.com').
|
inIpRange(IP_ADDRESS, |
boolean | True, se IP_ADDRESS è contenuto in IP_RANGE, ad esempio inIpRange(source.ip, '1.2.3.0/24'). Le subnet mask
per gli indirizzi IPv6 non possono superare `/64`.
|
Esempio di regola del proxy TCP
Questo esempio mostra come definire un Secure Web Proxy
gatewaySecurityPolicyRule utilizzando un'
espressione CEL per consentire
tutto il traffico TCP alla porta 22. Puoi utilizzare questa configurazione quando applichi le funzionalità del proxy TCP di Secure Web Proxy.
Il seguente esempio di codice mostra come definire una regola del proxy TCP:
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/RULE_NAME
enabled: true
priority: 100 # Lower numbers have higher priority
description: "Allow TCP proxy traffic to port 22 -