Ce principe du pilier de sécurité du framework d'architectureGoogle Cloud vous aide à assurer une sécurité complète pour l'ensemble de vos charges de travail cloud. Le principe de sécurité "zéro confiance" met l'accent sur les pratiques suivantes:
- Éliminer la confiance implicite
- Appliquer le principe du moindre privilège au contrôle des accès
- Application d'une validation explicite de toutes les demandes d'accès
- Adopter un état d'esprit partant du principe d'une violation pour permettre une vérification et une surveillance continue de la posture de sécurité
Présentation des principes
Le modèle de sécurité zéro confiance déplace l'accent de la sécurité périmétrique vers une approche dans laquelle aucun utilisateur ni aucun appareil n'est considéré comme intrinsèquement fiable. À la place, chaque demande d'accès doit être validée, quelle que soit son origine. Cette approche implique d'authentifier et d'autoriser chaque utilisateur et appareil, de valider leur contexte (position et position de l'appareil) et d'accorder un accès avec le niveau de privilège le plus faible aux seules ressources nécessaires.
L'implémentation du modèle de confiance zéro aide votre organisation à améliorer sa stratégie de sécurité en minimisant l'impact des violations potentielles et en protégeant les données et applications sensibles contre les accès non autorisés. Le modèle de confiance zéro vous aide à garantir la confidentialité, l'intégrité et la disponibilité des données et des ressources dans le cloud.
Recommandations
Pour implémenter le modèle de confiance zéro pour vos charges de travail cloud, tenez compte des recommandations des sections suivantes:
- Sécuriser votre réseau
- Vérifiez explicitement chaque tentative d'accès.
- Surveiller et gérer votre réseau
Sécuriser votre réseau
Cette recommandation s'applique à la zone de concentration suivante : sécurité de l'infrastructure.
La transition d'une sécurité périmétrique classique à un modèle de confiance zéro nécessite plusieurs étapes. Il est possible que votre organisation ait déjà intégré certains contrôles de sécurité zéro confiance à sa stratégie de sécurité. Toutefois, un modèle de confiance zéro n'est pas un produit ou une solution unique. Il s'agit plutôt d'une intégration globale de plusieurs couches de sécurité et de bonnes pratiques. Cette section décrit les recommandations et les techniques permettant d'implémenter la sécurité zéro confiance pour la sécurité du réseau.
- Contrôle des accès: appliquez des contrôles des accès en fonction de l'identité et du contexte de l'utilisateur à l'aide de solutions telles que Chrome Enterprise Premium et Identity-Aware Proxy (IAP). Vous déplacez ainsi la sécurité du périmètre réseau vers les utilisateurs et appareils individuels. Cette approche permet un contrôle précis des accès et réduit la surface d'attaque.
- Sécurité réseau: sécurisez les connexions réseau entre vos environnements sur site, Google Cloudet multicloud.
- Utilisez les méthodes de connectivité privée de Cloud Interconnect et des VPN IPsec.
- Pour sécuriser l'accès aux services et aux API Google Cloud , utilisez Private Service Connect.
- Pour sécuriser l'accès sortant des charges de travail déployées sur GKE Enterprise, utilisez des passerelles de sortie Cloud Service Mesh.
- Conception de réseau: évitez les risques de sécurité potentiels en supprimant les réseaux par défaut dans les projets existants et en désactivant la création de réseaux par défaut dans les nouveaux projets.
- Pour éviter les conflits, planifiez soigneusement votre réseau et l'allocation des adresses IP.
- Pour appliquer un contrôle des accès efficace, limitez le nombre de réseaux cloud privé virtuel (VPC) par projet.
- Segmentation: isolez les charges de travail, tout en conservant une gestion centralisée du réseau.
- Pour segmenter votre réseau, utilisez un VPC partagé.
- Définissez des stratégies et des règles de pare-feu au niveau de l'organisation, du dossier et du réseau VPC.
- Pour éviter l'exfiltration de données, établissez des périmètres sécurisés autour des données et des services sensibles à l'aide de VPC Service Controls.
- Sécurité périmétrique: protection contre les attaques DDoS et les menaces sur les applications Web.
- Pour vous protéger contre les menaces, utilisez Google Cloud Armor.
- Configurez des stratégies de sécurité pour autoriser, refuser ou rediriger le trafic au niveau de laGoogle Cloud .
- Automatisation: automatisez le provisionnement de l'infrastructure en adoptant les principes de l'Infrastructure as Code (IaC) et en utilisant des outils tels que Terraform, Jenkins et Cloud Build. L'intégration continue de la sécurité permet de garantir des configurations de sécurité cohérentes, des déploiements simplifiés et des rollbacks rapides en cas de problème.
- Base sécurisée: établissez un environnement d'application sécurisé à l'aide du plan de base d'entreprise. Ce plan fournit des conseils et des scripts d'automatisation pour vous aider à mettre en œuvre les bonnes pratiques de sécurité et à configurer vos ressourcesGoogle Cloud de manière sécurisée.
