はじめに

AWS だとTrusted Advisor、Guard Duty、Security Hubなど、運用するにあたって、有効化しようという話題が挙がるが、GCだとこれをやろう、みたいなのが、見つけられなかったので、AWSでいうそれらに当たるものが何かを確認した。

概要

簡単な比較表を作成してみました。

GoogleCloudでのサービス	機能	見方	できること	必要なこと	AWSで該当すること
Recommender	-	各種推奨事項の確認コマンド	レコメンダーリスト	・デフォルトで表示されるところもある・Recommender API を有効化しないとでないところもある	ほぼTrustedAdvisorですが、若干項目数に差分があるかな、という印象
Security Command Center	Security Health Analytics	左記に記載あり	定められた内容に従っているかを検出できる(バケットのロギングが無効なものを検出したり、監査ロギングが無効なものを検出したり、、)	・Security Health Analyticsを有効化する必要がある　→スタンダードとプレミアムがありプレミアムだと有償　→スタンダードだと影響度が高のものしかでない	SecurityHubのセキュリティ標準
	脅威	左記リンクに記載あり	サービスアカウントの不正利用、データの引き出し、Cloud SQLの不審なアクティビティなどのセキュリティ検査機能	組織レベルで各機能を有効化する必要がある(プロジェクトレベルだと機能しなものがあるため) 　→異常検出、Container Threat Detection、Event Threat Detection、Forseti Security、Virtual Macine Threat Detection 　→プレミアでないと使えないものが多い	GuarDuty
WebSecurityScanner	-	カスタムスキャンの設定	脆弱性のチェック(CVS値とかがでるではなくXSSのリスクがあるとかそういう観点のものでWebアプリケーション観点でのチェックになる)	対象機能を有効化する必要があるスタンダードだと自分で手動で掛ける必要があるが、プレミアにすると自動で週に1回自動実行されるマネージドスキャンが可能である	ちょっと思いつかない

確認しての所感

Recommender

AWSは機能を把握していない人にもわかりやすいように、Trusted Advisorには網羅的な項目が当該機能に集約されており、Recommenderのようにコンポーネントが偏ったりしていないように見えました。
ただ、当たり前ですがGoogle Cloudに対する機能は Trusted Advisor では提供されていないので、BigQueryを皮切りにGoogle Cloudを使う人にとっては、有効であり、BigQueryの料金プランで迷っている場合なども実績ベースで推奨事項が出てくるので、環境によっては削減がかなり見込めるのではと思いました。
個人的には利用が増えてきていると思われるCloud Runの推奨事項や、Cloud SQLだけでなく、Spannerなどの他のDB系のマネージドサービスに対する推奨事項はもっと増えてもいいのではないか？と思う。

Security Command Center

Google WorkspaceのSSO認証を検知できたりとGoogleならではの部分も行き届いており、その点まで検査対象なのは良い。
DB である Cloud SQL に対する不審なアクティビティ検知ができ、その点まで検査対象なのも良い。
具体的な検査対象の差異までは洗い出せていないが、プレミアムディアにすることである程度網羅されていると感じた。

所感

Recommender は機能の網羅する項目が偏っていたり、SCCのプレミアムティアでないと使えなかったりするサービスがあるが、これらは Google のサービスを保護するうえでは重要な役割を持っており、案件の要件によっては、これらの運用のセキュリティ的な機能がないと Google Cloud を扱えないこともあると思うので、その点からも重要なサービスであると感じました。
こういった運用サービスがあることが広まり、 Google 上でのサービスの優先順位としても上がり、より拡張していってもらいたいサービスだと感じました。