9 項 Google Cloud Security 最佳實務：GCP 安全檢查清單

每家企業與組織都面臨持續保護雲端基礎架構的挑戰。企業遷移至雲端，以及網路攻擊同時增加，帶來了對高層級安全實務的需求。Google Cloud Platform (GCP) 無疑是頂尖的雲端服務供應商之一，提供廣泛的產品與解決方案。但能力越大，責任越大，保護您的 GCP 環境對於維護寶貴的資料資產以及支援業務持續營運至關重要。因此，企業需要了解 Google Cloud 安全最佳實務，以維持所需的安全水準。

本文深入探討有關 Google Cloud Security 的相關議題，並提供逐步指南，說明如何實施可確保雲端資產安全的做法。我們將討論組織在使用 GCP 時面臨的常見安全挑戰，並概述九項您應實施的 Google Cloud Security 關鍵最佳實務，以建立強健的雲端安全態勢。在這方面，我們將說明如何透過 SentinelOne 的進階防護來進一步提升 GCP 安全性，藉由 雲端安全解決方案，因應當今的威脅情勢。

Google Cloud Security 概觀

Google Cloud Platform 一直是安全且值得信賴的雲端基礎架構供應商，持續投資於最先進的安全技術與實務。到了 2024 年，GCP 擁有令人稱羨的紀錄：超過 90% 的《財星》500 大企業仰賴 Google Cloud 作為其雲端運算平台。基於如此廣泛的採用，GCP 以良好的安全措施以及對使用者資料的保護而聞名。

建立在這種多層模型之上，GCP 安全性採用尖端技術，例如靜態與傳輸中資料的進階加密、IAM、網路安全與威脅偵測。從客製化設計的硬體，一直到專有作業系統與部署環境，Google 在建構基礎架構時於每一層級都將安全納入考量。這種完整的架構方法可在技術堆疊的每一層保護您的資料。

GCP 安全性的重要性

對於您的 Google Cloud 環境而言，這不僅是最佳實務，也是現代企業非常重要的要求。這就是為什麼 GCP 安全性被視為組織應優先關注事項之一：

1. 資料保護： 隨著越來越多有價值的資料被轉移到雲端，應防範未經授權的存取、資料外洩與遺失，以保護敏感資訊。強大的 GCP 安全最佳實務有助於保護您的智慧財產、客戶資料及其他關鍵業務資訊。
2. 法規遵循要求： 如今大多數產業在資料保護與隱私方面都面臨極為嚴格的法規環境。妥善實施 Google Cloud Security 最佳實務與 GCP 安全措施，有助於遵循 GDPR、PHI、PCI DSS 等各項標準，避免法律與財務責任。
3. 業務持續性： 安全事件可能包括服務中斷、資料遺失與聲譽受損。遵循 GCP 上良好的 Google Cloud Security 最佳安全實務，可將此類事件（包括停機風險）的風險降至最低，並確保業務不中斷。
4. 成本節省： 雖然對許多組織而言，實施 Google Cloud Security 最佳實務安全措施似乎是額外成本，但實際上有時反而能節省相當多的資金。預防安全漏洞與資料遺失事件，有助於避免與事件回應、可能的法律費用，甚至業務損失相關的龐大成本。

在資料外洩經常登上頭條新聞的時代，Google Cloud Security 最佳實務有助於建立客戶信任。強大的 GCP 最佳實務安全可在 GCP 中建立並維持客戶信任，而這是企業持續營運與成功的關鍵因素。

CNAPP Buyer’s Guide

Learn everything you need to know about finding the right Cloud-Native Application Protection Platform for your organization.

Read Guide

常見的 Google Cloud Security 挑戰／風險

在深入探討最佳實務之前，您在使用 Google Cloud Platform 時會面臨哪些常見的安全挑戰與風險？唯有了解這些潛在弱點，才能真正體認到建立堅實安全防護的必要性：

