Google Cloud 安全性問題：主要疑慮

Google Cloud Platform (GCP) 多年來已成為企業在安全且高效率地擴展或縮減其雲端基礎架構時的首選解決方案。各組織正將其資料與營運移轉至雲端；因此，安全性至關重要。從本質上來說，Google Cloud Security 代表一套工具、通訊協定與最佳實務，旨在保護儲存在 GCP 中的資料，避免任何形式的暴露。  網路犯罪分子採用先進的社交工程手法來欺騙使用者並竊取敏感資訊。80% 的全球企業曾回報嚴重的 Google Cloud Security 攻擊，而資安專業人員對 GCP 漏洞與錯誤設定的憂慮也日益增加。

在這篇部落格文章中，我們將協助您了解 Google Cloud 安全性的整體樣貌，以理解其基本概念、主要安全威脅，以及降低這些威脅的最佳方式。我們將探討為何您需要良好的雲端安全實務，接著提出可輕鬆實施的最佳實務建議。

什麼是 Google Cloud 安全性？

雲端安全 包含旨在保護與在 Google Cloud 服務上執行應用程式相關之資料、應用程式和基礎架構的措施、控制項與政策。其涵蓋廣泛的安全範疇，包括網路安全、資料加密、存取控制和威脅偵測。

Google Cloud 安全性 使用協同運作的硬體與軟體型保護機制。這涵蓋從其資料中心的實體安全性、靜態與傳輸中資料加密功能、身分識別與存取管理解決方案（IAM），到提供更進階威脅偵測能力的第三方服務。Google Cloud 也遵循共同責任模型，這表示 Google 與客戶在保護雲端資源方面都各自扮演角色。

Google Cloud 安全性的重要性

Google Cloud 安全性之所以至關重要，原因有很多。讓我們來討論其中幾項。

1. 資料保護

組織會在雲端使用大量機密資料。這些資訊涵蓋從客戶資訊到財務內容，以及內部紀錄。因此，必須保護承載這些寶貴資料的 Google Cloud 服務，避免威脅行為者未經授權存取敏感資料，進而導致資料外洩。

2. 法規遵循要求

由於許多產業具有高度監管標準，因此資料保護與隱私被視為極其重要。醫療保健組織有其自身的一套合規規則，例如 HIPPA，而金融機構則需要 PCI DSS。Google Cloud 安全性透過其原生工具與功能，並整合各種法規框架，協助組織遵循這些標準。

3. 威脅態勢

在這個快速擴張的數位世界中，威脅類型也持續增加。隨著 ransomware、惡意軟體和進階駭客攻擊企圖威脅並破壞雲端環境，風險非常高。實施額外的 Google Cloud 安全性實務可協助組織保護自身免受這些網路安全威脅，並降低攻擊成功的可能性。

4. 降低成本

為安全性編列預算可能感覺像是額外成本，但其理念在於創造長期節省。保護資產可避免因法律代理、復原工作和不符合法規而產生的潛在財務損失。

5. 可擴充性與靈活性

隨著企業擴張，其雲端使用量與安全需求也會增加。像 Google Cloud 安全性規模這樣的解決方案能夠隨需求變化而調整，確保當組織的雲端足跡改變時，防護仍然同樣強大。

CNAPP Market Guide

Get key insights on the state of the CNAPP market in this Gartner Market Guide for Cloud-Native Application Protection Platforms.

Read Guide

10 個 Google Cloud 安全性問題

為了保護 GCP，了解 Google Cloud 的主要安全風險非常重要。讓我們來看看這些風險。

#1. Cloud Storage 儲存貯體設定錯誤

儘管這可能是 GCP 中最廣為人知的安全問題，但設定錯誤的 Cloud Storage 儲存貯體仍然是 Google Cloud 事件中的首要問題。由於這個問題若未受到控管，若未謹慎處理，可能導致資料遺失。

大量 Google Cloud Storage 儲存貯體存在設定錯誤，使其暴露於潛在的資料外洩風險。當存取控制未正確設定時，就會發生這種情況，未經授權的使用者可能讀取、寫入或列出儲存貯體內容。設定錯誤的一些常見原因包括 IAM 政策的錯誤使用或設定、公開存取設定，以及 signed URLs 和 signed policy documents 的不當使用。

