保護你的 Compute Engine 和 GKE 資源
加密貨幣挖礦需要存取您的 Compute Engine 和 GKE 資源。以下是可以幫助企業保護Compute Engine 和 GKE 資源的最佳做法：
保護你的 VM 映像
透過設定 Shielded VM（受防護的 VM）以強化 VM 映像檔。Shielded VM 主要防止在開機時載入 Kernel 層級的惡意軟體或 Rootkit 等惡意程式，能提供開機安全、監控系統完整性並使用虛擬信任平台模組 (vTPM)。
要限制可供部署的映像檔，你可以透過設定 trusted image policies。組織政策「Define trusted image projects」能定義哪些專案可以儲存映像檔和使用 Persistent Disk，確保這些專案項目中只存在受信任和被維護的映像檔。
在 GKE 中，確保你的容器使用 基礎映像檔（Base images），這些映像檔會定期更新安全程式。此外，請考慮使用 distroless 容器映像檔，它只有包含你的應用程式及其運行時所需要的軟體。
保護對 VM 的 SSH 連線
透過設定 OS Login 可管理對 Compute Engine 上虛擬機的 SSH 連線。OS Login 藉由連結管理者的 Linux 用戶帳戶與其 Google 身分來簡化 SSH 連線存取管理。而 OS Login 與 IAM 搭配使用，便可定義管理者擁有的權限。
有關上述詳細資訊，請參閱保護 VM 和容器。
限制 Service Account
Service Account 是指工作負載要呼叫 Google API 服務的一種 Google Cloud 帳戶。Google 建議企業在創建資源時，不要讓 Google Cloud 將預設 Service Account 角色分配給資源。有關詳細資訊，請參閱限制 Service Account 的使用。
如果你的應用程式在 GCP 之外的環境執行，但仍需要存取 GCP 資源，請不要直接使用 Service Account 金鑰。應導入工作負載身分聯盟來管理外部身分以及相關的權限。若是在 GKE，你可以使用工作負載身分（Workload Identity）。有關詳細資訊，請參閱 Service Account 的替代方案。
關於保護 Service Account 的更多最佳實務，請參閱 使用 Service Account 的最佳實踐。
監控 Service Account 和 Service Account 金鑰的使用情況
設置監控 Service Account，以便能追踪 Service Account 和 Service Account 金鑰在組織中的使用情形。想了解顯著的使用模式，請使用 Service Account insights。例如，你可以使用 Service Account 洞察來追蹤在你項目中權限的使用情況，並找出未使用的 Service Account。要查看你的 Service Account 和金鑰最後一次用於呼叫 Google API 進行身份驗證的時間，請查看 Service Account 和 Service Account 金鑰的最近使用情況。
監控及修補 VM/容器
為了發動加密貨幣挖礦攻擊，攻擊者通常會利用錯誤配置和軟體漏洞來存取 Compute Engine 和 GKE 資源。
要深入了解你環境中的漏洞和錯誤配置，請使用 Security Health Analytics 掃描你的資源。尤其如果你有使用 Security Command Center Premium，請查看 Compute Engine instance findings 和 Container findings ，並設置流程以快速解決處理。
透過使用 Container Analysis 能檢查儲存在 Artifact Registry 或 Container Registry 中的容器映像檔是否存在弱點。
請確保你的企業組織可以在更新程式（Patches）釋出可用時立即安裝更新。你可以使用 Compute Engine 的 OS patch management，而 Google 則會自動修補 GKE 中的漏洞。有關詳細資訊，請參閱保持映像和叢集更新。
