Агенты представляют собой фундаментальный сдвиг в облачных операциях. Они могут действовать от имени пользователей или автономно, принимать недетерминированные решения и запрашивать данные между проектами с беспрецедентной скоростью и в огромных масштабах. Поскольку агенты являются особой категорией нечеловеческих идентификаторов (NHI), для них требуются уникальные защитные механизмы, действующие по умолчанию.

Традиционные периметры сети, управляемые вручную, уязвимы для современных атак, происходящих на машинной скорости. Чрезмерно разрешительные периметры, созданные для предотвращения блокировки соединений, повышают риск несанкционированной кражи данных, а слишком строгие периметры тормозят разработку из-за потока отказов в доступе.

Сегодня мы рады объявить о ключевых улучшениях VPC Service Controls (VPC-SC), которые упрощают создание, обслуживание и масштабирование периметров. Теперь вы можете добавлять папки в состав периметра, чтобы проекты, содержащиеся в них, наследовали политику. Вы также можете управлять детальными исключениями и устранять отказы с помощью направленного, ограниченного по области действия исправления.

Результатом являются данные, защищенные по умолчанию, что позволяет масштабировать автономных агентов по всему предприятию, не допуская выхода данных за пределы вашего периметра. Это обновление общедоступно и предоставляется без дополнительной оплаты.

Периметры, соответствующие вашей архитектуре

VPC-SC обеспечивает контекстно-зависимый периметр сетевой безопасности вокруг вашего развертывания Google Cloud, предназначенный для защиты вашей организации от кражи данных, даже в случае компрометации учетных данных, ошибок конфигурации управления идентификацией и доступом (IAM) и внутренних угроз. Расширяя защиту сетевого уровня на взаимодействия между сервисами в инфраструктуре Google Cloud, VPC-SC выходит за рамки традиционных брандмауэров и создает дополнительный уровень защиты, который предотвращает доступ извне вашей корпоративной сети — и теперь его стало проще администрировать.

Администраторы облачных сред, настраивающие VPC-SC, теперь могут включать папки в состав периметра, автоматически распространяя политику доступа папки на каждый проект и вложенную подпапку, которые она содержит. Новые рабочие нагрузки могут наследовать защиту по умолчанию без каких-либо дополнительных изменений.

Рисунок 1: Упрощенное создание периметра в VPC-SC.

Состав периметра обновляется при перемещении проекта, что упрощает обслуживание жизненного цикла. Охват безопасности следует иерархии ресурсов, которой уже управляет ваша организация, а проверка соответствия требует лишь подтверждения того, что ресурс находится в правильной части иерархии.

Режим пробного запуска (Dry-run) также поддерживает членство в папках, помогая администраторам оценить влияние периметра, охватывающего всю иерархию, на реальный трафик перед его принудительным применением.

Поддержка папок и организаций в правилах входящего и исходящего трафика

Четко определенные правила входящего и исходящего трафика создают детальные, контекстно-зависимые периметры без ущерба для операционной гибкости в сложных средах с несколькими проектами. Администраторы безопасности теперь могут указывать папки и организации Google Cloud непосредственно в этих правилах. Одна ссылка на иерархию заменяет набор проектов под ней, что делает правила краткими, удерживает количество атрибутов в пределах квот и автоматически распространяет доступ на проекты, созданные позже в иерархии.

Рисунок 2: Упрощенное создание правил входящего/исходящего трафика.

Использование конечных точек Private Service Connect в правилах входящего и исходящего трафика

Предприятия все чаще используют частные пути для доступа к нужным конечным точкам в своем развертывании, вместо того чтобы открывать трафик для интернета. Конечные точки Private Service Connect для API Google теперь поддерживаются в качестве атрибута в правилах входящего и исходящего трафика. Администраторы могут создать правило, которое разрешает доступ именно через назначенную частную конечную точку, создавая политику, которая напрямую соответствует архитектуре подключения, которой она призвана управлять.

Рисунок 3: Поддержка конечных точек Private Service Connect с правилами входящего и исходящего трафика.

Для организаций, которые стандартизировали использование Private Service Connect, включая конечные точки, распространяемые по всей инфраструктуре через Network Connectivity Center, это обеспечивает более точный и лаконичный способ выражения источника запроса.

