如今，谷歌公司很清楚，如果用戶要將關(guān)鍵服務(wù)遷移到谷歌的云計(jì)算平臺(tái)，那么就必須提供AWS公司沒有提供的服務(wù)。在日前召開的Google Cloud Next會(huì)議上，谷歌公司的領(lǐng)導(dǎo)層證明谷歌云是當(dāng)前最安全的云。
谷歌在此次會(huì)議上發(fā)布了一些工具，可以讓IT團(tuán)隊(duì)提供對(duì)應(yīng)用程序的精細(xì)訪問，更好地管理加密密鑰，并對(duì)在谷歌云上運(yùn)行的應(yīng)用程序?qū)嵤└鼜?qiáng)大的身份驗(yàn)證機(jī)制。雖然谷歌正在使用谷歌云平臺(tái)(GCP)的密鑰管理系統(tǒng)來趕超亞馬遜公司，但它通過向管理員提供超出基礎(chǔ)架構(gòu)的工具來保護(hù)單個(gè)應(yīng)用程序，從而通過數(shù)據(jù)泄露防護(hù)API進(jìn)入未知領(lǐng)域。谷歌正在處理與亞馬遜不同身份訪問的管理挑戰(zhàn)，企業(yè)應(yīng)該決定自己喜歡哪種方法。
谷歌顯然正在將安全視為與其他云基礎(chǔ)架構(gòu)提供商區(qū)分開來的方式。它不僅僅保護(hù)底層硬件和虛擬機(jī);它也將保護(hù)在它們上運(yùn)行的應(yīng)用程序。
保護(hù)無處不在的敏感數(shù)據(jù)
現(xiàn)在處于測(cè)試階段的數(shù)據(jù)泄露防護(hù)(DLP)應(yīng)用程序編程接口(API)將讓IT團(tuán)隊(duì)識(shí)別和修改可能在谷歌云平臺(tái)上運(yùn)行的應(yīng)用程序中的任何敏感信息。DLP技術(shù)執(zhí)行深層內(nèi)容分析，以便根據(jù)40多種敏感數(shù)據(jù)類型(如信用卡和帳號(hào)或聯(lián)系信息)列表查找匹配項(xiàng)，并讓管理員決定如何最好地保護(hù)該信息。谷歌在宣布新的安全功能的博客帖子中的屏幕截圖顯示了DLP API如何編輯文檔中的信息，例如個(gè)人姓名，電子郵件地址，手機(jī)號(hào)碼，社交安全和信用卡號(hào)。
管理人員可以決定適用于每種數(shù)據(jù)類型的保護(hù)級(jí)別。使用光學(xué)字符識(shí)別(OCR)技術(shù)，管理人員還可以管理存儲(chǔ)在圖像和文本中的內(nèi)容。
谷歌的關(guān)鍵區(qū)別是，DLP API for GCP是DLP(最初于2015年推出)和DLP for Drive(在2017年1月份發(fā)布)的擴(kuò)展。這三種工具的組合使IT管理員能夠編寫可以跨所有平臺(tái)持續(xù)管理敏感數(shù)據(jù)的策略：云計(jì)算基礎(chǔ)架構(gòu)上運(yùn)行的應(yīng)用程序，存儲(chǔ)在Gmail中的消息和存儲(chǔ)在云端硬盤中的文檔。
谷歌正在為企業(yè)提供安全工具，以保護(hù)其云中運(yùn)行的應(yīng)用程序的數(shù)據(jù)。亞馬遜公司雖然在數(shù)據(jù)保護(hù)方面有所投入，但一直專注于服務(wù)器和塊存儲(chǔ)級(jí)別。
控制訪問應(yīng)用程序的人員
如果現(xiàn)在依靠VPN (虛擬專用網(wǎng)絡(luò))控制IT團(tuán)隊(duì)對(duì)應(yīng)用程序的訪問，這通常是一種極端的方法。擁有有效VPN憑證的用戶可以訪問所有應(yīng)用程序。應(yīng)用更細(xì)粒度的訪問控制一直是一個(gè)挑戰(zhàn)，當(dāng)員工總是在不受信任的網(wǎng)絡(luò)上移動(dòng)和工作時(shí)，采用VPN將成為一種管理訪問的低效方法。
