搜索

[10999] 2017-02-07_全解Google（谷歌）基础设施架构安全设计

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-02-07_全解Google（谷歌）基础设施架构安全设计 全 解 G o o g l e （ 谷 歌 ） 基 础 设 施 架 构 安 全 设 计 c l o u d s   F r e e B u f   2 0 1 7 - 0 2 - 0 7 谷 歌 的 技 术 基 础 设 施 共 同 构 建 了 搜 索 、 邮 件 （ G m a i l ) 、 照 片 等 普 通 用 户 系 统 和 G   S u i t e   、 谷 歌 云 存 储 平 台 等 企 业 系 统 ， 是 谷 歌 数 据 中 心 的 关 键 ， 是 整 个 谷 歌 网 络 服 务 赖 以 存 在 的 安 全 基 础 。 F r e e B u f 在 原 文 基 础 上 ， 针 对 谷 歌 技 术 基 础 设 施 的 安 全 设 计 作 了 简 要 分 析 与 介 绍 ， 这 些 技 术 基 础 设 施 为 谷 歌 全 球 信 息 系 统 提 在 原 文 基 础 上 ， 针 对 谷 歌 技 术 基 础 设 施 的 安 全 设 计 作 了 简 要 分 析 与 介 绍 ， 这 些 技 术 基 础 设 施 为 谷 歌 全 球 信 息 系 统 提 供 了 一 系 列 安 全 防 护 ， 它 们 包 括 运 行 安 全 服 务 、 终 端 用 户 数 据 安 全 存 储 、 服 务 安 全 通 信 、 用 户 安 全 通 信 和 运 维 安 全 管 理 等 供 了 一 系 列 安 全 防 护 ， 它 们 包 括 运 行 安 全 服 务 、 终 端 用 户 数 据 安 全 存 储 、 服 务 安 全 通 信 、 用 户 安 全 通 信 和 运 维 安 全 管 理 等 。 。 在 介 绍 中 ， 我 们 将 围 绕 谷 歌 数 据 中 心 的 物 理 安 全 、 整 体 软 硬 件 基 础 安 全 、 技 术 限 制 和 操 作 的 运 维 安 全 进 行 逐 层 描 述 。
底 层 基 础 设 施 安 全 设 计 底 层 基 础 设 施 安 全 设 计 物 理 基 础 架 构 安 全 物 理 基 础 架 构 安 全 谷 歌 数 据 中 心 包 括 了 生 物 识 别 、 金 属 感 应 探 测 、 监 控 、 通 行 障 碍 和 激 光 入 侵 感 应 系 统 等 多 层 物 理 安 全 保 护 ， 并 做 了 严 格 的 限 制 访 问 。 因 为 谷 歌 的 某 些 服 务 托 管 在 第 三 方 数 据 中 心 ， 为 了 确 保 绝 对 的 安 全 控 制 ， 必 须 部 署 此 类 高 度 安 全 措 施 。 硬 件 设 计 部 署 硬 件 设 计 部 署 谷 歌 数 据 中 心 网 络 由 数 千 台 服 务 器 组 成 ， 这 些 服 务 器 的 主 板 和 网 络 设 备 都 由 谷 歌 自 行 定 制 设 计 ， 相 关 设 备 组 件 和 供 应 商 都 必 须 经 过 严 格 的 安 全 检 测 和 背 景 审 查 。 同 时 谷 歌 也 自 己 设 计 了 安 全 芯 片 ， 这 些 芯 片 被 广 泛 应 用 于 服 务 器 和 相 关 外 设 环 境 ， 为 硬 件 级 别 的 安 全 识 别 和 认 证 提 供 了 有 效 的 安 全 手 段 。 安 全 引 导 和 服 务 器 识 别 机 制 安 全 引 导 和 服 务 器 识 别 机 制 为 了 确 保 正 确 的 服 务 启 动 ， 谷 歌 服 务 器 使 用 了 一 系 列 的 启 动 引 导 技 术 ， 包 括 在 B I O S 、 b o o t l o a d e r 、 k e r n e l 和 系 统 镜 像 等 底 层 组 件 中 使 用 加 密 签 名 ， 这 些 签 名 在 每 次 启 动 和 更 新 时 都 能 进 行 安 全 验 证 。 