1. 錯誤設定： 這可能是與雲端環境相關最常見的風險之一。設定不當的 IAM 原則、防火牆規則，或對外公開的儲存貯體都是例子。錯誤設定可能會意外導致您的資料與資源遭未經授權存取，甚至受到攻擊。
2. 存取控制不佳： 存取管理不當可能導致未經授權的使用者暴露敏感資料，或使關鍵系統遭到入侵。這會導致資料外洩、內部威脅，或意外資料揭露。
3. 資料隱私與資料主權： 隨著資料轉移到雲端，維持符合資料隱私法規並處理資料主權疑慮變得更加困難。因此，組織必須確保無論資料儲存於何處及如何被處理，都受到審慎管理以符合法律要求。
4. 對共同責任模型的誤解： Google Cloud 提供安全的基礎架構，而客戶則負責其應用程式與資料周邊的安全。忽略這種共同責任模型，可能會導致安全缺口。
5. 缺乏可視性與監控： 如果未建立適當的記錄與監控機制，組織將難以偵測安全事件並採取必要行動；缺乏掌握很可能導致暴露時間延長。
6. 不安全的 API 與整合： 如今，不同組織正採用各種 GCP 服務並將其與第三方應用程式整合。因此，API 安全與系統整合管理變得至關重要。不安全的 API 可能成為攻擊者進入您雲端環境的起點。
7. 容器與 Kubernetes 的安全性： 隨著容器化與 Kubernetes 的使用日益增加，這是一個快速成長的領域。設定不當的叢集或容器會導致弱點。
8. 影子 IT 與未受管理的雲端資源： 雲端資源易於快速建立，可能導致影子 IT，亦即部門或個人在缺乏適當監督的情況下建立並使用雲端服務。這可能意味著您的 GCP 環境中存在未受管理，因此也不安全的資源。

了解 SentinelOne 的 Singularity Cloud Security platform 如何協助您的組織應對這些挑戰並降低風險。

9 項 Google Cloud Security（GCP）最佳實務

1. 實施強大的 IAM 流程

身分與存取管理是強化 Google Cloud 安全性最重要的步驟之一。IAM 可讓使用者管理對資源的存取並控制其操作。可遵循以下步驟以確保強大的 IAM 實施：

• 採用 PoLP 策略：使用 最小權限原則 適用於所有 Cloud 使用者。此策略涉及僅向服務和人員授予完成其工作所需的最少權限。必須定期執行權限的審查與調整。
• 使用強式驗證方法：要求所有使用者和服務實作強密碼，並為具有管理設定完整存取權的帳戶啟用 MFA。
• 使用服務帳戶：建立並實作服務帳戶，以管理對 Google Cloud 應用程式和受控系統的存取。帳戶權限必須維持最小化，以確保強健的安全性。
• IAM 政策稽核：定期審查 IAM 政策，以找出現有且具風險的權限，並移除過時的存取權。
• 使用 Cloud Identity 管理使用者並設定通訊協定：應使用 Cloud Identity 管理整個 GCP 組織中的所有使用者。它也可讓您個別或集中設定 IAM 設定。

2. 保護您的網路

強化 GCP 的網路組態對於讓資源更能抵禦攻擊至關重要。最佳實務包括：

• 使用網路分段：使用 VPC（Virtual Private Clouds）和子網路來分隔環境，並降低安全性遭破壞擴散至其他網路和進行中程序的可能性
• 使用防火牆規則：設定並維護強健的防火牆規則，以控制傳入與傳出流量，並僅允許其所屬公司所需的連接埠與通訊協定
• 使用 Google Private Access：除了前一步已實作的 Google Cloud Private Access 之外，還有一些其他服務可確保部分 VPC 網路能夠存取位於地球其他遠端位置之其他網路的 API。
• VPN 或 Cloud Interconnect：它們可透過 Cloud VPN 或 Cloud Interconnect，在內部部署網路與 GCP 之間傳輸私有連線，因此可進行加密。
• Google Cloud Armor：它可協助保護您的應用程式和服務，免受 DDoS 攻擊及其他以 Web 為基礎的威脅。

3. 加密傳輸中的資料並安全保護靜態資料

加密是 GCP 安全性的核心，有助於保護您的敏感資訊不落入未經授權者之手。由於我們將執行完整加密：

• 啟用預設加密：GCP 原生會預設加密靜態資料。請確保這項功能已在您的所有儲存服務中啟用，包括 Cloud Storage、Persistent Disks 和資料庫。
• 使用 Customer-Managed Encryption Keys (CMEK)：依預設，CMEK 可讓您為特定 GCP 服務管理自己的加密金鑰，進一步保護並管理資料的就地加密。
• Cloud Key Management Service 設定：金鑰建立與匯入，以及整合至單一雲端服務中的密碼編譯金鑰管理與相關密碼編譯作業的實作。
• 驗證傳輸中的資料：您的所有應用程式都應使用 Transport Layer Security 與 GCP 服務及彼此通訊。請確保所有對外公開的服務和 API 都使用 HTTPS。
• 實作應用程式層級加密。對於高度敏感的資料，可在儲存至 GCP 服務之前，於應用程式層級使用更多加密。

