סוכנים ואמצעי בקרה של אפליקציות

במסמך הזה מפורטות השיטות המומלצות וההנחיות לסוכנים ולאפליקציות שמריצים עומסי עבודה ב- Google Cloud.

הגדרת בדיקת נקודות חולשה של פריטי מידע שנוצרו בתהליך הפיתוח (Artifact)

מזהה הבקרה של Google	AR-CO-6.2
הטמעה	חובה
תיאור	משתמשים ב-Artifact Analysis או בכלי אחר כדי לסרוק נקודות חולשה בתמונות ובחבילות ב-Artifact Registry. אם אתם משתמשים בכלי סריקה של צד שלישי, אתם צריכים לפרוס את הכלים האלה בצורה נכונה כדי לסרוק את Artifact Registry לאיתור נקודות חולשה בתמונות ובחבילות.
המוצרים הרלוונטיים	Artifact Registry Artifact Analysis
נתיב	serviceusage.getservice
אופרטור	=
ערך	containerscanning.googleapis.com
אמצעי בקרה קשורים של NIST-800-53	RA-5 SI-5 SA-5 SR-8 CA-7
אמצעי בקרה קשורים בפרופיל CRI	ID-RA-1.1 ID-RA-1.2 ID-RA-3.1 ID-RA-3.2 ID-RA-3.3 PR.IP-7.1 PR.IP-8.1 PR.IP-12.1 PR.IP-12.2 PR.IP-12.3 PR.IP-12.4 DE.CM-8.1 DE.CM-8.2 DE.DP-4.1 DE-DP-4.2 DE-DP-5.1 RS.CO-3.1 RS.CO-3.2 RS.CO-5.2 RS.CO-5.3 RS.AN-5.1 RS.AN-5.2 RS-AN-5.3 RS.MI-3.1 RS-MI-3.2
מידע קשור	ניתוח פריטי מידע וסריקת נקודות חולשה

הגדרת מאגרים פרטיים מותרים

מזהה הבקרה של Google	CBD-CO-6.1
הטמעה	חובה
תיאור	האילוץ cloudbuild.allowedWorkerPools ברשימה מאפשר לכם להגדיר את המאגרים הפרטיים המותרים לשימוש בארגון, בתיקייה או בפרויקט. כדי להגדיר רשימת היתרים או רשימת חסימות של מאגרי Worker, צריך להשתמש באחד מהפורמטים הבאים: under:organizations/ORGANIZATION_ID under:folders/FOLDER_ID under:projects/PROJECT_ID projects/PROJECT_ID/locations/REGION/workerPools/WORKER_POOL_ID
המוצרים הרלוונטיים	שירות מדיניות הארגון Cloud Build
נתיב	constraints/cloudbuild.allowedWorkerPools
אופרטור	=
סוג	String
אמצעי בקרה קשורים של NIST-800-53	AC-3 AC-5 AC-6 AC-12 AC-17 AC-20
אמצעי בקרה קשורים בפרופיל CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
מידע קשור	אכיפת השימוש במאגרים פרטיים

הגדרת השירותים החיצוניים שיכולים להפעיל טריגרים לפיתוח גרסת build

מזהה הבקרה של Google	CBD-CO-6.2
הטמעה	חובה
תיאור	האילוץ cloudbuild.allowedIntegrations מגדיר אילו שירותים חיצוניים (לדוגמה, GitHub) יכולים להפעיל טריגרים לפיתוח גרסת Build. לדוגמה, אם הטריגר לפיתוח גרסת Build מאזין לשינויים במאגר GitHub, ו-GitHub נדחה באילוץ הזה, הטריגר לא יפעל. אתם יכולים לציין כל מספר של ערכים מותרים או אסורים לארגון או לפרויקט.
המוצרים הרלוונטיים	שירות מדיניות הארגון Cloud Build
נתיב	constraints/cloudbuild.allowedIntegrations
אופרטור	=
סוג	רשימה
אמצעי בקרה קשורים של NIST-800-53	AC-3 AC-12 AC-17 AC-20
אמצעי בקרה קשורים בפרופיל CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
מידע קשור	בקרת בנייה בהתאם למדיניות הארגון

הפעלת Model Armor

הטמעה	חובה
תיאור	הפעילו את Model Armor כדי לסנן תוכן זדוני או פוגעני בתקשורת בשפה טבעית, כולל הנחיות ותשובות של LLM, חיבורים בין שרת MCP ללקוח או תקשורת של סוכנים.
המוצרים הרלוונטיים	Model Armor
נתיב	serviceusage.getservice
אופרטור	=
ערך	modelarmor.googleapis.com
אמצעי בקרה קשורים של NIST-800-53	AC-4 AU-2 AU-8 AU-14 CM-6 IR-7 MP-4 MP-6 PM-30 RA-3 RA-5 RA-10 SA-9 SA-11 SC-7 SC-18 SI-3 SI-4 SI-8 SI-10 SI-15 SI-19
מידע קשור	סקירה כללית על Model Armor

הגדרת בדיקת נקודות חולשה בזמן ריצה

מזהה הבקרה של Google	AR-CO-6.3
הטמעה	חובה
תיאור	סריקה אוטומטית של מערכות ההפעלה של הקונטיינרים וחבילות השפה בעומסי העבודה שפועלים, כדי לאתר נקודות חולשה מוכרות ולקבל אסטרטגיות מעשיות לצמצום הסיכונים.
המוצרים הרלוונטיים	GKE
נתיב	workload-vulnerability-scanning
אופרטור	==
ערך	Enterprise
אמצעי בקרה קשורים של NIST-800-53	RA-5 SI-4 SA-5
מידע קשור	ביקורת אוטומטית של עומסי עבודה כדי לאתר בעיות בהגדרות

יצירת כללי מדיניות לניקוי פריטי מידע שנוצרו בתהליך פיתוח התוכנה

מזהה הבקרה של Google	AR-CO-6.1
הטמעה	המלצות לפי תרחיש לדוגמה
תיאור	כללי מדיניות הניקוי שימושיים אם אתם מאחסנים הרבה גרסאות של פריטי המידע שנוצרו, אבל צריכים לשמור רק גרסאות ספציפיות שאתם מפיצים לסביבת הייצור. יוצרים כללי מדיניות נפרדים למחיקת פריטי מידע ולשמירת פריטי מידע.
המוצרים הרלוונטיים	Artifact Registry
אמצעי בקרה קשורים של NIST-800-53	SI-12
אמצעי בקרה קשורים בפרופיל CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
מידע קשור	הגדרת כללי מדיניות לניקוי

המאמרים הבאים

• Google Cloud מידע נוסף על שיטות מומלצות והנחיות בנושא אבטחה