Google Cloud Security (GCP) とは何か？完全ガイド

Google Cloud Security の概要

他の主要なクラウドベンダーと同様に、Google Cloud Security は クラウドセキュリティこれは、セキュリティ対策の実装においてクラウドプロバイダーと顧客が共同で取り組むことを意味します。Google Cloud のセキュリティ責任は、プラットフォーム自体とそのユーザーの間で分担されています。Google Cloud Security はそのインフラストラクチャの保護に責任を負い、クラウドユーザーはそれぞれのクラウドリソース、ワークロード、およびデータの保護に責任を負います。Google Cloud Security は、そのインフラストラクチャの継続的な保護を確保するために、幅広いセキュリティ対策を実装しています。これらの対策には、自動暗号化、安全なデータ廃棄、安全なインターネット通信、および安全なサービス展開が含まれます。

ユーザーがクラウド資産を保護できるよう支援するために、Google Cloud Security は Google Cloud Security サービスとシームレスに統合されるさまざまなセキュリティツールを提供しています。これらのツールには、鍵管理、ID およびアクセス管理、ログ記録、監視、セキュリティスキャン、資産管理、コンプライアンスの機能が含まれます。

Google Cloud Security の重要性

広範なデータ活用の時代において、企業はかつてない速度で膨大な量の情報を生成、収集、保存しています。このデータには、機密性の高い顧客情報や、行動パターンやマーケティング分析のような比較的機密性の低いデータが含まれます。さらに、組織は柔軟性を高め、市場投入までの時間を短縮し、リモートまたはハイブリッドの労働力を支援するために、クラウドサービスを活用しています。

従来のネットワーク境界という概念は急速に薄れつつあり、これによりセキュリティチームはクラウドデータを保護するための現在および過去の戦略を見直す必要に迫られています。データやアプリケーションがもはやオンプレミスのデータセンター内だけに存在するわけではなく、物理的なオフィス空間の外で業務を行う人が増える中、企業は複数の環境にまたがってデータを保護し、アクセスを効果的に管理するという課題に直面しています。

Google Cloud Security が不可欠である理由をいくつか紹介します:

• データ保護: Google Cloud は、企業や個人のために大量のデータを保存しています。このデータのセキュリティを保護することは、個人情報、財務記録、知的財産、顧客データを含む機密情報を保護するうえで極めて重要です。Google Cloud のセキュリティ対策は、不正アクセス、データ侵害、およびデータ損失の防止に役立ちます。
• コンプライアンス要件: 業界ごとに、医療向けの Health Insurance Portability and Accountability Act (HIPAA) や欧州連合市民向けの General Data Protection Regulation (GDPR) など、特定のコンプライアンス規制があります。Google Cloud は、組織がこれらのコンプライアンス要件を満たせるよう支援するために設計されたセキュリティ機能と制御を提供しています。これらの対策により、指定された規制に従ってデータが安全に処理および保存されることが保証されます。
• 安全なコラボレーション: Google Cloud は、ユーザーによるドキュメント、スプレッドシート、プレゼンテーションの共有を容易にする Google Workspace (旧 G Suite) のようなコラボレーションツールを提供しています。適切なセキュリティ対策により、許可された個人のみがこれらの共有リソースにアクセスできるようになり、不正な変更や潜在的なデータ漏えいから保護できます。
• 脅威の検出と対応: Google Cloud は、高度なセキュリティ監視および脅威検出システムを使用して、潜在的なセキュリティインシデントを特定し、迅速に対応します。これらのシステムは、ネットワークトラフィック、ユーザー行動、その他のデータパターンを分析して、異常や侵害の兆候をリアルタイムで検出します。このプロアクティブなアプローチは、迅速かつ効果的な対応策を可能にすることで、セキュリティリスクを軽減し、侵害を防ぐのに役立ちます。

