什麼是 Google Cloud Security (GCP)？完整指南

Google Cloud Security 概觀

與其他知名雲端供應商一樣，Google Cloud Security 採用共同責任模型來處理雲端安全，這涉及雲端供應商與客戶共同合作實施安全措施。Google Cloud 的安全責任由平台本身及其使用者共同分擔。Google Cloud Security 負責保護其基礎架構，而雲端使用者則負責保護其特定的雲端資源、工作負載和資料。Google Cloud Security 實施各種廣泛的安全措施，以確保持續保護其基礎架構。這些措施包括自動加密、安全資料銷毀、安全的網際網路通訊，以及安全的服務部署。

為協助使用者保護其雲端資產，Google Cloud Security 提供多種可與 Google Cloud Security 服務無縫整合的安全工具。這些工具涵蓋金鑰管理、身分與存取管理、記錄、監控、安全掃描、資產管理與合規等功能。

Google Cloud Security 的重要性

在大量使用資料的時代，企業正以前所未有的速度產生、蒐集並儲存大量資訊。這些資料包含高度敏感的客戶詳細資訊，以及較不機密的資料，例如行為模式和行銷分析。此外，組織正轉向雲端服務，以提升靈活性、加快上市時間，並支援遠端或混合型工作團隊。

傳統的網路邊界概念正迅速消失，促使安全團隊重新評估目前與過去用於保護雲端資料的策略。由於資料與應用程式不再僅存在於內部部署資料中心，且越來越多人在實體辦公空間之外工作，企業面臨在多個環境中保護資料並有效管理存取權限的挑戰。

以下是 Google Cloud Security 至關重要的幾個原因：

• 資料保護： Google Cloud 為企業與個人儲存大量資料。保護這些資料的安全性，對於保護敏感資訊至關重要，其中包括個人詳細資料、財務紀錄、智慧財產與客戶資料。Google Cloud 安全措施有助於防止未經授權的存取、資料外洩，以及資料遺失。
• 合規要求： 不同產業有特定的合規法規，例如醫療保健領域的 Health Insurance Portability and Accountability Act (HIPAA)，或適用於歐盟公民的 General Data Protection Regulation (GDPR)。Google Cloud 提供安全功能與控制措施，旨在協助組織滿足這些合規要求。這些措施可確保資料依照指定法規安全地處理與儲存。
• 安全協作： Google Cloud 提供如 Google Workspace（前身為 G Suite）等協作工具，讓使用者能夠分享文件、試算表與簡報。適當的安全措施可確保只有經授權的人員能存取這些共享資源，防範未經授權的變更或潛在的資料外洩。
• 威脅偵測與回應： Google Cloud 採用先進的安全監控與威脅偵測系統，以識別並迅速回應潛在的安全事件。這些系統會分析網路流量、使用者行為及其他資料模式，即時偵測異常與入侵指標。這種主動式方法可透過快速且有效的回應措施，協助降低安全風險並防止入侵事件。

如何監控與稽核 Google Cloud Security

Google Cloud 會為每家公司產生三種稽核記錄：管理員活動、系統事件，以及資料存取記錄。您可以使用 GCP 主控台檢視記錄，從導覽選單中的記錄檢視器即可存取。您也可以從 Google Cloud Console 查看專案層級記錄。您可以將這些記錄傳送至 SentinelOne，在其中進行設定、收集與詳細分析。

產生系統事件稽核記錄，以修改您的 Google Cloud 服務並進行資源設定。當您將執行個體遷移至另一個主機時，可以直接從 SentinelOne 儀表板看到下列稽核記錄項目。這些是 Google Cloud Platform Security 的主要功能。 

需要監控的關鍵 Google Cloud Platform 稽核記錄包括 Cloud IAM 原則與資源記錄。您也應監控 GCP 認證、IAM 權限，以及可公開存取的 GCP 資源，例如運算執行個體與儲存貯體。監控這些項目將有助於您防止權限提升、避免敏感資料外洩，並防止對 GCP 服務進行非預期修改。

