GCP と AWS セキュリティサービス比較

概要

GCP のセキュリティをちゃんとしたい。

アカウントセキュリティを一旦は目的とする。AWS の場合とかだと GuardDuty とりあえず有効にしておけとかのレベルのやつ。

AWS はアカウント1つにプロジェクトが1つ、GCP は1つのアカウントに対して複数プロジェクトを作成することができる。

ユーザ視点では、 GCP プロジェクトと AWS アカウントが一つの環境として捉えることができる。

GCP のセキュリティサービスはアカウント単位で設定する。

そのため、アカウントに紐づくプロジェクト全てでセキュリティサービスが有効となる。

プロジェクトごとに on/off は可能であるが、有償プランを利用する場合、プロジェクト全体で課金額が決定される。

GCP のセキュリティサービスは Security Command Center がメインとなる。

Security Command Center には無償プラント有償プランが存在する。

役割	GCP	AWS
構成管理	Cloud Security Scanner Cloud IAM Cloud Asset Inventory	AWS Config
設定不備の検出	Cloud Asset Inventory (自力で構築) Security Comand Center (無償/有償)	AWS Config Rules
監査ログ	Cloud Audit Logs	AWS CloudTrail
コンプライアンス可視化アラート集約	Security Comand Center (Security Health Analytics)	AWS SecurityHub
脅威検知	Security Comand Center (有償) (Event Threat Detection)	Amazon GuardDuty
機密情報の検出と保護	Cloud Data Loss Prevention	Amazon Macie

AWS にはマルチアカウント環境のセキュアでスケーラブルな構築を行えるためのサービス、フレームワークとして Landing Zone という概念がある。

GCP では Lnading Zone の記述を見つけられなかった。

Security Command Center 親アカウントに情報が集約。

AWS における GuardDuty / Config Rules などのセキュリティサービスを複合的にまとめたもの。

詳しくは以下を参照。

誰がどこで何をしたかなどの、操作ログ（API Call ログ）を記録する。

Logging Bucket へ保管し、有事の際に利用する。

GCP リソースがどう変化したか、変更履歴ログを記録する。

Logging Bucket へ保管し、有事の際に利用する。