Google Cloud Security を監視および監査する方法

Google Cloud は、すべての企業に対して 3 種類の監査ログを生成します: Admin Activity、System Event、および Data Access Logs。ログは、ナビゲーションメニューのログビューアからアクセスできる GCP コンソールを使用して表示できます。Google Cloud Console からプロジェクトレベルのログを確認することもできます。これらのログは SentinelOne に送信でき、そこで詳細に設定、収集、分析できます。

Google Cloud サービスを変更し、リソース構成を行うために、システムイベント監査ログを生成します。インスタンスを別のホストに移行すると、SentinelOne ダッシュボードから次の監査ログエントリを直接確認できます。これらは Google Cloud Platform Security の主な機能です。 

監視すべき主要な Google Cloud Platform の監査ログは、Cloud IAM ポリシーとリソースログです。また、GCP 認証情報、IAM 権限、コンピュートインスタンスやストレージバケットなどの公開アクセス可能な GCP リソースも監視する必要があります。これらを監視することで、権限昇格の防止、機密データの流出回避、GCP サービスの不要な変更の防止に役立ちます。

また、攻撃の可能性のある発信元を特定するのに役立つ JSON 属性データも確認する必要があります。API 呼び出しのステータスと、それらの API 呼び出しを行うアカウントのメールアドレスを確認してください。また、各 Google Cloud リソースを保護するために、最新の CIS ベンチマーク推奨事項を実装してください。

Google Cloud Platform は、セキュリティログをクエリおよび分析するためのクラウドロギングサービスも提供します。ログをさまざまな送信先にエクスポートするためにシンクを使用できます。すべての Google Cloud シンクには、エクスポート先とログクエリがあります。これらは、クラウドストレージ、BigQuery データセット、さらには Publish Subscribe (Pub/Sub) トピック にエクスポートできます。

Google Cloud 環境を保護する手順

企業がマルチクラウド環境やハイブリッド環境を採用するにつれて、Google Cloud の保護はますます複雑になっています。機密データを保護するために必要な手順を講じる必要があります。Google Cloud リソースを段階的に保護する方法を以下に示します。

1. 強力な ID およびアクセス管理制御を実装する: これは、Google Cloud セキュリティの基盤となるため、重点的に取り組む必要がある重要な領域です。主要な IAM実践には、ユーザーロール、権限、アクセス制御の作成と管理が含まれます。多要素認証と最小権限の原則を実装する必要があります。多要素認証の接続が信頼できるソースからのものであることを確認し、アクセスレベルについて定期的な評価を実施する必要があります。異常を検出して修正するために、IAMポリシーと権限の定期的な監査も必要になります。また、SentinelOneのAI主導のインサイトを使用して、IDおよびアクセス管理のリスクを迅速に特定し、軽減することもできます。

1. 継続的な脅威検出と監視を実施する: クラウドの設定ミスや脆弱性のうち、エコシステム全体でラテラルムーブメントにつながる可能性があるものを見つけ出す必要があります。そのための最善の方法の1つは、脅威インテリジェンスと攻撃者に関する深い知見を活用することです。Google Cloudエコシステムの継続的な監視には、正確なログ分析と自動アラートが必要です。リスクに優先順位を付け、未知のリスクを特定し、それらすべてを軽減することで、Google Cloud全体のセキュリティ態勢と環境を強化できます。また、SentinelOneのSecurity Analytics EngineまたはOffensive Security Engineを使用して、エンドポイントとGoogle Cloudワークロードのテレメトリを迅速に分析することもできます。これにより、チームはステルス攻撃を調査し、複数の攻撃対象領域をスキャンして最新の脅威を阻止できるようになります

1. Google Cloud ネットワークセグメンテーション: これは、クラウド環境をより小さな分離されたゾーンに分割するためのもう 1 つの戦略です。各ゾーンにはセキュリティポリシーが設定され、これらを効果的に管理することでセキュリティを大幅に強化できます。ファイアウォールルールとセキュリティグループを使用して、受信および送信トラフィックを制御できます。きめ細かな制御により、インスタンスレベルでトラフィックフローを最適化できます。また、プライベート Google Cloud IP アドレスを設定することで、機密リソースへのアクセスを制限することもできます。

