Questo documento ti aiuta a identificare i prodotti e le strategie di mitigazione che possono aiutarti a difenderti dagli attacchi comuni a livello di applicazione descritti nelle prime 10 minacce OWASP. Google Cloud OWASP Top 10 è un elenco della Open Web Application Security (OWASP) Foundation dei 10 principali rischi per la sicurezza di cui ogni proprietario di applicazioni dovrebbe essere a conoscenza. Sebbene nessun prodotto di sicurezza possa garantire una protezione completa da questi rischi, l'applicazione di questi prodotti e servizi quando hanno senso nella tua architettura può contribuire a una solida soluzione di sicurezza multilivello.
L'infrastruttura Google è progettata per aiutarti a creare, implementare e gestire i servizi in modo sicuro. La sicurezza fisica e operativa, la crittografia dei dati at-rest e in transito e molti altri aspetti importanti di un'infrastruttura sicura sono gestiti da Google. Erediti questi vantaggi eseguendo il deployment delle tue applicazioni su Google Cloud, ma potresti dover adottare misure aggiuntive per proteggere la tua applicazione da attacchi specifici.
Le strategie di mitigazione elencate in questo documento sono ordinate in base al rischio per la sicurezza dell'applicazione e al prodotto Google Cloud . Molti prodotti svolgono un ruolo nella creazione di una strategia di difesa in profondità contro i rischi per la sicurezza web. Questo documento fornisce informazioni su come altri prodotti possono mitigare i rischi OWASP Top 10, ma fornisce ulteriori dettagli su come Google Cloud Armor e Apigee possono mitigare un'ampia gamma di questi rischi. Google Cloud Armor, che funge da firewall per applicazioni web (WAF), e Apigee, che funge da gateway API, possono essere particolarmente utili per bloccare diversi tipi di attacchi. Questi prodotti si trovano nel percorso del traffico da internet e possono bloccare il traffico esterno prima che raggiunga le tue applicazioni in Google Cloud.
Panoramiche dei prodotti
I Google Cloud prodotti elencati nella tabella seguente possono contribuire a difendersi dai 10 principali rischi per la sicurezza:
| Prodotto | Riepilogo | A01 | A02 | A03 | A04 | A05 | A06 | A07 | A08 | A09 | A10 |
|---|---|---|---|---|---|---|---|---|---|---|---|
| Access Transparency | Estendi la visibilità e il controllo sul tuo cloud provider tramite i log degli accessi amministratore e i controlli di approvazione. | ✓ | ✓ | ||||||||
| Apigee | Progettare, proteggere e scalare le interfacce di programmazione delle applicazioni | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| Artifact Registry | Archivia centralmente gli artefatti e le dipendenze della build | ✓ | |||||||||
| Autorizzazione binaria | Assicurati che il deployment in Google Kubernetes Engine avvenga solo per le immagini container attendibili | ✓ | ✓ | ||||||||
| Cloud Armor | Un web application firewall (WAF) di cui è stato eseguito il deployment al perimetro della rete di Google per contribuire a difendersi dai vettori di attacco comuni | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |
| Cloud Asset Inventory | Visualizza, monitora e analizza tutti i tuoi asset Google Cloud e Google Distributed Cloud o multi-cloud in tutti i progetti e servizi | ✓ | ✓ | ✓ | ✓ | ||||||
| Cloud Build | Crea, testa ed esegui il deployment in Google Cloud | ✓ | |||||||||
| Cloud Key Management Service | Gestisci le chiavi di crittografia su Google Cloud | ✓ | ✓ | ||||||||
| Cloud Load Balancing | Controlla le crittografie negoziate dal proxy SSL o dal bilanciatore del carico HTTPS | ✓ | ✓ | ✓ | ✓ | ||||||
| Cloud Logging | Gestione e analisi dei log in tempo reale su vasta scala | ✓ | |||||||||
| Cloud Monitoring | Raccoglie e analizza metriche, eventi e metadati da servizi e un'ampia gamma di applicazioni e servizi di terze parti Google Cloud | ✓ | |||||||||
| Cloud Source Repositories | Archivia, gestisci e monitora il codice in un unico posto per il tuo team | ✓ | |||||||||
| Google Security Operations | Trova automaticamente le minacce in tempo reale e su larga scala utilizzando l'infrastruttura, le tecniche di rilevamento e gli indicatori di Google. | ✓ | |||||||||