Questo principio del pilastro della sicurezza del Google Cloud framework dell'architettura ti aiuta a garantire una sicurezza completa per i tuoi carichi di lavoro cloud. Il principio di Zero Trust enfatizza le seguenti pratiche:
- Eliminazione della fiducia implicita
- Applicazione del principio del privilegio minimo al controllo degli accessi
- Applicazione della convalida esplicita di tutte le richieste di accesso
- Adottare una mentalità di presumi violazione per abilitare la verifica e il monitoraggio continuo della strategia di sicurezza
Panoramica dei principi
Il modello zero trust sposta l'attenzione dalla sicurezza perimetrale a un approccio in cui nessun utente o dispositivo è considerato intrinsecamente attendibile. Invece, ogni richiesta di accesso deve essere verificata, indipendentemente dalla sua provenienza. Questo approccio prevede l'autenticazione e l'autorizzazione di ogni utente e dispositivo, la convalida del contesto (posizione e stato del dispositivo) e la concessione dell'accesso con privilegio minimo solo alle risorse necessarie.
L'implementazione del modello Zero Trust aiuta la tua organizzazione a migliorare la propria security posture riducendo al minimo l'impatto di potenziali violazioni e proteggendo i dati e le applicazioni sensibili da accessi non autorizzati. Il modello di sicurezza zero-trust ti aiuta a garantire la riservatezza, l'integrità e la disponibilità di dati e risorse nel cloud.
Consigli
Per implementare il modello Zero Trust per i tuoi carichi di lavoro cloud, tieni presenti i consigli riportati nelle seguenti sezioni:
Protezione della rete
Questo consiglio è pertinente alla seguente area di interesse: Sicurezza dell'infrastruttura.
La transizione dalla sicurezza perimetrale convenzionale a un modello Zero Trust richiede più passaggi. La tua organizzazione potrebbe aver già integrato determinati controlli zero trust nella propria strategia di sicurezza. Tuttavia, un modello Zero Trust non è un prodotto o una soluzione singola. Si tratta invece di un'integrazione olistica di diversi livelli di sicurezza e best practice. Questa sezione descrive consigli e tecniche per implementare il modello zero trust per la sicurezza di rete.
- Controllo dell'accesso: applica i controlli dell'accesso in base all'identità e al contesto dell'utente utilizzando soluzioni come Chrome Enterprise Premium e Identity-Aware Proxy (IAP). In questo modo, sposti la sicurezza dal perimetro della rete ai singoli utenti e dispositivi. Questo approccio consente il controllo dell'accesso granulare e riduce la superficie di attacco.
- Sicurezza di rete: connetti in sicurezza le reti tra i tuoi ambienti on-premise, Google Cloude multi-cloud.
- Utilizza i metodi di connettività privata di Cloud Interconnect e VPN IPsec.
- Per contribuire a proteggere l'accesso a Google Cloud servizi e API, utilizza Private Service Connect.
- Per contribuire a proteggere l'accesso in uscita dai carichi di lavoro di cui è stato eseguito il deployment su GKE Enterprise, utilizza i gateway in uscita di Cloud Service Mesh.
- Progettazione della rete: evita potenziali rischi per la sicurezza eliminando le reti predefinite nei progetti esistenti e disattivando la creazione di reti predefinite nei nuovi progetti.
- Per evitare conflitti, pianifica attentamente l'allocazione della rete e degli indirizzi IP.
- Per applicare un controllo dell'accesso efficace, limita il numero di reti Virtual Private Cloud (VPC) per progetto.
- Segmentazione: isola i workload, ma mantieni la gestione centralizzata della rete.
- Per segmentare la rete, utilizza VPC condiviso.
- Definisci criteri e regole firewall a livello di organizzazione, cartella e rete VPC.
- Per impedire l'esfiltrazione di dati, stabilisci perimetri sicuri attorno a dati e servizi sensibili utilizzando Controlli di servizio VPC.
- Sicurezza del perimetro: protezione da attacchi DDoS e minacce alle applicazioni web.
- Per proteggerti dalle minacce, utilizza Google Cloud Armor.
- Configura i criteri di sicurezza per consentire, negare o reindirizzare il traffico a livello diGoogle Cloud periferia.
- Automazione: automatizza il provisioning dell'infrastruttura adottando i principi di Infrastructure as Code (IaC) e utilizzando strumenti come Terraform, Jenkins e Cloud Build. La IaC contribuisce a garantire configurazioni di sicurezza coerenti, deployment semplificati e rollback rapidi in caso di problemi.
- Base sicura: crea un ambiente di applicazione sicuro utilizzando il progetto di base di un'azienda. Questo blueprint fornisce indicazioni prescrittive e script di automazione per aiutarti a implementare le best practice per la sicurezza e configurare le tue risorseGoogle Cloud in modo sicuro.