Google Cloud Security のテストアプローチ 

Google Cloud Platform (Google Cloud Security) におけるセキュリティテストに関しては、組織が Google Cloud Security のデプロイメントのセキュリティを評価するために採用できるアプローチがいくつかあります。これらのアプローチには次のものが含まれます:

• 脆弱性評価: を実施するために、脆弱性評価、組織は自動化ツールと手法を使用して、既知の脆弱性について Google Cloud Security のリソース、ネットワーク、アプリケーションをスキャンします。これらのツールは、一般的なセキュリティ上の弱点や設定ミスを特定できるため、潜在的なセキュリティリスクの特定と修復に役立ちます。
• ペネトレーションテストは、エシカルハッキングとも呼ばれ、Google Cloud Security のシステムやアプリケーションの脆弱性を意図的に悪用しようとするプロアクティブなアプローチです。これは、現実世界の攻撃を模倣することで、潜在的な弱点を特定し、セキュリティ制御の有効性を検証することを目的としており、脆弱性評価を上回るものです。組織は ペネトレーションテスト を社内で実施することも、これらのテストを実施するためにサードパーティのセキュリティ専門家のサービスを利用することもできます。
• セキュリティコードレビュー: セキュリティコードレビューは、Google Cloud Security におけるアプリケーションのソースコードと Infrastructure as Code 構成の分析に重点を置いています。目的は、悪用される可能性のあるセキュリティ上の欠陥、安全でないコーディングプラクティス、潜在的な脆弱性を検出することです。手動のコードレビューと自動化された静的コード解析ツールを使用して、カスタム開発されたアプリケーションとクラウドインフラストラクチャ構成のセキュリティを評価できます。
• 構成レビュー: Google Cloud Security のリソースとサービスの構成設定をレビューすることは、セキュリティ制御が正しく実装されていることを確認するために不可欠です。組織は、アクセス制御、ネットワークセキュリティ、データ暗号化、ロギングと監視、コンプライアンス設定に関する構成を評価およびレビューする必要があります。このレビューは、脆弱性をもたらす可能性のある設定ミスやセキュリティのベストプラクティスからの逸脱を特定するのに役立ちます。
• 脅威モデリング: 脅威モデリングでは、Google Cloud Security 環境を分析し、潜在的な脅威と攻撃ベクトルを特定します。これは、システムの設計、潜在的な脆弱性、想定される攻撃者を考慮することで、組織がセキュリティリスクを事前に特定して軽減するのに役立ちます。脅威モデリングは、セキュリティ対策の優先順位付けを支援し、特定されたリスクに対処するための適切な制御の実装に役立ちます。
• コンプライアンス監査: コンプライアンス監査を実施することで、Google Cloud Security の導入が業界固有の規制およびコンプライアンス要件を満たしていることを確認できます。組織は、HIPAA、GDPR、PCI DSS、ISO 27001 などの適用可能なフレームワークに関するセキュリティ制御とプロセスをレビューする必要があります。コンプライアンス監査では、必要な保護措置が講じられているかどうかを評価し、コンプライアンスを維持するために改善が必要な領域を特定するのに役立ちます。

