Este principio del pilar de seguridad del Google Cloud framework Well-Architected te ayuda a garantizar una seguridad integral en tus cargas de trabajo en la nube. El principio de confianza cero hace hincapié en las siguientes prácticas:
- Eliminar la confianza implícita
- Aplicar el principio de mínimos accesos al control de acceso
- Exigir la validación explícita de todas las solicitudes de acceso
- Adopta una mentalidad de asunción de brecha para habilitar la verificación continua y la monitorización de la postura de seguridad
Descripción general de los principios
El modelo de confianza cero cambia el enfoque de la seguridad, que pasa de estar basada en el perímetro a un enfoque en el que no se considera que ningún usuario ni dispositivo sea intrínsecamente de confianza. En su lugar, cada solicitud de acceso debe verificarse, independientemente de su origen. Este enfoque implica autenticar y autorizar a cada usuario y dispositivo, validar su contexto (ubicación y postura del dispositivo) y conceder acceso con los privilegios mínimos solo a los recursos necesarios.
Implementar el modelo de confianza cero ayuda a tu organización a mejorar su nivel de seguridad minimizando el impacto de las posibles brechas y protegiendo los datos y las aplicaciones sensibles frente a accesos no autorizados. El modelo de confianza cero te ayuda a garantizar la confidencialidad, la integridad y la disponibilidad de los datos y los recursos en la nube.
Recomendaciones
Para implementar el modelo de confianza cero en tus cargas de trabajo en la nube, ten en cuenta las recomendaciones de las siguientes secciones:
Protege tu red
Esta recomendación se aplica a la siguiente área de interés: seguridad de la infraestructura.
La transición de un modelo de seguridad convencional basado en perímetros a un modelo de confianza cero requiere varios pasos. Es posible que tu organización ya haya integrado determinados controles de confianza cero en su postura de seguridad. Sin embargo, un modelo de confianza cero no es un producto ni una solución únicos. En su lugar, se trata de una integración integral de varias capas de seguridad y prácticas recomendadas. En esta sección se describen recomendaciones y técnicas para implementar la confianza cero en la seguridad de la red.
- Control de acceso: implementa controles de acceso basados en la identidad y el contexto de los usuarios mediante soluciones como Chrome Enterprise Premium y Identity-Aware Proxy (IAP). De esta forma, la seguridad pasa del perímetro de la red a usuarios y dispositivos concretos. Este enfoque permite un control de acceso granular y reduce la superficie de ataque.
- Seguridad de redes: protege las conexiones de red entre tus entornos on-premise, Google Cloudy multinube.
- Usa los métodos de conectividad privada de Cloud Interconnect y VPNs IPsec.
- Para proteger el acceso a los Google Cloud servicios y las APIs, usa Private Service Connect.
- Para proteger el acceso saliente de las cargas de trabajo implementadas en GKE Enterprise, usa pasarelas de salida de Cloud Service Mesh.
- Diseño de red: evita posibles riesgos de seguridad eliminando las redes predeterminadas de los proyectos actuales e inhabilitando la creación de redes predeterminadas en los proyectos nuevos.
- Para evitar conflictos, planifica cuidadosamente la asignación de tu red y de las direcciones IP.
- Para aplicar un control de acceso eficaz, limita el número de redes de nube privada virtual (VPC) por proyecto.
- Segmentación: aísla las cargas de trabajo, pero mantiene la gestión de la red centralizada.
- Para segmentar tu red, usa VPC compartida.
- Define políticas y reglas de cortafuegos a nivel de organización, carpeta y red de VPC.
- Para evitar la filtración externa de datos, establece perímetros seguros en torno a los datos y servicios sensibles mediante Controles de Servicio de VPC.
- Seguridad perimetral: protege frente a ataques DDoS y amenazas de aplicaciones web.
- Para protegerte frente a las amenazas, usa Google Cloud Armor.
- Configura políticas de seguridad para permitir, denegar o redirigir el tráfico en elGoogle Cloud borde.
- Automatización: automatiza el aprovisionamiento de la infraestructura adoptando los principios de la infraestructura como código (IaC) y usando herramientas como Terraform, Jenkins y Cloud Build. La IaC ayuda a garantizar configuraciones de seguridad coherentes, despliegues simplificados y reversiones rápidas en caso de problemas.
- Base segura: crea un entorno de aplicaciones seguro con el plano de aspectos básicos de las empresas. Este plano técnico proporciona directrices prescriptivas y secuencias de comandos de automatización para ayudarte a implementar las prácticas recomendadas de seguridad y configurar tus recursos deGoogle Cloud de forma segura.
Verificar explícitamente cada intento de acceso
Esta recomendación está relacionada con las siguientes áreas de interés:
- Gestión de identidades y accesos
- Operaciones de seguridad (SecOps)
- Registro, auditoría y monitorización
Implementa mecanismos de autenticación y autorización sólidos para cualquier usuario, dispositivo o servicio que intente acceder a tus recursos en la nube. No confíes en el perímetro de la ubicación o de la red como control de seguridad. No confíes automáticamente en ningún usuario, dispositivo o servicio, aunque ya estén dentro de la red. Por tanto, cada intento de acceder a los recursos debe autenticarse y autorizarse rigurosamente. Debes implementar medidas de verificación de identidad sólidas, como la autenticación multifactor (MFA). También debes asegurarte de que las decisiones de acceso se basen en políticas detalladas que tengan en cuenta varios factores contextuales, como el rol del usuario, la postura del dispositivo y la ubicación.
