Section 6 — ネットワークセキュリティ

出題比率 ~13%。Cloud NGFW の 3 ティア区分は 毎回出る。Deepdive で防御レイヤーを図解。

Firewall の評価順 (4 階層)

1. Hierarchical Firewall Policy (Org / Folder) ↓ goto_next で配下に評価渡し可 2. Network Firewall Policy (Global) ↓ 3. Network Firewall Policy (Regional) ↓ 4. VPC Firewall Rules (Legacy, 最終層)
覚え方: 上から評価、match した allow/deny で確定。VPC firewall rules は goto_next なし。

Cloud NGFW 3 ティア

Essentials

  • basic allow/deny
  • tag / service account / CIDR
  • VPC firewall rules 相当

Standard

  • + FQDN object
  • + GeoIP
  • + Threat Intelligence

Enterprise

  • + L7 inspection (TLS 検査)
  • + IPS シグネチャ
  • Regional 単位 deploy

Cloud Armor の機能

WAF rules

preconfigured: SQLi, XSS, RFI, LFI, RCE, MSDoS, scanner-detection ほか。

Adaptive Protection

ML ベース異常検出。突発的な DDoS を自動 mitigation。

Advanced Network DDoS

Network LB (L4) を保護する追加機能。

Rate Limiting

IP/cookie/header で RPS 制限。

Bot Management

reCAPTCHA Enterprise 連携、Auto challenge。

Threat Intelligence

Tor exit / known malicious IP / public cloud レンジ。

Cloud NAT vs Secure Web Proxy

🅽 Cloud NAT

  • Layer: L4
  • 制御: IP/Port のみ
  • プロトコル: TCP/UDP/ICMP
  • 固定 egress IP 可
  • Dynamic port allocation

🆂 Secure Web Proxy

  • Layer: L7
  • 制御: URL/Host/Method/Header
  • プロトコル: HTTP/HTTPS
  • TLS 検査可能
  • URL allow list

確認問題

Q. L7 TLS 検査と IDS/IPS を VPC 内 east-west に適用したい。

C。 L7 inspection と IPS は Cloud NGFW Enterprise のみ。SWP は egress 専用。