Шаблоны сервисов в сервисах, доступных через VPC

Шаблоны сервисов в сервисах, доступных через VPC, обеспечивают детальный контроль над API Google, к которым осуществляется доступ через частные виртуальные IP-адреса (VIP), обеспечивая совместимость за пределами сервисов, интегрированных с VPC-SC. Если рабочая нагрузка требует контролируемого доступа к проверенным конечным точкам API по частному пути, администраторы теперь могут разрешить только конкретные необходимые шаблоны URL API.

Кроме того, эта возможность поддерживает добавление заголовков org-restriction-headers к запросам на исходящий трафик, чтобы облегчить доступ только к авторизованным доменам и ресурсам. Поскольку вам не нужно управлять egress-proxy, вы можете удовлетворить законные операционные требования, сохраняя при этом жестко ограниченный частный путь, вместо того чтобы выбирать между широким разрешением и полным отсутствием доступа.

Рисунок 4: Детальный контроль над API Google с помощью шаблонов сервисов в сервисах, доступных через VPC.

Направляемое устранение нарушений

Политики периметра VPC-SC постоянно развиваются вместе с рабочими нагрузками, которые они защищают, и администраторам периодически необходимо авторизовать законный запрос на доступ, который еще не охвачен. Новое направляемое устранение нарушений (Guided Violation Remediation) в анализаторе нарушений VPC-SC сокращает время разрешения заблокированных запросов с дней до минут за счет создания исправления политики с рекомендациями по устранению, которые вы можете сначала проверить в режиме пробного запуска.

Вместо того чтобы просто диагностировать причину нарушения для конкретного отказа, анализатор нарушений оценивает заблокированный запрос на соответствие применимой конфигурации периметра и предлагает конкретное изменение конфигурации, узко ограниченное принципами проектирования с минимальными привилегиями, для авторизации трафика: правило входящего трафика, правило исходящего трафика, уровень доступа или обновление сервисов, доступных через VPC. Это снимает с администраторов необходимость широко открывать периметр только для того, чтобы устранить нарушение и быстро запустить приложение.

Рисунок 5: Устранение нарушений VPC-SC для более быстрого реагирования.

Начните работу сегодня

VPC-SC делает развертывание и уточнение детальной защиты сетевого периметра простым и автоматизированным, даже для автономных агентов. Чтобы начать:

Установите базовый уровень папок: определите папки в иерархии ресурсов, которые соответствуют границам, которые вы намерены обеспечить, и определите периметры вокруг них, чтобы новые рабочие нагрузки наследовали политику при создании.

Установите базовый уровень папок: определите папки в иерархии ресурсов, которые соответствуют границам, которые вы намерены обеспечить, и определите периметры вокруг них, чтобы новые рабочие нагрузки наследовали политику при создании.

Работайте без риска в режиме пробного запуска: безопасно наблюдайте за производственным трафиком, не блокируя активных разработчиков.

Работайте без риска в режиме пробного запуска: безопасно наблюдайте за производственным трафиком, не блокируя активных разработчиков.

Разблокируйте трафик с помощью анализатора нарушений и панели мониторинга нарушений: используйте автоматизированные рекомендации по устранению нарушений на основе принципа минимальных привилегий для разрешения любых возникающих отказов.

Разблокируйте трафик с помощью Violation Analyzer и Violation Dashboard: используйте автоматизированные рекомендации по исправлению на основе принципа минимальных привилегий для устранения любых возникающих отказов.

Внедряйте с уверенностью: обеспечьте безопасность всей своей инфраструктуры данных, перейдя к принудительному применению политик, как только журналы пробного запуска покажут, что ваш предполагаемый доступ осуществляется с помощью чистого, авторизованного трафика.

Внедряйте с уверенностью: обеспечьте безопасность всей своей инфраструктуры данных, перейдя к принудительному применению политик, как только журналы пробного запуска покажут, что ваш предполагаемый доступ осуществляется с помощью чистого, авторизованного трафика.

Чтобы узнать больше о том, как VPC-SC может помочь упростить вашу стратегию безопасности данных и уверенно защитить ваши парки автономных агентов, ознакомьтесь с документацией по VPC-SC.