{"id":117756,"date":"2023-06-22T10:14:45","date_gmt":"2023-06-22T08:14:45","guid":{"rendered":"https:\/\/fotc.com\/?p=117756"},"modified":"2023-08-16T14:42:41","modified_gmt":"2023-08-16T12:42:41","slug":"google-cloud-armor","status":"publish","type":"post","link":"https:\/\/fotc.com\/pl\/blog\/google-cloud-armor\/","title":{"rendered":"Zabezpiecz si\u0119 przed atakami DDoS z Google Cloud Armor"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Bezpiecze\u0144stwo i ochrona przed atakami w sieci ro\u015bnie do miana jednego z wyzwa\u0144 wsp\u00f3\u0142czesno\u015bci. Je\u017celi s\u0142uchacie regularnie naszych podcast\u00f3w Fly Talks, to wiecie, \u017ce wielu z zapraszanych go\u015bci specjalizuje si\u0119 w\u0142a\u015bnie w kwestiach bezpiecze\u0144stwa. W tym artykule przedstawiamy Google Cloud Armor. Czym jest zbroja od Google? Przed czym chroni? Jak j\u0105 zintegrowa\u0107 z innymi us\u0142ugami i jakie s\u0105 najlepsze praktyki jej stosowania? Zobaczmy.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"h-co-to-jest-google-cloud-armor\"><strong>Co to jest Google Cloud Armor<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Google Cloud Armor to jedna z us\u0142ug dost\u0119pnych w ramach chmury Googla, kt\u00f3ra zabezpiecza projekty wdro\u017cone w ramach <a href=\"https:\/\/fotc.com\/pl\/google-cloud-platform\/\" class=\"ek-link\">Google Cloud<\/a> przed atakami, takimi jak DDoS (distributed denial-of-service), XSS (cross-site scripting) oraz SQLi (SQL injection). Cz\u0119\u015b\u0107 z dost\u0119pnych w ramach Google Cloud Armor zabezpiecze\u0144 dzia\u0142a automatycznie, ale nie wszystkie.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Co wa\u017cne, z zabezpieczenia Google Cloud Armor warto skorzysta\u0107 r\u00f3wnie\u017c wtedy, kiedy Google Cloud nie jest naszym jedynym rozwi\u0105zaniem chmurowym. Ochrona zadzia\u0142a r\u00f3wnie\u017c w przypadku modelu hybrydowego, czy multi chmury. W przypadku takiej architektury backend dla load balancera musi by\u0107 typu Internet NEG (network endpoints groups).<\/p>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\nhttps:\/\/www.youtube.com\/watch?v=bpOtq8kDe6c\n<\/div><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"h-pole-bitwy-czyli-warstwa-7\"><strong>Pole bitwy, czyli warstwa 7<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Je\u017celi znacie model referencyjny ISO\/OSI standaryzuj\u0105cy komunikacj\u0119 sieciow\u0105 pomi\u0119dzy r\u00f3\u017cnymi urz\u0105dzeniami, to wiecie, \u017ce warstwa si\u00f3dma, najwy\u017csza odpowiada za poziom aplikacji. To w\u0142a\u015bnie w tej warstwie dzia\u0142a ficzer \u201cAdaptive Protection\u201d. Jego zadaniem jest zablokowa\u0107 atak, zanim dotrze on do backendu load balancera. Ka\u017cda z zasad bezpiecze\u0144stwa dzieli si\u0119 na zestaw regu\u0142 filtruj\u0105cych ruch w oparciu o adres IP przychodz\u0105cego \u017c\u0105dania, zakres adres\u00f3w IP, kod regionu lub te\u017c nag\u0142\u00f3wki \u017c\u0105da\u0144. Tworz\u0105c customowe regu\u0142y korzysta si\u0119 z parametr\u00f3w warstwa L3-L7.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"h-definiowanie-regu-google-cloud-armor\"><strong>Definiowanie regu\u0142 Google Cloud Armor<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">W ramach Google Cloud Armor mo\u017cliwe jest definiowanie regu\u0142 z priorytetem. Mo\u017cna r\u00f3wnie\u017c korzysta\u0107 z wst\u0119pnie skonfigurowanych regu\u0142 WAF (web application firewall) posiadaj\u0105cych dziesi\u0105tki sygnatur kompilowanych z bran\u017cowych standard\u00f3w dost\u0119pnych w ramach open source, przy czym ka\u017cda z sygnatur odpowiada regule wykrywania atak\u00f3w w zestawie regu\u0142. Regu\u0142y WAF ograniczaj\u0105 10 najwi\u0119kszych zagro\u017ce\u0144 zwi\u0105zanych z lukami w zabezpieczeniach aplikacji internetowych OWASP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Korzystanie z regu\u0142 to spora wygoda. Pozwalaj\u0105 one Google Cloud Armor oceni\u0107 dziesi\u0105tki r\u00f3\u017cnych sygnatur ruchu, odwo\u0142uj\u0105c si\u0119 do dowolnie nazwanych regu\u0142, zamiast zmusza\u0107 u\u017cytkownika do r\u0119cznego definiowania ka\u017cdej sygnatury.