Este principio del pilar de seguridad del framework de arquitectura te ayuda a garantizar una seguridad integral en todas tus cargas de trabajo en la nube.Google Cloud El principio de confianza cero hace hincapié en las siguientes prácticas:
- Elimina la confianza implícita
- Aplica el principio de privilegio mínimo al control de acceso
- Aplicación forzosa de la validación explícita de todas las solicitudes de acceso
- Adoptar una mentalidad de suposición de incumplimiento para permitir la verificación continua y la supervisión de la postura de seguridad
Descripción general de los principios
El modelo de confianza cero cambia el enfoque de la seguridad basada en el perímetro a un enfoque en el que ningún usuario o dispositivo se considera inherentemente confiable. En cambio, cada solicitud de acceso debe verificarse, independientemente de su origen. Este enfoque implica autenticar y autorizar a todos los usuarios y dispositivos, validar su contexto (ubicación y postura del dispositivo) y otorgar acceso de privilegio mínimo solo a los recursos necesarios.
La implementación del modelo de confianza cero ayuda a tu organización a mejorar su postura de seguridad, ya que minimiza el impacto de posibles violaciones y protege los datos y las aplicaciones sensibles contra el acceso no autorizado. El modelo de confianza cero te ayuda a garantizar la confidencialidad, integridad y disponibilidad de los datos y los recursos en la nube.
Recomendaciones
Para implementar el modelo de confianza cero en tus cargas de trabajo en la nube, ten en cuenta las recomendaciones de las siguientes secciones:
Protege la red
Esta recomendación es relevante para el siguiente área de enfoque: seguridad de la infraestructura.
La transición de la seguridad convencional basada en el perímetro a un modelo de confianza cero requiere varios pasos. Es posible que tu organización ya haya integrado ciertos controles de confianza cero en su postura de seguridad. Sin embargo, un modelo de confianza cero no es un producto o una solución únicos. En cambio, es una integración integral de prácticas recomendadas y varias capas de seguridad. En esta sección, se describen las recomendaciones y técnicas para implementar la confianza cero para la seguridad de la red.
- Control de acceso: Aplica controles de acceso basados en la identidad y el contexto del usuario con soluciones como Chrome Enterprise Premium y Identity-Aware Proxy (IAP). De esta manera, trasladas la seguridad del perímetro de la red a los usuarios y dispositivos individuales. Este enfoque habilita el control de acceso detallado y reduce la superficie de ataque.
- Seguridad de la red: Asegura las conexiones de red entre tus entornos locales, Google Cloudy de múltiples nubes.
- Usa los métodos de conectividad privada de Cloud Interconnect y VPN de IPsec.
- Para ayudar a proteger el acceso a los Google Cloud servicios y las APIs, usa Private Service Connect.
- Para ayudar a proteger el acceso saliente de las cargas de trabajo implementadas en GKE Enterprise, usa las puertas de enlace de salida de Cloud Service Mesh.
- Diseño de red: Evita posibles riesgos de seguridad borrando las redes predeterminadas en proyectos existentes y, luego, inhabilita la creación de redes predeterminadas en proyectos nuevos.
- Para evitar conflictos, planifica tu red y la asignación de direcciones IP con cuidado.
- Para aplicar un control de acceso eficaz, limita la cantidad de redes de nube privada virtual (VPC) por proyecto.
- Segmentación: Aísla las cargas de trabajo, pero mantén la administración de red centralizada.
- Para segmentar tu red, usa VPC compartida.
- Define políticas y reglas de firewall a nivel de organización, carpeta y red de VPC.
- Para evitar el robo de datos, establece perímetros seguros alrededor de los datos y servicios sensibles con los Controles del servicio de VPC.
- Seguridad del perímetro: Protege contra ataques DDoS y amenazas de aplicaciones web.
- Para protegerte contra amenazas, usa Google Cloud Armor.
- Configura políticas de seguridad para permitir, denegar o redireccionar el tráfico en el bordeGoogle Cloud .
- Automatización: Automatiza el aprovisionamiento de la infraestructura con la adopción de los principios de infraestructura como código (IaC) y el uso de herramientas como Terraform, Jenkins y Cloud Build. La IaC ayuda a garantizar configuraciones de seguridad coherentes, implementaciones simplificadas y reversiones rápidas en caso de problemas.
- Base segura: Establece un entorno de aplicación seguro con el plano de base empresarial. Este modelo proporciona orientación prescriptiva y secuencias de comandos de automatización para ayudarte a implementar las prácticas recomendadas de seguridad y configurar tus recursos deGoogle Cloud de forma segura.
