סקירה כללית על האבטחה ב-VMware Engine

בדף הזה מתוארות תכונות האבטחה שבהן נעשה שימוש ב-VMware Engine כדי לשמור על הנתונים והסביבה שלכם מאובטחים. רשימה מפורטת של האחריות שלכם כלקוחות ושל האחריות של Google זמינה במאמר בנושא מודל האחריות המשותפת של VMware Engine.

חומרה ייעודית

כחלק משירות VMware Engine, כל הלקוחות מקבלים מארחים ייעודיים של Bare Metal עם דיסקים מקומיים מצורפים שמבודדים פיזית מחומרה אחרת. היפר-ויז'ור ESXi עם vSAN פועל בכל צומת. הצמתים מנוהלים באמצעות VMware vCenter ו-NSX ייעודיים ללקוח. אי שיתוף חומרה בין דיירים מספק שכבת בידוד והגנה נוספת.

אבטחת מידע

הלקוחות שומרים על השליטה בנתונים שלהם ועל הבעלות עליהם. הלקוח אחראי לניהול נתוני הלקוחות.

הגנה על נתונים במנוחה ועל נתונים בתנועה ברשתות פנימיות

אפשר להצפין את הנתונים באחסון בסביבת הענן הפרטי באמצעות הצפנה מבוססת תוכנה של vSAN. ההצפנה של vSAN מסתמכת על פתרונות חיצוניים לניהול מפתחות כדי לאחסן מפתחות הצפנה.

ב-VMware Engine, הצפנת נתונים במצב מנוחה ב-vSAN מופעלת כברירת מחדל בכל העננים הפרטיים החדשים שנפרסים, ותשתית ניהול המפתחות מנוהלת על ידי Google כחלק מהשירות. פרטים על מודל ההצפנה שמוגדר כברירת מחדל זמינים במאמר About vSAN encryption.

אם המשתמשים צריכים לנהל את ה-KMS, אפשר לפרוס תשתית חיצונית לניהול מפתחות ולהגדיר אותה כספק מפתחות ב-vCenter. רשימה של ספקי KMS שעברו אימות זמינה במאמר בנושא ספקים נתמכים.

לגבי נתונים במעבר, אנחנו מצפים שהאפליקציות יצפינו את התקשורת שלהן ברשת בתוך פלחי רשת פנימיים. vSphere תומך בהצפנת נתונים בחיבור קווי לתנועת vMotion.

הגנה על נתונים שנדרשים לעבור ברשתות ציבוריות

כדי להגן על נתונים שעוברים ברשתות ציבוריות, אתם יכולים ליצור מנהרות VPN של IPsec ו-SSL לעננים הפרטיים שלכם. יש תמיכה בשיטות הצפנה נפוצות, כולל AES של 128 בייט ו-256 בייט. נתונים בזמן העברה (כולל אימות, גישת אדמין ונתוני לקוחות) מוצפנים באמצעות מנגנוני הצפנה סטנדרטיים (SSH,‏ TLS 1.2 ו-Secure RDP). התקשורת שמעבירה מידע רגיש משתמשת במנגנוני ההצפנה הרגילים.

סילוק מאובטח

אם המינוי שלכם מסתיים או מבוטל, אתם אחראים להסיר או למחוק את הנתונים שלכם. ‫Google תשתף איתכם פעולה כדי למחוק את כל נתוני הלקוחות או להחזיר אותם, כפי שמפורט בהסכם עם הלקוח, למעט המקרים שבהם Google נדרשת על פי החוק החל לשמור חלק מהמידע האישי או את כולו. אם יהיה צורך לשמור מידע אישי כלשהו, Google תעביר את הנתונים לארכיון ותיישם אמצעים סבירים כדי למנוע עיבוד נוסף של נתוני הלקוח.

מחיקת נתוני לקוחות

בכל פעם שמוציאים צומת של VMware Engine מאשכול VMware שסופק ללקוח, הכוננים נמחקים כדי להסיר את כל נתוני הלקוח שקיימים בדיסק. המחיקה הזו מתבצעת אחרי הפעולות הבאות:

  • מחיקה של ענן פרטי ב-VMware Engine
  • מחיקה של אשכול בענן פרטי
  • הסרה אוטומטית וידנית של צומת מאשכול

סוף חיי המוצר של החומרה

בסוף חיי הציוד, ‏ VMware Engine מוציא את השרתים משימוש ומסיר אותם מרשת הייצור. בשלב הזה, הכוננים מושמדים פיזית בהתאם להנחיות האבטחה של Google. ההשמדה הזו מתבצעת בנוסף למחיקת הדיסק שמתוארת למעלה.