<\/p>\n\n\n<div class=\"bg-yellow banners mt-4 mb-4\">\r\n  <div class=\"container \">\r\n    <div class=\"row sw\">\r\n        <div class=\"col-md-7 sw col-12 mb-md-0\">\r\n        <span style=\"margin-bottom: 1rem;\r\n    font-weight: 500;margin-top: 25px;\r\n    line-height: 1.1;\r\n    font-size: 2rem; display: block; color:#fff\">Architektura Landing Zone<\/span>\r\n        <\/div>\r\n        <div class=\"col-md-5 sw sww\">\r\n        <div class=\"logo__mask\"><\/div>\r\n        <\/div>\r\n        <\/div>\r\n        <div class=\"row\">\r\n          <div class=\"col-md-7\"><p style=\"color:#fff\">W jaki spos\u00f3b wdra\u017ca\u0107 bezpieczne \u015brodowiska w Google Cloud?<\/p><\/div>\r\n        <div class=\"col-md-5 col-12 text-cent-right\">\r\n        <a class=\"newbtn bannerbtn\" href=\"https:\/\/fotc.com\/pl\/webinars\/architektura-landing-zone-i-automatyzacja-pracy-w-chmurze\/\">Zapisz si\u0119 na webinar<\/a>\r\n        \r\n        <\/div>\r\n    <\/div>\r\n  <\/div>\r\n<\/div>\n\n\n<h2 class=\"wp-block-heading\" id=\"h-jak-dzia-a-google-cloud-armor\"><strong>Jak dzia\u0142a Google Cloud Armor?<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Google Cloud Armor:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>zapewnia stale w\u0142\u0105czon\u0105 ochron\u0119 przed atakami DDoS opartymi na sieci lub protokole,<\/li><li>chroni aplikacje oraz us\u0142ugi znajduj\u0105ce si\u0119 za load balancerem,<\/li><li> jest w stanie wykry\u0107 i z\u0142agodzi\u0107 ataki sieciowe, przepuszczaj\u0105c przez serwery proxy tylko prawid\u0142owe zapytania,<\/li><li>w przypadku stosowania regu\u0142 customowych mo\u017cna u\u017cywa\u0107 parametr\u00f3w z warstw L3-L7 i dla ka\u017cdej z tych regu\u0142 mo\u017cliwe jest w\u0142\u0105czenie Adaptive Protection, kt\u00f3ry wykrywa i blokuje ataki DDoS w warstwie 7<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Poni\u017cszy diagram przedstawia lokalizacj\u0119 globalnych zewn\u0119trznych modu\u0142\u00f3w Load Balancer\u00f3w aplikacji, sieci Google oraz centr\u00f3w danych Google.<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img decoding=\"async\" src=\"https:\/\/lh3.googleusercontent.com\/7VMWDV4yqTPv4gcCba4mPs65_gqx1yhu9ps_7OhgO4-SRvh6BbEQCQJGe7DxfD_Ri8aErk1z8ljoHNWpdqHI_WlNFTOti9ZKACj3EeWIRQLLEjtngMyPqcVM47b60Jkmbzu4fw1ok2rKXZSLYMyY8t8\" alt=\"\"\/><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"h-google-cloud-armor-w-praktyce\"><strong>Google Cloud Armor w praktyce<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Zobacz, w jaki spos\u00f3b mo\u017cesz kontrolowa\u0107 dost\u0119p do swoich aplikacji oraz us\u0142ug.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"h-w-czenie-dost-pu-dla-u-ytkownik-w-z-okre-lonych-adres-w-ip-przy-wykorzystaniu-list-dozwolonych-allowlists\"><strong>W\u0142\u0105czenie dost\u0119pu dla u\u017cytkownik\u00f3w z okre\u015blonych adres\u00f3w IP przy wykorzystaniu list dozwolonych (allowlists)<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Typow\u0105 sytuacj\u0119 przedstawia poni\u017cszy schemat. W tym przypadku dost\u0119p do us\u0142ug za load balancerem maj\u0105 wy\u0142\u0105cznie cz\u0142onkowie organizacji, a wi\u0119c posiadaj\u0105cy adresy IP lub bloki adres\u00f3w przypisane przez organizacj\u0119 i umieszczone na li\u015bcie dozwolonych adres\u00f3w. Pozwala to kontrolowa\u0107 dost\u0119p zar\u00f3wno do zewn\u0119trznego jak i klasycznego Application Load Balancera.