Cloud IDS konfigurieren

Folgen Sie dieser Anleitung, um Cloud IDS für Ihre Anwendung zu konfigurieren. Konzeptuelle Informationen zu Cloud IDS finden Sie in der Übersicht über Cloud IDS.

Hinweis

Bevor Sie Cloud IDS konfigurieren, müssen Sie die folgenden Voraussetzungen erfüllen.

IAM-Berechtigungen für Cloud IDS einrichten

Cloud IDS hat mehrere IAM-Rollen (Identity and Access Management). Mit den Beispielbefehlen können Sie einem Hauptkonto die erforderlichen IAM-Berechtigungen erteilen.

• Rolle „Cloud IDS-Administrator“ (roles/ids.admin). Projekthauptkonten mit dieser Rolle können IDS-Endpunkte erstellen. Wenn Sie Projektinhaber sind, haben Sie diese Berechtigung bereits und benötigen keine explizite ids.admin-Rolle, um IDS-Endpunkte zu erstellen.

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/ids.admin \
     --member=user:USER_NAME ;
  

  Diese Rolle ermöglicht die folgenden Vorgänge:

  • Endpunkt erstellen
  • Endpunkt löschen
  • Endpunkt abrufen
  • Endpunkt auflisten

• Rolle „Cloud IDS-Betrachter“ (roles/ids.viewer). Projektbetrachter und Hauptkonten mit dieser Rolle haben Lesezugriff auf IDS-Endpunkte. Wenn Sie Projektinhaber, ‑bearbeiter oder ‑betrachter sind, haben Sie diese Berechtigung bereits.

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/ids.viewer \
     --member=user:USER_NAME ;
  

• Rolle „Nutzer der Compute-Paketspiegelung“ (roles/compute.packetMirroringUser). Diese Rolle ist erforderlich, um eine Paketspiegelungsrichtlinie an den IDS-Endpunkt anzuhängen. Wenn Sie die Rolle compute.securityAdmin oder container.serviceAgent haben, haben Sie diese Berechtigung bereits. Weitere Informationen zu dieser Rolle finden Sie in der Referenz zu einfachen und vordefinierten IAM-Rollen.

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/compute.packetMirroringUser \
     --member=user:USER_NAME ;
  

• Rolle „Logbetrachter“ (roles/logging.viewer): Das ist eine zusätzliche Rolle, die zum Aufrufen der aktuellen Bedrohungen erforderlich ist. Dies ist eine wichtige Kernfunktion von Cloud IDS. Weitere Informationen zu dieser Rolle finden Sie im Leitfaden zur Zugriffssteuerung.

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/logging.viewer \
     --member=user:USER_NAME ;
  

Außerdem benötigen Sie die folgenden sonstigen Berechtigungen:

• compute.regions.list
• compute.zones.list

Zugriff auf private Dienste einrichten

Zum Erstellen von IDS-Endpunkten müssen Sie die Service Networking API aktivieren und für das VPC-Netzwerk (Virtual Private Cloud) das Netzwerk-Peering einrichten. Dies muss nur einmal pro Kundenprojekt erfolgen und kann über dieGoogle Cloud Console oder die Google Cloud CLI erfolgen. Wenn Sie einen IP‑Adressbereich zuweisen, muss es sich um einen RFC 1918-konformen privaten IP‑Adressbereich (10.0.0.0/8, 172.16.0.0/12 oder 192.168.0.0/16) handeln. Andernfalls schlägt die Erstellung des Endpunkts fehl.

So richten Sie den Zugriff auf private Dienste ein:

1. Aktivieren Sie die Service Networking API mit dem folgenden Befehl. Ersetzen Sie PROJECT_ID durch Ihre Projekt-ID.

   gcloud services enable servicenetworking.googleapis.com \
    --project=PROJECT_ID
   

2. Wenn Sie in Ihrem Netzwerk noch keinen IP-Adressbereich zugewiesen haben, müssen Sie für Google-Dienste in Ihrem VPC-Netzwerk einen IP-Bereich zuweisen. Im folgenden Befehl können Sie das Feld addresses weglassen.Google Cloud wählt dann einen nicht verwendeten Adressbereich in Ihrem VPC-Netzwerk aus:

   gcloud compute addresses create RESERVED_RANGE_NAME \
     --global \
     --purpose=VPC_PEERING \
     --addresses=192.168.0.0 \
     --prefix-length=16 \
     --description="DESCRIPTION" \
     --network=VPC_NETWORK
   

   Ersetzen Sie Folgendes:

   • RESERVED_RANGE_NAME: ein Name für den zugewiesenen Bereich, z. B. my-allocated-range

   • DESCRIPTION: eine Beschreibung für den Bereich, z. B. allocated for my-service

   • VPC_NETWORK: der Name Ihres VPC-Netzwerks, z. B. my-vpc-network

3. Stellen Sie eine private Verbindung zu einem Dienstersteller her. Die private Verbindung richtet eine VPC-Netzwerk-Peering-Verbindung zwischen Ihrem VPC-Netzwerk und dem Netzwerk des Diensterstellers ein.

