中核的な強みの構築: インフラストラクチャのセキュリティに関する新しいテクニカル ペーパー
Google Cloud Japan Team
Get original CISO insights in your inbox
The latest on security from Google Cloud's Office of the CISO, twice a month.
Subscribe※この投稿は米国時間 2023 年 10 月 28 日に、Google Cloud blog に投稿されたものの抄訳です。
Google のインフラストラクチャ セキュリティ チームは、分散システムのセキュリティ確保における最先端技術の進歩に継続的に取り組んでいます。データセンターとコンピューティング プラットフォームの規模、機能、拠点が拡大するにつれて、外部の脅威やインサイダー リスクからそれらを保護するために使用するシステム、制御、テクノロジーの進化にも引き続き取り組んでいきます。
このたび、『セキュアで信頼性のあるシステム構築』に記載されている原則に基づいて、インフラストラクチャのセキュリティに関する新しいテクニカル ホワイトペーパー シリーズを発表することになりましたのでお知らせします。このシリーズは次の 2 本のペーパーから始まります。
上述のペーパーは技術的なものですが、専門家以外の方でも読みやすく活用しやすいような構成になっています。これらのペーパーが、Google チームによるお客様の安全性確保の取り組みについての情報源となり、お客様がインフラストラクチャを攻撃から保護するうえで価値あるリソースとなることを願っています。
Google がデータセンターの物理論理空間を保護する仕組み
Thomas Koh は、重要な物理論理空間の保護に役立つ Google のセキュリティ制御について説明した「Google がデータセンターの物理論理空間を保護する仕組み」の著者です。
Google はデータセンター内の物理論理空間を「ラック内のマシンに手が届く位置から、マシンの実行環境まで」と定義しています。このスペースは、物理的制御(建物の出入制限など)と論理的制御(サービスの安全なデプロイなど)の間に位置しています。物理論理空間の制御は、データセンター フロアへの正当なアクセス権を持つ攻撃者に対する防御を実現できるように設計されています。
物理論理空間を保護するために、Google は次のような多くのセキュリティ制御を実装しています。
- ハードウェア強化: 「攻撃対象領域」として知られる、各マシンの物理的なアクセス経路を減らしています。
- タスクベースのアクセス制御: 時間制限つきの正当なビジネス上の理由があるユーザーにのみ、セキュア ラック エンクロージャへのアクセスを許可します。
- 異常イベントの検出: 物理論理空間のコントロールが異常なイベントを検出したときにアラートを生成します。
- システムの自己防御: 物理環境の予期せぬ変化を認識し、防御アクションで脅威に対応します。
今すぐ全文をご覧ください: Google がデータセンターの物理論理空間を保護する仕組み。
Google が本番環境マシンにブート整合性を適用する方法
Jeff Andersen は、ホワイトペーパー「Google が本番環境マシンにブート整合性を適用する方法」で、本番環境マシンのブート整合性セキュリティについて詳しく説明しています。データセンターのマシンのセキュリティ体制は、起動時に確立されます。つまり、Google の本番環境でマシンを安全に実行できる状態を維持しながら、マシンのハードウェアを構成し、オペレーティング システムを初期化する必要があります。
このペーパーでは、起動プロセスについて説明し、証明済みのマシンのブート整合性を各ステップでどのように確保しているかを示しています。
このペーパーでは次の点について詳しく説明されています。
- ハードウェアのルート オブ トラストと、Google のカスタム Titan チップを使用した暗号シーリング
- 起動プロセスにおける認証情報のシーリング
- カーネル、ブート ファームウェア、ルート オブ トラスト ファームウェアの整合性の維持
- ルート オブ トラストの信頼性の確保
今すぐ全文をご覧ください: Google が本番環境マシンにブート整合性を適用する方法。
Google は、今後もこのようなペーパーを発表していく予定です。準備が整い次第、インフラストラクチャ セキュリティ ホワイトペーパー ページで公開していきます。各ペーパーが、好奇心を刺激する、啓発的な、何よりお客様のお役に立つものであることを願っています。
-インフラストラクチャ セキュリティ担当ディレクター Hany Farag
-セキュリティ エンジニアリング担当シニア テクニカル ライター Kevin Plybon