Google 資安更上層樓!如何讓您的雲端服務和資料更有保障

一次了解 GCP 近期推出的多項資訊安全新功能

很多人說:資訊安全並沒有所謂的最終目的,反而它是個不斷優化的過程。Google 多年來一直以”為客戶建構安全、可擴展的環境”為首要目標,不斷改善自己的基礎架構設施,近期 Google 再次針對 GCP 各項服務推出了 20 多項能提升資訊安全的功能,GCP 專門家就以這篇文章帶您一窺究竟。

VPC Service Controls (Alpha): 保護敏感數據

目前尚在 alpha 階段,VPC Service Controls 在所有儲存於 API-based (例如: Google Cloud Storage,BigQuery 和 Bigtable) 的數據周圍架構了一個安全邊界(security perimeter)。這將有效降低因為身份被盜、IAM 策略配置錯誤、惡意內部人員和虛擬機被入侵,而衍伸的數據洩露風險。

透過這種託管服務,企業可以使用 Cloud VPN 或 Cloud Dedicated Interconnect 來配置雲端 resource 與混合 VPC 網路之間的私密通信。將安全邊界從本地端網路擴展到存儲在 GCP 服務中的數據,企業可以放心地將其資料存儲在雲端,並透過 on-prem 的環境或 cloud-based 的 VM 去存取數據。

了解更多:https://cloud.google.com/vpc-service-controls/

Cloud Security Command Center (Alpha): 深入了解數據和應用程式風險

Cloud Security Command Center 目前處於 alpha 階段,可以讓您在統一的操作介面中,查看並監控 Cloud resource 清單、掃描存儲系統以辨識敏感數據、檢測常見網路漏洞、審核關鍵資源的訪問權限。

它與 DLP (Data Loss Prevention) API 結合,以幫助辨別敏感資料,並透過 Google Cloud Security Scanner 發現漏洞 (例如:Cross-site scripting(XSS) 和 Flash injection)。我們可以藉由 Cloud Security Command Center 來管理訪問控制權限、透過結合 Forseti (一個開源GCP安全工具套件) 來接收無預期更動的警告、並透過 Google anomaly detection, Cloudflare, CrowdStrike, Dome9, Palo Alto Networks, Qualys, RedLock 等第三方合作夥伴,來偵測威脅和可疑的活動。

了解更多:https://cloud.google.com/security-command-center/

Access Transparency (Beta): Google 在背後做了哪些事

透過 Access Transparency,Google 將提供一份由 Google support 以及 Google engineer 授權管理訪問的 audit log。這個 log 是即時的,它跟 Google Cloud Audit log 一樣,將同時記錄到您的 Stackdriver loggin console 當中。

透過結合 Google Cloud Audit Log 和 Access Transparency Log,您將可以對 GCP 中的 administrative activity 有更全面的的了解。

了解更多:https://cloud.google.com/access-transparency/

Cloud Armor (Beta): 抵擋外部攻擊

一種針對分佈式阻斷服務(DDoS)和應用層攻擊的防禦服務,它跟保護 Google Search、Gmail、YouTube 運用的是相同的技術。

Global HTTP(S) Load Balancing 內建了一個能針對基礎架構 DDoS 做防禦的機制。除了配置負載平衡外,您不需要做額外的配置。Cloud Armor 可以和 Cloud HTTP(S) Load Balancing 搭配使用,提供 IPv4 和 IPv6 白名單/黑名單、抵擋像是 Cross-site scripting (XSS) 和 SQL injection (SQLi) 這類針對應用服務的攻擊、並針對所在的地理位置進行存取的控制。

您可以透過 Cloud Armor 客製化您的防禦措施,您可以結合 Layer 3 到 Layer 7 的參數來抵擋多重(兩種或以上)的攻擊組合。Cloud Armor 會針對每個 request 和對應的 行為做記錄並向 Stackdriver 發送信息,所以您能查看那些被阻止或是被允許的網路流量。

了解更多:https://cloud.google.com/armor/

DLP (Data Loss Prevention) API

它是一種託管服務,用於發現分類和編輯存儲在資產中的敏感信息。在去年推出測試版後,現在 DLP API 已正式 GA,由於 DLP API 就是 API,所以它可以用在幾乎所有資料源或業務應用程式(不論它是存放在 Google Cloud Storage、BigQuery、第三方雲、或是本地數據中心)。此外,它可以使用 DLP API 檢測編輯敏感訊息,並針對靜態數據集進行批次處理。

了解更多:https://cloud.google.com/dlp/

Cloud Identity

Cloud Identity 提供一個簡單又安全的方法,允許任意終端裝置存取雲端應用。它可以讓企業可以輕鬆管理那些需要訪問 GCP 資源的使用者和群組。Cloud Identity 是一個完整的身份即服務(IDaaS)的解決方案,它在企業安全、應用管理、設備管理中,增加了更多進階功能,並提供企業一個簡單又安全的管理方式:允許使用者在任意裝置上存取雲端應用。

了解更多:https://cloud.google.com/identity/

(原文翻譯自:https://cloudplatform.googleblog.com/2018/03/introducing-new-ways-to-protect-and-control-your-GCP-services-and-data.html)

 


連絡「GCP 專門家」