סוכנים ואמצעי בקרה של אפליקציות

במסמך הזה מפורטות השיטות המומלצות וההנחיות לסוכנים ולאפליקציות שמריצים עומסי עבודה ב- Google Cloud.

הגדרת בדיקת נקודות חולשה בארטיפקטים

מזהה הבקרה של Google	AR-CO-6.2
הטמעה	חובה
תיאור	משתמשים ב-Artifact Analysis או בכלי אחר כדי לסרוק נקודות חולשה בקובצי אימג' ובחבילות ב-Artifact Registry. אם אתם משתמשים בכלי סריקה של צד שלישי, אתם צריכים לפרוס את הכלים האלה בצורה נכונה כדי לסרוק את Artifact Registry לאיתור נקודות חולשה בתמונות ובחבילות.
מוצרים רלוונטיים	Artifact Registry Artifact Analysis
נתיב	serviceusage.getservice
אופרטור	=
ערך	containerscanning.googleapis.com
אמצעי בקרה קשורים של NIST-800-53	RA-5 SI-5 SA-5 SR-8 CA-7
אמצעי בקרה קשורים בפרופיל CRI	ID-RA-1.1 ID-RA-1.2 ID-RA-3.1 ID-RA-3.2 ID-RA-3.3 PR.IP-7.1 PR.IP-8.1 PR.IP-12.1 PR.IP-12.2 PR.IP-12.3 PR.IP-12.4 DE.CM-8.1 DE.CM-8.2 DE.DP-4.1 DE-DP-4.2 DE-DP-5.1 RS.CO-3.1 RS.CO-3.2 RS.CO-5.2 RS.CO-5.3 RS.AN-5.1 RS.AN-5.2 RS-AN-5.3 RS.MI-3.1 RS-MI-3.2
מידע קשור	ניתוח ארטיפקטים וסריקת נקודות חולשה

הגדרת בריכות פרטיות מותרות

מזהה אמצעי הבקרה של Google	CBD-CO-6.1
הטמעה	חובה
תיאור	האילוץ cloudbuild.allowedWorkerPools list מאפשר להגדיר את המאגרים הפרטיים המורשים שבהם אפשר להשתמש בארגון, בתיקייה או בפרויקט. כדי להגדיר רשימת היתרים או רשימת חסימות של מאגרי Worker, צריך להשתמש באחד מהפורמטים הבאים: under:organizations/ORGANIZATION_ID under:folders/FOLDER_ID under:projects/PROJECT_ID projects/PROJECT_ID/locations/REGION/workerPools/WORKER_POOL_ID
מוצרים רלוונטיים	שירות מדיניות הארגון Cloud Build
נתיב	constraints/cloudbuild.allowedWorkerPools
אופרטור	=
סוג	String
אמצעי בקרה קשורים של NIST-800-53	AC-3 AC-5 AC-6 AC-12 AC-17 AC-20
אמצעי בקרה קשורים בפרופיל CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
מידע קשור	אכיפת השימוש במאגרים פרטיים

הגדרת השירותים החיצוניים שיכולים להפעיל טריגרים לפיתוח גרסת Build

מזהה הבקרה של Google	CBD-CO-6.2
הטמעה	חובה
תיאור	האילוץ cloudbuild.allowedIntegrations מגדיר אילו שירותים חיצוניים (לדוגמה, GitHub) יכולים להפעיל טריגרים לפיתוח גרסת Build. לדוגמה, אם טריגר לפיתוח גרסת Build מאזין לשינויים במאגר GitHub, ו-GitHub נדחה במגבלה הזו, הטריגר לא יפעל. אתם יכולים לציין כל מספר של ערכים מותרים או אסורים לארגון או לפרויקט.
מוצרים רלוונטיים	שירות מדיניות הארגון Cloud Build
נתיב	constraints/cloudbuild.allowedIntegrations
אופרטור	=
סוג	רשימה
אמצעי בקרה קשורים של NIST-800-53	AC-3 AC-12 AC-17 AC-20
אמצעי בקרה קשורים בפרופיל CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
מידע קשור	בקרת בנייה בהתאם למדיניות הארגון

הפעלת הגנה מוגברת על המודל

הטמעה	חובה
תיאור	הפעלת Model Armor כדי לסרוק תוכן זדוני או פוגעני בתקשורת בשפה טבעית, כולל פרומפטים ותשובות של LLM, חיבורי שרת MCP-לקוח או תקשורת בין סוכנים.
מוצרים רלוונטיים	הגנה מוגברת על המודל
נתיב	serviceusage.getservice
אופרטור	=
ערך	modelarmor.googleapis.com
אמצעי בקרה קשורים בתקן NIST-800-53	AC-4 AU-2 AU-8 AU-14 CM-6 IR-7 MP-4 MP-6 PM-30 RA-3 RA-5 RA-10 SA-9 SA-11 SC-7 SC-18 SI-3 SI-4 SI-8 SI-10 SI-15 SI-19
מידע קשור	סקירה כללית על Model Armor

הגדרת בדיקת נקודות חולשה בזמן ריצה

מזהה הבקרה של Google	AR-CO-6.3
הטמעה	חובה
תיאור	סריקה אוטומטית של מערכות ההפעלה של הקונטיינרים וחבילות השפה בעומסי העבודה הפעילים כדי לקבל אסטרטגיות פעולה להפחתת הסיכון.
מוצרים רלוונטיים	GKE
נתיב	workload-vulnerability-scanning
אופרטור	==
ערך	Enterprise
אמצעי בקרה קשורים של NIST-800-53	RA-5 SI-4 SA-5
מידע קשור	ביקורת אוטומטית של עומסי עבודה כדי לאתר בעיות בהגדרות

יצירת כללי מדיניות לניקוי פריטי מידע שנוצרו בתהליך הפיתוח (Artifact)

מזהה אמצעי הבקרה של Google	AR-CO-6.1
הטמעה	המלצות לפי תרחיש השימוש
תיאור	כללי מדיניות הניקוי שימושיים אם אתם מאחסנים גרסאות רבות של פריטי המידע שנוצרו, אבל צריכים לשמור רק גרסאות ספציפיות שאתם מפיצים לסביבת הייצור. יוצרים כללי מדיניות נפרדים למחיקת פריטי מידע ולשמירת פריטי מידע.
מוצרים רלוונטיים	Artifact Registry
אמצעי בקרה קשורים של NIST-800-53	SI-12
אמצעי בקרה קשורים בפרופיל CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
מידע קשור	הגדרת מדיניות ניקוי

המאמרים הבאים

• Google Cloud עוד שיטות מומלצות והנחיות בנושא אבטחה