4. 啟用詳細記錄與監控

記錄與監控可有效偵測並回應整個 GCP 環境中的安全事件。實作以下做法：

• 設定 Cloud Audit Logs：為所有專案啟用 Cloud Audit Logs，以記錄 GCP 資源上的管理活動、資料存取和系統事件。
• Cloud Monitoring 實作：使用 Cloud Monitoring 設定儀表板、警告指標，以及對 GCP 內監控資源的訊號。監控相關安全指標，並針對可能的安全問題建立通知。
• 記錄 Cloud：將所有 GCP 服務和應用程式的記錄集中匯入 Cloud Logging。您也可以選擇安裝 log sinks，將記錄匯出至外部系統，以進行長期儲存與分析。
• 實作記錄分析：您應定期執行記錄檢查，以監控可能的安全威脅、異常活動或與法規相關的違規情況。您可以考慮使用如 Cloud Logging 這類工具及其以記錄為基礎的指標，根據記錄事件建立自訂監控。
• 警示通知：針對關鍵安全事件設定可配置的警示，例如 IAM 政策變更、防火牆規則變更，或異常存取模式等行為。當符合警示條件時，應將上述警示連同足夠的背景資訊傳送給適當的值班人員，以便採取行動。

5. 定期修補與更新系統

讓系統保持最新是維持良好安全態勢的關鍵。良好的修補策略包括：

• 在可行情況下，為 GCP 服務和資源啟用自動更新，以確保其始終執行最新且最安全的版本。
• 實作修補程式管理：對於無法自動更新的資源，因此必須建立修補程序。這將包括在套用至正式環境系統之前，先於非正式環境中測試修補程式。
• 使用 Container-Optimized OS：對於容器化工作負載，請使用 Google 的 Container-Optimized OS。它安全、保持最新，且已針對執行容器進行最佳化。
• 讓程式庫與相依性保持最新：定期升級應用程式中使用的程式庫、框架和相依性，以修補已知弱點。
• 監控安全性公告：隨時掌握適用於使用中 GCP 服務和軟體應用程式的安全性公告與弱點；套用建議的修正或緩解措施。

6. 實作強健的備份與災難復原

GCP 安全性、資料保護與業務持續性：在備份與災難復原方面採取全面措施。

• 使用 Cloud Storage 進行備份：僅將您最重要的資料和組態備份至 Cloud Storage，以利用其耐久性與可用性。設定 Versioning，以便維護資料的多個版本。
• 啟用災難復原計畫：設計災難復原計畫，並在 GCP 環境中於不同時間加以測試。請考慮利用多區域部署來提升關鍵應用程式的韌性。
• 用於 VM 備份的快照：定期為您的 Compute Engine 執行個體和 persistent disks 建立快照，以便在資料遺失或系統故障時進行復原。
• 資料庫備份：為受管資料庫服務及其他服務啟用並設定自動備份，避免造成相同問題；實作標準且經常遵循的程序。
• 備份復原測試：定期測試備份與復原流程，以確認其符合預期的適用性，並讓團隊熟悉復原程序。

7. 保護您的容器與 Kubernetes 環境

隨著容器化日益普及，企業需要關注容器環境的安全性。以下是容器與 Kubernetes 安全性的最佳實務：

• GKE (Google Kubernetes Engine) 安全功能：為 GKE 啟用並設定 Workload Identity、Binary Authorization 和 Pod Security Policies。
• 為 Kubernetes RBAC 實作最小權限：透過 Kubernetes 內的 Role-Based Access Control，為每位使用者和服務帳戶實作最小權限。
• 透過使用受信任的基礎映像、掃描容器映像中的弱點，以及定期更新與修補容器映像的流程，確保容器映像安全。
• 網路政策：套用 Kubernetes 網路政策，以規範 Pod 之間的流量移動，並限制在發生入侵時橫向移動的可能性。
• 在適當情況下使用 GKE Private Clusters：使用 GKE 私有叢集，以降低 Kubernetes API 伺服器和節點暴露於公用網際網路的風險。

