보안 프로필 그룹 개요

보안 프로필 그룹은 보안 프로필의 컨테이너입니다. 방화벽 정책 규칙은 보안 프로필 그룹을 참조하여 네트워크에 침입 감지 및 방지 서비스 와 URL 필터링 서비스와 같은 레이어 7 검사를 사용 설정합니다.

이 문서에서는 보안 프로필 그룹과 해당 기능을 자세히 설명합니다.

사양

  • 보안 프로필 그룹은 조직 수준 또는 프로젝트 수준에서 구성할 수 있는 리소스입니다.

    • 조직 수준 보안 프로필 그룹: 조직 전체에서 조직 수준 보안 프로필을 그룹화하는 데 사용합니다.

    • 프로젝트 수준 보안 프로필 그룹: 프로젝트 내에서 프로젝트 수준 보안 프로필을 그룹화하는 데 사용합니다.

  • 보안 프로필 그룹의 이름은 다음 URL 식별자 형식으로 구성됩니다.

    • 조직 수준:

      organizations/ORGANIZATION_ID/locations/global/securityProfileGroups/NAME

    • 프로젝트 수준:

      projects/PROJECT_ID/locations/global/securityProfileGroups/NAME

    보안 프로필 그룹의 NAME은 다음 요구사항을 충족해야 합니다.

    • 길이가 1~63자인 문자열
    • 소문자 영숫자 문자 또는 하이픈 (-)만 포함
    • 문자로 시작

    예:

    • 조직 수준 보안 프로필 그룹:

      organizations/2345678432/locations/global/securityProfileGroups/example-security-profile-group

    • 프로젝트 수준 보안 프로필 그룹:

      projects/my-project-123/locations/global/securityProfileGroups/example-security-profile-group

    보안 프로필 그룹 이름에 고유한 URL 식별자를 사용하는 경우 URL에는 조직 또는 프로젝트와 위치가 포함됩니다. 이름만 지정하는 경우 gcloud 명령어를 사용할 때 조직 ID 또는 프로젝트 ID와 위치를 별도로 제공해야 합니다.

  • 보안 프로필 그룹에서 보안 프로필 유형 THREAT_PREVENTION, URL_FILTERING을 순서에 관계없이 추가할 수 있습니다.

  • 보안 프로필 그룹에는 각 유형의 보안 프로필이 하나만 포함될 수 있습니다. 여러 프로필을 추가하려면 유형이 서로 달라야 합니다. 예를 들어, URL_FILTERING 유형의 보안 프로필을 추가하는 경우 트래픽을 검사하고 필터링하기 위해 THREAT_PREVENTION 유형의 두 번째 프로필을 추가할 수 있습니다.

방화벽 정책 규칙과의 통합

보안 프로필 그룹은 apply_security_profile_group 작업으로 방화벽 정책 규칙을 추가하는 경우에만 방화벽 정책에 적용됩니다. 다음 방화벽 정책 규칙에서 보안 프로필 그룹을 구성할 수 있습니다.

  • 계층식 방화벽 정책: 조직 또는 폴더 수준에서 관리되는 이러한 정책은 조직 수준 보안 프로필 그룹만 참조할 수 있습니다.

  • 전역 네트워크 방화벽 정책: 프로젝트 수준에서 관리되는 이러한 정책은 모든 프로젝트의 조직 수준 보안 프로필 그룹과 프로젝트 수준 보안 프로필 그룹을 참조할 수 있습니다.

네트워크 트래픽의 레이어 7 검사를 수행하려면 방화벽 정책 규칙에 방화벽 엔드포인트에서 사용할 보안 프로필 그룹의 이름이 포함되어야 합니다.

트래픽 검사 및 처리

방화벽 정책 규칙은 Virtual Private Cloud (VPC) 네트워크의 수신 및 발신 트래픽에 적용됩니다. 일치하는 트래픽은 구성된 보안 프로필 그룹 이름과 함께 방화벽 엔드포인트로 리디렉션됩니다.

방화벽 엔드포인트는 보안 프로필 그룹에 지정된 보안 프로필을 사용하여 다음 작업을 수행합니다.