Vérifier explicitement chaque tentative d'accès
Cette recommandation s'applique aux axes d'action suivants:
- Gestion de l'authentification et des accès
- Opérations de sécurité (SecOps)
- Journalisation, audit et surveillance
Implémentez des mécanismes d'authentification et d'autorisation stricts pour tout utilisateur, appareil ou service qui tente d'accéder à vos ressources cloud. Ne vous appuyez pas sur l'emplacement ni sur le périmètre réseau comme contrôle de sécurité. N'accordez pas automatiquement de confiance à un utilisateur, à un appareil ou à un service, même s'ils se trouvent déjà dans le réseau. À la place, chaque tentative d'accès aux ressources doit être rigoureusement authentifiée et autorisée. Vous devez mettre en œuvre des mesures de validation d'identité strictes, telles que l'authentification multifacteur (MFA). Vous devez également vous assurer que les décisions d'accès sont basées sur des règles précises qui tiennent compte de divers facteurs contextuels tels que le rôle de l'utilisateur, la position de l'appareil et l'emplacement.
Pour mettre en œuvre cette recommandation, utilisez les méthodes, outils et technologies suivants:
- Gestion unifiée des identités: assurez une gestion cohérente des identités dans l'ensemble de votre organisation à l'aide d'un seul fournisseur d'identité (IdP).
- Google Cloud est compatible avec la fédération avec la plupart des IdP, y compris Active Directory sur site. La fédération vous permet d'étendre votre infrastructure de gestion des identités existante à Google Cloud et d'activer l'authentification unique (SSO) pour les utilisateurs.
- Si vous ne disposez pas d'IDP, envisagez d'utiliser Cloud Identity Premium ou Google Workspace.
- Autorisations limitées des comptes de service: utilisez les comptes de service avec précaution et respectez le principe du moindre privilège.
- N'accordez que les autorisations nécessaires à chaque compte de service pour qu'il puisse effectuer les tâches qui lui sont attribuées.
- Utilisez la fédération d'identité de charge de travail pour les applications exécutées sur Google Kubernetes Engine (GKE) ou exécutées en dehors deGoogle Cloud afin d'accéder aux ressources de manière sécurisée.
- Processus robustes: mettez à jour vos processus d'identité pour qu'ils soient conformes aux bonnes pratiques de sécurité dans le cloud.
- Pour vous assurer de la conformité aux exigences réglementaires, implémentez une gouvernance des identités afin de suivre les accès, les risques et les cas de non-respect des règles.
- Examinez et mettez à jour vos processus existants pour accorder et auditer les rôles et autorisations de contrôle des accès.
- Authentification forte: implémentez l'authentification unique pour l'authentification des utilisateurs et l'authentification multifacteur pour les comptes privilégiés.
- Google Cloud est compatible avec diverses méthodes d'authentification multifacteur, y compris les clés de sécurité Titan, pour une sécurité renforcée.
- Pour l'authentification des charges de travail, utilisez OAuth 2.0 ou des jetons Web JSON (JWT) signés.
- Principe du moindre privilège: réduisez le risque d'accès non autorisé et de violation de données en appliquant les principes du moindre privilège et de la séparation des tâches.
- Évitez de trop provisionner l'accès des utilisateurs.
- Envisagez d'implémenter un accès privilégié en temps opportun pour les opérations sensibles.
- Journalisation: activez la journalisation d'audit pour les activités d'administration et d'accès aux données.
- Pour l'analyse et la détection des menaces, analysez les journaux à l'aide de Security Command Center Enterprise ou de Google Security Operations.
- Configurez des stratégies de conservation des journaux appropriées pour équilibrer les besoins de sécurité avec les coûts de stockage.
Surveiller et gérer votre réseau
Cette recommandation s'applique aux axes d'action suivants:
- Journalisation, audit et surveillance
- Sécurité des applications
- Opérations de sécurité (SecOps)
- Sécurité de l'infrastructure
Lorsque vous planifiez et implémentez des mesures de sécurité, partez du principe qu'un pirate informatique est déjà dans votre environnement. Cette approche proactive implique d'utiliser les différents outils et techniques suivants pour assurer la visibilité de votre réseau:
Journalisation et surveillance centralisées: collectez et analysez les journaux de sécurité de toutes vos ressources cloud grâce à une journalisation et une surveillance centralisées.
- Établissez des références pour le comportement normal du réseau, détectez les anomalies et identifiez les menaces potentielles.
- Analysez en continu les flux de trafic réseau pour identifier les schémas suspects et les attaques potentielles.
Insights sur les performances et la sécurité du réseau: utilisez des outils tels que Network Analyzer. Surveillez le trafic pour détecter les protocoles inhabituels, les connexions inattendues ou les pics soudains de transfert de données, qui pourraient indiquer une activité malveillante.
Analyse des failles et correction: analysez régulièrement votre réseau et vos applications pour détecter les failles.
- Utilisez Web Security Scanner, qui peut identifier automatiquement les failles de sécurité dans vos instances Compute Engine, conteneurs et clusters GKE.
- Priorisez la correction en fonction de la gravité des failles et de leur impact potentiel sur vos systèmes.
Détection des intrusions: surveillez le trafic réseau à la recherche d'activités malveillantes et bloquez automatiquement les événements suspects ou recevez des alertes à leur sujet à l'aide de Cloud IDS et du service de prévention des intrusions Cloud NGFW.
Analyse de la sécurité: envisagez d'implémenter Google SecOps pour corréler les événements de sécurité provenant de différentes sources, fournir une analyse en temps réel des alertes de sécurité et faciliter la gestion des incidents.
Configurations cohérentes: assurez-vous que les configurations de sécurité sont cohérentes sur l'ensemble de votre réseau à l'aide d'outils de gestion des configurations.