您也應查看 JSON 屬性資料，這些資料可協助您找出可能攻擊的來源。檢閱 API 呼叫的狀態，以及發出這些 API 呼叫之帳戶的電子郵件地址。此外，也請實作最新的 CIS 基準建議，以保護您的每個 Google Cloud 資源。e

Google Cloud Platform 也會提供雲端記錄服務，用於查詢與分析您的安全記錄。您可以使用 sink 將記錄匯出至不同來源。所有 Google Cloud sink 都會有匯出目的地與記錄查詢。您可以將其匯出至雲端儲存空間、BigQuery 資料集，甚至是Publish Subscribe (Pub/Sub) 主題。

保護 Google Cloud 環境的步驟

隨著企業採用多雲與混合環境，保護 Google Cloud 變得日益複雜。您必須採取必要步驟來保護敏感資料。以下說明如何逐步保護您的 Google Cloud 資源。

1. 實作強大的身分與存取管理控制： 這是您需要重點關注的關鍵領域，因為它將作為 Google Cloud 安全性的基礎。頂尖的 IAM做法包括建立與管理使用者角色、權限及存取控制。您需要實作多重要素驗證與最小權限存取原則。請驗證您的多重要素驗證連線來自可信任來源，並且需要定期評估存取層級。也需要定期稽核您的 IAM 原則與權限，以偵測並修正異常。您也可以使用 SentinelOne 的 AI 驅動洞察，快速識別並降低身分與存取管理風險。

1. 執行持續性的威脅偵測與監控：您必須主動找出可能在整個生態系中橫向移動的雲端錯誤設定與弱點。實現此目標的最佳方式之一，是運用威脅情報與對攻擊者的深入了解。持續監控您的 Google Cloud 生態系將涉及精準的日誌分析與自動化警示。您可以透過風險排序、識別未知風險，並加以全面緩解，來強化整體 Google Cloud 安全態勢與環境。您也可以使用 SentinelOne 的 Security Analytics Engine 或 Offensive Security Engine，快速分析端點與 Google Cloud 工作負載遙測資料。這將使您的團隊能夠調查隱匿性攻擊，並掃描多個攻擊面，以阻止最新威脅。

1. Google Cloud 網路分段： 這是另一種將雲端環境劃分為較小隔離區域的策略。每個區域都會有安全原則，透過有效管理這些原則，將可大幅提升安全性。您可以使用防火牆規則與安全群組來控制傳入與傳出流量。細緻化控制將協助您在執行個體層級最佳化流量。您也可以透過設定私有 Google Cloud IP 位址來限制對敏感資源的存取。

Google Cloud Security 測試方法 

談到 Google Cloud Platform（Google Cloud Security）中的安全測試時，組織可採用多種方法來評估其 Google Cloud Security 部署的安全性。這些方法包括：

• 弱點評估： 為了執行弱點評估，組織會使用自動化工具與技術，掃描 Google Cloud Security 資源、網路與應用程式中的已知弱點。這些工具可識別常見的安全弱點與錯誤設定，協助其找出並修補潛在的安全風險。
• 滲透測試，也稱為道德駭客，是一種主動式方法，涉及刻意嘗試利用 Google Cloud Security 系統與應用程式中的弱點。它超越弱點評估，透過模擬真實世界攻擊，旨在識別潛在弱點並驗證安全控制的有效性。組織可以自行執行滲透測試，或委託第三方安全專家執行這些測試。
• 安全程式碼審查： 安全程式碼審查著重於分析 Google Cloud Security 中應用程式與基礎架構即程式碼設定的原始碼。其目標是偵測可被利用的安全缺陷、不安全的編碼實務與潛在弱點。可使用手動程式碼審查與自動化靜態程式碼分析工具，來評估自訂開發應用程式與雲端基礎架構設定的安全性。
• 組態審查： 審查 Google Cloud Security 資源與服務的組態設定，對於確保安全控制已正確實作至關重要。組織應評估並審查與 存取控制、網路安全、資料加密、記錄與監控，以及合規設定相關的組態。此審查有助於識別可能引入弱點的錯誤組態或偏離安全最佳實務的情況。
• 威脅建模： 威脅建模涉及分析 Google Cloud Security 環境，並識別潛在威脅與 攻擊向量。它可透過考量系統設計、潛在弱點及潛在對手，協助組織主動識別並降低安全風險。威脅建模有助於排定安全措施的優先順序，並實作適當控制以因應已識別的風險。
• 合規稽核： 進行合規稽核有助於確保 Google Cloud Security 部署符合特定產業法規與合規要求。組織應依據 HIPAA、GDPR、PCI DSS 或 ISO 27001 等適用框架，審查相關安全控制與流程。合規稽核會評估必要的防護措施是否已到位，並協助識別需要改進以維持合規的領域。