整 个 过 程 中 涉 及 的 组 件 都 由 谷 歌 构 建 、 控 制 和 加 固 。 随 着 硬 件 的 更 新 换 代 ， 谷 歌 也 在 不 断 努 力 进 行 安 全 改 进 ， 比 如 自 行 设 计 了 可 锁 固 件 芯 片 、 安 全 微 控 制 器 和 安 全 芯 片 ， 并 按 照 不 同 服 务 器 的 设 计 版 本 ， 在 各 类 芯 片 中 内 置 了 可 信 的 安 全 启 动 机 制 。 在 软 件 引 导 和 硬 件 启 动 过 程 中 ， 数 据 中 心 的 每 台 服 务 器 都 有 自 己 独 特 的 标 识 身 份 ， 这 些 标 识 也 被 用 于 机 器 底 层 管 理 的 A P I 调 用 验 证
。 另 外 ， 谷 歌 也 开 发 了 自 动 更 新 检 测 系 统 ， 以 保 证 各 类 软 硬 件 的 及 时 更 新 、 识 别 和 诊 断 ， 必 要 时 可 以 自 动 隔 离 那 些 出 现 故 障 的 服 务 器 。 安 全 服 务 部 署 安 全 服 务 部 署 此 节 中 ， 将 对 一 些 基 本 的 软 硬 件 服 务 安 全 进 行 介 绍 ， 数 千 台 服 务 器 将 对 这 些 服 务 应 用 请 求 进 行 伺 服 和 备 份 ， 这 些 服 务 包 括 G m a i l 的 S M T P 服 务 、 分 布 式 数 据 存 储 服 务 、 Y o u T u b e 视 频 转 码 服 务 、 客 户 端 A P P 沙 箱 运 行 服 务 等 常 规 用 户 请 求 。 所 有 运 行 于 基 础 设 施 架 构 的 服 务 请 求 都 由 一 个 叫 B o r g 的 集 群 业 务 管 理 服 务 进 行 控 制 。 服 务 标 识 、 完 整 性 与 隔 离 服 务 标 识 、 完 整 性 与 隔 离 在 内 部 服 务 的 应 用 层 通 信 之 间 ， 谷 歌 使 用 了 加 密 认 证 授 权 方 式 ， 为 管 理 和 服 务 提 供 了 高 强 度 的 访 问 控 制 。 虽 然 谷 歌 不 完 全 依 赖 内 部 网 络 划 分 和 防 火 墙 作 为 主 要 安 全 机 制 ， 但 为 了 防 止 I P 欺 骗 等 进 一 步 攻 击 ， 谷 歌 在 网 络 入 口 和 出 口 的 各 种 不 同 点 位 使 用 了 过 滤 策 略 ， 这 种 方 法 也 最 大 化 地 提 高 了 网 络 性 能 和 可 用 性 。 每 一 个 运 行 服 务 都 有 自 身 相 关 的 服 务 账 户 标 识 ， 当 创 建 服 务 或 接 收 R P C 请 求 时 ， 就 能 提 供 相 应 的 加 密 验 证 凭 据 。 这 些 标 识 同 样 被 用 于 服 务 间 通 信 ， 以 及 对 特 定 客 户 端 的 数 据 和 方 法 访 问 限 制 。 谷 歌 的 源 代 码 被 存 储 在 一 个 中 心 库 内 ， 在 这 里 可 以 针 对 当 前 和 以 往 的 代 码 进 行 审 计 。 谷 歌 基 础 设 施 可 以 针 对 特 定 服 务 配 置 相 应 的 安 全 审 核 、 验 证 和 源 代 码 检 测 程 序 。 在 代 码 审 查 方 面 ， 需 要 除 编 写 者 之 外 的 至 少 一 名 工 程 师 进 行 审 查 和 批 准 ， 另 外 ， 在 审 查 出 现 问 题 之 后 ， 需 要 经 系 统 管 理 员 批 准 才 能 更 改 和 执 行 代 码 。 这 些 强 制 要 求 限 制 了 内 部 人 员 或 攻 击 者 对 源 代 码 作 出 恶 意 更 改 ， 同 时 也 为 服 务 代 码 提 供 了 可 追 溯 的 取 证 流 程 。 除 此 之 外 ， 为 了 保 护 同 一 台 服 务 器 上 运 行 的 其 它 服 务 ， 谷 歌 还 设 置 了 一 系 列 的 沙 箱 和 隔 离 技 术 。 这 些 技 术 包 括 通 用 的 用 户 隔 离 、 基 于 语 言 和 内 核 的 沙 箱 以 及 硬 件 虚 拟 化 等 。 总 体 来 说 ， 为 了 应 对 存 在 风 险 的 请 求 服 务 ， 如 用 户 请 求 的 复 杂 文 件 格 式 转 换 ， 或 A P P 端 及 谷 歌 运 算 引 擎 这 类 产 品 面 临 的 用 户 执 行 代 码 等 ， 谷 歌 使 用 了 多 层 隔 离 技 术 。
