谷歌云平台(GCP)安全

为什么谷歌云平台安全很重要? 

GCP的安全性很重要，因为它提供的各种服务(由全球分布的软件和硬件支持)被用于复杂的用户操作，而这些操作可能很难确保安全. 这些操作包括: 

• 数字转换:您的DevOps组织是否进一步向云操作倾斜? 
• App 保护。将应用程序开发转移到云的一个主要好处是速度——但是安全性如何跟上速度呢? 
• 自动化随着DevOps团队为高度可重复的流程引入更多的自动化，安全检查应该集成在一起. 
• 云合规说到复杂, 多重云环境, 维持监管护栏至关重要. 

最后一点, 互联网安全中心(CIS)最近发布了他们的GCP基础基准的更新版本. 这些基准通常采取监管建议的形式, 在此实例中，涵盖了从资源隔离到计算和存储的配置和策略. 这些不是需求，但它们可以在很大程度上缓解未来的安全问题.

数据库或容器配置错误是GCP安全性很重要的另一个原因. 不幸的是, 这些缺陷太常见了, 并且会使储存容器易受攻击并暴露在外. 防止, 检测, 修复配置不正确的云数据服务是在GCP上运行操作的安全过程的关键部分. 检测和响应解决方案可以通过收集用户进入事件来帮助减轻潜在的风险, 行政活动, 以及由GCP生成的日志数据，以监视正在运行的实例和帐户活动.

谷歌云平台责任共享模型

在GCP上利用共享责任模型(SRM)意味着什么? 如上所述, 云提供商负责保护运行用户工作负载的基础设施, 但是用户有责任保护他们的机密工作负载, 资源, 以及云基础设施中的数据.

浏览我们的 Gartner云安全原型实用指南

谷歌:

“在决定如何最好地保护谷歌云上的数据和工作负载时，理解共同责任模型非常重要. 共享责任模型描述了您在云中的安全性方面所面临的任务，以及这些任务对于云提供商来说是如何不同的.”

了解他们选择了什么样的共同责任模式, 用户必须首先定义需要运行的工作负载类型. 基于这些信息, 然后，他们将能够确定他们需要购买的云服务的类型. 在GCP上，这些可以包括:

• 基础设施即服务(IaaS): GCP的职责主要集中在基础设施和物理安全性上. 
• 平台即服务(PaaS): GCP的职责主要集中在网络控制上, 用户共享应用程序级控制和IAM管理责任. 
• 功能即服务(FaaS): GCP的职责与SaaS安全性非常相似. 
• 软件即服务(SaaS): GCP的职责主要集中在大量的安全操作上. 

混合或多云环境的关键是教育DevOps人才了解云提供商的共享责任模型(阅读有关AWS版本的信息). 通过了解谁负责哪种类型的安全, 会有更少的错误导致更少的漏洞.

谷歌云安全工具 

我们现在知道，云提供商有责任保护其平台的基础设施. 让我们看一下GCP的一些总体安全工具，以帮助客户并实现他们的SRM.

谷歌云安全指挥中心

该指挥中心有助于资产发现和盘点、威胁预防和威胁检测. 它使您能够了解在给定时间部署了哪些资源，并帮助识别错误配置和遵从性违反.

谷歌云IAM

身份访问管理(IAM) 允许用户管理员成为谁可以访问特定云操作中的某些资源的看门人. 审计功能提供了组织级别的可见性和筛选.

Google 云 KMS

密钥管理服务(KMS)将加密控制权交给用户. Google的KMS功能支持在中央云服务中进行加密密钥管理，并提供由用户控制的使用对称或非对称密钥加密数据的灵活性.

谷歌云操作套件 

云 监控和日志记录 是GCP中必要的安全工具吗. 从集中式套件访问, 日志记录是一种获取应用程序数据的托管服务, 日志数据, 以及来自谷歌云内外其他服务的数据. 监视可以使您了解在GCP上运行的应用程序的运行状况, 包括指标, 事件, 和元数据.

谷歌云安全扫描器

GCP的Web安全扫描器检查用户应用程序引擎中的漏洞, Kubernetes, 和计算引擎web应用程序. 它爬行应用程序以扫描尽可能多的用户输入和事件处理程序. 它旨在作为补充用户现有漏洞扫描操作的附加服务.

经常, 然而, 本地工具不能扩展到保护所有东西，并且很难管理, 因此需要独立的云安全提供商.

谷歌云平台最佳实践 

采用一些最佳实践方法是一个好主意，不仅可以确保降低漏洞风险, 而且这种遵从是持续良好的 DevSecOps 组织从一个坚实的知识库运行. 谷歌建议:

构建分层的安全方法 

通过应用纵深防御方法，在应用程序和基础设施的每个级别实现安全性. 使用每个产品中的特性来限制访问并在适当的地方配置加密. 

安全解耦系统的设计 

在可能的情况下，简化系统设计以适应灵活性, 并记录每个组件的安全需求. 结合一个健壮的安全机制来考虑弹性和恢复. 

自动部署敏感任务 

通过自动化部署和其他管理任务，将人工从工作流中剔除.

自动化安全监控 

使用自动化工具来监视应用程序和基础结构. 扫描您的基础结构以查找漏洞并检测安全事件, 在持续集成和持续部署(CI/CD)管道中使用自动扫描.

满足您所在地区的合规性要求 

请注意，您可能需要混淆或编辑个人可识别信息(PII)以满足法规要求. 在可能的情况下，自动化你的工作 合规工作.

遵守数据驻留和主权要求 

您可能有内部(或外部)需求，要求您控制数据存储和处理的位置. 这些需求根据系统设计目标而变化, 行业监管问题, 国家法律, 税收的影响, 和文化. 数据驻留描述了数据存储的位置.

把保安移到左边

DevOps和部署自动化可以让您的组织提高交付产品的速度. 以帮助确保您的产品保持安全, 从开发过程的开始就合并安全过程.

阅读更多关于GCP云安全的信息

2022云错误配置报告:最新的云安全漏洞和攻击趋势

了解Rapid7的Insight云Sec产品

GCP云安全:博客最新消息