先に結果だけまとめます。
Cloud RunとFirebase HostingはデフォルトでTLS 1.2以上ですが、それ以外のサービスはTLS 1.0や1.1での通信が許可されていました。

各サービスのデフォルトのTLSバージョン対応状況

nmapを利用して確認します。
実行するコマンドは下記です。

nmap -sV --script ssl-enum-ciphers -p 443 <host>

App Engine

脆弱性のある「TLS_RSA_WITH_3DES_EDE_CBC_SHA」が有効であり、least strengthは C という結果です。

Cloud Functions

App Engineと同様の結果でした。
Cloud Functionsについては、第1世代を利用する場合は上記の通りですが、第2世代の場合はCloud Runのエンドポイントでも通信できるため、Cloud Functionsのエンドポイントを利用しないという対策も考えられそうです。

Cloud Run

TLS 1.0と1.1が無効になっており、脆弱性のある暗号化方式も利用できない設定でした。
least strengthは A という結果です。

API Gateway

App EngineやCloud Functionsと同様の結果です。
脆弱性のある 3DES が利用できる状態であり、SWEET32攻撃のリスクがあります。

Firebase Hosting

Cloud Runと同様、TLS 1.0や1.1はデフォルトで利用できません。

Cloud Runであれば、脆弱性のある暗号化方式が利用されていないため、問題ありません。
それ以外のサービスは Cloud Load Balancing を組み合わせることで、TLSの最小バージョンや暗号スイートを選択できます。

SSL プロトコルと TLS プロトコルの SSL ポリシー

Google CloudのさまざまなサービスのTLSバージョンを調査いたしました。

Cloud RunやFirebase HostingではデフォルトでTLS 1.2以上のため安全です。
App Engine、Cloud Functions、API GatewayについてはTLS 1.0や1.1を利用できてしまうため、必要に応じてCloud Load Balancingを利用してTLSの最小バージョンを設定しましょう。

ちなみに、今回触れたサービス以外のGoogle Cloudサービスについては、組織ポリシーで制限することも可能です。
TLS バージョンを制限する

 
システムサポートでは、Google Cloudの活用したシステム開発や導入支援を行っております。
システムのセキュリティにお悩みの方も、ぜひお気軽にご相談ください。