大量敏感資料可能會在無意間暴露於公用網際網路，這使組織面臨資料外洩與違反法規遵循的風險。在某些情況下，攻擊者甚至可以修改或刪除這些儲存貯體中的資料，破壞資料完整性。

#2. 不安全的防火牆規則

在 firewall 規則中的設定錯誤，對 Google Cloud 而言是一場安全惡夢。這些設定錯誤可能導致弱點（為威脅行為者打開入口點），使攻擊者能夠輕易加以利用，以未經授權存取資源。

Google Cloud VPC 網路中的防火牆規則若未正確設定，可能導致 Google Cloud 安全性問題。過於寬鬆的規則或錯誤設定的 IP 範圍，可能會誤將資源存取權授予他人。

在雲端環境中管理網路架構的防火牆規則之複雜性，會導致設定錯誤。

#3. 未加密的靜態資料

雖然資料加密並不是新概念，但它是雲端安全中最關鍵的面向之一，而許多組織經常忽略或未妥善保護其在 Google Cloud 中的靜態資料。這可能使機密資訊變得脆弱，讓不應存取的人也能夠存取。

雖然 Google Cloud 預設提供靜態資料加密，但其基於預設金鑰的使用，可能無法滿足所有與保護客戶資料相關的要求；若缺少客戶管理的加密金鑰（CMEK），則可能導致資料在無意間暴露。企業可以使用 Google Cloud KMS（Key Management Service）來控制自己的加密金鑰。未使用 CMEK，或金鑰輪替與存取控制不足，都可能降低整體安全性。

未使用足夠強度加密的後果，甚至不僅止於資料隱私。不幸的是，正如您非常清楚的，許多合規標準規定敏感資料必須使用特定方法加密。如果您未使用正確的加密方式，可能會導致違反 GDPR、HIPAA 或 PCI DSS 等法規。組織也需要建立健全的加密方法，使用 CMEK（可確保金鑰受到加密）、金鑰輪替，以及圍繞這些金鑰的安全存取控制。

#4. 不佳的 IAM 角色管理

IAM 是 Google Cloud 安全性的基石之一。然而，若 IAM 角色管理不當，可能會在您的雲端安全態勢中造成缺口。這類弱點可能導致未經授權的竊取與資料外洩事件。

若未被正確理解與管理，Google Cloud IAM 角色可能造成過度寬鬆的權限與安全弱點。若角色指派範圍過廣，或使用 primitive roles 而非預先定義或自訂角色，也可能導致不必要的存取權限。IAM 設定錯誤通常源於未定期執行存取審查，或使用未受管理的服務帳戶。

授權是整條鏈中最薄弱的一環。最小權限原則的概念在 IAM 管理中至關重要，但通常並未被優先考量，且實作不佳。因此，使用者與服務帳戶往往會隨著時間推移而擁有過多權限，將 attack surface 從數百種權限組合擴大到數萬種。企業應定期執行 IAM 稽核，以識別並移除多餘權限。組織也可以使用 IAM Recommender 等工具來協助完成此工作，該工具可提供有關權限使用情況的資訊，以及一些安全設定的最佳實務建議。

#5. 未受保護的 API 與服務

API 是現代雲端架構的基石，但 Google Cloud 中未受保護的 API 可能導致嚴重的 Google Cloud 安全性問題。這些攻擊點可能被攻擊者用來利用防護良好，甚至實體隔離的系統。

Google Cloud 中的許多服務都會公開 API 以供程式化存取。若 API 安全性處理不當，就會成為駭客入侵系統的弱點。企業可以在 Google Cloud 上部署由 Google 管理的 API 或自訂 API。API 的一些常見安全問題，源於 API 上缺乏驗證、授權檢查與速率限制設定。

也建議使用 API 金鑰或 OAuth 權杖等驗證機制，並應以安全方式妥善管理。適當的速率限制與監控也有助於防止 API 字典攻擊。企業可以使用 Cloud Endpoints 等工具來安全地管理 API。每年的滲透測試（pen-testing），以及持續進行的 API 安全測試，可協助團隊在弱點遭利用之前加以識別與修補。