企業にとっての Google Cloud Security のメリット

以下は、組織にとっての Google Cloud Security のメリットです。

• 企業は、DDoS攻撃やデータ侵害からの復旧に数十万ドルを費やし、攻撃者を脅かし、膨大な量のトラフィックでサーバーインフラストラクチャをあふれさせ、誤作動しているサービスを試すことがあります。また、複数のデータセンターやサーバーにトラフィックを分散させて、ダウンタイムや損害を引き起こすこともあります。Google Cloud Security は、DDoS攻撃に対する保護の維持に役立ちます。また、Google Cloud のソフトウェアサービスにパッチを適用して更新し、一般的な脆弱性が適切に対処され、悪用されないようにするのにも役立ちます。
• パッチを適用し、定期的な身元調査を実施することで、ビジネス継続性を確保しながら顧客を保護できます。また、最適な Google Cloud セキュリティ対策を実装することで、モバイル環境を管理および保護することもできます。最新の攻撃に備えられていると自信を持って言える経営幹部はごくわずかです。最も厳格な担当者アクセス制御を適用することで、データを定期的にバックアップし、24時間体制のセキュリティ監視を確保できます。
• Google Cloud は、保存データの暗号化、機密データの削除防止、サービスデプロイメントの管理、さらにはマシンIDや Google Cloud サービスに接続された物理施設のセキュリティ保護までを実現する完全なセキュリティスタックを提供します。 
• Google Cloud には 700 人を超える専門家からなるサイバーセキュリティチームがあり、Meltdown、Spectre、Heartbleed などの重大なセキュリティ脆弱性を発見してきました。また同社は、ソフトウェアのセキュリティ問題の報告に対する報奨プログラムや、デフォルトで SSL を実装するポリシーも提供しています。

CNAPPバイヤーズ・ガイド

お客様の組織に最適なクラウドネイティブ・アプリケーション保護プラットフォームを見つけるために必要なすべての情報をご覧ください。

ガイドを読む

Google Cloud における一般的なセキュリティ課題

Google Cloud のセキュリティ対策の実装には課題が伴う場合があります。拡大する組織では、すべてのクラウドリソースを追跡することが難しく、Google Cloud のセキュリティのベストプラクティスを順守することが困難になる場合があります。 クラウドコンプライアンスも別の課題です。なぜなら、すべての組織でロードマップが異なるためです。その他の Google Cloud のセキュリティ課題には、脆弱なコンテナイメージ、設定ミスのあるストレージバケット、仮想マシン、クラウド機能が含まれます。

Google Cloud 上の安全でない API は、大きなセキュリティ問題となる可能性があります。現在または元の従業員による内部脅威もあり、彼らは Google Cloud リソースやその他の機密情報に直接アクセスできる場合があります。Google Cloud は、フィッシング、マルウェア、DDoS 攻撃、その他の脅威など、従来の環境と同様のセキュリティ問題に悩まされています。

Google Cloud Security を構成するためのベストプラクティス

以下は、最新の状態を維持し、Google Cloud Security を構成し、リソースを保護するために実施できる Google Cloud Security のベストプラクティスです。

• トレーニングと GCP セキュリティ意識向上: サイバー脅威は絶えず進化しています。トレーニングと意識向上により、セキュリティ侵害の可能性を大幅に減らすことができます。どのフレームワークを選択すべきか、また Google Cloud が提供する今後のブループリントをどのように実装するかを理解できるようになります。
• GCP ブループリント: Google Cloud Security Blueprints は、最適なセキュリティプラクティスを構築および実装するための基盤を作ります。これらを使用して、Google Cloud 環境をセットアップおよび維持します。
• セキュリティ組織設計に重点を置く: Google Cloud リソースの使用を最適化するために、きめ細かなアクセス制御を確保する必要があります。これにより、不正アクセスのリスクを最小限に抑えることができます。Google Cloud Workspace アカウントと特定のクラウドリソースとの関係をマッピングすることも役立ちます。最小権限アクセスのアプローチ: ユーザーには必要最小限のアクセス権のみを付与してください。これにより、被害の可能性を制限し、データ侵害を封じ込めることができます。
• クラウド環境の可視性: Google Cloud Platformの一元化されたログインおよび監視ツールは、クラウド ストレージ、Compute Engine、BigQuery などの多様なサービスに分散したセキュリティイベントを追跡できます。Google Cloudの一元化されたロギングとモニタリングを使用して、異なるGoogle Cloudサービスからのログを統合し、組織のセキュリティ運用を統合的に可視化できます。また、高度な分析機能とアラート メカニズムにより、監査プロセスを効率化し、正確な脅威検知を実現できます。Google Cloud Security Command Centerはこれを支援します。さらに、そこから潜在的なセキュリティインシデントを調査することもできます。
• データ保護と暗号化: Google Cloud セキュリティのもう 1 つのベストプラクティスは、データ保護を有効にすることです。Google Cloud Platform には、転送中および保存中のデータを保護する多くの組み込み暗号化メカニズムがあります。その高度な暗号化機能により、不正アクセスからデータを保護できます。Google Cloud は、顧客管理暗号鍵を管理するためのオプションを提供し、データ暗号化プロセスに対する追加の制御レイヤーを提供します。
• GCP セキュリティ自動化: Google Cloud は自動化も提供しており、これを使用してサービスをデプロイ、スケール、保護できます。これにより、動的なセキュリティ体制が確保され、組織のセキュリティ戦略と統合できます。セキュリティワークフローを自動化することもできます。Google Cloud の Virtual Private Cloud では、ネットワークトラフィックを監視するためのきめ細かな制御にアクセスできます。VPC ファイアウォール ルールを使用してポリシーを定義および適用し、どの種類のトラフィックを許可またはブロックするかを規定できます。
• 監査: 定期的なセキュリティ監査の実施は、組織にとって最良の Google Cloud security practices の 1 つです。これらの定期的なチェックは、潜在的な脆弱性や設定ミスに関する貴重な洞察を提供し、改善が必要な領域を特定できます。また、コンプライアンスレポートを改善し、防御メカニズムが組織のセキュリティ目標と整合していることを確認するのにも役立ちます。

