סקירה כללית על אבטחה

ב-Google Distributed Cloud (GDC)‎ עם air gap נעשה שימוש בארכיטקטורת Zero Trust כדי להגן על התשתית, על שירותי הפלטפורמה ועל עומסי העבודה של האפליקציות בסביבות מנותקות, בלי צורך בקישוריות ל- Google Cloudציבורי או לאינטרנט.

מסמכי האבטחה של GDC מחולקים לסקירה הכללית הזו ולשני מסמכים ייעודיים:

  • סקירה כללית בנושא אבטחה: כוללת את אסטרטגיית האבטחה (עמודי התווך של Zero Trust ואחריות משותפת), קריפטוגרפיה, ניהול זהויות והרשאות גישה (IAM) ותאימות.
  • אבטחת תשתית, רשת ועומסי עבודה: כוללת אבטחת מתקנים, אבטחת חומרה, אבטחת מארחים וצמתים, בידוד של כמה דיירים, אבטחת שרשרת אספקה של אפליקציות וסגמנטציה של רשת.
  • פעולות אבטחה: כולל ניטור לצורכי אבטחה של התשתית והדיירים, ניהול נקודות חולשה, תגובה לאירוע, ייצוא יומנים של ניהול אבטחת מידע ואירועים (SIEM) חיצוני, רישום ביומן ביקורת, גישה במקרה חירום, תוכנית התאוששות מאסון (DR) ושדרוגים הדרגתיים.

אסטרטגיית אבטחה

‫GDC מבוסס על ארכיטקטורה עם מודל אבטחה של אפס אמון, שבה אין אמון משתמע על סמך מיקום הרשת, הבעלות על המכשיר או זהות המשתמש. כל בקשה בשכבות החומרה, מישור הבקרה ועומס העבודה חייבת לעבור אימות, הרשאה והצפנה. במאמרים GDC Zero Trust Strategy Whitepaper ו-Google Distributed Cloud's air-gapped approach to Zero Trust מוסבר איך עקרונות Zero Trust חלים על פריסות מנותקות.

מודל האבטחה של GDC תואם לשבעת עמודי התווך הבאים של Zero Trust:

תרשים שממחיש את שבעת עמודי התווך של אבטחת אפס אמון ב-GDC.

מודל אחריות משותפת

האחריות על האבטחה ב-GDC היא אחריות משותפת בין שכבות התשתית, הפלטפורמה ועומסי העבודה. בהתאם לסוג השירות שאתם צורכים – תשתית כשירות (IaaS), פלטפורמה כשירות (PaaS) או תוכנה כשירות (SaaS) – תחומי האחריות התפעולית מחולקים כמו שמוצג בתרשים הבא:

תרשים שממחיש את תחומי האחריות המשותפים לתשתית, לפלטפורמה ולעומס העבודה בכל שכבת אבטחה.

  • שכבת התשתית: כוללת את תשתית המערכת הבסיסית, כולל מכשירי חומרה, מתגים, מערכי אחסון, אשכול האדמין ברמת הבסיס (root) וניטור לצורכי אבטחת התשתית. שדרוגי מערכת, ניהול מחזור החיים של החומרה ופעולות אבטחה של התשתית מתבצעים בלי גישה לנתונים רגישים של עומסי העבודה של הלקוחות.
  • שכבת הארגון והפלטפורמה: כוללת את הניהול של ארגון הדייר, כולל חיבורי IdP ברמת הארגון, קישורי תפקידים, מפתחות של מערכת ניהול המפתחות (KMS), אישורי PKI, מדיניות הרשת של הפרויקט, אשכולות Kubernetes משותפים, יכולת תצפית בארגון וייצוא יומנים.
  • שכבת עומסי העבודה ושכבת האפליקציות: כוללת פיתוח, פריסה ומעקב אחרי עומסי עבודה של קונטיינרים ומכונות וירטואליות (VM) במרחבי שמות מבודדים של פרויקטים, בהתאם למדיניות האבטחה של הארגון.