#6. 記錄與監控

與安全性相關的主要風險之一，是 Google Cloud 環境中的記錄與監控不足，這可能使組織無法偵測威脅或外洩事件。這是一項 Google Cloud 安全性問題，因為這代表企業無法有效偵測或回應事件。

一旦您在 Google Cloud 中執行服務，強大的記錄與監控就非常重要。這些分別透過 Cloud Logging 與 Cloud Monitoring 提供。然而，許多組織不是沒有正確使用這些服務，就是根本沒有使用。這樣的缺口最終可能導致錯失關鍵的網路安全事件，或無法偵測雲端環境中的任何異常活動。

記錄與監控應以與任何其他實作同等的謹慎程度來進行。組織需要決定要記錄哪些事件、保留這些記錄多久，以及分析這些記錄的最有效方式。若要取得管理 API 活動的記錄，請為所有專案啟用 Cloud Audit Logs。此外，使用以記錄為基礎的指標並設定警示，可協助企業即時發現安全事件。為了維持良好的安全態勢，定期檢視記錄並持續改進監控策略非常重要。

#7. 有漏洞的容器映像

容器化環境中最大的挑戰之一，是在 Google Kubernetes Engine (GKE) 或 Cloud Run 中使用有漏洞或過時的容器映像。這可能對雲端部署造成嚴重的安全問題。攻擊者可以利用這些漏洞來攻擊容器化應用程式。

每個容器映像都可能包含許多軟體元件，而這些元件可能具有已知漏洞。若使用較早且未修補的基礎映像，這些漏洞可能一路被帶入正式環境。

為了避免落入這個陷阱，組織應制定穩健的策略來管理容器映像。這包括使用可靠的基礎映像、頻繁升級與修補容器，以及將容器映像掃描整合為 CI/CD 流程的一部分。Google Cloud 提供 container analysis API 和 container scanning 來找出容器映像中的漏洞。要求只有經過掃描與核准的映像才能部署，可降低部署不安全容器的風險。

#8. 虛擬機器設定錯誤

在 Google Compute Engine 中，一組設定不安全的虛擬機器 (VM) 可能使企業面臨潛在的安全漏洞，並成為攻擊目標。由開放連接埠與過時軟體造成的設定錯誤只是其中幾個例子。

典型的 VM 設定錯誤包括任意 SSH 金鑰（以及弱金鑰）、開放了不需要開放的連接埠，或在 VM 上執行過時的作業系統/軟體。

組織應建立可重複執行的 VM 建立與管理流程。這包括使用強化的 VM 映像、實作適當的網路分段，以及確保 VM 軟體能及時修補與更新。讓 VM 保持最新狀態（因此可能需要重新開機）的這個流程，可以透過 Google Cloud 的 OS patch management service 進行協調。

#9. 不安全的 Cloud Functions

雖然企業可以在保護其 Cloud Functions 方面做很多努力，但 Google 的無伺服器運算平台若未正確設定與保護，仍會提供可被攻擊的面向。這些利用可能導致敏感資料外洩，或執行未經授權的程式碼。

Cloud Functions 的主要安全問題包括憑證處理不當、缺乏輸入驗證，以及未受保護的 IAM 角色。此外，使用較舊的執行階段或相依性也是一種風險，因為攻擊者可能藉此取得遭入侵的環境。

組織需要為函式叫用設定適當的驗證與授權機制，以鎖定 Cloud Functions。實作輸入驗證與輸出編碼也有助於防範注入攻擊。更進一步來說，企業應對 Cloud Functions 服務帳戶強制執行最小權限原則，並妥善管理函式觸發條件，以強化這些安全控制。

#10. 不良的網路分段

若未能在各種 Google Cloud 資源之間強制執行足夠的網路分段，意味著一旦攻擊者能夠突破基礎架構中的某個元件，其後在網路內橫向移動並入侵其他元素的能力將大幅提升。若攻擊者能以任何方式利用這一點，整體雲端部署的安全性都可能面臨風險。