另 外 ， 为 了 保 证 网 络 边 界 的 安 全 可 按 ， 谷 歌 还 使 用 了 一 些 特 殊 敏 感 的 服 务 ， 如 集 群 业 务 服 务 和 关 键 管 理 服 务 等 ， 这 些 服 务 都 运 行 在 专 门 的 服 务 器 之 上 。 服 务 间 访 问 管 理 服 务 间 访 问 管 理 所 有 运 行 服 务 可 以 使 用 谷 歌 基 础 设 施 提 供 的 访 问 管 理 功 能 来 指 定 哪 些 服 务 可 以 与 其 进 行 通 信 。 例 如 ， 某 个 服 务 可 以 设 置 只 提 供 一 些 特 定 白 名 单 服 务 的 A P I 请 求 调 用 ， 该 服 务 可 以 被 配 置 为 仅 允 许 白 名 单 帐 户 身 份 ， 之 后 ， 这 种 访 问 限 制 机 制 将 会 被 谷 歌 基 础 设 施 自 动 执 行 。 就 像 谷 歌 工 程 师 对 服 务 的 访 问 同 样 需 要 身 份 标 识 验 证 一 样 ， 这 些 服 务 可 以 设 置 为 允 许 或 拒 绝 访 问 。 所 有 标 识 类 型 信 息 （ 机 器 、 服 务 或 员 工 ） 都 存 储 于 谷 歌 基 础 设 施 的 全 局 域 中 。 在 内 部 身 份 标 识 认 证 中 ， 谷 歌 提 供 了 多 样 的 标 识 管 理 系 统 ， 包 括 审 批 流 程 、 记 录 和 通 知 等 。 例 如 ， 这 些 标 识 可 以 通 过 某 个 系 统 指 派 给 访 问 控 制 组 ， 以 方 便 不 同 工 程 师 进 行 服 务 的 更 改 和 批 准 。 标 识 管 理 系 统 可 以 对 成 千 上 万 的 运 行 服 务 进 行 安 全 访 问 管 理 。 除 了 自 动 的 A P I 级 别 访 问 控 制 机 制 外 ， 谷 歌 还 设 置 了 访 问 控 制 列 表 （ A C L s ) 和 数 据 库 的 读 取 服 务 ， 以 方 便 执 行 必 要 时 自 定 义 和 细 粒 度 的 访 问 控 制 操 作 。 服 务 间 通 信 加 密 设 计 服 务 间 通 信 加 密 设 计 除 了 前 述 的 P R C 认 证 授 权 功 能 之 外 ， 谷 歌 还 提 供 了 网 络 内 P R C 数 据 的 加 密 保 密 性 和 完 整 性 功 能 ， 为 了 对 H T T P 等 其 它 应 用 层 协 议 进 行 安 全 保 护 ， 这 些 加 密 功 能 被 谷 歌 封 装 在 了 内 部 的 P R C 机 制 中 。 本 质 上 来 说 ， 这 提 供 了 应 用 层 隔 离 ， 同 时 消 除 了 任 何 网 络 路 径 的 安 全 依 赖 因 素 。 即 使 网 络 被 窃 听 或 设 备 被 入 侵 ， 加 密 的 服 务 通 信 也 能 保 证 信 息 安 全 可 靠 。 可 以 针 对 每 一 种 P R C 调 用 ， 为 服 务 设 置 不 同 的 加 密 保 护 级 别 ， 例 如 ， 对 于 数 据 中 心 内 部 的 低 价 值 数 据 交 换 只 设 置 完 整 性 保 护 级 别 ； 而 针 对 复 杂 的 网 络 攻 击 和 内 部 网 络 窃 听 行 为 ， 将 会 自 动 开 启 所 有 R P C 流 量 加 密 功 能 ， 无 需 额 外 的 操 作 配 置 。 同 时 ， 谷 歌 配 置 部 署 了 硬 件 加 密 加 速 器 ， 可 以 为 数 据 中 心 内 部 所 有 P R C 流 量 进 行 加 密 。 终 端 用 户 数 据 访 问 管 理 终 端 用 户 数 据 访 问 管 理 典 型 的 谷 歌 服 务 为 终 端 用 户 带 来 了 很 多 便 利 ， 例 如 G m a i l ， 在 用 户 使 用 类 似 程 序 的 过 程 中 ， 将 会 和 谷 歌 基 础 设 施 进 行 交 互 ， 如 G m a i l 服 务 中 调 用 通 讯 录 服 务 A P I 访 问 终 端 用 户 地 址 薄 。
