Topic Overview
Google Cloud Platform (GCP)安全性是指实现流程的实践, 确保应用程序安全的技术和标准, 资源和数据运行在谷歌的云基础设施服务上.
What is GCP? 它是一种云计算服务，通过物理和虚拟资源分布在世界各地，并托管在谷歌数据中心. GCP用户可以使用的各种服务包括数据管理, hybrid and multi-cloud architecture, and AI and Machine Learning (ML).
Known as the shared responsibility model, there are two ways to look at cloud security 当使用任何云平台时:云提供商将致力于保护云环境及其边界, 而客户将努力确保在该云环境中运行的操作的安全.
根据定义，像GCP这样的公共云服务是通过公共互联网提供的. 这意味着您的敏感和关键任务应用程序和数据可以被授权用户和/或威胁行为者访问-如果没有采取适当的措施来阻止他们.
这显然说起来容易做起来难, 并且可能由于配置错误的资源或组织安全状况的漏洞/弱点而导致大量数据泄露. To help address this, 已经开发了各种各样的最佳实践和标准, including those provided by Google.
GCP的安全性很重要，因为它提供的各种服务(由全球分布的软件和硬件支持)被用于复杂的用户操作，而这些操作可能很难确保安全. These operations include:
To that last point, 互联网安全中心(CIS)最近发布了他们的GCP基础基准的更新版本. 这些基准通常采取监管建议的形式, 在此实例中，涵盖了从资源隔离到计算和存储的配置和策略. 这些不是需求，但它们可以在很大程度上缓解未来的安全问题.
数据库或容器配置错误是GCP安全性很重要的另一个原因. Unfortunately, these flaws are all too common, 并且会使储存容器易受攻击并暴露在外. Preventing, detecting, 修复配置不正确的云数据服务是在GCP上运行操作的安全过程的关键部分. 检测和响应解决方案可以通过收集用户进入事件来帮助减轻潜在的风险, administrative activity, 以及由GCP生成的日志数据，以监视正在运行的实例和帐户活动.
在GCP上利用共享责任模型(SRM)意味着什么? As referenced above, 云提供商负责保护运行用户工作负载的基础设施, 但是用户有责任保护他们的机密工作负载, resources, 以及云基础设施中的数据.
Learn more with our Gartner云安全原型实用指南
Google states:
“在决定如何最好地保护谷歌云上的数据和工作负载时，理解共同责任模型非常重要. 共享责任模型描述了您在云中的安全性方面所面临的任务，以及这些任务对于云提供商来说是如何不同的.”
了解他们选择了什么样的共同责任模式, 用户必须首先定义需要运行的工作负载类型. Based on this information, 然后，他们将能够确定他们需要购买的云服务的类型. On GCP, these can include:
混合或多云环境的关键是教育DevOps人才了解云提供商的共享责任模型(read about the AWS version). 通过了解谁负责哪种类型的安全, 会有更少的错误导致更少的漏洞.
我们现在知道，云提供商有责任保护其平台的基础设施. 让我们看一下GCP的一些总体安全工具，以帮助客户并实现他们的SRM.
该指挥中心有助于资产发现和盘点、威胁预防和威胁检测. 它使您能够了解在给定时间部署了哪些资源，并帮助识别错误配置和遵从性违反.
Identity and Access Management (IAM) 允许用户管理员成为谁可以访问特定云操作中的某些资源的看门人. 审计功能提供了组织级别的可见性和筛选.
密钥管理服务(KMS)将加密控制权交给用户. Google的KMS功能支持在中央云服务中进行加密密钥管理，并提供由用户控制的使用对称或非对称密钥加密数据的灵活性.
Cloud monitoring and logging 是GCP中必要的安全工具吗. Accessed from a centralized suite, 日志记录是一种获取应用程序数据的托管服务, log data, 以及来自谷歌云内外其他服务的数据. 监视可以使您了解在GCP上运行的应用程序的运行状况, including metrics, events, and metadata.
GCP的Web安全扫描器检查用户应用程序引擎中的漏洞, Kubernetes, and Compute Engine web applications. 它爬行应用程序以扫描尽可能多的用户输入和事件处理程序. 它旨在作为补充用户现有漏洞扫描操作的附加服务.
Often, however, 本地工具不能扩展到保护所有东西，并且很难管理, 因此需要独立的云安全提供商.
采用一些最佳实践方法是一个好主意，不仅可以确保降低漏洞风险, 而且这种遵从是持续良好的 DevSecOps 组织从一个坚实的知识库运行. Google recommends:
Build a layered security approach
通过应用纵深防御方法，在应用程序和基础设施的每个级别实现安全性. 使用每个产品中的特性来限制访问并在适当的地方配置加密.
安全解耦系统的设计
在可能的情况下，简化系统设计以适应灵活性, 并记录每个组件的安全需求. 结合一个健壮的安全机制来考虑弹性和恢复.
自动部署敏感任务
通过自动化部署和其他管理任务，将人工从工作流中剔除.
Automate security monitoring
使用自动化工具来监视应用程序和基础结构. 扫描您的基础结构以查找漏洞并检测安全事件, 在持续集成和持续部署(CI/CD)管道中使用自动扫描.
满足您所在地区的合规性要求
请注意，您可能需要混淆或编辑个人可识别信息(PII)以满足法规要求. Where possible, automate your compliance efforts.
遵守数据驻留和主权要求
您可能有内部(或外部)需求，要求您控制数据存储和处理的位置. 这些需求根据系统设计目标而变化, industry regulatory concerns, national law, tax implications, and culture. 数据驻留描述了数据存储的位置.
Shift security left
DevOps和部署自动化可以让您的组织提高交付产品的速度. 以帮助确保您的产品保持安全, 从开发过程的开始就合并安全过程.