很少有組織會花時間正確分割其 Google Cloud VPC 網路。這會導致應用程式各部分之間存在隱含通訊，一旦發生入侵，就會增加橫向移動的可能性。缺乏分段也會使安全政策的強制執行更加複雜。

此問題可透過使用由組織設計並強制執行的網路分段策略來解決。這包括謹慎地佈建 VPC 網路對等連線、定義防火牆規則以篩選各個區段之間的流量，以及使用 Cloud NAT 讓私有執行個體能夠對外存取網際網路。在多專案設定中，可運用共用 VPC 來將網路管理降至最低。公司應隨著其雲端環境的成長與變化，重新檢視其網路分段，因此定期進行網路稽核與安全性評估是良好的做法。

Google Cloud 安全最佳實務

為了讓企業避免 Google Cloud 安全問題，遵循以下提及的最佳實務非常重要。

1. 強制執行最小權限

最小權限原則是避免 Google Cloud 安全問題的關鍵安全最佳實務。這項做法意味著僅授予終端使用者與服務執行其職責所需的存取權限。

企業應檢視目前的 IAM 角色與權限。確保最低權限存取的起點，是全面檢查現有的 IAM 角色與權限。檢查並移除任何不需要或權限過大的角色存取。盡可能使用現有的 Google Cloud 預先定義角色，因為這些角色是依據最低權限原則所建立。針對需要精細控管且需精確權限的情況，設計自訂角色。定期執行 IAM 政策的稽核與審查，以驗證其相關性，並及時移除不必要的權限。

2. 啟用並設定 Cloud Audit Logs

Cloud Audit Logs 對於維持 Google Cloud 環境中的可視性至關重要。這些記錄用於記錄各種管理活動、系統層級事件，以及所有與資料存取相關的事項。它們可為安全分析提供 360 度的稽核軌跡，並符合法規遵循要求。

為確保 Cloud Audit Logs 可用於有效稽核，請務必在所有專案中啟用 Cloud Audit Logs，並根據您的法規遵循需求設定適當的保留期間。將記錄匯出部署到記錄專案或外部 SIEM（例如 SentinelOne）以進行集中分析。定義以記錄為基礎的指標與警示，以識別異常活動並快速回應。

3. 實作強式加密實務

加密 是保護 Google Cloud 中資料的重要一環。Google 無論如何都會使用加密，不過採取進一步措施來保護您的文件絕非壞事。對於敏感資料，請使用 Customer-Managed Encryption Keys(CMEK) 讓金鑰由企業管理。使用信封式加密可增加一道額外的安全屏障。

所有通訊都必須使用強式 TLS 通訊協定（用於傳輸中的資料）。定期輪替加密金鑰，並限制對密碼編譯金鑰管理解決方案的存取。

4. 保護網路設定

Google Cloud 安全始於妥善設定的網路。正確的網路設定有助於保護網路免於任何未經授權的存取，並確保將安全事件的影響降到最低。

首先，應使用 VPC 網路套用明確的網路分段。企業可以透過設定一些基本防火牆規則來篩選您的分段之間或網際網路存取的流量，以提升網路安全性。啟用 private Google Access，讓 VM 能透過私有 IP 位址存取 Google API 與服務。

5. 定期進行安全檢視與更新

在快速變化的雲端安全世界中，企業必須評估其目前的安全態勢，並應持續努力加以改善。

請務必在您的 Google Cloud 環境中執行漏洞掃描與滲透測試。使用 Security Command Center 等工具來掌握您的安全態勢可視性，並識別是否存在任何設定錯誤或漏洞。執行嚴謹的修補程式管理政策，讓所有系統（包括 VM、容器與應用程式）都能以最新的安全修補程式保持最新狀態。

結論

保護 Google Cloud 並不容易。這是一個多面向的問題，您必須保持警覺並主動因應安全威脅。如果組織了解最常見的 Google Cloud 安全問題，以及一些常見的最佳實務，就能輕鬆降低大多數風險。從 IAM、網路、加密到為了強健雲端資產與資料安全所需的定期安全稽核，每一個環節都至關重要。