Google Cloud Security 對企業的優勢

以下是 Google Cloud Security 為您的組織帶來的優勢。

• 企業可能花費數十萬美元來從 DDoS 攻擊和資料外洩中復原、威脅對手、以大量流量淹沒伺服器基礎架構，以及嘗試故障服務。它們也可能將流量分散到多個資料中心和伺服器，以造成停機和損害。Google Cloud Security 可協助您持續防範 DDoS 攻擊。它也將協助您修補並更新您的 Google Cloud 軟體服務，並確保常見漏洞已獲處理且不會遭到利用。
• 它將透過安裝修補程式並定期進行背景檢查來保護您的客戶，以確保業務持續性。您也可以透過實施最佳的 Google Cloud 安全措施來管理並保護您的行動環境。很少有高階主管能夠有信心地表示，他們已為最新出現的攻擊做好準備。您可以定期備份資料，並透過執行最嚴格的人員存取控制來確保全天候安全監控。
• Google Cloud 提供完整的安全堆疊，用於加密靜態資料、防止敏感資料遭刪除、管理服務部署，甚至保護機器身分以及連接至 Google Cloud 服務的實體場所安全。 
• Google Cloud 擁有一支由 700 多位專家組成的網路安全團隊，曾發現 Meltdown、Spectre 和 Heartbleed 等重大安全弱點。該公司也提供軟體安全問題回報獎勵計畫，並實施預設啟用 SSL 的政策。

CNAPP Buyer’s Guide

Learn everything you need to know about finding the right Cloud-Native Application Protection Platform for your organization.

Read Guide

Google Cloud 的常見安全挑戰

實施 Google Cloud 安全措施可能會帶來挑戰。正在擴展的組織需要協助追蹤其所有雲端資源，並且可能會發現難以遵循 Google Cloud 安全最佳實務。 雲端合規 是另一項挑戰，因為每個組織都有不同的藍圖。其他 Google Cloud 安全挑戰包括存在弱點的容器映像、錯誤設定的儲存貯體、虛擬機器和雲端函式。

Google Cloud 上不安全的 API 可能是重大的安全問題。來自現任或前任員工的內部威脅也存在，他們可能直接存取您的 Google Cloud 資源及其他敏感資訊。Google Cloud 面臨與傳統環境類似的安全問題，例如網路釣魚、惡意軟體、DDoS 攻擊及其他威脅。

