אבטחת התשתית, הרשת ועומסי העבודה

‫Google Distributed Cloud (GDC)‎ עם פער אוויר עוזר להגן על ארונות חומרה, מערכות הפעלה מארחות, גבולות של ריבוי דיירים, שרשראות אספקה של תוכנות ותנועה ברשת שנפרסו במתקנים מוסמכים של מרכזי נתונים.

אבטחת המתקנים

החומרה של GDC פרוסה במתקנים של מרכזי נתונים מוסמכים, שנמצאים בשליטתכם או בשליטת מפעיל המתקן שמיניתם. הארגון שלכם ומפעיל התשתית אחראים לאכוף את בקרת הגישה הפיזית, את ההגנות הסביבתיות ואת הנהלים לטיפול במדיה במתקן שמארח את המארזים של GDC.

אמצעי הבקרה המומלצים לאבטחה פיזית כוללים:

• אמצעי בקרת גישה למתחם ולארונות השרתים: הגבלת הכניסה הפיזית למרכז הנתונים ולארונות השרתים של GDC באמצעות קוראי תגים, אימות ביומטרי, יומני ליווי מבקרים, סיורי אבטחה מסביב לשעון ודלתות נעולות לארונות השרתים.
• מעקב וזיהוי של התעסקות במכשיר: מעקב אחר מעברי המדפים באמצעות טלוויזיה במעגל סגור (CCTV) שפועלת ברציפות ואזעקות פיזיות מפני פריצה.
• בידוד של חשמל, קירור וכבלים: הזנות חשמל מיותרות, ניטור סביבתי ונתיבי כבלים מוגנים שעומדים בדרישות הרגולטוריות וההסמכה (כמו ISO/IEC 27001 או ICD 705).

אבטחת חומרה

‫GDC פועל על ארונות חומרה מודולריים משולבים מראש, שמיוצרים עם רכיבים מסחריים מוכנים לשימוש (COTS) מיצרני ציוד מקורי (OEM) שנבדקו. השילוב של מארזי החומרה מתבצע במתקנים אזוריים מאושרים, שמאוישים על ידי צוות שעבר בדיקות רקע. רכיבי חומרה וקושחה בסיכון גבוה עוברים גם בדיקות אבטחה ייעודיות כדי למנוע איומים של פגיעה פיזית ופגיעה בשרשרת האספקה.

אמצעי הבקרה העיקריים לאבטחת חומרה כוללים:

• שרתי Compute: שרתי Bare Metal משתמשים ב-Root of Trust של חומרה, במודולים של פלטפורמה מהימנה (TPM 2.0) ובקושחה חתומה של כרטיס BMC כדי לאמת את תקינות החומרה והאתחול לפני טעינת מערכת ההפעלה.
• מתגי רשת וחומות אש היקפיות: מתגי ניהול ומתגים בראש הארון (ToR) אוכפים בקרות גישה ברמת היציאה והצפנת MACsec. חומות אש מיותרות מספקות בדיקה מבוססת-מצב (stateful inspection) בקצב הקו ומניעת חדירה בגבולות האזור.
• מכשירי אחסון: מכשירי אחסון של בלוקים, קבצים ומאגרי אובייקטים ברמה ארגונית אוכפים הצפנה במנוחה עם שיפור מהירות באמצעות חומרה בכוננים בהצפנה עצמית (SED), ובידוד לוגי של דיירים באמצעות מכונות וירטואליות ייעודיות לאחסון (SVM).
• מודולים של אבטחת חומרה (HSM): מכשירי HSM ייעודיים שמחוברים לרשת (עם אימות FIPS 140-2 ברמה 3 ו-FIPS 140-3) יוצרים, מאחסנים ומגנים על מפתחות קריפטוגרפיים בסיסיים בחומרה שמעידה על ניסיונות חבלה.

מידע נוסף זמין במשאבי העזרה הבאים:

נושא	מסמכי תיעוד ומדריכים להגדרות אישיות
ניהול חומרה ו-HSM	מפתחות HSM של רמת הבקרה ומכונות של צומתי אשכול

אבטחת מארחים וצמתים

כל מארח בשרת פיזי וכל צומת באשכול Kubernetes ב-GDC מריצים קובץ אימג' של מערכת הפעלה מוקשחת, שמוגדרת לצמצם את שטח המתקפה ולמנוע הסלמת הרשאות לא מורשית.

