Feste Outbound-IP-Adressen und dokumentierte Unterstützung für VPC Service Controls

Cloud Intelligence™ veröffentlicht jetzt feste Outbound-IP-Adressen für jede Cloud sowie eine dokumentierte VPC-Service-Controls-Konfiguration für Google Cloud.

Jede Sicherheitsprüfung einer Drittanbieter-Plattform landet bei denselben zwei Fragen: Von welchen IP-Adressen aus verbinden Sie sich? Und wie lassen wir Sie durch unseren Perimeter, ohne ihn aufzuweichen? Bisher gab es von Cloud Intelligence™ keine veröffentlichte Antwort auf die erste Frage, und bei der zweiten blieb nur Rätselraten: VPC Service Controls blockiert API-Aufrufe über Perimetergrenzen hinweg – konzeptbedingt. Funktionen wie BigQuery Intelligence scheiterten daher am Perimeter, mit Violation-Einträgen im Audit-Log und einem Support-Thread, um alles wieder zu entwirren.

Beide Fragen haben jetzt dokumentierte Antworten – gebündelt auf einer einzigen Seite: Network access.

Eine feste Liste ausgehender IP-Adressen – für jede Cloud

Wir veröffentlichen zum ersten Mal eine solche Liste, und dass es eine Weile gedauert hat, hat einen Grund: Cloud Intelligence™ bedient Tausende von Kunden in mehr als 75 Ländern und ist ein großes verteiltes System. Jede ausgehende Verbindung auf zehn feste, global geroutete Adressen festzulegen – und diese stabil zu halten, während die Plattform wächst – hat erheblichen Engineering-Aufwand erfordert.

Die Liste gilt unabhängig davon, wo Sie Ihre Umgebung betreiben. Wenn Sie eingehenden Zugriff nach Quell-IP einschränken – über AWS Security Groups, Azure-NSG-Regeln, Firewall-Regeln oder API-Zugriffslisten –, haben Sie jetzt die exakten Adressen für Ihre Allowlist.

Unterstützung für VPC Service Controls – für Google Cloud

Wenn Sie Ihre Google-Cloud-Umgebung mit einem Service-Perimeter schützen, finden Sie auf der Seite "Network access" die getestete Konfiguration: ein Access Level, das beide VPC-Netzwerke von Cloud Intelligence™ abdeckt, plus zwei richtungsabhängige Richtlinien – je nachdem, was Ihr Perimeter einschränkt. Eine Egress-Regel für die IAM Service Account Credentials API sowie eine Ingress-Regel für den Log-Sink-Writer auf Organisationsebene, falls Sie BigQuery-APIs einschränken. Das Access Level begrenzt alles, sodass nur Anfragen aus den Netzwerken von Cloud Intelligence™ auf die Regeln passen können – und IAM steuert weiterhin, wer Tokens für die einzelnen Service-Accounts generieren darf.

So legen Sie los

1. Nehmen Sie die ausgehenden IP-Adressen von der Seite Network access in die Allowlist Ihrer Firewall oder Ihrer API-Zugriffslisten auf.
2. In Google Cloud mit VPC Service Controls: Konfigurieren Sie anhand derselben Seite Ihr Access Level und die richtungsabhängigen Richtlinien.
3. Richten Sie BigQuery Intelligence ein und lassen Sie es mit Ihren echten Workloads laufen.

All das steht ab sofort allen Kunden zur Verfügung.