אחריות משותפת ב-Dataflow

האבטחה היא אחריות משותפת. ‫Dataflow מאבטח את התשתית הניתנת להרחבה שבה אתם משתמשים כדי להריץ את צינורות הנתונים של Dataflow, ומספק לכם כלים ואמצעי בקרת אבטחה להגנה על הנתונים, הקוד והמודלים. הרשימה הזו לא מקיפה, אבל היא כוללת את תחומי האחריות של Google ושל הלקוח.

תחומי האחריות של Google

  • הגנה על התשתית: Google אחראית לספק תשתית מאובטחת לשירותים שלה, כולל אבטחה פיזית של מרכזי נתונים, אבטחת רשת ואבטחת אפליקציות.

  • אבטחת הפלטפורמה: Google אחראית לאבטחת הפלטפורמה שלה, כולל ניהול אמצעי בקרה לגישה, ניטור אירועי אבטחה ותגובה לאירועי אבטחה. ‫Google גם מספקת ללקוחות כלים לניהול ההגדרות וההגדרות של האבטחה שלהם.

  • שמירה על תאימות: Google שומרת על תאימות לחוקים ולתקנות הרלוונטיים בנושא הגנה על נתונים. מידע נוסף על תאימות ב-Google Cloud

  • הקשחה ותיקון של תמונות: Google מקשיחה ומתקנת את מערכת ההפעלה של תמונות בסיסיות שמשמשות את התמונות שבבעלות Dataflow. ‫Google מספקת תיקונים לתמונות האלה באופן מיידי. עדכוני אבטחה דחופים מסופקים לגבי נקודות חולשה ידועות.

    במקרה של תלויות בקוד פתוח כמו Apache Beam,‏ Dataflow מספקת תמונות בסיס ומעדכנת את Apache Beam SDK על בסיס מאמץ מרבי, כדי להקל על השימוש. מכיוון ש-Dataflow מסתמך על קהילת הקוד הפתוח לתיקונים האלה, ל-Google אין שליטה מלאה בתעדוף או בתזמון של התיקונים. תיקונים של נקודות חולשה נפוצות (CVE) נכללים בדרך כלל בגרסאות הקרובות של Apache Beam.

תחומי האחריות של הלקוח

  • שימוש בסביבה ועדכון שלה לגרסאות האחרונות של קונטיינרים של Dataflow, תמונות של מכונות וירטואליות וערכות SDK:‏ Dataflow מספק קונטיינרים ותמונות של מכונות וירטואליות שנוצרו מראש כדי לפשט את השימוש בשירותים שלו. ‫Google יוצרת גרסאות חדשות של התמונות האלה כשמזוהות נקודות חולשה.

    תחומי האחריות שלכם כוללים:

    • מעקב אחרי עדכוני אבטחה ועדכון הסביבה שלכם מיד כשגרסאות חדשות זמינות.

    • הפעלה מחדש של משימות סטרימינג שפועלות לאורך זמן כדי לקבל את תיקוני האבטחה האחרונים של תמונות מכונות וירטואליות או עדכוני קונטיינרים. ההגדרה הזו רלוונטית רק למשימות סטרימינג, כי משימות באצווה משתמשות אוטומטית בגרסה העדכנית ביותר של התמונה בכל פעם שהן מתחילות.

      כדי להחיל תמונות VM מעודכנות או תמונות קונטיינר מעודכנות על משימות סטרימינג, מפעילים משימת החלפה עם הדגל --update או מרוקנים ומפעילים מחדש את הצינור. עדכונים של אפשרויות בזמן הריצה ב-Streaming Engine‏ (gcloud dataflow jobs update-options) משנים רק את הפרמטרים של שינוי הגודל האוטומטי, ולא יוצרים מחדש מכונות וירטואליות של עובדים או שולפים תמונות מעודכנות של קונטיינרים.

      מכונות וירטואליות של עובדי Dataflow מריצות קובץ אימג' של מערכת הפעלה שמותאמת לקונטיינרים, לקריאה בלבד וללא שמירת מצב (stateless), בלי כלי לניהול חבילות (כמו apt או yum). לכן, אי אפשר לשנות מכונות וירטואליות של עובדים במקום, להריץ את OS Patch Manager במכונות וירטואליות של עובדים או להתקין סוכני נקודות קצה של מארחים ישירות במערכת ההפעלה של המארח.

      מידע נוסף זמין במאמר בנושא שדרוג ותיקון של מכונות וירטואליות של Dataflow. כדי לטפל בבעיות אבטחה במהירות, מומלץ להשתמש בתמונות של מאגרי תגים בהתאמה אישית. אם יש לכם דרישות מחמירות להסכם רמת שירות (SLA) בנושא אבטחה, כמו אלה שנדרשות לצורך תאימות ל-FedRAMP, שימוש במאגרי תמונות מותאמים אישית מאפשר לכם לנהל את הגרסאות של Apache Beam ואת מחזורי התיקונים בעצמכם, במקום להסתמך על לוח הזמנים של מהדורות הקוד הפתוח של Apache Beam.

    • עדכון שוטף של גרסאות Apache Beam SDK כדי לוודא שיש לכם את תיקוני האבטחה והתכונות העדכניים ביותר.

    • סריקה ותיקון של תמונות בהתאמה אישית כדי לצמצם את נקודות החולשה אם אתם משתמשים בקונטיינר בהתאמה אישית או בתבנית בהתאמה אישית.

    • שימוש בתמונות בסיס ללא הפצה כשזה אפשרי אם אתם משתמשים בתמונת בסיס של Flex Template כדי להבטיח אבטחה ולהפחית את הסיכון לנקודות חולשה.

  • ניהול אמצעי בקרת גישה: אתם אחראים לניהול אמצעי בקרת הגישה לנתונים ולשירותים שלכם. הפעולות האלה כוללות ניהול של גישת משתמשים, אימות ובקרות הרשאה, ואבטחה של האפליקציות והנתונים שלכם. מידע נוסף על אבטחה והרשאות ב-Dataflow

  • אבטחת אפליקציות: אתם אחראים לאבטחת האפליקציות שלכם שפועלות ב-Dataflow, כולל הטמעה של שיטות קידוד מאובטחות ובדיקה קבועה של נקודות חולשה.

    מידע נוסף על מפתחות הצפנה בניהול הלקוח, על רשתות ו-VPC Service Controls ועל שיטות מומלצות להרשאות.

  • מעקב אחרי אירועי אבטחה: אתם אחראים למעקב אחרי אירועי אבטחה באפליקציות שלכם, ולדיווח על אירועים כאלה ל-Google לפי הצורך.

המאמרים הבאים