结 合 前 述 章 节 ， 通 讯 录 服 务 可 以 设 置 成 G m a i l 服 务 中 只 允 许 特 定 R P C 的 请 求 。 然 而 ， 这 仍 然 是 一 个 非 常 广 泛 的 权 限 控 制 集 。 但 在 权 限 许 可 范 围 内 ， G m a i l 服 务 将 对 任 何 时 间 的 任 何 用 户 作 出 请 求 回 应 。 由 于 G m a i l 服 务 将 会 代 表 终 端 用 户 执 行 对 通 讯 录 的 R P C 请 求 ， 而 此 时 ， 作 为 R P C 请 求 的 一 部 分 ， 谷 歌 基 础 设 施 将 会 为 G m a i l 服 务 提 供 一 个 “ 终 端 用 户 许 可 凭 据 ” ， 该 凭 据 是 特 定 终 端 用 户 的 身 份 证 明 ， 这 也 为 特 定 终 端 用 户 通 讯 录 服 务 的 数 据 回 应 实 现 了 安 全 保 障 。 为 了 向 终 端 用 户 发 布 “ 权 限 许 可 凭 据 ” ， 谷 歌 运 行 有 一 个 中 央 用 户 身 份 服 务 系 统 。 终 端 用 户 登 录 后 ， 将 会 通 过 该 身 份 服 务 进 行 多 种 方 式 验 证 ， 如 用 户 密 码 、 c o o k i e 信 息 、 O A u t h 令 牌 等 ， 之 后 ， 任 何 从 客 户 端 发 起 到 谷 歌 内 部 的 后 续 请 求 也 将 需 要 身 份 信 息 验 证 。 当 服 务 接 收 到 终 端 用 户 密 码 信 息 后 ， 将 把 其 传 递 到 中 央 身 份 服 务 系 统 进 行 验 证 ， 如 果 验 证 正 确 ， 身 份 服 务 系 统 将 返 回 一 个 短 期 有 效 的 “ 权 限 许 可 凭 据 ” ， 用 于 用 户 的 R P C 相 关 请 求 。 结 合 前 面 的 例 子 ， G m a i l 服 务 如 果 获 得 了 “ 权 限 许 可 凭 据 ” 后 ， 将 把 该 凭 据 将 传 递 给 通 讯 录 服 务 进 行 验 证 。 之 后 ， 作 为 R P C 调 用 的 一 部 分 ， 该 凭 据 将 适 用 于 任 何 客 户 端 请 求 。 安 全 数 据 存 储 安 全 数 据 存 储 静 态 加 密 静 态 加 密 谷 歌 基 础 设 施 中 运 行 有 很 多 存 储 服 务 ， 如 分 布 式 数 据 库 （ B i g T a b l e ） 、 S p a n n e r 以 及 集 中 密 钥 管 理 系 统 。 大 多 数 应 用 程 序 都 将 通 过 这 些 存 储 服 务 对 物 理 存 储 设 备 进 行 直 接 访 问 。 存 储 数 据 在 写 入 物 理 存 储 设 备 之 前 ， 可 以 配 置 使 用 集 中 密 钥 管 理 系 统 分 发 的 密 钥 进 行 加 密 。 而 集 中 密 钥 管 理 系 统 支 持 自 动 密 钥 轮 换 ， 并 提 供 了 全 面 的 日 志 审 计 、 特 定 用 户 身 份 完 整 性 校 验 等 功 能 。 S p a n n e r 是 谷 歌 公 司 研 发 的 、 可 扩 展 的 、 多 版 本 、 全 球 分 布 式 、 同 步 复 制 数 据 库 。 它 是 第 一 个 把 数 据 分 布 在 全 球 范 围 内 的 系 统 ， 并 且 支 持 外 部 一 致 性 的 分 布 式 事 务 。 在 应 用 层 执 行 加 密 允 许 基 础 设 施 隔 离 掉 一 些 如 恶 意 磁 盘 固 件 的 底 层 存 储 潜 在 威 胁 ， 这 也 是 另 一 种 加 密 保 护 层 的 额 外 实 现 。 谷 歌 的 每 一 块 机 械 硬 盘 和 固 态 硬 盘 都 支 持 硬 件 加 密 和 状 态 跟 踪 。 如 果 某 个 加 密 存 储 设 备 被 更 换 或 废 弃 ， 必 须 经 过 多 步 骤 的 磁 盘 清 理 和 两 次 独 立 验 证 ， 不 经 过 此 清 除 过 程 的 设 备 也 将 被 执 行 物 理 破 坏 。