מיקום הנתונים

נתוני האפליקציה שלכם נמצאים באזור שבחרתם במהלך יצירת הענן הפרטי. השירות לא משנה את מיקום הנתונים בעצמו ללא פעולה או טריגר ספציפיים של הלקוח (לדוגמה, שכפול שהוגדר על ידי המשתמש לענן פרטי באזור אחר Google Cloud ). עם זאת, אם התרחיש לדוגמה שלכם דורש זאת, אתם יכולים לפרוס את עומסי העבודה באזורים שונים ולהגדיר שכפול והעברת נתונים בין אזורים.

גיבוי נתונים

‫VMware Engine לא מגבה או מארכב נתוני אפליקציות של לקוחות שנמצאים במכונות וירטואליות של VMware. ‫VMware Engine מגבה מעת לעת את התצורה של vCenter ו-NSX. לפני הגיבוי, כל הנתונים מוצפנים בשרת הניהול של המקור (לדוגמה, vCenter) באמצעות ממשקי API של VMware. נתוני הגיבוי המוצפנים מועברים ומאוחסנים בדליים של Cloud Storage.

אבטחת רשת

‫Google Cloud VMware Engine מסתמך על שכבות של אבטחת רשת.

אבטחת Edge

שירות Google Cloud VMware Engine פועל Google Cloud במסגרת אבטחת הרשת הבסיסית ש- Google Cloudמספקת. ההגנה הזו חלה גם על אפליקציית VMware Engine וגם על סביבת VMware הפרטית והייעודית. Google Cloud ההגנה מובנית ומונעת התקפות מניעת שירות מבוזרות (DDoS). ב-VMware Engine פועלים לפי אסטרטגיית הגנה לעומק כדי לאבטח את קצה הרשת באמצעות הטמעה של אמצעי בקרה לאבטחה, כמו כללי חומת אש ו-NAT.

פילוח

ל-VMware Engine יש רשתות נפרדות לוגית בשכבה 2 שמגבילות את הגישה לרשתות הפנימיות שלכם בסביבת הענן הפרטי. כדי להגן על רשתות הענן הפרטי, אפשר להשתמש בחומת אש.Google Cloud במסוף אפשר להגדיר כללים לבקרה על תעבורת נתונים של EW ו-NS לכל תעבורת הנתונים, כולל תעבורת נתונים בתוך ענן פרטי, תעבורת נתונים בין עננים פרטיים, תעבורה כללית לאינטרנט ותעבורת נתונים לרשת בסביבה המקומית.

ניהול נקודות חולשה ותיקונים

‫Google אחראית על תיקון פרצות אבטחה תקופתי בתוכנת VMware מנוהלת (ESXi,‏ vCenter ו-NSX).

ניהול זהויות והרשאות גישה

אפשר לבצע אימות במסוף Google Cloud מ- Google Cloud באמצעות כניסה יחידה (SSO). אתם מעניקים למשתמשים גישה ל Google Cloud מסוף באמצעות תפקידים והרשאות ב-IAM.

כברירת מחדל, VMware Engine יוצר בשבילכם חשבון משתמש בדומיין המקומי של vCenter בענן הפרטי. אפשר להוסיף משתמשים מקומיים חדשים או להגדיר את vCenter כך שישתמש במקור זהות קיים. לשם כך, מוסיפים מקור זהות קיים מקומי או מקור זהות חדש בענן הפרטי.

למשתמש שמוגדר כברירת מחדל יש הרשאות מספיקות לביצוע פעולות vCenter שנדרשות בדרך כלל ב-vCenter בענן הפרטי, אבל אין לו גישת אדמין מלאה ל-vCenter. אם נדרשת גישת אדמין באופן זמני, אפשר להגדיל את ההרשאות לתקופה מוגבלת בזמן שמשלימים את משימות האדמין.

יכול להיות שבחלק מהכלים והמוצרים של צד שלישי שבהם אתם משתמשים בענן הפרטי, נדרשות הרשאות אדמין ב-vSphere. כשיוצרים ענן פרטי, VMware Engine יוצר גם חשבונות משתמשים של פתרונות עם הרשאות אדמין שאפשר להשתמש בהם עם כלים ומוצרים של צד שלישי.

תאימות

Google Cloud ממשיכה לפעול להרחבת הכיסוי שלה כדי לעמוד בסטנדרטים החשובים ביותר של תאימות. ‫VMware Engine עומד בתקנים הבאים: ISO/IEC 27001,‏ 27017,‏ 27018,‏ PCI-DSS,‏ SOC 1,‏ SOC 2 ו-SOC 3, ועוד. בנוסף, Google Cloud הסכם שותפות עסקית (BAA) חל גם על VMware Engine.

כדי לקבל עזרה בנושא ביקורת, אפשר לפנות לאיש הקשר האחראי לחשבון שלכם ולבקש את אישורי ה-ISO העדכניים, דוחות SOC והערכות עצמיות.

המאמרים הבאים