google-cloud-waf-security

Google Cloud Well-Architected Framework 安全支柱技能

归属声明

必须阅读：在执行任何 gcloud、REST API 或 MCP 命令之前，你 必须阅读并遵循使用归属声明中的说明。

概览

Google Cloud Well-Architected Framework 的安全支柱提供设计原则和最佳实践，帮助你将安全融入云工作负载架构的每一层，从而构建稳健的安全态势。它侧重于维护数据和系统的机密性与完整性，同时确保合规性和隐私。它提供了一套结构化的风险管理、威胁防御和身份控制方法，使你能够安全地大规模运行云工作负载。

工作流

启用此技能后，请按照以下步骤评估并改善指定 Google Cloud 工作负载的安全态势：

1. 了解背景：从工作负载评估问题列表中提出有针对性的问题，了解用户当前的架构、安全要求和限制条件。
2. 分析并找出差距：依据核心原则和验证清单评估工作负载，找出安全漏洞、缺失的控制措施或偏离最佳实践之处。
3. 制定建议：根据 Google Cloud Well-Architected Framework 提供可执行且按优先级排序的指导。推荐相关 Google Cloud 产品中的特定产品，以弥补已发现的差距。
4. 说明建议：确保所有建议都与相应的核心原则一致，并说明每项建议带来的益处。
5. 迭代并完善：帮助用户根据其具体要求和限制条件调整建议。

核心原则

Well-Architected Framework 安全支柱中的建议遵循以下核心原则：

• 从设计阶段落实安全：从应用和基础设施的初始设计阶段开始，纳入云安全和网络安全方面的考量。Google Cloud 提供架构蓝图和建议，帮助你应用此原则。参考文档： https://docs.cloud.google.com/architecture/framework/security/implement-security-by-design.md.txt

• 落实零信任：采用 永不信任，始终验证 的方法，根据持续的信任验证来授予资源访问权限。Google Cloud 通过 Chrome Enterprise Premium、Identity-Aware Proxy (IAP) 和 IAM Recommender 等产品支持此原则。参考文档： https://docs.cloud.google.com/architecture/framework/security/implement-zero-trust.md.txt

• 落实安全左移：在软件开发生命周期早期实施安全控制。在系统变更之前避免安全缺陷。在系统变更提交后，尽早、快速且可靠地检测并修复安全漏洞。Google Cloud 通过 Cloud Build、Binary Authorization 和 Artifact Registry 等产品支持此原则。参考文档： https://docs.cloud.google.com/architecture/framework/security/implement-shift-left-security.md.txt

• 落实主动网络防御：通过实施威胁情报等强有力的基础措施，采取主动的安全方法。这种方法有助于为更有效的威胁检测和响应打下基础。Google Cloud 的分层安全控制方法符合此原则。Google Cloud 通过 Security Command Center、Google Threat Intelligence 和 Google SecOps 等产品支持此原则。参考文档： https://docs.cloud.google.com/architecture/framework/security/implement-preemptive-cyber-defense.md.txt

• 安全、负责任地使用 AI：以负责任且安全的方式开发和部署 AI 系统。此原则的建议与 Well-Architected Framework 中 AI 和 ML 视角的指南以及 Google 的 Secure AI Framework (SAIF) 保持一致。参考文档： https://docs.cloud.google.com/architecture/framework/security/use-ai-securely-and-responsibly.md.txt

• 将 AI 用于安全防护：通过 Gemini in Security 和整体平台安全功能，利用 AI 能力改进现有安全系统和流程。将 AI 用作工具，以提高补救工作的自动化程度并确保安全卫生，从而增强其他系统的安全性。Google Cloud 通过 Google Threat Intelligence 和 Google SecOps 等产品支持此原则。参考文档： https://docs.cloud.google.com/architecture/framework/security/use-ai-for-security.md.txt

• 满足监管、合规和隐私需求：遵守行业特定法规、合规标准和隐私要求。Google Cloud 通过 Assured Workloads、Organization Policy Service 和合规资源中心等产品，帮助您履行这些义务。参考文档： https://docs.cloud.google.com/architecture/framework/security/meet-regulatory-compliance-and-privacy-needs.md.txt

