可用来侦测GCP错误配置与合规问题的Security Health Analytics测试版出炉

Google

有太多的资料外洩事件是因配置错误或违反政策而产生的，为了解决此一问题，Google在去年发表了安全健康分析（Security Health Analytics）服务，并于本周推出测试版。

安全健康分析为Google云端安全指挥中心（ Cloud Security Command Center，Cloud SCC）的元件之一，主要用途即在于辨识企业在Google云端平台（Google Cloud Platform，GCP）所部署的资源，是否有配置错误或是违反规定之处。

此外，它还取得了非营利组织网路安全中心（Center for Internet Security，CIS）的软体认证，此一CIS认证内含超过140种配置準则，可用来确保GCP资源的安全与合规性。

以亚洲低价航空AirAsia为例，该公司在Google Kubernetes Engine部署虚拟机器与容器，也利用App Engine来建置应用程式，为了确保GCP平台上的各式部署都是安全的，因而启用了安全健康分析。

AirAsia资安架构长Muhammad Faeez Bin Azmi表示，健康安全分析的仪表板，让他们能够对云端部署的安全性一目了然，就算是没有安全专长的团队成员，都能藉由仪表板检视配置错误的资产清单或违规事项。

若发现有潜在的安全问题，如防火墙对外公开或是某个储存贮体有过多的存取权限时，系统还会提供缓解方案，节省了许多检查系统缺失的时间。且它也会在侦测到违反CIS建议的政策时，提出警告与说明。

既有的GCP用户只要透过Cloud SCC中的安全资源，即可启用安全健康分析服务。