狠狠撸

Cloud Onr
Cloud OnAir
Cloud OnAir
【Talks by DevRel Vol. 2】
セキュリティ
2020 年 8 月 6 日放送

写真を配置後
角丸六角形くり抜きの図形を
被せてください
https://goo.gl/NcsiAz
Speaker
Cloud OnAir
イアンルイス
@IanMLewis
Developer Advocate - Google Cloud

写真を配置後
角丸六角形くり抜きの図形を
被せてください
https://goo.gl/NcsiAz
Speaker
Cloud OnAir
畑谷進太
@apstndb
Google Developers Expert

Agenda
Cloud OnAir
1
3
2
4
セッションのリキャップ
BeyondCorp リモートアクセス
Cloud IAM

Cloud OnAir
様々なセキュリティ

Cloud OnAir
● セキュリティプロダクトは多岐に渡り関わる人も異なる
○ 個別のブレークアウトセッション
○ 英語では約 20 セッション
○ 更に Serverless, Anthos のセキュリティは Application Modernization の週にもあります
● GCP 上のリスクを管理しセキュリティポリシーを維持したい
○ セキュリティ管理者向け (Cloud Security Command Center)
■ SEC212-JP Cloud Security Command Center によるセキュリティ管理
● Security Command Center Premium が発表
● ユーザーにとって安全なアプリケーションを作りたい
○ ユーザー保護 (reCAPTCHA Enterprise, WebRisk API)
■ SEC107-JP お客様をサイバー攻撃から保護する Google テクノロジー
日本語セッションの紹介

不正な取引
アカウントの乗っ取り
正当なユーザー
合成アカウント
虚偽の投稿
マネーロンダリング
reCAPTCHA
reCAPTCHA
による防御の
ユースケース

Web Risk API
とは?
Google が常にアップデートしている、安全では
ないウェブリソースのリストを使って、クライアント
アプリケーションが URL をチェックすることができ
る Google Cloud のサービスです。
フィッシングリンク
マルウェアリンク
正当なリンク
スパムリンク
望まないソフトウェアリンク
WebRiskAPI

Cloud OnAir
Cloud OnAir
Cloud IAM

Cloud OnAir
● 社内の誰がアクセスできるのか管理されていない状態ではセキュリティを守れない
○ 権限設計を正しくするには Cloud IAM の理解が必要
セキュリティはアクセス制御から
Service Account
Cloud Storage Bucket
Cloud Run Service
etc...

Cloud OnAir
● サービスアカウントは操作の主体であると同時に対象のリソースでもある
○ そのサービスアカウントを管理できる役割
■ 作成、削除、 JSON キーの発行
○ そのサービスアカウントとしてふるまえる役割
■ 署名、API を叩くためのアクセストークン、OpenID Connect トークンの発行
■ サービスアカウントとして振る舞えるサービスアカウント
● (...サービスアカウント) として振る舞えるサービスアカウント
○ (...サービスアカウント) として振る舞える… (繰り返し)
■ 委任チェーン
■ 詳しくは有効期間が短いサービスアカウント認証情報の作成
サービスアカウントもリソース

Cloud OnAir
● IAM ポリシーの適切な設定は慣れないと難しい
○ 今誰が何にアクセスできるかが分からない
○ 本当に必要なロールがどれなのかがわからない
○ なぜアクセスに失敗しているのかがわからない
なぜアクセスに成功しているのかもわからない
○ IAM ポリシーを変えたらどう影響が出るかが分からない
IAM ポリシー設定の難しさ

Policy Intelligence
Prevent mistakes
from happening
Analysis
tools
Find out what went
wrong quickly
Troubleshooting
tools
Make improvements
easily
Actionable
recommendations
1 2 3

Cloud OnAir
● 本当に必要なロールがどれなのかがわからない
○ IAM Recommender (GA)
● なぜアクセスに失敗しているのかがわからない
なぜアクセスに成功しているのかもわからない
○ IAM Troubleshooter (GA)
● 今誰が何にアクセスできるかが分からない
○ IAM Policy Analyzer (Beta)
● IAM ポリシーを変えたらどう影響が出るかが分からない
○ Policy Simulator (Alpha)
Policy Intelligence を構成する機能