מידע נוסף זמין במשאבי העזרה הבאים:

נושא מסמכי תיעוד ומדריכים להגדרות אישיות
ארכיטקטורה וקהלים קהלי היעד של המאמרים והיררכיית המשאבים
בידוד ואחריות משותפת תכנון גבולות גישה, תכנון הפרדת עומסי עבודה ומודל אחריות משותפת של Marketplace

קריפטוגרפיה

ב-GDC יש מערכת משולבת לניהול מפתחות (KMS), Certificate Authority Service (CAS) ותשתית של מפתח ציבורי (PKI) שמגובה במודולים לאבטחת חומרה (HSM) באימות FIPS, כדי להגן על הנתונים באחסון ובזמן העברה:

  • ‫PKI ו-CAS: אוטומציה של הנפקת אישורים, חידוש והפצה של חבילות אמון במישורי בקרה ובנקודות קצה (endpoint) של Ingress, עם תמיכה ברשויות אישורי בסיס (CA) פנימיות, רשויות אישורים חיצוניות, אישורי TLS מותאמים אישית לאינטרנט ורשויות אישורים של עומסי עבודה.
  • ‫KMS ו-HSM: שימוש בהיררכיית הצפנת מעטפה שמגובה ב-HSM לכל ארגון, שמאפשרת לנהל מפתחות הצפנה סימטריים ומפתחות חתימה אסימטריים, ולהשתמש במפתחות הצפנה בניהול הלקוח (CMEK) למחיקה קריפטוגרפית.
  • הצפנה במנוחה ובמעבר כברירת מחדל: הצפנה של כל הבלוקים, הקבצים, האובייקטים והאחסון בדיסק של השרת במנוחה כברירת מחדל, באמצעות הצפנת AES-256 עם אימות FIPS בכמה שכבות, ואבטחה של כל התנועה במעבר באמצעות TLS,‏ Mutual TLS ‏(mTLS),‏ IPsec או MACsec.

מידע נוסף זמין במשאבי העזרה הבאים:

נושא מסמכי תיעוד ומדריכים להגדרות אישיות
PKI ואישורים אחזור של חבילות אמון, הגדרות של אישורי TLS לאינטרנט, מצבי מעבר של PKI וCertificate Authority Service
ניהול מפתחות (KMS,‏ CMEK ו-HSM) מערכת לניהול מפתחות, מפתחות הצפנה בניהול הלקוח ושליטה במפתחות HSM
הצפנת נתונים ואחסון הצפנה במנוחה, הצפנה במעבר, ניהול קטגוריות אחסון מוצפנות והצפנת מדדים

ניהול זהויות והרשאות גישה

מערכת ניהול הזהויות והרשאות הגישה (IAM) ב-GDC מאמתת משתמשים אנושיים וזהויות של שירותי עומסי עבודה (ProjectServiceAccount), ואוכפת את העיקרון של מתן הרשאות הגישה המינימליות והפרדת תפקידים במשאבים גלובליים ובמשאבים של תחום מוגדר. אתם מחברים את GDC לספק הזהויות (IdP) של הארגון באמצעות OpenID Connect ‏(OIDC) או SAML 2.0 עם אימות רב-שלבי (MFA). כדי לתת גישה, צריך לקשר משתמשים או קבוצות לתפקידים מוגדרים מראש או לתפקידים בהתאמה אישית, שמוגדרים ברמת הארגון, הפרויקט או אשכול Kubernetes.

מידע נוסף זמין במשאבי העזרה הבאים:

נושא מסמכי תיעוד ומדריכים להגדרות אישיות
ספקי זהויות ואימות הרשאה ובקרת גישה, התחברות לספק זהויות וזהויות של שירותים
קישורי תפקידים ובקרת גישה מתן וביטול של גישה, ניהול הגישה לאשכולות רגילים והרשאות לתפקידים מוגדרים מראש

תאימות

‫GDC נועד לעזור ללקוחות עם דרישות ריבונות לעמוד בדרישות תאימות מחמירות באמצעות מעקב רציף אחרי מלאי, בדיקת נקודות חולשה, בדיקת חדירה ואימות של תוכנית התאוששות מאסון (DR). מכיוון ש-GDC פועל במתקן המוסמך שלכם, קבלת אישור סופי למערכת (כמו Authority to Operate) מתבצעת בהתאם למודל האחריות המשותפת.

תאימות למדריך הטכני להטמעת אבטחה (STIG)

לפי כלל STIG‏ RHEL-08-040320, החבילה xorg-x11-server-common היא יחסי תלות מאושרים של המערכת שנדרשים למנהלי ההתקנים של NVIDIA GPU ולספריות של שיפור מהירות באמצעות חומרה (כמו Vulkan ו-Mesa). שירות מנהל התצוגה הגרפית מושבת ולא פעיל בתמונות של מערכת ההפעלה של הצומת.

מידע נוסף זמין במשאבי העזרה הבאים:

נושא מסמכי תיעוד ומדריכים להגדרות אישיות
נקודות השוואה ומדיניות CIS Kubernetes Benchmark והגדרת מדיניות הארגון
רישום ביומן הביקורת ושמירת נתונים סקירה כללית על יומני ביקורת, אבטחה ושחזור של יומני ביקורת ויצירת קטגוריות WORM