数 据 删 除 数 据 删 除 谷 歌 的 数 据 删 除 不 是 执 行 完 全 数 据 清 除 ， 而 是 针 对 某 些 特 定 数 据 的 “ 计 划 性 删 除 ” ， 这 样 做 的 好 处 是 ， 可 以 恢 复 那 些 客 户 端 或 运 维 操 作 无 意 删 除 的 数 据 。 如 果 数 据 被 标 记 为 “ 计 划 性 删 除 ” 后 ， 将 按 照 特 定 服 务 策 略 删 除 。 当 某 个 终 端 用 户 执 行 了 账 户 删 除 之 后 ， 谷 歌 的 基 础 设 施 将 通 知 相 关 数 据 清 除 服 务 对 被 删 账 户 的 数 据 进 行 清 除 。 删 除 了 谷 歌 账 号 和 谷 歌 邮 箱 之 后 ， 谷 歌 系 统 将 删 除 掉 该 账 户 相 关 的 所 有 数 据 ， 不 能 再 继 续 以 该 账 户 使 用 谷 歌 提 供 的 各 项 服 务 。 网 络 通 信 的 安 全 性 设 计 网 络 通 信 的 安 全 性 设 计 此 节 中 ， 将 描 述 谷 歌 安 全 通 信 和 相 关 服 务 设 计 。 如 前 所 述 ， 谷 歌 基 础 设 施 由 大 量 物 理 设 备 组 成 ， 这 些 设 备 共 同 构 成 了 不 同 的 L A N 和 W A N 。 为 了 防 止 诸 如 D o S 之 类 的 攻 击 ， 谷 歌 基 础 设 施 使 用 了 一 段 私 有 I P 空 间 。 谷 歌 前 端 服 务 谷 歌 前 端 服 务 谷 歌 基 础 设 施 内 部 的 服 务 需 要 通 过 谷 歌 前 端 服 务 （ G F E ） 注 册 之 后 ， 才 能 运 行 于 外 部 互 联 网 上 。 G F E 确 保 所 有 T L S 连 接 必 须 使 用 正 确 的 证 书 和 安 全 策 略 ， 同 时 还 能 起 到 防 御 D o S 攻 击 的 作 用 。 G F E 对 请 求 的 转 发 使 用 了 前 述 的 R P C 安 全 协 议 。 实 际 上 ， 任 何 通 过 G F E 注 册 运 行 于 互 联 网 的 内 部 服 务 都 是 敏 捷 的 反 向 前 端 代 理 服 务 ， 该 前 端 不 仅 能 提 供 服 务 的 D N S 公 共 I P ， 还 能 起 到 D o S 防 御 和 T L S 保 护 作 用 。 G F E 像 其 它 运 行 于 谷 歌 基 础 设 施 的 服 务 一 样 ， 可 以 应 对 大 量 的 发 起 请 求 。 D o S 攻 击 防 御 攻 击 防 御 从 规 模 体 量 上 来 说 ， 谷 歌 基 础 设 施 可 以 化 解 或 承 受 大 量 D o S 攻 击 ， 谷 歌 具 备 多 层 级 联 的 D o S 防 护 手 段 ， 以 阻 止 和 缓 解 任 何 对 G F E 注 册 服 务 的 D o S 攻 击 。 外 部 骨 干 网 向 谷 歌 数 据 中 心 发 起 的 连 接 请 求 ， 将 通 过 多 层 软 硬 件 的 负 载 平 衡 传 导 。 这 些 负 载 平 衡 传 导 器 将 实 时 向 谷 歌 基 础 设 施 内 部 的 中 央 D o S 监 测 系 统 反 馈 传 入 流 量 的 状 态 信 息 ， 当 D o S 监 测 系 统 探 测 到 D o S 攻 击 之 后 ， 将 会 第 一 时 间 让 负 载 平 衡 传 导 器 丢 弃 或 节 流 可 疑 攻 击 流 量 。 在 更 下 一 层 ， G F E 实 例 还 会 实 时 向 谷 歌 中 央 D o S 监 测 系 统 反 馈 所 接 收 到 的 请 求 信 息 ， 这 些 信 息 包 括 了 网 络 层 负 载 平 衡 传 导 器 不 具 备 的 应 用 层 信 息 。 如 果 监 测 到 疑 似 攻 击 ， 中 央 D o S 监 测 系 统 同 样 会 让 G F E 实 例 丢 弃 或 节 流 可 疑 攻 击 流 量 。