&nbsp;&nbsp;<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img decoding=\"async\" src=\"https:\/\/lh5.googleusercontent.com\/pfG5rbMQPgF5jXapkAhzsSQ8QYAJGqtfiyXCiFYyWsy31quoDL3dIOwpu1yhYocjQZsZpnHZXCD4IgVar1MyqSVhnCqj5FZpJwO5_qgrdvB0GB1YTNCBKSVb4ff7WYQQCvJcS3BP9wwR2O8KTzwQGMA\" alt=\"\"\/><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Je\u017celi organizacja korzysta z zewn\u0119trznego dostawcy zabezpiecze\u0144 do oczyszczania ruchu, to mo\u017cesz doda\u0107 jego adres IP do listy dozwolonych. Schemat b\u0119dzie wygl\u0105da\u0142 nast\u0119puj\u0105co:<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img decoding=\"async\" src=\"https:\/\/lh5.googleusercontent.com\/YFF6gsnIsbZaqmFrFPDcE7_b52e1i_hZPbHJuIbRTsnym4-gQ1hV-UzAX-eN1CPyUV-2FVcqUjUfYvASHRPy2bV6kftAvk2Dig6FxyDxhWKLbEELUSp3jRR5aq7IivpuaA8yN98Z5JYtdf44DICJVUI\" alt=\"\"\/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"h-blokowanie-adres-w-z-wykorzystaniem-list-odrzuconych-denylists\"><strong>Blokowanie adres\u00f3w z wykorzystaniem list odrzuconych (denylists)<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Google Cloud Armor pozwala te\u017c na odwrotne dzia\u0142anie, a wi\u0119c tworzenie zasad bezpiecze\u0144stwa odrzucaj\u0105cych ruch z okre\u015blonych adres\u00f3w IP lub zakresu CIDR. Praktyk\u0119 t\u0119 przedstawia poni\u017cszy schemat.<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img decoding=\"async\" src=\"https:\/\/lh5.googleusercontent.com\/wL3xeeB7lTR6hypIaiyxANCH5Dc20Vdhgl9QekTdWEQbBHCxYtCNlHO-_knA8ZpZhTHLlNEkPRDLFc3zZs0JufEXevIDlGPiTkB9m66HExGX4N2p90QdD16ggtZuJcSWimC92eRNfe3i6fa20MkOZeE\" alt=\"\"\/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"h-stosowanie-niestandardowych-regu-do-filtrowania-parametr-w-pomi-dzy-warstwami\"><strong>Stosowanie niestandardowych regu\u0142 do filtrowania parametr\u00f3w pomi\u0119dzy warstwami<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">W ramach Google Cloud Armor mo\u017cesz korzysta\u0107 z j\u0119zyka regu\u0142 niestandardowych, co pozwala zdefiniowa\u0107 jedno lub wi\u0119cej wyra\u017ce\u0144 w warunkach dopasowania regu\u0142y. Nast\u0119pnie, kiedy Google Cloud Armor otrzymuje \u017c\u0105danie, ocenia je pod k\u0105tem tych wyra\u017ce\u0144, co pozwala na blokowanie lub dopuszczenie ruchu zewn\u0119trznego.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"h-korzystanie-z-google-cloud-armor-do-ochrony-r-d-owego-serwera-cloud-cdn\"><strong>Korzystanie z Google Cloud Armor do ochrony \u017ar\u00f3d\u0142owego serwera Cloud CDN<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Aby ograniczy\u0107 ryzyko ataku \u017ar\u00f3d\u0142owego serwera Cloud CDN przez iniekcj\u0119 SQL (SQLi) lub cross-site scripting (XSS) nale\u017cy:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>utworzy\u0107 lub zidentyfikowa\u0107 us\u0142ug\u0119 backendow\u0105 z w\u0142\u0105czon\u0105 us\u0142ug\u0105 CDN,<\/li><li>utworzy\u0107 zasady bezpiecze\u0144stwa Google Cloud Armor,<\/li><li> utworzy\u0107 jedn\u0105 lub wi\u0119cej regu\u0142 w polityce bezpiecze\u0144stwa, kt\u00f3re pomog\u0105 odrzuci\u0107 ataki warstwy si\u00f3dmej,<\/li><li>skonfigurowa\u0107 jeden z cel\u00f3w zasad bezpiecze\u0144stwa jako us\u0142ug backendow\u0105 wymienion\u0105 w pierwszym kroku.