Para implementar esta recomendación, utiliza los siguientes métodos, herramientas y tecnologías:
- Gestión de identidades unificada: asegúrate de que la gestión de identidades sea coherente en toda tu organización usando un único proveedor de identidades (IdP).
- Google Cloud admite la federación con la mayoría de los IdPs, incluido Active Directory local. La federación te permite ampliar tu infraestructura de gestión de identidades a Google Cloud y habilitar el inicio de sesión único (SSO) para los usuarios.
- Si no tienes ningún IdP, te recomendamos que uses Cloud Identity Premium o Google Workspace.
- Permisos de cuenta de servicio limitados: usa las cuentas de servicio con cuidado y sigue el principio de mínimos privilegios.
- Concede solo los permisos necesarios para que cada cuenta de servicio pueda llevar a cabo las tareas que tiene asignadas.
- Usa federación de identidades de carga de trabajo para las aplicaciones que se ejecutan en Google Kubernetes Engine (GKE) o fuera deGoogle Cloud para acceder a los recursos de forma segura.
- Procesos sólidos: actualiza tus procesos de identidad para que se ajusten a las prácticas recomendadas de seguridad en la nube.
- Para ayudar a garantizar el cumplimiento de los requisitos normativos, implementa la gobernanza de identidades para monitorizar el acceso, los riesgos y las infracciones de las políticas.
- Revisa y actualiza los procesos que ya tengas para conceder y auditar roles y permisos de control de acceso.
- Autenticación reforzada: implementa el SSO para la autenticación de usuarios y la MFA para las cuentas con privilegios.
- Google Cloud admite varios métodos de autenticación multifactor, incluidas las llaves de seguridad Titan, para mejorar la seguridad.
- Para la autenticación de cargas de trabajo, usa OAuth 2.0 o JSON Web Tokens (JWTs) firmados.
- Mínimos accesos: minimiza el riesgo de que se produzcan accesos no autorizados y brechas de seguridad de datos aplicando los principios de mínimos accesos y separación de obligaciones.
- Evita conceder acceso a los usuarios en exceso.
- Plantéate implementar el acceso privilegiado justo a tiempo para operaciones sensibles.
- Registro: habilita el registro de auditoría para las actividades de administrador y de acceso a datos.
- Para analizar y detectar amenazas, escanea los registros con Security Command Center Enterprise o Google Security Operations.
- Configura las políticas de conservación de registros adecuadas para equilibrar las necesidades de seguridad con los costes de almacenamiento.
Monitorizar y mantener tu red
Esta recomendación está relacionada con las siguientes áreas de interés:
- Registro, auditoría y monitorización
- Seguridad para aplicaciones
- Operaciones de seguridad (SecOps)
- Seguridad de la infraestructura
Cuando planifiques e implementes medidas de seguridad, da por hecho que un atacante ya está dentro de tu entorno. Este enfoque proactivo implica el uso de las siguientes herramientas y técnicas para proporcionar visibilidad de tu red:
Registro y monitorización centralizados: recoge y analiza los registros de seguridad de todos tus recursos en la nube mediante registro y monitorización centralizados.
- Establecer valores de referencia del comportamiento normal de la red, detectar anomalías e identificar posibles amenazas.
- Analiza continuamente los flujos de tráfico de red para identificar patrones sospechosos y posibles ataques.
Estadísticas sobre el rendimiento y la seguridad de la red: usa herramientas como Network Analyzer. Monitoriza el tráfico para detectar protocolos inusuales, conexiones inesperadas o picos repentinos en la transferencia de datos, que podrían indicar actividad maliciosa.
Análisis y corrección de vulnerabilidades: analiza periódicamente tu red y tus aplicaciones en busca de vulnerabilidades.
- Usa Web Security Scanner, que puede identificar automáticamente las vulnerabilidades de tus instancias de Compute Engine, contenedores y clústeres de GKE.
- Prioriza las correcciones en función de la gravedad de las vulnerabilidades y su posible impacto en tus sistemas.
Detección de intrusiones: monitoriza el tráfico de red para detectar actividades maliciosas y bloquea automáticamente los eventos sospechosos o recibe alertas sobre ellos mediante Cloud IDS y el servicio de prevención de intrusiones de Cloud NGFW.
Análisis de seguridad: considera la posibilidad de implementar Google SecOps para correlacionar eventos de seguridad de varias fuentes, proporcionar análisis en tiempo real de alertas de seguridad y facilitar la respuesta a incidentes.
Configuraciones coherentes: asegúrate de tener configuraciones de seguridad coherentes en toda tu red usando herramientas de gestión de la configuración.