8. 資料外洩防護 (DLP) 措施

可以說，圍繞 GCP 的最大關切之一，是如何保護敏感資料，避免其遺失或無意間暴露到更廣泛的網際網路。

• 使用 Cloud DLP：提供 Google Cloud 的服務型 Data Loss Prevention，以在您的 GCP 環境中自動識別、分類及保護敏感資料。
• 資料分類：制定並實施資料分類方案，以識別並分類整個組織中的敏感資訊。
• 設定 DLP 原則，或圍繞資料外洩防護的原則，以便能夠偵測或遮罩靜態資料與傳輸中資料中的敏感資訊。這可能包括個人識別資料、財務資料或任何其他私人資料。
• 監控資料移動：應建立有效的監控工具與警示機制，以判定異常的資料存取模式與大量資料傳輸，藉此偵測潛在的資料外洩活動。
• 教育使用者：為您的員工提供培訓與指引，說明如何處理敏感資料，以及如何安全且有效地使用 GCP 服務，以確保不會意外暴露任何使用者資料。

9. 一般安全評估與弱點測試

主動識別並緩解安全缺陷，對於維持您的安全態勢至關重要。請定期對您的系統進行安全評估。

• 執行弱點掃描：使用 Cloud Security Command Center 或第三方弱點掃描工具，定期掃描您的 GCP 環境以找出弱點。
• 滲透測試： 定期對您的 GCP 環境進行滲透測試，以快速識別自動掃描可能無法偵測到的潛在弱點。請確保此作業符合 Google Cloud 的滲透測試政策。
• 實施安全基準： 使用如 CIS Google Cloud Platform Foundation Benchmark 等基準，檢查並改善您的 GCP 安全組態。
• 安全設定稽核：定期稽核並檢視您的安全設定，包括 IAM 原則、防火牆規則與加密設定。
• 回應發現事項： 建立一套程序，以便能及時回應並修補來自安全評估與滲透測試的發現事項。

SentinelOne for Google Cloud Security

雖然前一節所概述的 Google Cloud Security 最佳實務可大幅提升您的安全態勢，但採用領先的進階安全解決方案能進一步保護您。SentinelOne 提供 GCP 雲端安全解決方案，可補強您原生的 GCP 安全能力。

SentinelOne 的 Singularity™ Cloud Security platform，是一個即時的 Cloud Native Application Protection Platform-CNAPP，可從建置階段到執行階段保護您雲端環境的每個層面。以下說明 SentinelOne 如何讓 GCP 安全性更上一層樓：

• 端對端可視性： Singularity™ Cloud Security 可提供整個 GCP 環境的可視性，涵蓋虛擬機器、容器、Kubernetes 叢集與無伺服器函數。它提供鳥瞰式視角，讓您能從單一檢視中發現並修補整體基礎架構中的安全風險。
• AI 驅動的威脅偵測與自主回應： SentinelOne 可即時識別並回應任何威脅，包括零時差漏洞、勒索軟體及其他複雜攻擊。它會自動遏制威脅並加以修復，以降低潛在損害，減輕您的安全團隊負擔。
• Cloud Security Posture Management-CSPM： SentinelOne 的 CSPM 功能可協助您識別並修補 GCP 環境中的錯誤組態，並確保符合安全最佳實務與法規要求。
• 雲端工作負載防護： Singularity Cloud Workload Security 可保護 GCP 工作負載，涵蓋 VM 與容器層級，提供即時威脅防護並確保應用程式完整性。
• Singularity Data Lake： 其由 Purple AI 強化，並包含安全日誌與分析功能。它可更快速回應威脅、保持領先，並從多個來源擷取威脅資料以進行進一步分析。您可以運用其進階威脅獵捕快速入門功能，加速 SecOps。
• 與 GCP 服務整合： SentinelOne 可與各種 GCP 服務無縫整合，以增強現有安全控制，並為您的雲端提供單一且統一的安全方法。它實施 Google Cloud 安全最佳實務與控制措施，保障您的組織安全。

結合 GCP 原生安全性與 SentinelOne 的次世代雲端安全解決方案，可提供多層式安全基礎架構，用以抵禦最先進的網路安全威脅。

Take A Tour

AI-powered cloud workload protection (CWPP) for servers, VMs, and containers, that detects and stops runtime threats in real time.

結論

保護您的 Google Cloud Platform 環境有助於保護敏感資料、確保合規，並鞏固客戶與利害關係人的信任。本文介紹了九項 Google Cloud 安全最佳實務，可協助大幅提升您的 GCP 部署安全性，並將採用雲端相關的風險降至最低。

請務必記住，安全是一項持續進行的工作，因此持續評估並改善安全態勢以跟上不斷變化的威脅非常重要。透過使用所需的工具與服務（例如 SentinelOne）來培養安全意識文化，企業便能確保持續性的防護，保障 GCP 環境中的長期安全與成功。

立即預約示範，了解 SentinelOne 如何更有效地協助保護您的 GCP。

Cloud Security Demo

Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.

Get a Demo