2022谷歌云安全白皮书

谷歌基础设施安全设计概述2022年3月目录绍 3施 4全 4处 4份 4署 5份离 6理 6密 7GoogleWorkspace理 7储 9密 9据 10信 10务 10护 11证 11全 12发 12护 12全 13险 13控 13测 14么 142年3e介绍本文档概述了如何将安全性设计到Google的技术基础设施中。它适用于安全主管、安全架构师和审计员。本文档描述了以下内容：‧GoogleGoogleGoogleGoogle搜索Gmail和GooglePhotosGoogleWorkspace和GoogleCloud等企业服务。权威。BeyondCorp服本文档的其余部分描述了安全层。保护低层基础设施本节介绍我们如何保护数据中心的物理场所、数据中心的硬件以及在硬件上运行的软件堆栈。物理场所的安全全。Google硬件设计和出处Google数据中心由连接到本地网络的数千台（Google注意：TitanPixel设备钥。安全启动堆栈和机器身份Google(BMC)BIOSGoogleGoogle控制例如，根据服务器设计的代次，引导链的信任根位于以下之一：Titan器数据中心中的每台服务器都有自己独特的身份。该身份可以与硬件信任根和机器启动所用的软件相关联。此身份用于验证计算机上低级管API调用(RPC我们开发了自动化系统来执行以下操作：确保服务器运行最新版本的软件堆栈（包括安全性）补丁）。证明。安全服务部署Google服务是我们的开发人员在我们的基础设施上编写和运行的应用程序二进制文件。Google服务的示例包括GmailSpannerYouTubeComputeEngineBorg（情况下，例如当您使用GoogleCloud在ComputeEngine的单租户节点上配置虚拟机时。GoogleCloud和GoogleWorkspace支持有关数据驻留的监管要求。GoogleCloudGoogleWorkspace的置。服务身份、完整性和隔离为了实现服务间通信，应用程序使用加密身份验证和授权。身份验证和授权在管理员和服务可以理解的抽象级别和粒度上提供强大的访问控制。IP欺骗eC连。在基础设施上运行的每个服务都有一个关联的服务帐户标识。服务提供有加密凭证，可以在发出或接收RPC时用来Linux用（d（AppEngine或ComputeEngine等产品运（在GoogleCloud中EngineGoogleKubernetesEngine(GKE服务间访问管理服务的所有者可以使用基础设施提供RPC仅限于（）。（程扩展到基础设施上运行的数千个服务。该基础设施还为用户、组和成员管理提供规范服务，以便他们可以在必要时实施自定义、细粒度的访问控制。GoogleWorkspace服务间通信加密C（HTTP）RPC（gRPC网络设备受到损害，加密的服务间通信也可以保持安全。（RPCGoogleWorkspace中最终用户数据的访问管理典型的GoogleWorkspace服务是为最终用户执行某些操作而Gmail上GmailleI（e（的C但是，此级别的访问控制仍然是一组广泛的权限，因为Gmail可以随时请求任何用户的联系人信息。GmailGoogleRPCGmailRPCRPCGooglecookieOAuthRPC。eRPCA和服务B仅当访问规则配置允许时才可以进行通信。有关GoogleCloud中的访问管理的信息，请参阅IAM概述。安全的数据存储本节介绍我们如何为存储在基础设施上的数据实现安全性。静态加密Google的基础设施提（re基础设施在应用程序或存储基础设施层执行加密。SSD（）。删除数据户发起的、由于错误还是内部流程错误造成的。数据被标记为计划删除后，将根据特定于服务的策略进行删除。当最终用户删除其帐户时，基础设施会通知正在处理最终用户数据的服务该帐户已被删除。然后服务可以安排数据有关更多信息，请参阅GoogleCloud上的数据删除。安全的互联网通信本节介绍我们如何保护互联网和服务之间的通信在Google基础设施上运行。LAN和WANed和ee删除数据户发起的、由于错误还是内部流程错误造成的。数据被标记为计划删除后，将根据特定于服务的策略进行删除。当最终用户删除其帐户时，基础设施会通知正在处理最终用户数据的服务该帐户已被删除。然后服务可以安排数据有关更多信息，请参阅GoogleCloud上的数据删除。安全的互联网通信本节介绍我们如何保护互联网和服务之间的通信在Google基础设施上运行。LAN和WANIP(DoSGoogle前端服务当某个服务必须在互联网上可用时，它可以向称为Google前端(GFE)的基础设施服务进行注册。GFE确保使用正确的证书并遵循最佳实践（例如支SEDoSEeeRPCGFEGFEIPDNSDoSTLSGFEGoogleCloudGFEComputeEngineGFE云前端允许客户虚拟机直接使用其公共或私有IP地址访问Google服务。（私有IP地址仅在私有Google访问权限时可用已启用。）DoS防护我们基础设施的规模使其能够承受许多DoS攻击。为了进一步降低DoS对服务影响的风险，我们拥有多层次、多层次的DoS防护。DoSDoSDoSGFEDoSDoSGFE用户身份验证在DoS保护之后，安全通信的下一层防御来自中央身份服务。最终用户通过Google登录页面与此服务交互。该服务要求用户提供用户名和cookieOAuthOTPTitanTitan(U2FFIDOU2F操作安全本节介绍我们如何开发基础设施软件、保护员工的机器和凭证以及防御内部和外部参与者对基础设施的威胁。安全软件开发WebXSSBug据。Spectre和MeltdownLinuxKVMCVE源代码保护Borg二进制授权(BAB)是部署服务时发生的内部强制检查。BAB执行以下操作：Google从服务返回其源头的取证跟踪。确保员工设备和凭证的安全我们实施保护措施来帮助保护员工的设备和凭证OTPU2FLAN（）降低内部风险我们限制并积极监Google威胁监控威胁分析小组谷歌监控威胁行为者及其策略和技术的演变。该小组的目标是帮助提高Google产品的安全性，并为了在线社区的利益而分享这些情报。eedterGoo