用 户 认 证 用 户 认 证 在 D o S 防 御 之 后 ， 接 下 来 就 是 谷 歌 的 中 央 身 份 服 务 系 统 ， 该 服 务 从 终 端 用 户 的 登 录 页 面 开 始 ， 除 了 要 求 所 需 的 用 户 名 密 码 之 外 ， 系 统 内 部 还 会 对 最 近 登 录 地 点 和 登 录 设 备 进 行 智 能 校 验 。 在 认 证 步 骤 完 成 之 后 ， 身 份 服 务 系 统 将 会 向 用 户 分 发 一 个 如 c o o k i e 或 O A u t h 令 牌 的 凭 据 ， 以 进 行 后 续 请 求 调 用 。 当 然 ， 在 登 录 时 ， 用 户 还 可 以 采 用 如 O T P 动 态 口 令 、 防 钓 鱼 安 全 密 钥 等 双 因 素 认 证 措 施 。 另 外 ， 谷 歌 还 与 安 全 密 码 联 盟 （ F I D O ） 共 同 协 定 了 U 2 F 用 户 双 因 素 认 证 标 准 ， 制 作 了 Y u b i K e y 外 连 密 钥 登 录 U S B 适 配 器 ， 用 户 可 以 通 过 购 买 该 适 配 器 实 现 更 安 全 的 登 录 。 运 维 安 全 运 维 安 全 安 全 软 件 开 发 安 全 软 件 开 发 除 了 前 述 的 安 全 控 制 系 统 之 外 ， 谷 歌 还 提 供 了 防 止 开 发 人 员 引 入 某 些 安 全 缺 陷 的 开 发 库 。 例 如 ， 在 W e b   A P P 方 面 ， 谷 歌 设 置 有 排 除 X S S 漏 洞 的 开 发 库 和 框 架 。 另 外 ， 谷 歌 还 配 置 有 大 量 自 动 化 安 全 缺 陷 检 测 工 具 ， 如 F u z z e r 、 静 态 代 码 分 析 工 具 、 网 页 安 全 扫 描 器 等 。 最 后 ， 谷 歌 还 会 从 快 速 简 单 的 缺 陷 识 别 到 深 度 的 风 险 发 现 ， 对 开 发 代 码 进 行 全 方 位 的 手 工 安 全 审 查 。 这 些 手 工 审 查 由 包 括 W e b 安 全 、 加 密 和 操 作 系 统 安 全 等 各 方 面 专 家 组 成 的 团 队 实 施 。 除 此 之 外 ， 谷 歌 还 通 过 实 施 的 漏 洞 奖 励 计 划 ， 来 发 现 应 用 程 序 和 基 础 设 施 存 在 的 漏 洞 ， 到 目 前 为 止 ， 谷 歌 已 经 为 此 计 划 支 付 了 数 百 万 美 元 的 漏 洞 赏 金 。 另 外 ， 谷 歌 还 投 入 了 大 量 智 力 和 精 力 ， 致 力 于 寻 找 其 基 础 设 施 中 在 用 和 上 游 产 品 的 0 - d a y 漏 洞 。 例 如 ， 由 谷 歌 工 程 师 发 现 的 心 脏 出 血 漏 洞 就 是 最 好 的 典 型 ， 而 且 谷 歌 安 全 团 队 一 直 是 C V E 漏 洞 库 的 最 多 提 交 者 ， 并 且 是 L i n u x   K V M   h y p e r v i s o r 虚 拟 化 技 术 漏 洞 的 发 现 和 修 复 者 。 员 工 设 备 和 凭 据 安 全 保 护 员 工 设 备 和 凭 据 安 全 保 护 为 了 保 护 员 工 设 备 和 凭 据 免 受 入 侵 、 窃 取 和 其 它 非 法 内 部 活 动 ， 谷 歌 在 这 方 面 投 入 了 大 量 资 金 和 代 价 ， 这 也 是 谷 歌 确 保 自 身 基 础 设 施 安 全 运 行 的 关 键 组 成 部 分 。 一 直 以 来 ， 针 对 谷 歌 员 工 的 高 端 复 杂 钓 鱼 攻 击 总 是 持 续 不 断 ， 为 了 防 止 这 种 攻 击 ， 我 们 强 制 员 工 把 存 在 钓 鱼 风 险 的 O T P 口 令 认 证 方 式 更 换 成 了   U 2 F 的 U S B 适 配 器 安 全 密 钥 。
