Cloud IDS GCP

Définition

Cloud IDS (Intrusion Detection System) de Google Cloud est un service de détection des intrusions réseau natif cloud conçu pour surveiller le trafic réseau dans les VPCs GCP et identifier des activités malveillantes : exploitations de vulnérabilités, commandes et contrôles (C2), scans de ports, et violations de protocoles. Il s'appuie sur la technologie de détection de Palo Alto Networks (Threat Prevention) intégrée de manière native dans l'infrastructure GCP. Cloud IDS fonctionne via des Endpoints IDS déployés dans les sous-réseaux GCP. Le trafic réseau est redirigé de manière transparente (via la Google Cloud packet mirroring technology) vers ces endpoints pour analyse, sans modifier la topologie réseau existante ni impacter les performances des workloads surveillés. Les endpoints analysent le trafic est-ouest (entre VMs dans le VPC) et nord-sud (trafic entrant/sortant). Les capacités de détection de Cloud IDS couvrent : les signatures d'exploits connus (CVE), les malwares et le trafic C2, les tentatives d'évasion (fragmentstion, encodage non standard), les anomalies de protocoles (trafic DNS sur des ports non standard, protocoles tunnelisés), et les scans de ports et de vulnérabilités. La base de signatures est mise à jour automatiquement par Palo Alto Networks. La sévérité des alertes Cloud IDS est alignée sur les niveaux de sévérité des CVE (Critical, High, Medium, Low, Informational). Les logs sont envoyés vers Cloud Logging et peuvent être exportés vers BigQuery pour l'analyse long terme, ou vers Chronicle SIEM pour la corrélation avec d'autres événements de sécurité GCP. Cloud IDS est complémentaire aux autres services de sécurité GCP : Cloud Armor protège les couches applicatives web, Cloud IDS surveille le trafic réseau interne et les menaces plus avancées. L'intégration avec Security Command Center (SCC) permet une vue unifiée des alertes IDS avec les autres findings de sécurité GCP.