<\/li><\/ul>\n\n\n<div class=\"bg-yellow banners mt-4 mb-4\">\r\n  <div class=\"container \">\r\n    <div class=\"row sw\">\r\n        <div class=\"col-md-7 sw col-12 mb-md-0\">\r\n        <span style=\"margin-bottom: 1rem;\r\n    font-weight: 500;margin-top: 25px;\r\n    line-height: 1.1;\r\n    font-size: 2rem; display: block; color:#fff\">Jak wdro\u017cy\u0107 Google Cloud Armor?<\/span>\r\n        <\/div>\r\n        <div class=\"col-md-5 sw sww\">\r\n        <img decoding=\"async\" style=\"margin-top:25px;\" src=\"\/app\/uploads\/2023\/02\/FOTC-LOGO-WWW-RGB-RED-2.png\">\r\n        <\/div>\r\n        <\/div>\r\n        <div class=\"row\">\r\n          <div class=\"col-md-7\"><p style=\"color:#fff\">Pomo\u017cemy Ci zabezpieczy\u0107 si\u0119 przed atakami DDoS i wdro\u017cy\u0107 Google Cloud Armor<\/p><\/div>\r\n        <div class=\"col-md-5 col-12 text-cent-right\">\r\n        <a class=\"newbtn bannerbtn\" href=\"https:\/\/fotc.com\/pl\/kontakt\/\">Napisz do nas<\/a>\r\n        \r\n        <\/div>\r\n    <\/div>\r\n  <\/div>\r\n<\/div>\n\n\n<h2 class=\"wp-block-heading\" id=\"h-pomoc-we-wdro-eniu-google-cloud-armor\"><strong>Pomoc we wdro\u017ceniu Google Cloud Armor<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Aby sprawnie korzysta\u0107 z tak wa\u017cnego narz\u0119dzia jak Google Cloud Armor, swoistej chmurowej polisy bezpiecze\u0144stwa, warto skorzysta\u0107 z pomocy osoby posiadaj\u0105cej certyfikat Google Cloud Architect. Tego typu doradc\u00f3w mo\u017cna znale\u017a\u0107 na pok\u0142adzie firmy partnerskiej Google Cloud \u2013 FOTC. Dowiedz si\u0119, jak krok po kroku przej\u015b\u0107 przez instalacj\u0119 Google Cloud Armor, zabezpiecz swoje us\u0142ugi i aplikacje online i nie daj si\u0119 atakom, kt\u00f3rych nat\u0119\u017cenie przybiera ostatnio na sile.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Bezpiecze\u0144stwo i ochrona przed atakami w sieci ro\u015bnie do miana jednego z wyzwa\u0144 wsp\u00f3\u0142czesno\u015bci. Je\u017celi s\u0142uchacie regularnie naszych podcast\u00f3w Fly Talks, to wiecie, \u017ce wielu z zapraszanych go\u015bci specjalizuje si\u0119 w\u0142a\u015bnie w kwestiach bezpiecze\u0144stwa. W tym artykule przedstawiamy Google Cloud Armor. Czym jest zbroja od Google? Przed czym chroni? Jak j\u0105 zintegrowa\u0107 z innymi us\u0142ugami&#8230;<\/p>\n","protected":false},"author":26,"featured_media":117757,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_editorskit_title_hidden":false,"_editorskit_reading_time":3,"_editorskit_is_block_options_detached":false,"_editorskit_block_options_position":"{}","footnotes":""},"categories":[560],"tags":[],"class_list":["post-117756","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-google-cloud-platform-pl"],"_links":{"self":[{"href":"https:\/\/fotc.com\/pl\/wp-json\/wp\/v2\/posts\/117756","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/fotc.com\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/fotc.com\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/fotc.com\/pl\/wp-json\/wp\/v2\/users\/26"}],"replies":[{"embeddable":true,"href":"https:\/\/fotc.com\/pl\/wp-json\/wp\/v2\/comments?post=117756"}],"version-history":[{"count":0,"href":"https:\/\/fotc.com\/pl\/wp-json\/wp\/v2\/posts\/117756\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/fotc.com\/pl\/wp-json\/wp\/v2\/media\/117757"}],"wp:attachment":[{"href":"https:\/\/fotc.com\/pl\/wp-json\/wp\/v2\/media?parent=117756"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/fotc.com\/pl\/wp-json\/wp\/v2\/categories?post=117756"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/fotc.com\/pl\/wp-json\/wp\/v2\/tags?post=117756"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}