另 外 ， 谷 歌 投 入 了 大 量 资 金 开 发 了 员 工 客 户 端 安 全 操 作 监 控 系 统 ， 同 时 ， 还 配 置 了 针 对 员 工 客 户 端 的 安 装 程 序 、 下 载 程 序 、 浏 览 器 扩 展 和 访 问 内 容 的 安 全 扫 描 系 统 。 进 入 公 司 内 部 局 域 网 ， 并 不 意 味 着 可 以 获 取 到 谷 歌 的 访 问 控 制 权 限 。 谷 歌 使 用 了 应 用 级 别 的 访 问 控 制 管 理 ， 只 允 许 那 些 来 自 特 定 管 理 设 备 、 网 络 或 地 埋 位 置 的 限 定 用 户 才 能 访 问 内 部 控 制 程 序 。 （ 详 细 参 见 B e y o n d C o r p 内 容 ） 内 部 风 险 消 控 内 部 风 险 消 控 谷 歌 严 格 限 制 具 备 管 理 权 限 的 员 工 数 量 ， 并 对 其 网 络 行 为 进 行 了 积 极 监 管 。 另 外 ， 对 于 一 些 特 殊 任 务 ， 尽 量 不 需 要 权 限 许 可 ， 而 使 用 自 动 化 的 安 全 可 控 方 式 完 成 ， 以 消 除 权 限 许 可 需 求 的 泛 滥 。 这 就 要 求 某 些 活 动 需 行 为 双 方 批 准 ， 同 时 将 引 入 限 制 性 A P I 以 排 除 信 息 泄 露 风 险 。 谷 歌 员 工 对 终 端 用 户 信 息 的 获 取 ， 会 被 底 层 架 构 信 息 钩 子 （ h o o k ） 记 录 ， 谷 歌 安 全 团 队 会 对 所 有 访 问 类 型 进 行 实 时 监 控 ， 并 对 其 中 的 异 常 可 疑 事 件 开 展 调 查 。 入 侵 检 测 入 侵 检 测 谷 歌 拥 有 成 熟 的 数 据 处 理 管 道 ， 可 以 很 好 地 集 成 基 于 主 机 、 基 于 网 络 和 基 于 服 务 的 入 侵 检 测 信 号 。 内 置 在 这 些 管 道 内 的 安 全 规 则 和 探 测 机 制 会 及 时 向 运 维 安 全 人 员 发 出 事 件 警 告 ， 谷 歌 的 事 件 响 应 团 队 也 实 行 全 天 候 待 命 。 同 时 ， 谷 歌 内 部 运 维 团 队 也 定 期 实 施 红 方 练 习 ， 以 不 断 衡 量 和 提 高 检 测 响 应 机 制 的 有 效 性 。 谷 歌 云 存 储 平 台 （ 谷 歌 云 存 储 平 台 （ G C P ） 安 全 设 计 ） 安 全 设 计 在 此 ， 我 们 将 以 谷 歌 运 算 引 擎   ( G C E ) 服 务 为 例 ， 简 单 描 述 谷 歌 云 存 储 平 台 （ G C P ） 的 安 全 设 计 和 改 进 。 G o o g l e   C o m p u t e   E n g i n e ， G C E 是 谷 歌 旗 下 的 I a a S ( 基 础 设 施 即 服 务 ) 的 一 个 基 础 架 构 服 务 产 品 ， 可 以 让 你 用 G o o g l e 的 服 务 器 来 运 行 L i n u x 的 虚 拟 机 ， 得 到 更 强 大 的 数 据 运 算 能 力 。 谷 歌 在 I / O 大 会 上 表 示 ， C o m p u t e   E n g i n e 服 务 比 对 手 的 产 品 更 具 性 价 比 ， 每 一 美 元 所 购 买 的 计 算 能 力 要 高 出 对 手 5 0 % 。 谷 歌 C o m p u t e   E n g i n e 服 务 的 背 后 是 由 大 量 的 L i n u x 虚 拟 机 组 成 ， 此 外 用 于 该 服 务 的 处 理 器 共 计 7 7 1 8 8 6 核 。 