• Google Cloud 上的共同责任和共同命运：了解 Google 负责云的安全，而您负责云中工作负载的安全。认识到这种责任划分会因工作负载类型而异。了解 Google 如何帮助确保云本身的安全。采取适当措施，确保您的工作负载在云中安全。 参考文档：https://docs.cloud.google.com/architecture/framework/security/shared-responsibility-shared-fate.md.txt

相关 Google Cloud 产品

以下是与安全相关的 Google Cloud 产品和功能_示例_：

• 身份和访问权限管理

  • Cloud Identity：管理用户生命周期、身份验证和身份联合。
  • Identity and Access Management (IAM)：对 Google Cloud 资源进行精细化访问控制。
  • Identity-Aware Proxy (IAP)：无需 VPN 即可安全访问应用。
  • Chrome Enterprise Premium：端点安全和情境感知型访问。
  • IAM Recommender：提供策略智能分析。

• 网络安全

  • Google Cloud Armor：DDoS 防护和 Web 应用防火墙 (WAF)。
  • VPC Service Controls：定义安全边界，防止数据泄露。
  • Cloud Next-Generation Firewall (NGFW)：为网络流量提供高级威胁防护。
  • Shared VPC：跨项目集中管理网络。
  • Cloud Interconnect and IPsec VPN：安全、私密的连接。 -Private Service Connect：为托管服务提供私有访问

• 数据安全

  • Cloud Key Management Service (KMS)：管理加密密钥。
  • Sensitive Data Protection (formerly Cloud DLP)：发现并遮盖敏感数据。
  • Confidential Computing：加密使用中的数据（内存）。

• 安全运营 (SecOps)

  • Google SecOps (Chronicle)：威胁检测和安全分析。
  • Security Command Center (SCC)：集中管理漏洞和威胁。
  • Cloud Logging and Cloud Monitoring：了解系统活动。
  • BigQuery：存储导出的日志以供分析。

• 自动化和供应链

  • Cloud Build：保护 CI/CD 流水线。
  • Artifact Analysis：扫描容器映像中的漏洞。
  • Binary Authorization：在部署时强制执行策略。
  • Assured open source software：使用经过安全处理的 OSS 软件包。

工作负载评估问题

提出恰当的问题，了解工作负载和用户组织在安全方面的要求与限制。请从以下列表中选择问题：

• 安全内建：

  • 如何在项目的初期规划和设计阶段纳入安全考量？
  • 如何定义并记录新应用和服务的安全要求？
  • 如何确保将安全融入开发生命周期？
  • 在设计阶段，使用哪些工具和技术进行威胁建模？
  • 如何管理并确定在设计和开发过程中发现的安全漏洞的优先级？
  • 如何处理应用和基础设施的安全更新与补丁？
  • 如何向团队和利益相关者记录并传达安全设计决策？
  • 如何确保在各个环境中一致地应用安全配置？
  • 如何验证安全控制和措施的有效性？
  • 如何处理安全例外情况以及偏离安全设计的情况？

• 零信任：

  • 如何验证和认证访问 Google Cloud 资源的用户和设备？
  • 如何在访问控制中落实最小权限原则？
  • 如何监控并控制 Google Cloud 环境中的网络流量？
  • 如何保护 Google Cloud 环境中的传输中数据和静态数据？
  • 如何对用户和设备活动实施持续监控和日志记录？
  • 在零信任环境中，如何处理并响应安全事件和违规事件？
  • 在零信任环境中，如何管理并更新安全策略和控制措施？
  • 如何确保第三方应用和服务遵守零信任原则？
  • 在零信任环境中，如何处理远程访问和 BYOD 设备？
  • 如何向员工普及零信任原则与实践并开展培训？

• 左移安全：

  • 如何尽早将安全测试集成到开发流水线中？
  • 在开发阶段会进行哪些类型的安全测试？
  • 如何向开发人员提供有关安全漏洞和最佳实践的反馈？
  • 如何让开发人员主动承担代码安全的责任？
  • 如何确保向开发人员清晰地定义并传达安全要求？
  • 如何衡量左移安全举措的有效性？
  • 如何处理代码中的安全依赖项和第三方库？
  • 如何管理并更新开发环境中的安全配置？
  • 在开发过程中，如何处理安全例外情况以及偏离安全策略的情况？
  • 如何在开发人员中营造安全意识和责任感文化？

