セキュリティ & アイデンティティ

中核的な強みの構築: インフラストラクチャのセキュリティに関する新しいテクニカルペーパー

2023年11月10日

Google Cloud Japan Team

Get original CISO insights in your inbox

The latest on security from Google Cloud's Office of the CISO, twice a month.

※この投稿は米国時間 2023 年 10 月 28 日に、Google Cloud blog に投稿されたものの抄訳です。

Google のインフラストラクチャセキュリティチームは、分散システムのセキュリティ確保における最先端技術の進歩に継続的に取り組んでいます。データセンターとコンピューティングプラットフォームの規模、機能、拠点が拡大するにつれて、外部の脅威やインサイダーリスクからそれらを保護するために使用するシステム、制御、テクノロジーの進化にも引き続き取り組んでいきます。

このたび、『セキュアで信頼性のあるシステム構築』に記載されている原則に基づいて、インフラストラクチャのセキュリティに関する新しいテクニカルホワイトペーパーシリーズを発表することになりましたのでお知らせします。このシリーズは次の 2 本のペーパーから始まります。

上述のペーパーは技術的なものですが、専門家以外の方でも読みやすく活用しやすいような構成になっています。これらのペーパーが、Google チームによるお客様の安全性確保の取り組みについての情報源となり、お客様がインフラストラクチャを攻撃から保護するうえで価値あるリソースとなることを願っています。

Google がデータセンターの物理論理空間を保護する仕組み

Thomas Koh は、重要な物理論理空間の保護に役立つ Google のセキュリティ制御について説明した「Google がデータセンターの物理論理空間を保護する仕組み」の著者です。

Google はデータセンター内の物理論理空間を「ラック内のマシンに手が届く位置から、マシンの実行環境まで」と定義しています。このスペースは、物理的制御（建物の出入制限など）と論理的制御（サービスの安全なデプロイなど）の間に位置しています。物理論理空間の制御は、データセンターフロアへの正当なアクセス権を持つ攻撃者に対する防御を実現できるように設計されています。

物理論理空間を保護するために、Google は次のような多くのセキュリティ制御を実装しています。

ハードウェア強化: 「攻撃対象領域」として知られる、各マシンの物理的なアクセス経路を減らしています。
タスクベースのアクセス制御: 時間制限つきの正当なビジネス上の理由があるユーザーにのみ、セキュアラックエンクロージャへのアクセスを許可します。
異常イベントの検出: 物理論理空間のコントロールが異常なイベントを検出したときにアラートを生成します。
システムの自己防御: 物理環境の予期せぬ変化を認識し、防御アクションで脅威に対応します。

今すぐ全文をご覧ください: Google がデータセンターの物理論理空間を保護する仕組み。

Google が本番環境マシンにブート整合性を適用する方法

Jeff Andersen は、ホワイトペーパー「Google が本番環境マシンにブート整合性を適用する方法」で、本番環境マシンのブート整合性セキュリティについて詳しく説明しています。データセンターのマシンのセキュリティ体制は、起動時に確立されます。つまり、Google の本番環境でマシンを安全に実行できる状態を維持しながら、マシンのハードウェアを構成し、オペレーティングシステムを初期化する必要があります。

このペーパーでは、起動プロセスについて説明し、証明済みのマシンのブート整合性を各ステップでどのように確保しているかを示しています。

このペーパーでは次の点について詳しく説明されています。