• מערכת הפעלה מוקשחת לפי STIG: הצמתים מריצים את Linux, שמוקשחת לפי מדריכי ההטמעה הטכנית של אבטחה (STIG) של הסוכנות למערכות מידע ביטחוניות (DISA) ולפי אמות המידה של המרכז לאבטחת אינטרנט (CIS). חבילות, מהדרים ושירותי רשת מיותרים מוסרים מקובץ האימג' הבסיסי.
• אתחול מאובטח של UEFI: גם מארחי Bare Metal וגם מכונות וירטואליות (VM) של משתמשים תומכים באתחול מאובטח של UEFI, כדי לוודא שרק תוכנות אתחול ותמונות ליבה (kernel) שחתומות באופן קריפטוגרפי פועלות במהלך ההפעלה.
• בקרות גישה לליבה (kernel) ובקרות גישה חובה: צמתים אוכפים את SELinux במצב אכיפה, סינון קריאות מערכת של seccomp, מרחבי שמות של Linux ומגבלות משאבים של cgroups כדי לבודד קונטיינרים מליבת המארח הבסיסית.
• תקינות המארח והגנה על נקודות קצה: בדיקת תקינות קבצים (FIM) בודקת אם בוצעו שינויים לא מורשים בקובצי מערכת קריטיים, וזיהוי ותגובה בנקודות קצה (EDR) ואמצעי בקרה נגד תוכנות זדוניות עוקבים אחר ביצוע התהליכים והטלמטריה של המארח.

מידע נוסף זמין במשאבי העזרה הבאים:

נושא	מסמכי תיעוד ומדריכים להגדרות אישיות
בידוד צמתים ונקודות השוואה	סקירה כללית על בידוד צמתים והשוואה לשוק של CIS Kubernetes
אתחול מאובטח של מכונות וירטואליות וניהול מערכת ההפעלה	אתחול מאובטח של מכונה וירטואלית וניהול חבילות של מערכת ההפעלה

דיירים בענן

ב-GDC יש ריבוי דיירים היררכי, עם בידוד פיזי ובידוד רשת בין ארגונים, ובידוד לוגי של מרחב שמות בין פרויקטים בתוך הארגון.

בידוד לוגי בין ארגונים, אשכולות ופרויקטים

בתרשים הבא מוצג איך אשכול ברמת אדמין בסיסית (root), אשכולות של תשתית הארגון ואשכולות של עומסי עבודה מבודדים בין גבולות הניהול והדיירים:

• אשכול ברמת אדמין בסיסית (root): מיועד לאתחול ארגונים, לניהול מלאי החומרה ולהפעלת שירותי אבטחה וניטור של התשתית.
• ארגון: גבול הדייר ברמה העליונה. לכל ארגון יש אשכול תשתית ייעודי משלו, הגדרת ספק זהויות, היררכיית מערכת לניהול מפתחות (KMS) ומופע של ניתוב והעברה וירטואליים (VRF).
• אשכולות Kubernetes: אתם יכולים להקצות אשכולות משותפים ברמת הארגון (שמארחים כמה פרויקטים) או אשכולות רגילים ברמת הפרויקט (שמוקדשים לפרויקט יחיד, להפרדה חזקה יותר של עומסי העבודה).
• פרויקט: יחידה ייעודית לדייר בענן לוגית בתוך ארגון, שבה פורסים מכונות וירטואליות, קונטיינרים, מסדי נתונים ומשאבי אחסון. בפרויקטים נאכפים זהות של מרחבי שמות ב-Kubernetes, גבולות של בקרת גישה מבוססת-תפקידים (RBAC) ומדיניות הרשת של הפרויקט (PNP) באשכולות.

בידוד פיזי ובידוד VRF בין ארונות שרתים

במארזי 42U פיזיים, GDC מבודד ארגונים בשרתי מחשוב נפרדים, במכונות וירטואליות לאחסון (SVM) וב-VRF של רשתות, כך שאין שיתוף של שרתי מחשוב פיזיים בין ארגונים:

מידע נוסף זמין במשאבי העזרה הבאים:

נושא	מסמכי תיעוד ומדריכים להגדרות אישיות
היררכיית המשאבים והפרויקטים	היררכיית המשאבים וניהול פרויקטים
אשכולות Kubernetes	אשכולות Kubernetes ב-GDC והגדרות של אשכולות
תכנון הגבולות ועומסי העבודה	תכנון גבולות גישה ותכנון הפרדת עומסי עבודה

אבטחת אפליקציות

ב-GDC מאובטחות גם תוכנת הפלטפורמה שמועברת דרך ה-air gap וגם האפליקציות של הלקוחות שנפרסות בתוך הארגון.

שרשרת אספקת התוכנה ואימות SLSA

כל רכיבי הפלטפורמה של GDC, שירותי הצד הראשון והשירותים המנוהלים של צד שלישי נוצרים בסביבות build מבודדות והרמטיות, ונסרקים לאיתור נקודות חולשה. הארטיפקטים נחתמים בצד המחובר ("הצד הנמוך") בהתאם לדרישות של רמות שרשרת האספקה לארטיפקטים של תוכנה (SLSA) לפני ההעברה דרך ה-air gap ("הצד הגבוה").

