GCPインフラがデフォルトで提供しているセキュリティ対策について解説します

こんにちはKIYONOエンジニアです。本日はGoogle Cloudインフラストラクチャのセキュリティ対策について解説していきます。

Google Cloudインフラストラクチャのセキュリティ対策についてはクラウド関連の実務でも必要となる知識かと思いますが、意外と知らない方も多いと思います。本記事がGoogle Cloudのインフラにてデフォルトでどのようなセキュリティ対策が備わっているか理解するための一助になればと思います。

またよくクラウドに移管できない理由の一つとして、「セキュリティへの取り組みが利用者には直接見えない」等があるかと思いますので少しでもそういった不安をクリアにできればと思います。

1 責任共有モデルについて
2 インフラセキュリティの概要
3 インフラセキュリティの詳細
4 まとめ

1 責任共有モデルについて

まずGoogle側とユーザー側でどのような責任分担があるのか確認しましょう。利用形態（IaaS/PaaS/SaaS）によってクラウドセキュリティの責任の範囲が変わってきます。

引用：公式ドキュメント

Infrastructure as a Service（IaaS）レイヤでは、ハードウェア、ストレージ、ネットワークのみが Google の責任となっており、Software as a Service（SaaS）レイヤでは、データとそのアクセスと使用を除くすべてのセキュリティが Google の責任となっているので、利用形態によってGoogleが保証してくれる範囲が変わるということをまずは認識しましょう。

2 インフラセキュリティの概要

Google Cloudのセキュリティに対する取り組み概要が以下の表になります。

分類	概要
オペレーションセキュリティ	・侵入検知・インサイダーリスクの低減・社員の端末と認証情報の保護・安全なソフトウェア開発
インターネット通信	・Google Front End ・DoS攻撃に対する防御
ストレージサービス	・保存時暗号化・データの削除
サービスのデプロイ	・エンドユーザーデータのアクセス管理・サービス間通信の暗号化・サービス間アクセスの管理・サービスID、整合性、分離
ハードウェアインフラストラクチャ	・ブートスタックとマシンIDのセキュリティ・ハードウェアの設計と供給元・物理施設のセキュリティ

3 インフラセキュリティの詳細

3-1 オペレーションセキュリティ

Googleでは、運用チームが24時間365日体制で、インフラストラクチャに対して仕掛けれる脅威の検出と対応にあたっています。オペレーションセキュリティについてはGoogle社員が安全な端末を使っていることやしっかりとしたレビュー環境下でアプリケーション開発をしているといった内容です。

3-2 オペレーションセキュリティ

インターネット上でのGoogleのパブリッククラウドサービスとの通信は、転送時に暗号化されます。またDoS攻撃から保護するための仕組みが用意されています。DoS攻撃とは、サーバー側に過剰負荷を与え停止させるようなサイバー攻撃のことです。

3-3 ストレージサービス

Googleのインフラストラクチャに保存されるデータはデフォルトで暗号化処理されています。また可用性向上のためにローケーションに分散配置が行われています。保存時の暗号化とデータの削除について少し補足します。

保存時の暗号化

Googleのインフラストラクチャは、Bigtable等の様々なストレージサービスと中央の鍵管理サービスを提供します。Googleのアプリケーションのほとんどは、これらのストレージサービスを介して間接的に物理ストレージにアクセスします。ストレージサービスは中央の物理ストレージに書き込まれる前にデータを暗号化し保存します。

データの削除

Googleにおけるデータの削除は、ほとんどの場合データを即座に完全に削除するのではなく、特定のデータを「削除予定」としてマークします。これにより意図しない削除からの回復が可能になります。「削除予定」としてマークされたデータは、サービス固有のポリシーにしたがって削除されます。

3-4 サービスのデプロイ

Googleのインフラストラクチャ上で実行されるソフトウェアは、セキュリティを考慮して実装されています。ソフトウェアの信頼関係を自明のものとはせず、複数の機構を用いて、信頼できるソフトウェアであることを継続的に検証します。Googleのインフラストラクチャは、設計の初期段階より、マルチテナントでの利用を想定した設計が行われています。