信息來源：企業(yè)網(wǎng)

        為了讓更多的企業(yè)進入云端，谷歌公司必須使用各種工具和措施贏得用戶的信任。

        谷歌公司需要一個很好的安全故事。它希望用戶信任其提供的內(nèi)容和業(yè)務(wù)流程。要做到這一點，其基于云計算的服務(wù)和內(nèi)部安全團隊工作要比其競爭對手做得更好。這是一個長期的過程，但是谷歌公司相信隨著變革的潮流，所有的事情都不將可避免。“對于具有安全意識的公司來說，云計算是唯一可行的解決方案。”杰出的谷歌公司工程師NielsProvos說。他在3月舉辦的Google Cloud Next會議上，闡述了谷歌云等云平臺如何為企業(yè)提供專業(yè)的管理和安全基礎(chǔ)架構(gòu)。

        Provos表示：“我們的基礎(chǔ)設(shè)施趨于同質(zhì)化，以及我們對安全性的綜合全面的立場降低了復雜性，使我們能夠以規(guī)模的方式提供安全保障?！倍遥雀韫痉浅Ｖ匾暟踩?，擁有700名軟件工程師和安全工程師。

        但是，云計算巨頭如何確保防御攻擊者的攻擊，這些攻擊其中包括國家層面的企圖竊取私有光纖網(wǎng)絡(luò)的數(shù)據(jù)呢？

保護谷歌數(shù)據(jù)中心

        在安全方面，谷歌公司堅信可以進行縱深防御。從數(shù)據(jù)中心的物理安全來看，這很明顯，多層次的檢查將確保只有授權(quán)的人員才能進入高度安全的設(shè)施。

        只有通過谷歌數(shù)據(jù)中心的門禁，才允許通過預(yù)先授權(quán)的員工進行，而這些員工只是谷歌所有員工中的一小部分，就像傳統(tǒng)的數(shù)據(jù)中心一樣，在進入建筑物之前需要進行第二次檢查。

        谷歌公司數(shù)據(jù)中心業(yè)務(wù)副總裁JoeKava表示，最終進入數(shù)據(jù)中心大樓的安全通道需要通過生物掃描檢驗，諸如虹膜掃描的生物識別掃描。

        在數(shù)據(jù)中心內(nèi)部，為了安全而采取隔離升旗，最重要的區(qū)域則得到基于激光的地板下入侵檢測系統(tǒng)的保護。谷歌公司的物理安全庫中的其他工具包括金屬探測器，車輛障礙物，以及通常采用的網(wǎng)絡(luò)攝像機，但通過視頻分析軟件進行監(jiān)控。

        在數(shù)據(jù)中心內(nèi)，谷歌公司為存儲驅(qū)動器采用了嚴格的端到端監(jiān)管鏈，以確保每個存儲驅(qū)動器被占用。首先使用條形碼掃描從服務(wù)器中檢出失效或計劃更新的驅(qū)動器，并將其帶到安全區(qū)域進行數(shù)據(jù)擦除。

        在處理之前，所有驅(qū)動器都被安全地擦除，而那些無法驗證為已被安全擦除的驅(qū)動器被物理破碎。那些驅(qū)動器然后通過工業(yè)木材切碎機切成碎片。

谷歌安全啟動堆棧

設(shè)計不信任機制

        除了物理數(shù)據(jù)中心之外，谷歌公司還針對安全性設(shè)計了整個基礎(chǔ)設(shè)施堆棧。Provos表示，使用加密簽名來確保未經(jīng)檢測而無法進行未經(jīng)授權(quán)的更改。這從低級組件（如BIOS）開始，并包括引導過程的所有關(guān)鍵組件，如引導加載程序，內(nèi)核和基本操作系統(tǒng)。他說，所有這些都是由谷歌公司控制，建造和強化的。

        該體系結(jié)構(gòu)確保只有當引導過程的所有組件都可以被驗證時，服務(wù)器才會被分配一個身份。根據(jù)Provos的說法，啟動鏈的信任根源可能取決于服務(wù)器，可以在可鎖定的固件芯片，運行谷歌公司編寫的安全代碼的微控制器，或谷歌公司上個月公布的Titan安全芯片上。