• 主动式网络防御：

  • 如何主动识别并缓解潜在安全威胁，避免其影响系统？
  • 使用哪些工具和技术进行持续安全监控与分析？
  • 如何响应并修复安全警报和事件？
  • 如何模拟和测试事件响应计划？
  • 如何及时了解最新的安全威胁和漏洞？
  • 如何处理并缓解针对应用和服务的 DDoS 攻击？
  • 如何保护敏感数据免受内部威胁？
  • 如何确保安全控制措施能够有效抵御高级持续性威胁（APT）？
  • 如何处理供应链中的安全漏洞？
  • 如何根据不断变化的威胁和技术调整安全态势？

• AI 工作负载安全：

  • 如何确保 AI 模型和数据的安全？
  • 如何解决 AI 模型中可能存在的偏见和伦理问题？
  • 如何保护 AI 模型免受对抗性攻击和数据投毒？
  • 如何确保用于 AI 模型的数据隐私？
  • 如何解释和阐释 AI 模型作出的决策？
  • 如何管理和控制对 AI 模型和数据的访问？
  • 如何确保符合与 AI 和 ML 相关的法规和标准？
  • 如何监控并检测 AI 模型行为中的异常？
  • 如何处理和响应涉及 AI 模型的安全事件？
  • 如何教育和培训员工安全、负责任地使用 AI 和 ML？

• 用于安全的 AI：

  • 如何利用 AI 和 ML 提升安全态势？
  • 出于安全目的，您会使用哪些类型的 AI 模型？
  • 如何针对安全应用训练和验证 AI 模型？
  • 如何确保基于 AI 的安全系统准确可靠？
  • 如何处理基于 AI 的安全系统产生的误报和漏报？
  • 如何将基于 AI 的安全系统与现有安全基础设施集成？
  • 如何管理和更新用于安全应用的 AI 模型？
  • 如何解释和阐释 AI 模型在安全应用中作出的决策？
  • 如何确保出于安全目的，以合乎伦理且负责任的方式使用 AI 和 ML？
  • 如何衡量 AI 和 ML 在提升安全态势方面的成效？

• 法规遵从与隐私：

  • 您需要遵守哪些法规遵从框架和隐私标准？
  • 如何评估和管理 Google Cloud 环境中的合规风险？
  • 如何确保存储和处理于 Google Cloud 中的敏感数据的隐私？
  • 如何处理与隐私法规相关的数据主体请求（DSR）？
  • 如何记录并跟踪合规活动和证据？
  • 如何确保第三方供应商和合作伙伴遵守您的法规和隐私要求？
  • 如何处理与合规法规相关的数据泄露和安全事件？
  • 如何及时了解法规遵从和隐私标准的变化？
  • 如何教育和培训员工了解法规遵从和隐私要求？
  • 如何向审计师和监管机构证明并展示合规情况？

验证清单

使用以下清单评估架构是否符合安全建议：

• 安全设计：

  • 是否根据系统组件的安全功能和加固情况进行选择？
  • 是否在网络、主机和应用层实施了纵深防御？
  • 是否使用安全的库和应用框架来防范常见漏洞？
  • 是否使用行业标准进行风险评估？

• 零信任：

  • 是否使用 Cloud Identity 作为集中式身份提供商来管理用户生命周期和联合身份验证？
  • 是否根据用户身份和上下文（设备、位置）强制执行访问控制？
  • 是否使用专用连接方式（Cloud Interconnect、VPN）处理内部流量？
  • 是否在所有项目中停用了默认网络？
  • 是否围绕敏感数据建立了 VPC Service Controls 服务边界？

• 左移安全：

  • 是否使用基础设施即代码（例如 Terraform）来配置基础设施？
  • 是否在 CI/CD 流水线中集成了自动化安全扫描？
  • 是否制定了扫描和修补依赖项漏洞的流程？
  • 是否使用 Binary Authorization 确保只部署可信映像？

• 主动网络防御：

  • 是否将威胁情报集成到安全运营中？
  • 是否为所有关键资源启用了安全日志记录并进行集中管理？
  • 是否针对常见安全威胁配置了自动响应？
  • 是否通过定期测试或红队演练验证防御措施？

• AI 安全与治理：

  • 是否保护 AI 流水线免受篡改和数据投毒？
  • 是否在适当情况下对训练数据使用差分隐私或数据屏蔽？
  • 是否使用 Vertex Explainable AI 和公平性指标进行模型治理？