Menerapkan Google Threat Intelligence

Google Threat Intelligence memungkinkan pelanggan Google Cloud Armor Enterprise mengamankan traffic mereka dengan mengizinkan atau memblokir traffic ke Load Balancer Aplikasi eksternal mereka berdasarkan beberapa kategori data intelijen ancaman. Data Google Threat Intelligence dibagi ke dalam kategori berikut:

  • Node keluar Tor: Tor adalah software open source yang memungkinkan komunikasi anonim. Untuk mengecualikan pengguna yang menyembunyikan identitas mereka, blokir alamat IP node keluar Tor (titik tempat traffic keluar dari jaringan Tor).
  • Alamat IP berbahaya yang diketahui: Alamat IP yang perlu diblokir untuk meningkatkan postur keamanan aplikasi Anda karena serangan pada aplikasi web diketahui berasal dari sana.
  • Mesin telusur: Alamat IP yang dapat Anda izinkan untuk mengaktifkan pengindeksan situs.
  • Penyedia VPN: Alamat IP yang digunakan oleh penyedia VPN dengan reputasi rendah. Kategori ini dapat diblokir untuk menolak upaya mengakali aturan berbasis alamat IP.
  • Proxy anonim: Alamat IP yang digunakan oleh proxy anonim yang diketahui.
  • Penambang kripto: Alamat IP yang digunakan oleh situs penambangan mata uang kripto yang diketahui.
  • Rentang alamat IP cloud publik: Kategori ini dapat diblokir untuk menghindari alat otomatis berbahaya menjelajahi aplikasi web atau diizinkan jika layanan Anda menggunakan cloud publik lain.

Untuk menggunakan Google Threat Intelligence, Anda menentukan aturan kebijakan keamanan yang mengizinkan atau memblokir traffic berdasarkan beberapa atau semua kategori ini dengan menggunakan ekspresi kecocokan evaluateThreatIntelligence bersama dengan nama feed yang mewakili salah satu kategori sebelumnya. Selain itu, Anda harus berlangganan Cloud Armor Enterprise. Untuk mengetahui informasi selengkapnya tentang Cloud Armor Enterprise, lihat Ringkasan Cloud Armor Enterprise.

Mengonfigurasi Google Threat Intelligence

Untuk menggunakan Google Threat Intelligence, Anda mengonfigurasi aturan kebijakan keamanan menggunakan ekspresi pencocokan evaluateThreatIntelligence('FEED_NAME'), yang memberikan FEED_NAME berdasarkan kategori yang ingin Anda izinkan atau blokir. Informasi dalam setiap feed terus diperbarui, sehingga melindungi layanan dari ancaman baru tanpa langkah-langkah konfigurasi tambahan. Argumen yang valid adalah sebagai berikut.

Nama feed Deskripsi
iplist-tor-exit-nodes Mencocokkan alamat IP node keluar Tor
iplist-known-malicious-ips Mencocokkan alamat IP yang diketahui menyerang aplikasi web
iplist-search-engines-crawlers Mencocokkan alamat IP crawler mesin telusur
iplist-vpn-providers Mencocokkan rentang alamat IP yang digunakan oleh penyedia VPN dengan reputasi rendah
iplist-anon-proxies Mencocokkan rentang alamat IP yang termasuk dalam proxy anonim terbuka
iplist-crypto-miners Mencocokkan rentang alamat IP yang termasuk dalam situs penambangan kripto
iplist-cloudflare Mencocokkan rentang alamat IPv4 dan IPv6 layanan proxy Cloudflare
iplist-fastly Mencocokkan rentang alamat IP layanan proxy Fastly
iplist-imperva Mencocokkan rentang alamat IP layanan proxy Imperva
iplist-public-clouds
  • iplist-public-clouds-aws
  • iplist-public-clouds-azure
  • iplist-public-clouds-gcp
 Mencocokkan alamat IP milik cloud publik
  • Mencocokkan rentang alamat IP yang digunakan oleh Amazon Web Services
  • Mencocokkan rentang alamat IP yang digunakan oleh Microsoft Azure
  • Mencocokkan rentang alamat IP yang digunakan oleh Google Cloud

Anda dapat mengonfigurasi aturan kebijakan keamanan baru menggunakan perintah gcloud berikut, dengan FEED_NAME dari tabel sebelumnya dan ACTION apa pun seperti allow, deny, atau throttle. Untuk mengetahui informasi selengkapnya tentang tindakan aturan, lihat jenis kebijakan.

gcloud compute security-policies rules create 1000 \
    --security-policy=NAME \
    --expression="evaluateThreatIntelligence('FEED_NAME')" \
    --action="ACTION"

Ganti kode berikut:

  • NAME: nama kebijakan keamanan yang ingin Anda siapkan
  • FEED_NAME: nama feed dari tabel sebelumnya
  • ACTION: tindakan yang akan dilakukan untuk aturan, seperti allow, deny, atau throttle

Contoh ekspresi Google Threat Intelligence

  • Anda dapat menggunakan Google Threat Intelligence dengan IP pengguna.

Contoh perintah berikut menggunakan nama feed iplist-tor-exit-nodes dengan IP Pengguna pemanggil:

    evaluateThreatIntelligence('iplist-tor-exit-nodes', origin.user_ip)

Untuk mengetahui informasi selengkapnya, lihat Ringkasan alamat IP pengguna.

  • Anda dapat mencegah Google Threat Intelligence memblokir alamat IP atau rentang alamat IP tertentu dengan menambahkan alamat tersebut ke daftar pengecualian.

Contoh perintah berikut menggunakan nama feed iplist-known-malicious-ips:

    evaluateThreatIntelligence('iplist-known-malicious-ips', ['ADDRESS'])

Ganti ADDRESS dengan alamat atau rentang alamat IP yang ingin Anda kecualikan.

  • Anda dapat menggunakan Google Threat Intelligence dengan IP Pengguna. Tambahkan alamat IP atau rentang alamat IP ke daftar pengecualian untuk mencegah Google Threat Intelligence memblokirnya.

Contoh perintah berikut menggunakan nama feed iplist-known-malicious-ips dengan IP Pengguna:

    evaluateThreatIntelligence('iplist-known-malicious-ips', origin.user_ip, ['ADDRESS'])

Menggunakan daftar alamat IP bernama