Este princípio no pilar de segurança da Google Cloud estrutura bem arquitetada ajuda a garantir uma segurança abrangente nas suas cargas de trabalho na nuvem. O princípio de confiança zero enfatiza as seguintes práticas:
- Eliminar a confiança implícita
- Aplicar o princípio do menor privilégio ao controlo de acesso
- Aplicar a validação explícita de todos os pedidos de acesso
- Adotar uma mentalidade de assumir violação para permitir a validação contínua e a monitorização da postura de segurança
Vista geral do princípio
O modelo de confiança zero muda o foco da segurança da segurança baseada no perímetro para uma abordagem em que nenhum utilizador ou dispositivo é considerado inerentemente fidedigno. Em vez disso, todos os pedidos de acesso têm de ser validados, independentemente da sua origem. Esta abordagem envolve a autenticação e a autorização de todos os utilizadores e dispositivos, a validação do respetivo contexto (localização e postura do dispositivo) e a concessão do acesso com privilégios mínimos apenas aos recursos necessários.
A implementação do modelo de confiança zero ajuda a sua organização a melhorar a postura de segurança, minimizando o impacto de potenciais violações e protegendo dados e aplicações confidenciais contra acesso não autorizado. O modelo de confiança zero ajuda a garantir a confidencialidade, a integridade e a disponibilidade dos dados e dos recursos na nuvem.
Recomendações
Para implementar o modelo de confiança zero para as suas cargas de trabalho na nuvem, considere as recomendações nas secções seguintes:
- Proteja a sua rede
- Valide explicitamente todas as tentativas de acesso
- Monitorize e mantenha a sua rede
Proteja a sua rede
Esta recomendação é relevante para a seguinte área de foco: Segurança da infraestrutura.
A transição da segurança convencional baseada no perímetro para um modelo de confiança zero requer vários passos. A sua organização pode já ter integrado determinados controlos de confiança zero na sua abordagem de segurança. No entanto, um modelo de confiança zero não é um produto nem uma solução singular. Em alternativa, é uma integração holística de várias camadas de segurança e práticas recomendadas. Esta secção descreve as recomendações e as técnicas para implementar a confiança zero para a segurança de rede.
- Controlo de acesso: aplique controlos de acesso com base na identidade do utilizador e no contexto através de soluções como o Chrome Enterprise Premium e o Identity-Aware Proxy (IAP). Ao fazê-lo, transfere a segurança do perímetro da rede para utilizadores e dispositivos individuais. Esta abordagem permite um controlo de acesso detalhado e reduz a superfície de ataque.
- Segurança de rede: proteja as ligações de rede entre os seus ambientes nas instalações, Google Cloude de várias nuvens.
- Use os métodos de conetividade privada do Cloud Interconnect e das VPNs IPsec.
- Para ajudar a proteger o acesso aos Google Cloud serviços e APIs, use o Private Service Connect.
- Para ajudar a proteger o acesso de saída de cargas de trabalho implementadas no GKE Enterprise, use gateways de saída do Cloud Service Mesh.
- Conceção de rede: evite potenciais riscos de segurança eliminando as redes predefinidas em projetos existentes e desativando a criação de redes predefinidas em novos projetos.
- Para evitar conflitos, planeie cuidadosamente a sua rede e a atribuição de endereços IP.
- Para aplicar um controlo de acesso eficaz, limite o número de redes da nuvem virtual privada (VPC) por projeto.
- Segmentação: isole cargas de trabalho, mas mantenha a gestão de rede centralizada.
- Para segmentar a sua rede, use a VPC partilhada.
- Defina políticas e regras de firewall ao nível da organização, da pasta e da rede de VPC.
- Para evitar a exfiltração de dados, estabeleça perímetros seguros em torno de dados e serviços sensíveis através dos VPC Service Controls.
- Segurança do perímetro: proteja-se contra ataques DDoS e ameaças de aplicações Web.
- Para se proteger contra ameaças, use o Google Cloud Armor.
- Configure políticas de segurança para permitir, recusar ou redirecionar tráfego no limite da rede.Google Cloud
- Automatização: automatize o aprovisionamento de infraestruturas adotando os princípios de infraestrutura como código (IaC) e usando ferramentas como o Terraform, o Jenkins e o Cloud Build. A IaC ajuda a garantir configurações de segurança consistentes, implementações simplificadas e reversões rápidas em caso de problemas.
- Base segura: estabeleça um ambiente de aplicação seguro através do projeto de base empresarial. Este plano detalhado fornece orientações normativas e scripts de automatização para ajudar a implementar práticas recomendadas de segurança e configurar os seus Google Cloud recursos em segurança.
