整合IPS技術，Google Cloud打造雲端原生的次世代防火牆

在今年8月底登場的Google Cloud年度用戶大會Next期間，該公司宣布即將推出新的雲端次世代防火牆，名為Cloud Firewall Plus，釋出預覽版本供大家測試。

這項強調雲端優先、雲端原生特色的網路安全防護服務，是由Google Cloud旗下資安公司Mandiant，以及次世代防火牆廠商Palo Alto Networks一起合作而成，可提供進階威脅防護（ATP）與簡化維運等功能，當中也將整合網路安全態勢的統一控管。

Cloud Firewall Plus的主要賣點，在於能夠大幅強化線上（Inline）威脅防護力，根據他們使用網路安全測試解決方案Breakingpoint進行驗證，相較於其他雲端防火牆，Google Cloud這套新上場的資安服務可獲得20倍的成效，而能夠整合Palo Alto Networks的威脅防護技術，正是表現如此優異的關鍵因素之一。

而在整體運作方式上，Cloud Firewall Plus本身是分散式防火牆架構，可確保簡化管理、易於擴展執行規模，並且能夠涵蓋整個雲端服務環境，而且不需要重新調整網路流量的路由，或是大幅調整雲端網路架構。

對於網路安全態勢的控管，也是Cloud Firewall Plus的重點，能橫跨多個邊界與不同工作負載進行統一的管理，用戶可設定適用於整個組織的防火牆政策，或是基於身分存取管理系統（IAM）產生的標籤而訂定的政策，以便涵蓋到橫跨網路層與應用層的工作負載。

對於網路威脅的因應，Cloud Firewall Plus提供簡化的單一政策，可強制整個組織套用，以便快速處理資安事故。

關於Palo Alto Networks在這次合作扮演的角色，該公司也特別貼出部落格文章提出說明。他們表示，Cloud Firewall Plus是可擴展規模、雲端原生的網路防火牆服務層，當中提供的入侵防禦系統（IPS）功能，就是出自Palo Alto Networks的威脅預防技術（Threat Prevention），可提供強大的資安防護力，並搭配Google Cloud雲服務強調的簡化管理與易於擴充特色。

在此之前，兩家公司在2021年曾合作推出雲端原生的資安代管服務，也就是Google Cloud的Cloud IDS（Intrusion Detection System），用戶可藉此監控Google Cloud虛擬私有雲（VPC）環境的工作負載或容器，透視當中的應用程式活動，以及偵測網路威脅的存在，達到保護應用系統與遵循法規的要求。

後續隨著即時預防網路威脅的需求增加，Google決定發展Cloud Firewall Plus，提供原生的線上安全防護，以對抗進階威脅，讓用戶能夠獲得企業級的資安機制，實現網路東西向與南北向的流量檢測，並且具備控管網路安全態勢的能力，可對組織內部環境或橫跨多個環境的連線活動，強制實施網路架構第三層（L3）、第四層（L4）、第七層（L7）的資安管理政策。

在此同時，Cloud Firewall Plus也提供動態群組的管理方式，具備額外的控制粒度與更大的使用彈性，使得企業能直接指定想要進行網路安全檢測的流量，而不會妨礙他們Google Cloud雲端網路現行或未來的使用狀態。

到了10月，Cloud Firewall Plus仍處於預覽狀態，但Google Cloud進一步解釋Cloud Firewall Plus的相關整合。他們表示，這項服務同時結合察看網路加密連線流量的功能，可檢測使用TLS加密的網路流量，為Google Cloud工作負載提供透明的線上防護。

至於IPS功能，Cloud Firewall Plus運用一套完全整合的L7模組，而此模組支援階層型網路防火牆政策（Hierarchical Firewall Policies），以及基於標籤而成的網路防火牆規則。基於這樣的作法，Google Cloud用戶在部署威脅預防服務時，不需更改網路設定或拓樸，而且能協助降低整體基礎架構的管理與營運成本。

有了階層型網路防火牆政策，Cloud Firewall Plus能在針對Google Cloud資源階層，針對整個組織與不同部門（資料夾）的層級，強制實施細緻的政策。這類政策可協助用戶建立分層控管，便於簡易授權與獨立稽核，因應雲端資源飄移的現象。

在Cloud Firewall Plus的IPS實際運作方式上，主要是將網路流量導引至Google Cloud代管的分區防火牆端點（zonal firewall endpoints），在此使用封包攔截技術，依據已設定好的威脅特徵進行工作負載的檢測，進而保護網路、使其免於受到威脅。經由這樣的處理流程，威脅預防功能可置入Google Cloud任兩個網路介面之間，或是兩個虛擬私有雲的網路之間，而且彼此都在相同的虛擬私有雲網路或子網路當中，不需要重設路由或變更網路拓樸架構等方式。

產品資訊

Google Cloud Firewall
●原廠：Googl Cloud
●建議售價：基礎版免費，標準版每GB為0.018美元，加值版未公開價格
●主要功能：提供分散式防火牆服務、簡化網路與防火牆政策的設定與部署、提供細部控制與網路微分段
●三大版本通用功能：全域與區域的網路防火牆政策管理、標籤整合、狀態檢測、位址群組管理
●標準版專屬功能：Google Cloud Threat Intelligence、FQDN物件、依據不同地理區域進行過濾
●加值版專屬功能：入侵防禦系統

【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】