Google CloudのGoogle Cloud NetApp Volumeでデータを保護する方法
Google Cloud NetApp Volumesは、データをネイティブに保護するためのさまざまな方法を提供します。
セキュアなアーキテクチャとテナンシーモデル
Google Cloud NetApp Volumesは、サービス管理(コントロールプレーン)とデータアクセス(データプレーン)を異なるエンドポイントに分割して、どちらも他方に影響を与えないようにすることで、Google Cloudのセキュアなアーキテクチャを実現します(セクションを参照"「Google Cloud NetApp Volumeのアーキテクチャ」")。Google(PSA)フレームワークを使用して "プライベートサービスへのアクセス"サービスを提供しています。このフレームワークでは、NetAppが提供および運用するサービスプロデューサーと、お客様のプロジェクトの仮想プライベートクラウド(VPC)であるサービスコンシューマを区別し、Google Cloud NetApp Volumeのファイル共有にアクセスするクライアントをホストします。
このアーキテクチャでは"「テナンシーモデル」"、テナント(を参照)は、ユーザが明示的に接続しないかぎり、互いに完全に分離されたGoogle Cloudプロジェクトとして定義されます。テナントでは、Google Cloud NetApp Volumeボリュームプラットフォームを使用して、データボリューム、外部ネームサービス、およびソリューションのその他の重要な要素を他のテナントから完全に分離できます。Google Cloud NetApp VolumesプラットフォームはVPCピアリングを介して接続されているため、この分離はIT部門にも適用されます。共有VPCを使用すると、複数のプロジェクト間でGoogle Cloud NetApp Volumeの共有を有効にできます(を参照"「共有VPC」")。SMB共有およびNFSエクスポートにアクセス制御を適用することで、データセットを表示または変更できるユーザまたはユーザを制限できます。
コントロールプレーンの強力なアイデンティティ管理
Google Cloud NetApp Volumeの設定を行うコントロールプレーンでは、を使用してID管理を管理します "IDアクセス管理(IAM)"。IAMは、Google Cloudプロジェクトインスタンスに対する認証(ログイン)と許可(権限)を制御できる標準サービスです。すべての設定は、Google Cloud NetApp Volumes APIを使用してTLS 1.2暗号化を使用したセキュアなHTTPS転送経由で実行され、セキュリティを強化するためにJWTトークンを使用して認証が実行されます。Google Cloud NetApp VolumesのGoogleコンソールUIは、ユーザの入力をGoogle Cloud NetApp VolumesのAPI呼び出しに変換します。
セキュリティ強化-攻撃面の制限
効果的なセキュリティの一部は、サービスで使用できる攻撃対象の数を制限することです。攻撃対象には、保管データ、転送中転送、ログイン、データセット自体など、さまざまなものが含まれます。
マネージドサービスを使用すると、本質的に設計上の攻撃対象の一部が削除されます。セクションで説明するインフラ管理""サービスオペレーション""は、専任チームが担当し、自動化されているため、実際に構成に触れる回数が減り、意図的なエラーと意図しないエラーの数が減ります。必要なサービスだけが互いにアクセスできるように、ネットワークは遮断されます。暗号化はデータストレージに組み込まれ、Google Cloud NetApp Volume管理者からセキュリティ上の注意が必要なのはデータプレーンだけです。APIインターフェイスの背後にあるほとんどの管理を隠すことで、攻撃対象を制限することでセキュリティを実現します。
ゼロトラストモデル
ITセキュリティの考え方は、これまでは信頼されていましたが、その信頼性は確認されており、脅威を軽減するために外部メカニズム(ファイアウォールや侵入検知システムなど)のみに依存していることが明示されてきました。しかし、攻撃や侵害は、フィッシング、ソーシャルエンジニアリング、内部の脅威など、ネットワークに侵入したり破壊的になったりするための検証を提供する方法によって、環境内での検証をバイパスするように進化しています。
ゼロ・トラストは、セキュリティの新しい方法論になりました。現在のテーマは「すべてを検証しながらは何も信頼しない」です。 したがって、デフォルトではアクセスは許可されません。この問題は、標準ファイアウォールや侵入検知システム(IDS)など、さまざまな方法で実施されています。また、次の方法も適用されています。
-
強力な認証方法(AESで暗号化されたKerberosトークンやJWTトークンなど)
-
単一の強力なアイデンティティソース(Windows Active Directory、Lightweight Directory Access Protocol(LDAP)、Google IAMなど)
-
ネットワークのセグメント化とセキュアマルチテナンシー(デフォルトではテナントのみにアクセス可能)
-
最小限の権限付きアクセスポリシーで詳細なアクセス制御を実現します
-
デジタル監査と紙の記録を使用した、信頼できる専任管理者の限定リスト
Google Cloudで実行されるGoogle Cloud NetApp Volumeは、「Trust Nothing、Verify Everything」というスタンスを実装することで、ゼロトラストモデルに準拠しています。
暗号化
保存データを暗号化する(を参照) "「保存データの暗号化」")転送には、NetApp Volume Encryption(NVE)および転送中のXTS-AES-256暗号を使用します "「SMB暗号化」" またはNFS Kerberos 5pをサポート。リージョン間レプリケーション転送はTLS 1.2暗号化によって保護されているため、安心してご利用いただけます(link:ncvs-gc-security-considerations-and-attack-surfaces.html#ランサムウェア、マルウェア、ウイルスの検出、防止、軽減#リージョン間レプリケーション[「リージョン間レプリケーション」]を参照)。さらに、Googleネットワークは暗号化された通信も提供します(を参照) "「転送中のデータ暗号化」")を使用してください。転送暗号化の詳細については、を参照してください "「Google Cloudネットワーク」"。
データ保護とバックアップ
セキュリティとは、攻撃の防御だけではありません。また、攻撃が発生した場合や発生した場合にどのように復旧するかについても説明します。この戦略には、データ保護とバックアップが含まれます。Google Cloud NetApp Volumeには、システム停止(を参照"「リージョン間レプリケーション」")が発生した場合や、データセットがランサムウェア攻撃の影響を受けた場合に、他のリージョンにレプリケートするメソッドが用意されています。また、を使用して、Google Cloud NetApp Volumeインスタンスの外部の場所にデータを非同期でバックアップすることもできます"Google Cloud NetApp Volumeのバックアップ"。定期的なバックアップにより、セキュリティイベントの緩和にかかる時間を短縮し、管理者にとってコストと不安を軽減できます。
業界をリードするSnapshotコピーでランサムウェアを迅速に軽減
Google Cloud NetApp Volumeは、データ保護とバックアップに加えて、"「不変のSnapshotコピー」"ボリュームの改ざん不可能なSnapshotコピー(セクションを参照)をサポートしています。これにより、"「サービスオペレーション」"問題を発見してから数秒でランサムウェア攻撃(セクションを参照)からリカバリでき、システム停止も最小限に抑えられます。リカバリ時間と影響はSnapshotスケジュールによって異なりますが、ランサムウェア攻撃ではわずか1時間の差分しか提供しないSnapshotコピーを作成できます。Snapshotコピーは、パフォーマンスや容量使用率にほとんど影響を与えず、データセットを保護するリスクが低く、効果も高くなります。