Shielded VMs: Googles Cloud sichert VMs und Container stärker ab
Mit den sogenannten Shielded VMs will Google die virtuellen Maschinen seiner Kunden vor Bootkits und Rootkits schützen. Für Container, die von Kubernetes verwaltet werden, gibt es künftig eine Authentifizierung, und die Container Registry durchsucht Container nach bekannten Sicherheitslücken.
Kunden, die auf Google Cloud Platform virtuelle Maschinen (VMs) einsetzen, sollen sich künftig mit den sogenannten Shielded VMs besser gegen Bootkits und Rootkits absichern können. Unternehmenskunden sollen sich mit den Shielded VMs außerdem vor Remote-Angriffen, vor einer Rechteausweitung durch Angreifer sowie auch gegen bösartige Insider schützen können. Dafür werden verschiedene Techniken bereits auf Ebene der Firmware ansetzen.
Dazu gehören etwa die Nutzung von Secure-Boot, dass das Starten von nicht autorisiertem Code früh in der Boot-Phase verhindern soll, sowie das sogenannte Measured Boot, mit dem die Integrität von Bootloader, Kernel und Treiber bei Boot gewährleistet werden soll. Die dafür notwendigen Schlüssel können in einem sogenannten vTPM erzeugt und sicher abgelegt werden, verspricht Google. Das vTPM ist dabei kompatibel zur TPM-Spezifikation in Version 2.0. Die Integrität dieser VMs kann darüber hinaus jederzeit über den Stackdriver Logging-Dienst oder das übliche Monitoring überprüft werden.
Um Container besser bei ihrem Einsatz abzusichern, bietet Google mit Binary Authorization seinen Kunden eine Möglichkeit sicherzustellen, dass nur noch vertrauenswürdige Container auf der Kubernetes Engine von Google (GKE) ausgerollt werden. Dazu können die Container-Abbilder von festgelegten Authorities signiert werden. Diese Signatur wird beim Ausrollen und Starten der Abbilder verifiziert. Kunden können die Funktion über Richtlinien ihren Bedürfnissen anpassen. Um die Binary Authorization auch in Hybrid-Cloud-Umgebungen umzusetzen, verweist Google auf das Open-Source-Werkzeug Kritis.
Wie viele andere Anbieter auch bietet Google nun außerdem die Möglichkeit, einen Scanner in der Container-Registry zu verwenden, der die genutzten Abbilder automatisch nach bekannten Sicherheitslücken durchsucht und das Ausrollen derartiger Abbilder verhindern können soll.