Verifica cada intento de acceso de forma explícita
Esta recomendación es relevante para las siguientes áreas de enfoque:
- Administración de identidades y accesos
- Operaciones de seguridad (SecOps)
- Registro, auditoría y supervisión
Implementa mecanismos de autenticación y autorización sólidos para cualquier usuario, dispositivo o servicio que intente acceder a tus recursos en la nube. No dependas de la ubicación ni del perímetro de red como control de seguridad. No confíes automáticamente en ningún usuario, dispositivo o servicio, incluso si ya está dentro de la red. En cambio, cada intento de acceso a los recursos debe autenticarse y autorizarse de forma rigurosa. Debes implementar medidas de verificación de identidad sólidas, como la autenticación de varios factores (MFA). También debes asegurarte de que las decisiones de acceso se basen en políticas detalladas que tengan en cuenta varios factores contextuales, como el rol del usuario, la posición del dispositivo y la ubicación.
Para implementar esta recomendación, usa los siguientes métodos, herramientas y tecnologías:
- Administración de identidad unificada: Usa un solo proveedor de identidad (IdP) para garantizar una administración de identidad coherente en toda tu organización.
- Google Cloud admite la federación con la mayoría de los IdP, incluido Active Directory local. La federación te permite extender tu infraestructura de administración de identidades existente a Google Cloud y habilitar el inicio de sesión único (SSO) para los usuarios.
- Si no tienes un IdP existente, considera usar Cloud Identity Premium o Google Workspace.
- Permisos limitados de la cuenta de servicio: Usa las cuentas de servicio con cuidado y cumple con el principio de privilegio mínimo.
- Otorga solo los permisos necesarios para que cada cuenta de servicio realice sus tareas designadas.
- Usa la federación de Workload Identity para las aplicaciones que se ejecutan en Google Kubernetes Engine (GKE) o fuera deGoogle Cloud para acceder a los recursos de forma segura.
- Procesos sólidos: Actualiza tus procesos de identidad para que se alineen con las prácticas recomendadas de seguridad en la nube.
- Para garantizar el cumplimiento de los requisitos regulatorios, implementa la administración de identidades para hacer un seguimiento del acceso, los riesgos y los incumplimientos de políticas.
- Revisa y actualiza tus procesos existentes para otorgar roles y permisos de control de acceso y auditarlos.
- Autenticación reforzada: Implementa el SSO para la autenticación de los usuarios y la MFA para las cuentas con privilegios.
- Google Cloud admite varios métodos de MFA, incluidas las llaves de seguridad Titan, para mejorar la seguridad.
- Para la autenticación de cargas de trabajo, usa OAuth 2.0 o tokens web JSON (JWT) firmados.
- Privilegio mínimo: Minimiza el riesgo de acceso no autorizado y violaciones de la seguridad de los datos aplicando los principios de privilegio mínimo y separación de tareas.
- Evita el aprovisionamiento excesivo del acceso de los usuarios.
- Considera implementar el acceso con privilegios justo a tiempo para las operaciones sensibles.
- Registro: Habilita el registro de auditoría para las actividades de acceso a los datos y del administrador.
- Para el análisis y la detección de amenazas, escanea los registros con Security Command Center Enterprise o Google Security Operations.
- Configura las políticas de retención de registros adecuadas para equilibrar las necesidades de seguridad con los costos de almacenamiento.
Supervisa y mantén tu red
Esta recomendación es relevante para las siguientes áreas de enfoque:
- Registro, auditoría y supervisión
- Seguridad para aplicaciones
- Operaciones de seguridad (SecOps)
- Seguridad de la infraestructura
Cuando planifiques y, luego, implementes medidas de seguridad, asume que un atacante ya está dentro de tu entorno. Este enfoque proactivo implica usar las siguientes variadas herramientas y técnicas para proporcionar visibilidad de tu red:
Registro y supervisión centralizados: Recopila y analiza los registros de seguridad de todos tus recursos de la nube a través de la supervisión y el registro centralizados.
- Establecer modelos de referencia para el comportamiento normal de la red, detectar anomalías y identificar posibles amenazas
- Analizar de forma continua los flujos de tráfico de red para identificar patrones sospechosos y posibles ataques
Estadísticas sobre el rendimiento y la seguridad de la red: Usa herramientas como Network Analyzer. Supervisa el tráfico en busca de protocolos inusuales, conexiones inesperadas o aumentos repentinos en la transferencia de datos, que podrían indicar actividad maliciosa.
Análisis y solución de vulnerabilidades: Analiza tu red y tus aplicaciones en busca de vulnerabilidades con regularidad.
- Usa Web Security Scanner, que puede identificar automáticamente vulnerabilidades en tus instancias, contenedores y clústeres de GKE de Compute Engine.
- Prioriza la corrección según la gravedad de las vulnerabilidades y su posible impacto en tus sistemas.
Detección de intrusiones: Supervisa el tráfico de red en busca de actividad maliciosa y bloquea automáticamente eventos sospechosos o recibe alertas sobre ellos con Cloud IDS y el servicio de prevención de intrusiones de Cloud NGFW.
Análisis de seguridad: Considera implementar Google SecOps para correlacionar eventos de seguridad de varias fuentes, proporcionar un análisis en tiempo real de las alertas de seguridad y facilitar la respuesta a incidentes.
Parámetros de configuración coherentes: Asegúrate de tener parámetros de configuración de seguridad coherentes en toda la red con las herramientas de administración de configuración.