Google Cloud Security コンプライアンス

Google Cloud におけるコンプライアンスは、単にチェックボックスを埋めるだけではありません。規制対象環境でデータを管理するための多層的なアプローチです。業界によっては、決済データ向けの PCI-DSS、医療記録向けの HIPAA、または EU における個人情報保護のための GDPR など、厳格なガイドラインを満たす必要がある場合があります。Google Cloud は、Compliance Reports や Security Command Center などの組み込みのコンプライアンス認証およびマッピングツールを提供しており、これらのフレームワークへの準拠を監査および検証するのに役立ちます。

ただし、コンプライアンスベンチマークを満たすには、Google のネイティブ機能を使用するだけでは不十分です。統一された暗号化、アクセス管理、継続的監視の戦略も実装する必要があります。

SentinelOne による Google Cloud Security

暗号化に関しては、保存データを保護するために SentinelOne の Google Cloud Encryption Services を使用する必要があります。転送中のデータを暗号化できます。SSL または TLS プロトコルを使用します。Google Cloud のシークレットをローテーションして保護することもできます。SentinelOne の暗号化管理は、Google Cloud のネイティブ暗号化サービスとシームレスに統合されます。

企業として、ビジネスデータ、顧客情報、財務記録、知的財産データなどの膨大な量の機密データを扱うことになります。これらすべてのデータタイプは、SentinelOne’s Singularity™ Platform を通じて堅牢な Google Cloud セキュリティ対策を有効にすることで保護できます。また、これを使用して Google Cloud のセキュリティ上の懸念を管理することもできます。定期的なセキュリティ監査、ペンテスト、評価を実施し、組織に最適なセキュリティポリシーを実装および適用してください。 

コンプライアンス違反は、多額の罰金、ポリシー違反、評判の低下につながる可能性があります。したがって、Google Cloud コンプライアンスは、これらのセキュリティ上の懸念に対処し、運用の完全性を確保するために優先されなければなりません。SentinelOne を使用すると、GDPR、PCI-DSS、HIPAA などの業界標準のコンプライアンスフレームワークを採用できます。 

SentinelOneの動作を見る

SentinelOne製品のエキスパートとの1対1のデモで、AIを活用したクラウドセキュリティがどのように組織を保護できるかをご覧ください。

デモを見る

結論

Google Cloud Security を改善する方法がわかったところで、SentinelOne 今すぐセキュリティ態勢を強化しましょう。攻撃者よりも常に数歩先を行き、不意を突かれないようにしましょう。

定期的なセキュリティ評価とアセスメントの実施、作業内容の見直し、関係者との連携により、Google Cloudのセキュリティ態勢を最大限に強化できます。また、可視性と説明責任の向上というメリットも得られ、Google Cloudリソースを効果的に保護できます。