Implementando Regras de Firewall da VPC do GCP

Quando Usar

• Ao implantar novas cargas de trabalho no GCP que exigem controles de acesso em nível de rede
• Ao auditar configurações de firewall existentes em busca de regras excessivamente permissivas
• Ao implementar segmentação de rede de confiança zero dentro de redes VPC do GCP
• Ao responder a descobertas do Security Command Center sobre regras de firewall abertas
• Ao construir políticas de firewall hierárquicas em toda uma organização do GCP

Não use para filtragem em nível de aplicativo (use Cloud Armor WAF), para filtragem baseada em DNS (use políticas de resposta do Cloud DNS) ou para filtragem de tráfego VPN/interconexão sem entender que as regras de firewall da VPC se aplicam ao tráfego dentro da VPC.

Pré-requisitos

• Projeto GCP com a API Compute Engine ativada
• Papéis do IAM: roles/compute.securityAdmin para gerenciamento de firewall, roles/compute.networkViewer para auditoria
• Papel de Administrador da Organização para políticas de firewall hierárquicas
• CLI gcloud autenticada com permissões apropriadas
• VPC Flow Logs ativados nas sub-redes de destino para monitoramento

Fluxo de Trabalho

Etapa 1: Auditar Regras de Firewall Existentes para Lacunas de Segurança

Liste todas as regras de firewall e identifique configurações excessivamente permissivas.

# List all firewall rules in the project
gcloud compute firewall-rules list \
  --format="table(name, network, direction, priority, allowed[].map().firewall_rule().list():label=ALLOWED, sourceRanges, targetTags)"

# Find rules allowing all traffic from 0.0.0.0/0
gcloud compute firewall-rules list \
  --filter="direction=INGRESS AND sourceRanges=0.0.0.0/0" \
  --format="table(name, network, allowed, priority, targetTags)" \
  --sort-by=priority

# Find rules allowing all protocols and ports
gcloud compute firewall-rules list \
  --filter="direction=INGRESS AND allowed[].IPProtocol=all" \
  --format="table(name, network, sourceRanges, targetTags)"

# Find rules with SSH (22) or RDP (3389) open to the internet
gcloud compute firewall-rules list \
  --filter="direction=INGRESS AND sourceRanges=0.0.0.0/0 AND (allowed[].ports=22 OR allowed[].ports=3389)" \
  --format="table(name, network, allowed, sourceRanges)"

# Check for disabled rules
gcloud compute firewall-rules list \
  --filter="disabled=true" \
  --format="table(name, network, direction)"

Etapa 2: Criar Regras de Firewall de Entrada Restritivas

Implemente regras de entrada de menor privilégio usando tags de rede e contas de serviço para direcionamento.

# Create rule allowing HTTPS from the internet to web servers only
gcloud compute firewall-rules create allow-https-web \
  --network=production-vpc \
  --direction=INGRESS \
  --action=ALLOW \
  --rules=tcp:443 \
  --source-ranges=0.0.0.0/0 \
  --target-tags=web-server \
  --priority=1000 \
  --description="Allow HTTPS to web servers from internet"

# Create rule allowing SSH only from bastion host subnet
gcloud compute firewall-rules create allow-ssh-bastion \
  --network=production-vpc \
  --direction=INGRESS \
  --action=ALLOW \
  --rules=tcp:22 \
  --source-ranges=10.0.1.0/24 \
  --target-tags=ssh-allowed \
  --priority=1000 \
  --description="Allow SSH only from bastion subnet"

# Create rule allowing internal communication between app tiers
gcloud compute firewall-rules create allow-app-to-db \
  --network=production-vpc \
  --direction=INGRESS \
  --action=ALLOW \
  --rules=tcp:5432 \
  --source-tags=app-server \
  --target-tags=db-server \
  --priority=1000 \
  --description="Allow PostgreSQL from app tier to database tier"

# Create service-account-based rule (more secure than tags)
gcloud compute firewall-rules create allow-api-internal \
  --network=production-vpc \
  --direction=INGRESS \
  --action=ALLOW \
  --rules=tcp:8080 \
  --source-service-accounts=api-client@project.iam.gserviceaccount.com \
  --target-service-accounts=api-server@project.iam.gserviceaccount.com \
  --priority=1000

Etapa 3: Implementar Restrições de Saída

Configure regras de firewall de saída para controlar o tráfego de saída e evitar a exfiltração de dados.

# Negar toda a saída por padrão (baixa prioridade)
gcloud compute firewall-rules create deny-all-egress \
  --network=production-vpc \
  --direction=EGRESS \
  --action=DENY \
  --rules=all \
  --destination-ranges=0.0.0.0/0 \
  --priority=65534 \
  --description="Default deny all egress traffic"

# Permitir saída para APIs do Google via VIP restrito
gcloud compute firewall-rules create allow-google-apis \
  --network=production-vpc \
  --direction=EGRESS \
  --action=ALLOW \
  --rules=tcp:443 \

…