G C E 服 务 可 以 使 客 户 在 谷 歌 基 础 设 施 上 运 行 谷 歌 L i n u x 虚 拟 机 ， 来 得 到 强 大 的 数 据 运 算 能 力 。 G C E 服 务 的 实 现 由 多 个 逻 辑 部 件 组 成 ， 尤 其 是 管 理 控 制 面 板 和 虚 拟 机 本 身 。 其 中 ， 管 理 控 制 面 板 负 责 与 外 部 A P I 的 连 接 ， 同 时 对 虚 拟 机 创 建 迁 移 等 进 行 任 务 编 排 ， 由 于 涉 及 运 行 多 种 服 务 ， 管 理 控 制 面 板 内 置 了 安 全 启 动 机 制 。
由 于 G C E 控 制 平 面 通 过 G F E 显 示 出 A P I 接 口 ， 所 以 它 具 有 和 G F E 实 例 一 样 的 D o S 防 护 和 S S L / T L S 连 接 保 护 功 能 ， 与 此 同 时 ， 客 户 在 运 行 虚 拟 机 时 ， 可 以 选 择 使 用 内 置 于 G F E 中 的 谷 歌 云 服 务 负 载 平 衡 器 ， 它 能 缓 解 多 种 类 型 的 D o S 攻 击 。 用 户 认 证 的 G C E 控 制 面 板 A P I 通 过 谷 歌 集 中 身 份 认 证 服 务 提 供 安 全 保 护 ， 如 劫 持 检 测 。 授 权 则 使 用 中 央 云 I A M 服 务 完 成 。 身 份 及 访 问 管 理 （ I A M ） ： I A M 允 许 用 户 按 照 已 定 的 I A M 角 色 分 类 规 则 对 G o o g l e 云 资 源 的 权 限 进 行 分 配 ， 让 其 他 用 户 能 够 按 权 限 ， 以 所 有 者 / 编 辑 者 / 查 看 者 的 身 份 ， 访 问 一 个 项 目 中 的 所 有 资 源 。 控 制 面 板 之 间 的 网 络 流 量 ， 以 及 从 G F E 到 其 它 服 务 之 间 的 流 量 都 经 过 自 动 认 证 和 加 密 ， 可 以 安 全 地 从 一 个 数 据 中 心 到 达 另 一 个 数 据 中 心 。 每 个 虚 拟 机 （ V M ） 与 相 关 的 虚 拟 机 管 理 器 （ V M M ） 服 务 实 例 同 时 运 行 。 谷 歌 基 础 设 施 为 虚 拟 机 提 供 了 两 个 认 证 身 份 ， 一 个 用 于 V M M 服 务 实 例 自 身 调 用 ， 另 一 个 用 于 V M M 对 客 户 V M 身 份 的 代 表 ， 这 也 增 加 了 来 自 V M M 的 调 用 信 任 。 G C E 的 永 久 磁 盘 采 用 静 态 数 据 加 密 ， 使 用 谷 歌 中 央 密 钥 管 理 系 统 分 发 的 密 钥 进 行 安 全 保 护 ， 并 允 许 密 钥 自 动 轮 换 和 系 统 审 计 。 另 外 ， 虚 拟 机 隔 离 技 术 是 基 于 硬 件 虚 拟 化 的 开 源 K V M 堆 栈 ， 为 了 最 大 化 的 安 全 防 护 ， 谷 歌 还 对 K V M 的 核 心 代 码 进 行 了 如 F u z z i n g 、 静 态 分 析 、 手 工 核 查 等 一 系 列 安 全 测 试 ， 所 以 ， 如 前 所 述 ， 谷 歌 最 近 提 交 和 披 露 了 多 个 K V M 漏 洞 。 最 后 ， 谷 歌 的 运 维 安 全 控 制 也 是 确 保 数 据 访 问 遵 循 安 全 策 略 的 关 键 部 分 。 作 为 谷 歌 云 平 台 的 一 部 分 ， G C E 客 户 的 数 据 使 用 行 为 同 样 遵 循 G C P 的 使 用 策 略 ， 谷 歌 不 会 访 问 或 使 用 客 户 数 据 ， 但 必 要 的 为 客 户 提 供 服 务 的 情 况 除 外 。 * 参 考 来 源 ： C l o u d . G o o g l e ， F B 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理