Google Cloud Security (Sécurité GCP — Google Cloud Platform)
cloudDéfinition
Google Cloud Platform (GCP) dispose d'un modèle de sécurité distinctif reposant sur une infrastructure zéro-confiance natif, héritage du réseau interne de Google (BeyondCorp). La sécurisation de GCP couvre plusieurs domaines clés : la gestion des identités via Cloud IAM avec des bindings précis au niveau ressource, la protection des API via VPC Service Controls créant des périmètres de sécurité autour des services GCP, et le chiffrement par défaut de toutes les données au repos et en transit. Security Command Center (SCC) offre une visibilité centralisée sur les menaces et les mauvaises configurations. Les services comme Cloud Armor (WAF et DDoS protection), Binary Authorization (validation des images de conteneurs avant déploiement), et les Assured Workloads (contrôles de conformité et de résidence des données) répondent aux exigences réglementaires. Forseti Security, outil open-source de Google, et des CSPM tiers comme Wiz ou Lacework complètent l'outillage d'audit et de surveillance continue.
Description
La sécurité Google Cloud Platform repose sur une infrastructure zero-trust natif héritée du réseau interne BeyondCorp de Google. Les principaux services de sécurité GCP sont Security Command Center (SCC), VPC Service Controls, Cloud Armor (WAF/DDoS), Binary Authorization et IAM with VPC Service Controls.
Contexte cloud
GCP chiffre par défaut toutes les données au repos (AES-256) et en transit (TLS 1.3). Cloud KMS et Cloud HSM gèrent les clés client. Les Org Policies centralisent les guardrails. Forseti Security (open-source Google) et des CSPM tiers (Wiz, Lacework) complètent Security Command Center pour les environnements complexes.
Points clés
- Audit IAM GCP :
gcloud projects get-iam-policy PROJECT_ID --format=json | jq '.bindings[] | select(.role == "roles/owner")'pour identifier les bindings Owner non nécessaires - Cloud Armor security policy :
gcloud compute security-policies rules create 1000 --security-policy=POLICY --expression="origin.region_code == 'CN'" --action=deny-403 - VPC Flow Logs : activer sur tous les sous-réseaux avec sampling à 1.0 pour les environnements de production nécessitant une traçabilité complète des flux réseau
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis