Shielded VMs: Googles Cloud sichert VMs und Container stärker ab
Kunden, die auf Google Cloud Platform virtuelle Maschinen (VMs) einsetzen, sollen sich künftig mit den sogenannten Shielded VMs(öffnet im neuen Fenster) besser gegen Bootkits und Rootkits absichern können. Unternehmenskunden sollen sich mit den Shielded VMs außerdem vor Remote-Angriffen, vor einer Rechteausweitung durch Angreifer sowie auch gegen bösartige Insider schützen können. Dafür werden verschiedene Techniken bereits auf Ebene der Firmware ansetzen.
Dazu gehören etwa die Nutzung von Secure-Boot, dass das Starten von nicht autorisiertem Code früh in der Boot-Phase verhindern soll, sowie das sogenannte Measured Boot, mit dem die Integrität von Bootloader, Kernel und Treiber bei Boot gewährleistet werden soll. Die dafür notwendigen Schlüssel können in einem sogenannten vTPM erzeugt und sicher abgelegt werden, verspricht Google. Das vTPM ist dabei kompatibel zur TPM-Spezifikation in Version 2.0. Die Integrität dieser VMs kann darüber hinaus jederzeit über den Stackdriver Logging-Dienst oder das übliche Monitoring überprüft werden.
Um Container besser bei ihrem Einsatz abzusichern, bietet Google mit Binary Authorization(öffnet im neuen Fenster) seinen Kunden eine Möglichkeit sicherzustellen, dass nur noch vertrauenswürdige Container auf der Kubernetes Engine von Google (GKE) ausgerollt werden. Dazu können die Container-Abbilder von festgelegten Authorities signiert werden. Diese Signatur wird beim Ausrollen und Starten der Abbilder verifiziert. Kunden können die Funktion über Richtlinien ihren Bedürfnissen anpassen. Um die Binary Authorization auch in Hybrid-Cloud-Umgebungen umzusetzen, verweist Google auf das Open-Source-Werkzeug Kritis(öffnet im neuen Fenster) .
Wie viele andere Anbieter auch bietet Google nun außerdem die Möglichkeit, einen Scanner in der Container-Registry zu verwenden, der die genutzten Abbilder automatisch nach bekannten Sicherheitslücken durchsucht und das Ausrollen derartiger Abbilder verhindern können soll.