- tech系
忙しい人のための 【Google Cloud Next ’19 in Tokyo サマリー：Google における Chrome を活用した クラウド時代のセキュリティ技術】
こちらの記事は弊社技術ブログに掲載していた内容となります。一部を除き、投稿当時の情報となりますので、紹介内容の最新情報については別途公式情報等をご参照下さい。
目次
こんにちは。クラウドエース編集部です。
7/31 – 8/1で行われた Google Cloud Next ’19 in Tokyo。
YouTube で動画も続々とアップロードされていますが、2時間も見てる時間がない…要約だけ知りたい…
という方向けのセッションサマリーとなります。
ブレイクアウト セッション – 40 分 • D2-2-S11
Google における Chrome を活用した クラウド時代のセキュリティ技術
YouTubeはこちら
Google Cloud Chrome Enterprise エンジニアリング マネージャー：山本 草詩
セキュリティは動く標的！
- 標準：一人当たり22種類のクラウドベースアプリと3代の端末使用
- 98%が不正アクセスを経験
- 従業員には安定したアクセスが必要
もっとも重要な端末機能
- 生産性を損なわない
- 使用端末を問わずどこからでもアクセス
- アカウントとアプリへのシングルサインオン
- 端末間でパスワード、プラグイン、ブックマークを維持
- ドキュメントやファイルでのリアルタイムコラボレーション
虚弱性に対応するための支出は増加が予測される
- 2019年には1240億ドルになると予測されている
- 標的型攻撃数は27%以上増加している
- サイバーセキュリティへの追加投資だけではインシデント数を減らせない
- よくある種類のサバー攻撃＋追加投資≠インシデントの現象
レガシーなエンドポイントでは、セキュリティは考慮されていない。
- IT企業の最優先事項
- コストの削減生産性への投資
- 企業組織はクラウドネイティブなエンドポイントが必要
クラウドネイティブのセキュリティの考え方
- レガシー：終わることのない運用
- Google：ユーザープロファイルの中心にセキュア環境を構築＝クラウドと同期→ユーザープロファイルを徹底的に守る！
- Chromebook:初回ログインで暗号化してキャッシュする
Chrome Enterprise互いに連動する3つのコンポーネント
- Chrome browser
- Chrome OS
- Chrome 搭載端末
- 多層防御でユーザーとデータを保護します
- アプリケーション：管理者が指定したもの以外は利用できない
- ブラウザ：セーフブラウジングとサンドボクスで保護
- OS権限分離、サンドボックス化、暗号化、自動更新で起動時からシャットダウンまで安全性を確保
- ファームウェア確認済みブーとを装備したOEMが開発googleが承認したファムウェア
- Chrome搭載端末ユーザーごとに別の秘密鍵で暗号化。
セキュアブート
OSの不正使用を防ぐ、OSの二重化
- 自動更新
- 6週間ごとに更新
- 数秒で完了
- 48時間以内に適用されるバッチ
- 管理者がOSのバージョンを制御可能
- 徹底したサンドボックス化
- レガシーシステム=他のアプリに干渉
- システムのファイル・レジストリを書き換える
- Google=アプリはサンドボックス内で動作互いに干渉できない。
- アプリはサンドボックス内で動作システム領域と隔離されている＝クリーンな状態
Chrome enterpriseによるモニタリングと保護
- ユーザーポリシー
- デバイスポリシー
- ネットワーク
- マネージドアプリケーションと拡張機能
- アセット管理
全て管理できる！ - 全てのユーザーのセッションを守る
- バックグラウンドで更新
- バージョン管理
- エフェメラルモード
- ログイン制御
- 承認されていないユーザーはログイン不可（個人使用禁止）
- 承認されたドメインユーザーのみ（ユーザーポリシーが必ず適用される）
- 外部ストレージのマウント制御
- 同じ端末でも、権限がある人のみ外部ストレージを使用可能
- パスワードの使い回しを防ぐ
- パスワードアラートポリシー
- 紛失・盗難時には遠隔ロック可能
Chrome enterprise でユーザーを危険から守る
下記のような攻撃があった場合は、、、
- フィッシング
- Google セーフブラウジング
- 2段階プロセス・セキュリティーキー
- 攻撃された場合パスワードアラートポリシー
- ランサムウェア
- 読み取り専用OS
- 攻撃された場合：セキュアアラート
- 悪意のあるアプリケーション
- 事前許可に基づくリスティング機能
- Managed Google Play
- 攻撃された場合：サンドボックス化
- アプリにすぐアクセス
- Google Playのアプリにはすぐアクセス可能
- Chromeウェブストア
- VDI DaaSを利用したwindowsアプリ
- Linuxアプリ
- 管理コンソールからのアプリ管理
- 設定ファイルと一緒に強制インストール
- Chromeウェブストアは管理者が制御可能
- インラインインストールは2018年半ばに無効＝管理者が100％管理
- サンドボックス化＝攻撃からの影響を最小化する
- TCO削減
- 費用対効果がある
まとめ
- エンドポイントは重要
- ブラウザ、OS、端末は連動するべき
- ユーザープロファイルの制御
この記事を共有する