Validar explicitamente todas as tentativas de acesso
Esta recomendação é relevante para as seguintes áreas de foco:
- Gestão de identidade e de acesso
- Operações de segurança (SecOps)
- Registo, auditoria e monitorização
Implemente mecanismos de autenticação e autorização fortes para qualquer utilizador, dispositivo ou serviço que tente aceder aos seus recursos na nuvem. Não confie no local ou no perímetro da rede como um controlo de segurança. Não confie automaticamente em nenhum utilizador, dispositivo ou serviço, mesmo que já estejam na rede. Em alternativa, todas as tentativas de acesso a recursos têm de ser rigorosamente autenticadas e autorizadas. Tem de implementar medidas de validação de identidade fortes, como a autenticação multifator (MFA). Também tem de garantir que as decisões de acesso se baseiam em políticas detalhadas que consideram vários fatores contextuais, como a função do utilizador, a postura do dispositivo e a localização.
Para implementar esta recomendação, use os seguintes métodos, ferramentas e tecnologias:
- Gestão de identidades unificada: garanta uma gestão de identidades consistente em toda a sua organização através de um único fornecedor de identidade (IdP).
- Google Cloud Suporta a federação com a maioria dos IdPs, incluindo o Active Directory no local. A federação permite-lhe expandir a sua infraestrutura de gestão de identidades existente para Google Cloud e ativar o Início de sessão único (SSO) para os utilizadores.
- Se não tiver um IdP existente, considere usar o Cloud ID Premium ou o Google Workspace.
- Autorizações limitadas da conta de serviço: use contas de serviço com cuidado e cumpra o princípio do menor privilégio.
- Conceda apenas as autorizações necessárias para que cada conta de serviço execute as respetivas tarefas designadas.
- Use a Federação do Workload Identity para aplicações que são executadas no Google Kubernetes Engine (GKE) ou fora do GKEGoogle Cloud para aceder a recursos de forma segura.
- Processos robustos: atualize os seus processos de identidade para se alinharem com as práticas recomendadas de segurança na nuvem.
- Para ajudar a garantir a conformidade com os requisitos regulamentares, implemente a gestão de identidades para monitorizar o acesso, os riscos e as violações de políticas.
- Reveja e atualize os seus processos existentes para conceder e auditar funções e autorizações de controlo de acesso.
- Autenticação forte: implemente o SSO para a autenticação do utilizador e
implemente a MFA para contas privilegiadas.
- Google Cloud Suporta vários métodos de MFA, incluindo chaves de segurança Titan, para maior segurança.
- Para a autenticação de cargas de trabalho, use o OAuth 2.0 ou símbolos da Web JSON (JWTs) assinados.
- Menor privilégio: minimize o risco de acesso não autorizado e violações de dados aplicando os princípios do menor privilégio e da separação de funções.
- Evite o aprovisionamento excessivo do acesso dos utilizadores.
- Pondere implementar o acesso privilegiado just-in-time para operações confidenciais.
- Registo: ative o registo de auditoria para atividades de administrador e de acesso a dados.
- Para análise e deteção de ameaças, analise os registos através do Security Command Center Enterprise ou do Google Security Operations.
- Configure políticas de retenção de registos adequadas para equilibrar as necessidades de segurança com os custos de armazenamento.
Monitorize e mantenha a sua rede
Esta recomendação é relevante para as seguintes áreas de foco:
- Registo, auditoria e monitorização
- Segurança para aplicações
- Operações de segurança (SecOps)
- Segurança das infraestruturas
Quando planear e implementar medidas de segurança, parta do princípio de que um atacante já está no seu ambiente. Esta abordagem proativa envolve a utilização das seguintes várias ferramentas e técnicas para fornecer visibilidade da sua rede:
Registo e monitorização centralizados: recolha e analise registos de segurança de todos os seus recursos na nuvem através de registo e monitorização centralizados.
- Estabelecer bases de referência para o comportamento normal da rede, detetar anomalias e identificar potenciais ameaças.
- Analisar continuamente os fluxos de tráfego de rede para identificar padrões suspeitos e potenciais ataques.
Estatísticas sobre o desempenho e a segurança da rede: use ferramentas como o analisador de rede. Monitorize o tráfego para detetar protocolos invulgares, ligações inesperadas ou picos súbitos na transferência de dados, que podem indicar atividade maliciosa.
Análise e correção de vulnerabilidades: analise regularmente a sua rede e aplicações para detetar vulnerabilidades.
- Use o Web Security Scanner, que pode identificar automaticamente vulnerabilidades nas suas instâncias do Compute Engine, contentores e clusters do GKE.
- Priorize a correção com base na gravidade das vulnerabilidades e no respetivo impacto potencial nos seus sistemas.
Deteção de intrusões: monitorize o tráfego de rede quanto a atividade maliciosa e bloqueie automaticamente ou receba alertas de eventos suspeitos através do Cloud IDS e do serviço de prevenção de intrusões do Cloud NGFW.
Análise de segurança: considere implementar o Google SecOps para correlacionar eventos de segurança de várias origens, fornecer análise em tempo real de alertas de segurança e facilitar a resposta a incidentes.
Configurações consistentes: certifique-se de que tem configurações de segurança consistentes na sua rede através de ferramentas de gestão de configurações.