Google Cloud NetApp Volumes fournit une architecture sécurisée dans Google Cloud en segmentant la gestion des services (plan de contrôle) et l'accès aux données (plan de données) sur différents points de terminaison afin qu'aucun des deux ne puisse avoir d'impact sur l'autre (voir la section"Architecture de Google Cloud NetApp Volumes" ). Il utilise Google "accès aux services privés" (PSA) cadre pour fournir le service. Ce cadre fait la distinction entre le producteur de services, fourni et exploité par NetApp, et le consommateur de services, qui est un cloud privé virtuel (VPC) dans un projet client, hébergeant les clients qui souhaitent accéder aux partages de fichiers Google Cloud NetApp Volumes .

Dans cette architecture, les locataires (voir la section"Modèle de location" ) sont définis comme des projets Google Cloud qui sont complètement isolés les uns des autres, sauf s'ils sont explicitement connectés par l'utilisateur. Les locataires permettent une isolation complète des volumes de données, des services de noms externes et d’autres éléments essentiels de la solution des autres locataires à l’aide de la plate-forme de volumes Google Cloud NetApp Volumes . Étant donné que la plate-forme Google Cloud NetApp Volumes est connectée via le peering VPC, cette isolation s’applique également à elle. Vous pouvez activer le partage des volumes Google Cloud NetApp Volumes entre plusieurs projets en utilisant un VPC partagé (voir la section"VPC partagés" ). Vous pouvez appliquer des contrôles d'accès aux partages SMB et aux exportations NFS pour limiter qui ou quoi peut afficher ou modifier les ensembles de données.

Dans le plan de contrôle où la configuration de Google Cloud NetApp Volumes a lieu, la gestion des identités est gérée à l'aide de "Gestion des accès aux identités (IAM)" . IAM est un service standard qui vous permet de contrôler l'authentification (connexions) et l'autorisation (autorisations) des instances de projet Google Cloud. Toute la configuration est effectuée avec les API Google Cloud NetApp Volumes via un transport HTTPS sécurisé utilisant le cryptage TLS 1.2, et l'authentification est effectuée à l'aide de jetons JWT pour plus de sécurité. L'interface utilisateur de la console Google pour Google Cloud NetApp Volumes traduit les entrées utilisateur en appels d'API Google Cloud NetApp Volumes .

Une partie de la sécurité efficace consiste à limiter le nombre de surfaces d’attaque disponibles dans un service. Les surfaces d’attaque peuvent inclure une variété d’éléments, notamment les données au repos, les transferts en cours, les connexions et les ensembles de données eux-mêmes.

Un service géré supprime certaines des surfaces d’attaque inhérentes à sa conception. Gestion des infrastructures, telle que décrite dans la section"Opération de service," est géré par une équipe dédiée et est automatisé pour réduire le nombre de fois qu'un humain touche réellement les configurations, ce qui contribue à réduire le nombre d'erreurs intentionnelles et non intentionnelles. Le réseau est clôturé de sorte que seuls les services nécessaires peuvent accéder les uns aux autres. Le chiffrement est intégré au stockage des données et seul le plan de données nécessite l'attention des administrateurs de Google Cloud NetApp Volumes en matière de sécurité. En cachant la majeure partie de la gestion derrière une interface API, la sécurité est obtenue en limitant les surfaces d'attaque.

Historiquement, la philosophie de la sécurité informatique a consisté à faire confiance mais à vérifier, et s'est manifestée en s'appuyant uniquement sur des mécanismes externes (tels que les pare-feu et les systèmes de détection d'intrusion) pour atténuer les menaces. Cependant, les attaques et les violations ont évolué pour contourner la vérification dans les environnements par le biais du phishing, de l'ingénierie sociale, des menaces internes et d'autres méthodes qui fournissent la vérification pour entrer dans les réseaux et faire des ravages.

Zero Trust est devenu une nouvelle méthodologie en matière de sécurité, le mantra actuel étant « ne faire confiance à rien tout en vérifiant tout ». Par conséquent, rien n'est autorisé à accéder par défaut. Ce mantra est appliqué de diverses manières, notamment par des pare-feu standard et des systèmes de détection d'intrusion (IDS), ainsi qu'avec les méthodes suivantes :

Google Cloud NetApp Volumes exécuté dans Google Cloud adhère au modèle Zero Trust en mettant en œuvre la position « ne faire confiance à rien, tout vérifier ».

Chiffrer les données au repos (voir la section"Cryptage des données au repos" ) en utilisant des chiffrements XTS-AES-256 avec NetApp Volume Encryption (NVE) et en vol avec"cryptage SMB" ou prise en charge NFS Kerberos 5p. Soyez rassuré en sachant que les transferts de réplication interrégionale sont protégés par le cryptage TLS 1.2 (voir le lien de section : gcp-gcnv-security-considerations.html#Détection, prévention et atténuation des ransomwares, malwares et virus#cross-region-replication["Réplication interrégionale"]). De plus, le réseau Google fournit également des communications cryptées (voir la section"Cryptage des données en transit" ) pour une couche de protection supplémentaire contre les attaques. Pour plus d'informations sur le cryptage des transports, consultez la section"Réseau Google Cloud" .

La sécurité ne se limite pas à la prévention des attaques. Il s’agit également de la manière dont nous nous remettons des attaques si elles se produisent. Cette stratégie comprend la protection des données et les sauvegardes. Google Cloud NetApp Volumes fournit des méthodes de réplication vers d'autres régions en cas de panne (voir la section"Réplication interrégionale" ) ou si un ensemble de données est affecté par une attaque de ransomware. Il peut également effectuer des sauvegardes asynchrones de données vers des emplacements extérieurs à l'instance Google Cloud NetApp Volumes en utilisant"Sauvegarde des Google Cloud NetApp Volumes" . Avec des sauvegardes régulières, l’atténuation des événements de sécurité peut prendre moins de temps et permettre aux administrateurs d’économiser de l’argent et de l’angoisse.

Outre la protection des données et les sauvegardes, Google Cloud NetApp Volumes prend en charge les copies Snapshot immuables (voir la section"Copies instantanées immuables" ) de volumes permettant la récupération après des attaques de ransomware (voir la section"Opération de service" ) dans les secondes qui suivent la découverte du problème et avec une perturbation minimale. Le temps de récupération et les effets dépendent de la planification des instantanés, mais vous pouvez créer des copies d'instantanés qui fournissent des deltas d'une heure seulement dans les attaques de ransomware. Les copies instantanées ont un effet négligeable sur les performances et l’utilisation de la capacité et constituent une approche à faible risque et à haut rendement pour protéger vos ensembles de données.