IP in uscita fissi e supporto documentato per VPC Service Controls

Cloud Intelligence™ pubblica ora un elenco di IP in uscita fissi per qualsiasi cloud e una configurazione documentata di VPC Service Controls per Google Cloud.

Ogni security review di una piattaforma di terze parti si scontra sempre con le stesse due domande. Da quali indirizzi IP vi connettete, e come possiamo farvi passare attraverso il nostro perimetro senza allentarlo. Finora Cloud Intelligence™ non aveva una risposta pubblica alla prima domanda, e la seconda si risolveva andando per tentativi: VPC Service Controls blocca by design le chiamate API che attraversano il perimetro, quindi funzionalità come BigQuery Intelligence si bloccavano al perimetro, con violazioni registrate nel log di audit e un thread di supporto per venirne a capo.

Ora entrambe le domande hanno risposte documentate, raccolte in un'unica pagina: Network access.

Un elenco di IP in uscita fissi, per ogni cloud

È la prima volta che ne pubblichiamo uno, e c'è un motivo se ci è voluto del tempo. Cloud Intelligence™ serve migliaia di clienti in più di 75 Paesi ed è un sistema distribuito di grandi dimensioni. Vincolare ogni connessione in uscita a dieci indirizzi fissi, con routing globale, e mantenerli tali man mano che la piattaforma cresce, ha richiesto un vero lavoro di ingegneria.

L'elenco vale indipendentemente da dove opera. Se limita l'accesso in entrata in base all'IP di origine, con security group AWS, regole NSG di Azure, regole firewall o liste di accesso alle API, ora ha a disposizione gli indirizzi esatti da inserire in allowlist.

Supporto per VPC Service Controls, su Google Cloud

Se protegge il suo ambiente Google Cloud con un perimetro di servizio, nella pagina Network access trova la configurazione testata: un access level che copre entrambe le reti VPC di Cloud Intelligence™, più due policy direzionali a seconda di cosa limita il suo perimetro. Una regola di egress per la IAM Service Account Credentials API e una regola di ingress per il writer del log sink a livello di organizzazione, se limita le API di BigQuery. L'access level circoscrive tutto, così solo le richieste provenienti dalle reti di Cloud Intelligence™ possono corrispondere alle regole, e IAM continua a controllare chi può generare token per ciascun service account.

Come iniziare

1. Inserisca in allowlist, nel suo firewall o nelle liste di accesso alle API, gli indirizzi IP in uscita indicati nella pagina Network access.
2. Su Google Cloud con VPC Service Controls, segua la stessa pagina per configurare l'access level e le policy direzionali.
3. Configuri BigQuery Intelligence e lo lasci lavorare sui suoi workloads reali.

La funzionalità è disponibile da oggi per tutti i clienti.