Verificare esplicitamente ogni tentativo di accesso
Questo consiglio è pertinente per le seguenti aree di interesse:
- Gestione di identità e accessi
- Operazioni di sicurezza (SecOps)
- Logging, controllo e monitoraggio
Implementa meccanismi di autenticazione e autorizzazione efficaci per qualsiasi utente, dispositivo o servizio che tenta di accedere alle tue risorse cloud. Non fare affidamento sulla posizione o sul perimetro di rete come controllo di sicurezza. Non considerare attendibile automaticamente nessun utente, dispositivo o servizio, anche se si trova già all'interno della rete. Al contrario, ogni tentativo di accesso alle risorse deve essere autenticato e autorizzato in modo rigoroso. Devi implementare misure di verifica dell'identità efficaci, come l'autenticazione a più fattori (MFA). Devi anche assicurarti che le decisioni sull'accesso si basino su criteri granulari che prendono in considerazione vari fattori contestuali, come il ruolo dell'utente, la posizione e la modalità del dispositivo.
Per implementare questo consiglio, utilizza i seguenti metodi, strumenti e tecnologie:
- Gestione unificata delle identità: assicurati una gestione coerente delle identità
in tutta l'organizzazione utilizzando un unico provider di identità (IdP).
- Google Cloud supporta la federazione con la maggior parte degli IdP, tra cui Active Directory on-premise. La federazione ti consente di estendere l'infrastruttura di gestione delle identità esistente Google Cloud e di attivare il Single Sign-On (SSO) per gli utenti.
- Se non hai un IdP esistente, ti consigliamo di utilizzare Cloud Identity Premium o Google Workspace.
- Autorizzazioni degli account di servizio limitate: utilizza gli
account di servizio
con attenzione e rispetta il principio del privilegio minimo.
- Concedi solo le autorizzazioni necessarie per consentire a ogni service account di svolgere le attività designate.
- Utilizza la federazione delle identità per i carichi di lavoro per le applicazioni in esecuzione su Google Kubernetes Engine (GKE) o al di fuoriGoogle Cloud per accedere alle risorse in modo sicuro.
- Procedure efficaci: aggiorna le procedure di identità in modo che rispettino le best practice per la sicurezza nel cloud.
- Per contribuire a garantire la conformità ai requisiti normativi, implementa la governance delle identità per monitorare accessi, rischi e violazioni dei criteri.
- Rivedi e aggiorna le procedure esistenti per la concessione e il controllo di autorizzazioni e ruoli di controllo dell'accesso.
- Autenticazione forte: implementa l'accesso singolo per l'autenticazione utente e l'autenticazione a più fattori per gli account con privilegi.
- Google Cloud supporta vari metodi MFA, tra cui i token di sicurezza Titan, per una maggiore sicurezza.
- Per l'autenticazione del carico di lavoro, utilizza OAuth 2.0 o token web JSON (JWT) firmati.
- Privilegio minimo: riduci al minimo il rischio di accessi non autorizzati e violazioni dei dati applicando i principi del privilegio minimo e della separazione dei compiti.
- Evita di eseguire il provisioning eccessivo dell'accesso utente.
- Valuta la possibilità di implementare l'accesso con privilegi just-in-time per le operazioni sensibili.
- Logging: attiva l'audit logging per le attività di accesso ai dati e di amministrazione.
- Per l'analisi e il rilevamento delle minacce, esegui la scansione dei log utilizzando Security Command Center Enterprise o Google Security Operations.
- Configura criteri di conservazione dei log appropriati per bilanciare le esigenze di sicurezza con i costi di archiviazione.
Monitora e gestisci la tua rete
Questo consiglio è pertinente per le seguenti aree di interesse:
- Logging, controllo e monitoraggio
- Sicurezza delle applicazioni
- Operazioni di sicurezza (SecOps)
- Sicurezza dell'infrastruttura
Quando pianifichi e implementi le misure di sicurezza, presupponi che un malintenzionato sia già all'interno del tuo ambiente. Questo approccio proattivo prevede l'utilizzo di diversi strumenti e tecniche per fornire visibilità sulla tua rete:
Logging e monitoraggio centralizzati: raccogli e analizza i log di sicurezza di tutte le tue risorse cloud tramite logging e monitoraggio centralizzati.
- Stabilire baseline per il normale comportamento della rete, rilevare anomalie e identificare potenziali minacce.
- Analizza continuamente i flussi di traffico di rete per identificare pattern sospetti e potenziali attacchi.
Approfondimenti sul rendimento e sulla sicurezza della rete: utilizza strumenti come Network Analyzer. Monitora il traffico per rilevare protocolli insoliti, connessioni impreviste o picchi improvvisi nel trasferimento di dati, che potrebbero indicare attività dannose.
Scansione e correzione delle vulnerabilità: esegui regolarmente la scansione della rete e delle applicazioni per rilevare le vulnerabilità.
- Utilizza Web Security Scanner, che può identificare automaticamente le vulnerabilità nelle istanze, nei container e nei cluster GKE di Compute Engine.
- Dai la priorità alla correzione in base alla gravità delle vulnerabilità e al loro potenziale impatto sui tuoi sistemi.
Rilevamento di intrusioni: monitora il traffico di rete per rilevare attività dannose e blocca automaticamente o ricevi avvisi per eventi sospetti utilizzando Cloud IDS e il servizio di prevenzione delle intrusioni Cloud NGFW.
Analisi della sicurezza: valuta la possibilità di implementare Google SecOps per correlare gli eventi di sicurezza provenienti da varie origini, fornire analisi in tempo reale degli avvisi di sicurezza e facilitare la risposta agli incidenti.
Configurazioni coerenti: assicurati di avere configurazioni di sicurezza coerenti nella tua rete utilizzando gli strumenti di gestione della configurazione.