   Wenn Sie bereits eine private Verbindung haben, verwenden Sie den Befehl gcloud services vpc-peerings update, um sie zu aktualisieren:

   gcloud services vpc-peerings update \
     --service=servicenetworking.googleapis.com \
     --ranges=RESERVED_RANGE_NAME \
     --network=VPC_NETWORK \
     --project=PROJECT_ID
   

   Wenn Sie noch keine private Verbindung haben, verwenden Sie den Befehl gcloud services vpc-peerings connect. Dieser Befehl initiiert einen Vorgang mit langer Ausführungszeit, der einen Vorgangsnamen zurückgibt.

   gcloud services vpc-peerings connect \
     --service=servicenetworking.googleapis.com \
     --ranges=RESERVED_RANGE_NAME \
     --network=VPC_NETWORK \
     --project=PROJECT_ID
   

   Ersetzen Sie Folgendes:

   • RESERVED_RANGE_NAME: der Name eines oder mehrerer zugewiesener Bereiche

   • VPC_NETWORK: der Name des VPC-Netzwerks

   • PROJECT_ID: die ID des Projekts, das Ihr VPC-Netzwerk enthält

   Mit dem Befehl gcloud services vpc-peerings operations describe können Sie prüfen, ob der Vorgang erfolgreich war:

   gcloud services vpc-peerings operations describe \
       --name=OPERATION_NAME
   

   Ersetzen Sie OPERATION_NAME durch den Vorgangsnamen, der im vorherigen Schritt zurückgegeben wurde.

Wiederholen Sie die Schritte 2 und 3 für jedes VPC-Netzwerk, das Sie überwachen möchten.

Optional: VPC Service Controls aktivieren

Nachdem der Zugriff auf private Dienste aktiviert wurde, können Sie optional VPC Service Controls für Cloud IDS aktivieren. Wenn VPC Service Controls aktiviert ist, führen Sie den Befehl services vpc-peerings enable-vpc-service-controls aus, um VPC Service Controls für alle Ihre Peering-Verbindungen zu aktivieren:

gcloud services vpc-peerings enable-vpc-service-controls \
    --service=servicenetworking.googleapis.com \
    --network=VPC_NETWORK \
    --project=PROJECT_ID

Ersetzen Sie Folgendes:

• VPC_NETWORK: der Name des VPC-Netzwerks

• PROJECT_ID: die ID des Projekts, das das VPC-Netzwerk enthält

Cloud IDS-Endpunkt erstellen

Wir empfehlen, für jede Region, in der Sie Arbeitslasten bereitgestellt haben, einen IDS-Endpunkt zu erstellen. Sie können auch mehrere IDS-Endpunkte pro Region erstellen. Führen Sie die folgenden Schritte aus, um einen IDS-Endpunkt zu erstellen und ihm ein IDS-Dienstprofil zuzuweisen.

gcloud ids endpoints delete ENDPOINT_NAME \
   [--project=PROJECT_ID] \
   [--zone=ZONE] \
   [--no-async] \
   [GCLOUD_WIDE_FLAG...]

gcloud ids endpoints describe ENDPOINT_NAME \
   [--project=PROJECT_ID] \
   [--zone=ZONE] \
   [GCLOUD_WIDE_FLAG...]

gcloud ids endpoints list /
    [--filter=EXPRESSION] \
    [--limit=LIMIT] \
    [--page-size=PAGE_SIZE] \
    [--sort-by=[FIELD,...]] \
    [--uri] \
    [GCLOUD_WIDE_FLAG...]

POST https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME
{
    "network": "NETWORK_NAME",
    "severity": "SEVERITY_LEVEL",
}

DELETE https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME

GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME

GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints

GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/-/endpoints

Optional: Bedrohungsausnahmen konfigurieren

Sie können Bedrohungs-IDs deaktivieren, für die Sie die Benachrichtigungen als störend bzw. nicht notwendig empfinden, indem Sie beim Erstellen oder Aktualisieren des Cloud IDS-Endpunkts das Flag --threat-exceptions verwenden. Im folgenden Beispiel wird der vorhandene Cloud IDS-Endpunkt ENDPOINT_NAME aktualisiert, um die Bedrohungs-IDs THREAT_ID1 und THREAT_ID2 auszuschließen:

   gcloud ids endpoints update ENDPOINT_NAME 

      --threat-exceptions=THREAT_ID1,THREAT_ID2
   

Nächste Schritte

• Logs prüfen
• Fehlerbehebung