  • 도메인 및 서버 이름 표시 (SNI) 정보 검사
  • 패킷에서 위협 및 알 수 없는 파일 기반 멀웨어 검사
  • 구성된 작업 적용

검사 순서

방화벽 엔드포인트는 일반적으로 다음 순서로 보안 프로필을 처리합니다.

  1. URL 필터링: 엔드포인트가 URL_FILTERING 보안 프로필을 실행합니다.
  2. 위협 방지 및 멀웨어 분석: 엔드포인트가 THREAT_PREVENTION 보안 프로필을 실행합니다.

구성에 대한 자세한 내용은 다음 문서를 참조하세요.

리소스 연결

각 보안 프로필 그룹에는 연결된 프로젝트 ID가 있어야 합니다. 연결된 프로젝트는 보안 프로필 그룹 리소스의 할당량, 액세스 제한에 사용됩니다.

gcloud auth activate-service-account 명령어를 사용하여 서비스 계정을 인증하는 경우 서비스 계정을 보안 프로필 그룹과 연결할 수 있습니다.

자세한 내용은 보안 프로필 그룹 만들기를 참조하세요.

조직 수준 보안 프로필 그룹과 프로젝트 수준 보안 프로필 그룹의 차이점

다음은 조직 수준 보안 프로필 그룹과 프로젝트 수준 보안 프로필 그룹의 차이점을 요약한 것입니다.

  • 조직 수준 보안 프로필 그룹은 조직 수준 엔드포인트와 프로젝트 수준 엔드포인트 모두에 적용됩니다.
  • 프로젝트 수준 보안 프로필 그룹은 보안 프로필 그룹과 동일한 프로젝트에 있는 프로젝트 수준 방화벽 엔드포인트에 적용됩니다. 조직 수준 방화벽 엔드포인트에는 적용할 수 없습니다.
  • 조직 수준 보안 프로필 그룹은 조직 수준 보안 프로필만 그룹화할 수 있습니다.
  • 프로젝트 수준 보안 프로필 그룹은 동일한 프로젝트에 있는 프로젝트 수준 보안 프로필만 그룹화할 수 있습니다.

Identity and Access Management 역할

Identity and Access Management (IAM) 역할은 다음 보안 프로필 그룹 작업을 제어합니다.

  • 조직 또는 프로젝트에 보안 프로필 그룹 만들기
  • 조직 또는 프로젝트에서 보안 프로필 그룹 수정 또는 삭제
  • 조직 또는 프로젝트에서 보안 프로필 그룹의 세부정보 보기
  • 조직 또는 프로젝트에서 보안 프로필 그룹 목록 보기
  • 방화벽 정책 규칙에서 보안 프로필 그룹 사용

다음 표에서는 각 단계에 필요한 역할을 설명합니다.

기능 필수 역할
보안 프로필 그룹 만들기 다음 역할 중 하나:
  • Compute 네트워크 관리자 (roles/compute.networkAdmin)
  • 보안 프로필 관리자 (roles/networksecurity.securityProfileAdmin) 조직 수준 보안 프로필 그룹의 경우 조직 수준에서, 프로젝트 수준 보안 프로필 그룹의 경우 프로젝트 수준 또는 조직 수준에서 부여됨
보안 프로필 그룹 수정 다음 역할 중 하나:
  • Compute 네트워크 관리자 (roles/compute.networkAdmin)
  • 보안 프로필 관리자 (roles/networksecurity.securityProfileAdmin) 조직 수준 보안 프로필 그룹의 경우 조직 수준에서, 프로젝트 수준 보안 프로필 그룹의 경우 프로젝트 수준 또는 조직 수준에서 부여됨
보안 프로필 그룹 삭제 다음 역할 중 하나:
  • Compute 네트워크 관리자 (roles/compute.networkAdmin)
  • 보안 프로필 관리자 (roles/networksecurity.securityProfileAdmin) 조직 수준 보안 프로필 그룹의 경우 조직 수준에서, 프로젝트 수준 보안 프로필 그룹의 경우 프로젝트 수준 또는 조직 수준에서 부여됨
조직 및 프로젝트에서 보안 프로필 그룹에 대한 세부정보 보기 다음 역할 중 하나:
조직 및 프로젝트에서 모든 보안 프로필 그룹 보기 다음 역할 중 하나:
방화벽 정책 규칙에서 보안 프로필 그룹 사용 다음 역할 중 하나:

다음 단계