設定 Google Cloud Security 的最佳實務

以下是您可採行的 Google Cloud Security 最佳實務，以保持最新狀態、設定 Google Cloud 安全性，並保護您的資源：

• 訓練與 GCP 安全意識： 網路威脅持續演變。訓練與意識提升可大幅降低發生安全事件的機率。您將了解應選擇哪些框架，以及如何實作 Google Cloud 提供的後續藍圖。
• GCP 藍圖： Google Cloud Security 藍圖為建立與實作最佳安全實務奠定基礎。您將使用它們來設定並維護您的 Google Cloud 環境。
• 聚焦於安全組織設計： 您必須確保細緻的存取控制，以最佳化 Google Cloud 資源使用。這將可將未經授權存取的風險降至最低。對 Google Cloud Workspace 帳戶與特定雲端資源之間的關係進行對應也會有所幫助。最小權限存取方法：僅授予使用者必要程度的存取權限。這將限制潛在損害並控制資料外洩。
• 雲端環境可視性：Google Cloud Platform 的集中式登入與監控工具可追蹤分散於雲端儲存、Compute Engine 和 BigQuery 等各種服務中的安全事件。您可以使用 Google Cloud 的集中式記錄與監控功能，整合來自不同 Google Cloud 服務的日誌，並取得組織在安全營運方面的整體檢視。您也可以透過進階分析與警示機制簡化稽核流程，並確保威脅偵測的準確性。Google Cloud Security Command Center 可協助您做到這一點。您也可以從該處調查潛在的安全事件。
• 資料保護與加密： 另一項 Google Cloud 安全最佳實務是啟用資料保護。Google Cloud Platform 具備許多內建加密機制，可保護傳輸中與靜態資料。其進階加密能力可保護您的資料免於未經授權的存取。Google Cloud 也會提供管理客戶自管加密金鑰的選項，為您的資料加密流程增添一層額外控制。
• GCP 安全自動化： Google Cloud 也提供自動化功能，您可用於部署、擴展及保護服務。這將確保動態的安全態勢，且您可以將其與組織的安全策略整合。您也可以將安全工作流程自動化。Google Cloud 的 Virtual Private Cloud 可讓您使用細緻控制來監控網路流量。您可以使用 VPC 防火牆規則來定義並強制執行政策，並規範允許與封鎖的流量類型。
• 稽核： 定期進行安全稽核是貴組織最佳的 Google Cloud 安全最佳實務 之一。這些例行檢查可針對潛在弱點與錯誤組態提供寶貴洞察，並識別可改進的領域。它們也能改善您的合規報告，並確保防禦機制符合組織的安全目標。

Google Cloud Security 合規

Google Cloud 中的合規不只是勾選核取方塊而已；它是在受監管環境中管理資料的多層次方法。根據您的產業，您可能需要符合嚴格的準則，例如用於支付資料的 PCI-DSS、用於醫療照護紀錄的 HIPAA，或用於保護歐盟個人資訊的 GDPR。Google Cloud 提供內建的合規認證與對應工具，例如 Compliance Reports 和 Security Command Center，以協助您稽核並驗證對這些框架的遵循情況。

然而，要達到合規基準，僅使用 Google 的原生功能還不夠。您還必須實作一致的加密、存取管理與持續監控策略。

結合 SentinelOne 的 Google Cloud Security

談到加密時，您會希望使用 SentinelOne 的 Google Cloud Encryption Services 來保護您儲存的資料。您可以加密傳輸中的資料。使用 SSL 或 TLS 通訊協定。您也可以輪替並保護您的 Google Cloud 密密。SentinelOne 的加密管理將可與 Google Cloud 的原生加密服務無縫整合。

作為一家公司，您將處理大量敏感資料，例如業務資料、客戶資訊、財務紀錄及智慧財產資料。您可以透過 SentinelOne’s Singularity™ Platform 啟用強大的 Google Cloud 安全措施，以保護所有這些資料類型。您也可以使用它來管理您的 Google Cloud 安全疑慮。定期進行安全稽核、滲透測試與評估；為您的組織實作並強制執行最佳安全政策。 

不合規可能導致高額罰款、政策違規及聲譽損害。因此，Google Cloud 合規必須列為優先事項，以因應這些安全疑慮並確保營運完整性。使用 SentinelOne，您可以採用 GDPR、PCI-DSS 和 HIPAA 等業界標準合規框架。 

See SentinelOne in Action

Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.

Get a Demo

結論

現在您已了解如何改善 Google Cloud Security，請使用 SentinelOne 立即採取行動以強化您的安全態勢。持續領先對手好幾步，避免措手不及。

透過定期進行安全性評估與檢測、審查您的工作，並與利害關係人協作，您將能盡最大努力強化您的 Google Cloud 安全態勢。您也將受益於更佳的可視性與可歸責性，並成功保護您的 Google Cloud 資源。