        谷歌公司關(guān)于Titan安全芯片的細節(jié)仍然很少：它是一種定制的安全芯片，旨在防止從BIOS級別進行攻擊，并幫助識別和認證在谷歌數(shù)據(jù)中心內(nèi)部運行的硬件和服務(wù)。Provos表示，Titan目前應(yīng)用在服務(wù)器和外圍設(shè)備上。

        “我們可以為數(shù)據(jù)中心的每個服務(wù)器提供唯一的身份，這些身份可以綁定到硬件根目錄以及機器啟動的軟件。然后，機器身份用于對來自機器上的低級管理服務(wù)的API呼叫進行身份驗證?！盤rovos說。

        在谷歌公司生態(tài)系統(tǒng)中，二進制文件被加密，而所有數(shù)據(jù)在寫入磁盤之前都被加密，Provos解釋說。另外，加密密鑰僅在需要的時刻存儲在RAM中。默認情況下，遠程過程調(diào)用（RPC）和數(shù)據(jù)中心之間的其他通信或通信將自動加密。

        Provos指出，安全性在應(yīng)用層執(zhí)行，所有服務(wù)都被設(shè)計為使得它們必須相互證明彼此的身份。他說：“我們不依賴內(nèi)部分段或防火墻作為我們的主要安全機制?！?/span>

防范DDoS

Google Titan安全芯片

        拒絕服務(wù)（DoS）和分布式拒絕服務(wù)（DDoS）攻擊意味著當今的安全性不僅僅局限于簡單地保護黑客，而且還必須確保合法的用戶可以訪問給定的云服務(wù)或內(nèi)容。谷歌公司可以說是打擊DoS攻擊的最前沿。

        首先，谷歌公司的基礎(chǔ)架構(gòu)規(guī)模允許它簡單地進行較少的DoS嘗試。谷歌公司還建立了多層防御，以進一步降低這些攻擊成功的機會，例如谷歌前端（GFE）引擎的工程，以吸收默認情況下的Syn洪水，IP碎片洪水和端口耗盡攻擊等傳統(tǒng)策略。

        此外，中央DoS服務(wù)分析了通過幾層硬件和軟件負載均衡器時的入站流量的統(tǒng)計信息，Provos說，并且將動態(tài)地配置它們來降低或限制與DoS攻擊相關(guān)的流量。這在Google前端（GFE）重復水平，可以提供有關(guān)持續(xù)攻擊的更詳細的應(yīng)用級統(tǒng)計信息。

        當然，在網(wǎng)絡(luò)連接和服務(wù)器容量方面，任何DoS防御都必須有足夠的容量。Provos表示，網(wǎng)絡(luò)連接是谷歌公司九年前成為第一家鋪設(shè)海外電纜的非電信公司的原因。

        該公司繼續(xù)致力于增加其數(shù)據(jù)中心的帶寬，他表示：“在我們最新一代木星網(wǎng)絡(luò)中，我們將單個數(shù)據(jù)中心網(wǎng)絡(luò)的容量提高了100多倍。我們的木星網(wǎng)絡(luò)可以提供每秒超過一秒的總平分帶寬。其容量將足夠讓10萬臺服務(wù)器以10Gbps的速度互相通信，并減輕DoS攻擊。“

        谷歌公司正在努力說服云用戶切換到云端，而這種云計算則建立在與各種谷歌服務(wù)相同的技術(shù)上。毫無疑問，云計算巨頭亞馬遜網(wǎng)絡(luò)服務(wù)（AWS）是谷歌云的景象。谷歌公司高管表示，AWS強調(diào)用戶如何被迫前臺支付以獲得更好的價格，同時可以從相對有限的計算實例中進行選擇。

        谷歌云宣稱可以實現(xiàn)每分鐘計費，持續(xù)使用提供折扣，為更長時間的實例提供較低的費率，以及定制機器類型，可以自定義在谷歌云上運行的虛擬機的每個方面。

        有些人建議說，谷歌公司對企業(yè)的需求不敏感，并且傾向于超前發(fā)展。谷歌云副總裁DianeGreene否認：“我們是一家全面的企業(yè)公司。這意味著提供向后兼容性?！?/span>

        現(xiàn)在，東南亞的市場競爭正在加劇。谷歌公司聘請了曾長期擔任AmazonWebServices（AWS）執(zhí)行官RickHarshman負責亞太地區(qū)和日本的谷歌云。在新加坡，第二個谷歌數(shù)據(jù)中心預(yù)計將在今年上半年上市，預(yù)計將在此推出谷歌云服務(wù)。