谷歌發(fā)布了身份感知代理(IAP)測(cè)試版，因?yàn)樗笽T團(tuán)隊(duì)從VPN模式轉(zhuǎn)變?yōu)樵u(píng)估每個(gè)應(yīng)用程序的風(fēng)險(xiǎn)。管理員指定哪些身份組可以訪問哪個(gè)應(yīng)用程序，因此只有經(jīng)過授權(quán)和身份驗(yàn)證的用戶才能訪問在谷歌云上運(yùn)行的受IAP保護(hù)的應(yīng)用程序。
IAP是BeyondCorp框架的一個(gè)元素，它是谷歌內(nèi)部開發(fā)的企業(yè)安全模型，讓員工在不受信任的網(wǎng)絡(luò)工作，而不用擔(dān)心VPN。用戶將其Web瀏覽器指向可訪問互聯(lián)網(wǎng)的URL以訪問受IAP保護(hù)的應(yīng)用程序，IAP處理身份驗(yàn)證過程來驗(yàn)證身份。
谷歌與亞馬遜的AWS身份和訪問管理服務(wù)處理身份問題的方向不同。盡管AWS IAM允許管理員控制對(duì)AWS服務(wù)API和特定資源的訪問，并允許IT部門通過AWS Active Directory(活動(dòng)目錄)管理用戶和組，但它不像谷歌公司計(jì)劃使用IAP那樣為各個(gè)應(yīng)用程序提供相同級(jí)別的保護(hù)。谷歌與SKE提供的產(chǎn)品與亞馬遜已經(jīng)提供的AWS IAM帳戶訪問元素和Cognito應(yīng)用程序集成功能之間有一些重疊。
BArmor公司高級(jí)云架構(gòu)師laine Fleming表示，“在這一組公告中，谷歌云平臺(tái)正在確保組織中的個(gè)人使用云服務(wù)的過程中，AWS與公告中的單個(gè)項(xiàng)目有一些重疊，但是他們的目標(biāo)卻并不相同。”
云中的強(qiáng)制雙因素身份驗(yàn)證
谷歌云平臺(tái)(GCP)和G Suite的SKE(安全密鑰強(qiáng)制)現(xiàn)在普遍可用，它允許IT團(tuán)隊(duì)在當(dāng)?shù)卿汫 Suite或訪問谷歌云平臺(tái)資源時(shí)，都要求所有用戶打開安全密鑰作為兩步驗(yàn)證的因子。
直到最近，用戶可以決定在個(gè)人層面是否使用硬件密鑰(例如Yubikey)作為兩步驗(yàn)證的一部分。使用SKE for GCP，IT管理員現(xiàn)在可以強(qiáng)制用戶執(zhí)行，從而為云工作負(fù)載添加安全的身份驗(yàn)證層。
此外，IAP可以與安全密鑰集成，以防止網(wǎng)絡(luò)釣魚。
優(yōu)化云投資
如果Google Cloud Next會(huì)議的這些公告聽起來很熟悉，那是因?yàn)楣雀韫窘衲暝缧r(shí)候在G Suite上添加了這些企業(yè)級(jí)工具。事實(shí)上，DLP和SKE在1月份都添加到了G Suite中，這再次證實(shí)了谷歌公司的云安全戰(zhàn)略。在許多情況下，谷歌公司自己就是谷歌云平臺(tái)的客戶：它為G Suite和Gmail推出安全工具，然后將其提供給谷歌云平臺(tái)上的企業(yè)使用。
云計(jì)算安全是行業(yè)廠商的一個(gè)共同責(zé)任，供應(yīng)商關(guān)注數(shù)據(jù)中心的物理安全性，保護(hù)硬件以及負(fù)責(zé)應(yīng)用和數(shù)據(jù)的企業(yè)。谷歌公司通過提供安全訪問，加密內(nèi)容，以及防止云中敏感數(shù)據(jù)泄漏的工具來轉(zhuǎn)換對(duì)話。對(duì)于那些想知道“我們最重要的應(yīng)用程序運(yùn)行在你的平臺(tái)上，我們?nèi)绾涡湃文?”的企業(yè)來說，這些工具可能就是答案。
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁分享至朋友圈。