Cloud OnAir
● 機械学習で IAM Policy の設定をサポートする Policy Intelligence
○ 更にクラウドオペレーション全般を支援する Active Assist ポートフォリオを発表
● Policy Intelligence (IAM Recommender, Policy Troubleshooter, ...) についてもっと知りたい
○ SEC216: Minimizing Permissions Using IAM Recommender
■ Uber による Recommendation の自動適用事例など
○ SEC222: Using Policy Intelligence to Achieve Least Privilege Access
■ Policy Intelligence 全体の紹介
● Cloud IAM を詳細に知り、 API を通してプログラムから設定したい
○ SEC302: Advanced IAM: Hacks, Tips, and Tricks for Policy Management
適切な Cloud IAM 設定をしたい方におすすめのセッション

Cloud OnAir
Cloud OnAir

Cloud OnAir
● Before コロナ
○ 社内システムはオフィスから使うのがノーマル
○ リモートからのアクセスは出張時などの例外
■ 例外的なので本当に必要な人のみが VPN で社内ネットワークに入ってアクセス
● With コロナ
○ 社内システムにアクセスするためだけに出社を要求することは避けたい
○ 社内システムはリモートから使うのがニューノーマル
■ もはや例外ではない → VPN で全て対応できる？
With コロナにおける変化

Cloud OnAir
● これまではオフィスへの出社が社内システムにアクセスするための比較的強い条件だった
○ 攻撃者は簡単にはオフィスには入れなかった
○ VPN は社外から接続先のネットワークにフルアクセスできるようになる裏口
■ 一部の人にしか許可できず協力会社などは対象としづらかった
● リモートワークのためほぼすべての人が社外から社内システムにアクセスする必要がある
○ 社内ネットワークへのアクセスができれば社内システムが使えるモデルの破綻
○ 安全ではない私物のデバイスから VPN に繋げると情報漏洩する危険も
● VPN に依存せずに社内システムの安全を確保するゼロトラストを実現するソリューション
○ BeyondCorp リモートアクセス
リモートワーク時代の VPN におけるリスク

Google’s BeyondCorp
Identity-
Aware
Proxy
Cloud
Identity
Chrome +
Endpoint
Verification
Cloud services
Access
Context
Manager
ERP
VM
CRM
VM
Bucket
API
On-Prem, GCP or
other clouds

Cloud OnAir
● Cloud Identity-Aware Proxy (略称は Cloud IAP)
○ Web アプリケーションに Google アカウント認証を追加できる
■ IAM ポリシーに承認するユーザー、グループ、ドメインを設定
○ 対応するバックエンド
■ Compute Engine, Kubernetes Engine, App Engine
■ オンプレミス
○ 社内システムごとに特定のユーザー以外アクセスできなくする
● Context-Aware Access (Access Context Manager, Cloud IAM Conditions)
○ 更にリクエスト元の情報に応じてアクセス可否を決める
○ アクセス元のデバイスが社用であるか、適切なセキュリティ設定がされているか
○ /admin のパスは管理者のみなど別の条件を設定可能
● 興味がある方向けのセッション
○ SEC226 Getting Started With BeyondCorp: A Deeper Look into IAP

Cloud OnAir
ソリューションキーノート
SOLKEY205-JP シンプルが一番。新しい時代における安全な運用
セキュリティ管理者向け (Cloud Security Command Center)
SEC212-JP Cloud Security Command Center によるセキュリティ管理
ユーザー保護 (reCAPTCHA Enterprise, WebRisk API)
SEC107-JP お客様をサイバー攻撃から保護する Google テクノロジー
参考: 日本語セッション

狠狠撸

[Cloud OnAir] Talks by DevRel Vol.2 セキュリティ 2020年8月6日放送

Recommended

More Related Content

What's hot (20)

Similar to [Cloud OnAir] Talks by DevRel Vol.2 セキュリティ 2020年8月6日放送 (20)

More from Google Cloud Platform - Japan (18)

Recently uploaded (13)

[Cloud OnAir] Talks by DevRel Vol.2 セキュリティ 2020年8月6日放送

狠狠撸

[Cloud OnAir] Talks by DevRel Vol.2 セキュリティ 2020年8月6日 放送

Recommended

More Related Content

What's hot (20)

Similar to [Cloud OnAir] Talks by DevRel Vol.2 セキュリティ 2020年8月6日 放送 (20)

More from Google Cloud Platform - Japan (18)

Recently uploaded (13)

[Cloud OnAir] Talks by DevRel Vol.2 セキュリティ 2020年8月6日 放送

[Cloud OnAir] Talks by DevRel Vol.2 セキュリティ 2020年8月6日放送

Similar to [Cloud OnAir] Talks by DevRel Vol.2 セキュリティ 2020年8月6日放送 (20)

[Cloud OnAir] Talks by DevRel Vol.2 セキュリティ 2020年8月6日放送