כל גרסה כוללת רשימת רכיבי תוכנה (SBOM) שמפרטת את רכיבי התוכנה, יחסי התלות והספריות, ופריטי המידע מאומתים באמצעות חתימות קריפטוגרפיות וסיכומי ביקורת (checksum) מסוג SHA-256 לפני הפריסה.

Artifact Registry ואכיפת מדיניות

ב-GDC נאכפים אמצעי בקרה על קובצי אימג' של קונטיינרים ועל Policy Controller לפני הפריסה:

• Artifact Registry מקומי (Harbor): קובצי אימג' של קונטיינרים ותרשימי Helm מאוחסנים ב-Harbor מקומי בסביבה עם air gap, שתומכת בחתימה על קובצי אימג' ובסריקת נקודות חולשה בלי גישה לאינטרנט חיצונית.
• בקרת קבלה ומדיניות ארגונית: Open Policy Agent (OPA) Gatekeeper אוכף את מדיניות הארגון על אשכולות Kubernetes, ומונע מ-pods לפעול עם הרשאות מורחבות, גישה לרשת המארחת או קובצי אימג' לא מהימנים של קונטיינרים.

מידע נוסף זמין במשאבי העזרה הבאים:

נושא	מסמכי תיעוד ומדריכים להגדרות אישיות
כללי מדיניות ו-Artifact Registry	הגדרת מדיניות הארגון ויצירה וניהול של משאבי Harbor
עומסי עבודה ושירותים	עומסי עבודה של קונטיינרים ב-GDC ופריסת שירותים של Marketplace

אבטחת רשת

ב-GDC נאכפת סגמנטציה של רשת רב-שכבתית, מיציאות של מתגים פיזיים ועד למדיניות של Service mesh בשכבה 7.

פילוח VRF ו-VXLAN של מישור הנתונים

מארג מישור הנתונים משתמש ב-Multiprotocol BGP‏ (MP-BGP) Ethernet VPN‏ (EVPN) עם אנקפסולציה של Virtual Extensible LAN‏ (VXLAN) כדי לבודד את התנועה בין אשכול האדמין ברמת הבסיס (root) לבין כל ארגון דייר.

• רשת ניהול מחוץ לתחום (OOB): ממשקי ניהול החומרה פועלים ברשת ניהול נפרדת פיזית, שמבודדת מהתנועה של הדייר ונגישה רק מאשכול ברמת אדמין בסיסית (root).
• בידוד VRF ו-VXLAN: לכל ארגון מוקצים מזהי רשת וירטואלית (VNI) ייעודיים בשכבה 3, VRF חיצוניים ופנימיים ומכונות וירטואליות מבודדות לאחסון (SVM), כך שתעבורת הנתונים של הדייר לא יכולה לחצות את גבולות הארגון בלי מעבר מפורש של חומת האש.
• חומת אש מהדור הבא, IDPS והגנה מפני התקפת מניעת שירות (DoS): חומות אש היקפיות ומערכות לזיהוי ולמניעת פריצות (IDPS) אוכפות גישה של דחייה כברירת מחדל, בודקות את תעבורת הנתונים הנכנסת והיוצאת בהשוואה לחתימות איומים, ופועלות עם מאזני עומסים כדי לווסת הצפות של סשנים. יומני חומת האש ו-IDPS משתלבים עם סטאק הניראות (observability) של הארגון ועם ניטור לצורכי אבטחה של התשתית.
• כללי מדיניות רשת ב-Kubernetes ובפרויקטים: בארגון, אתם יכולים לאכוף מיקרו-סגמנטציה של דחייה כברירת מחדל בין פרויקטים ו-pods באמצעות משאבי NetworkPolicy ב-Kubernetes שמגובים ב-ProjectNetworkPolicy, ב-OrganizationNetworkPolicy וב-Cilium.

מידע נוסף זמין במשאבי העזרה הבאים:

נושא	מסמכי תיעוד ומדריכים להגדרות אישיות
מניעת איומים ופריצה	סקירה כללית על רשתות, מניעת איומים בבקשות ובקרת תעבורת נתונים יוצאת
מדיניות רשת ב-Kubernetes ויומני תנועה	מדיניות הרשת של הארגון, מדיניות הרשת של הפרויקט, הגדרת מדיניות הרשת ב-Kubernetes וניהול יומני תנועה
קישוריות חיצונית	הגדרת GDC VPN ויצירת קישוריות עם חיבורים