Este principio del pilar de seguridad del Google Cloud framework de Well-Architected te ayuda a garantizar una seguridad integral en tus cargas de trabajo en la nube. El principio de confianza cero enfatiza las siguientes prácticas:
- Eliminación de la confianza implícita
- Aplicar el principio de privilegio mínimo al control de acceso
- Aplicar la validación explícita de todas las solicitudes de acceso
- Adopta una mentalidad de suposición de incumplimiento para habilitar la verificación continua y la supervisión de la posición de seguridad.
Descripción general del principio
El modelo de confianza cero cambia el enfoque de la seguridad basada en el perímetro a un enfoque en el que ningún usuario o dispositivo se considera inherentemente confiable. En cambio, cada solicitud de acceso debe verificarse, independientemente de su origen. Este enfoque implica autenticar y autorizar a cada usuario y dispositivo, validar su contexto (ubicación y postura del dispositivo) y otorgar acceso con el privilegio mínimo solo a los recursos necesarios.
Implementar el modelo de confianza cero ayuda a tu organización a mejorar su postura de seguridad, ya que minimiza el impacto de posibles incumplimientos y protege los datos y las aplicaciones sensibles contra el acceso no autorizado. El modelo de confianza cero te ayuda a garantizar la confidencialidad, la integridad y la disponibilidad de los datos y los recursos en la nube.
Recomendaciones
Para implementar el modelo de confianza cero en tus cargas de trabajo en la nube, ten en cuenta las recomendaciones de las siguientes secciones:
Protege la red
Esta recomendación es pertinente para la siguiente área de enfoque: Seguridad de la infraestructura.
La transición de la seguridad convencional basada en el perímetro a un modelo de confianza cero requiere varios pasos. Es posible que tu organización ya haya integrado ciertos controles de confianza cero en su postura de seguridad. Sin embargo, un modelo de confianza cero no es un producto o una solución únicos. En cambio, es una integración integral de varias capas de seguridad y prácticas recomendadas. En esta sección, se describen las recomendaciones y las técnicas para implementar la confianza cero en la seguridad de la red.
- Control de acceso: Aplica controles de acceso basados en la identidad y el contexto del usuario con soluciones como Chrome Enterprise Premium y Identity-Aware Proxy (IAP). De esta manera, la seguridad se traslada del perímetro de la red a los usuarios y dispositivos individuales. Este enfoque permite un control de acceso detallado y reduce la superficie de ataque.
- Seguridad de la red: Protege las conexiones de red entre tus entornos locales, Google Cloudy de múltiples nubes.
- Usa los métodos de conectividad privada de Cloud Interconnect y las VPN IPSec.
- Para ayudar a proteger el acceso a los servicios y las APIs, usa Private Service Connect. Google Cloud
- Para ayudar a proteger el acceso saliente de las cargas de trabajo implementadas en GKE Enterprise, usa las puertas de enlace de salida de Cloud Service Mesh.
- Diseño de red: Evita posibles riesgos de seguridad borrando las redes predeterminadas en los proyectos existentes y, luego, inhabilita la creación de redes predeterminadas en proyectos nuevos.
- Para evitar conflictos, planifica cuidadosamente tu red y la asignación de direcciones IP.
- Para aplicar un control de acceso eficaz, limita la cantidad de redes de nube privada virtual (VPC) por proyecto.
- Segmentación: Aísla las cargas de trabajo, pero mantén la administración de red centralizada.
- Para segmentar tu red, usa la VPC compartida.
- Define políticas y reglas de firewall a nivel de organización, carpeta y red de VPC.
- Para evitar el robo de datos, establece perímetros seguros alrededor de los datos y servicios sensibles con los Controles del servicio de VPC.
- Seguridad perimetral: Protección contra ataques DSD y amenazas a aplicaciones web
- Para protegerte contra amenazas, usa Google Cloud Armor.
- Configura políticas de seguridad para permitir, rechazar o redireccionar el tráfico en elGoogle Cloud borde.
- Automatización: Automatiza el aprovisionamiento de la infraestructura adoptando los principios de infraestructura como código (IaC) y usando herramientas como Terraform, Jenkins y Cloud Build. La IaC ayuda a garantizar configuraciones de seguridad coherentes, implementaciones simplificadas y reversiones rápidas en caso de problemas.
- Base segura: Establece un entorno de aplicación seguro con el plano de bases empresariales. Este plano proporciona orientación prescriptiva y secuencias de comandos de automatización para ayudarte a implementar las prácticas recomendadas de seguridad y configurar tus recursos deGoogle Cloud de forma segura.
Verifica cada intento de acceso de forma explícita
Esta recomendación es pertinente para las siguientes áreas de enfoque:
- Administración de identidades y accesos
- Operaciones de seguridad (SecOps)
- Registro, auditoría y supervisión
Implementa mecanismos de autenticación y autorización sólidos para cualquier usuario, dispositivo o servicio que intente acceder a tus recursos en la nube. No dependas de la ubicación ni del perímetro de la red como control de seguridad. No confíes automáticamente en ningún usuario, dispositivo o servicio, incluso si ya están dentro de la red. En cambio, cada intento de acceder a los recursos debe autenticarse y autorizarse de forma rigurosa. Debes implementar medidas sólidas de verificación de identidad, como la autenticación de varios factores (MFA). También debes asegurarte de que las decisiones de acceso se basen en políticas detalladas que tengan en cuenta diversos factores contextuales, como el rol del usuario, la posición del dispositivo y la ubicación.
Para implementar esta recomendación, usa los siguientes métodos, herramientas y tecnologías:
- Administración de identidades unificada: Garantiza una administración de identidades coherente en toda tu organización con un solo proveedor de identidad (IdP).
- Google Cloud Admite la federación con la mayoría de los IdP, incluido Active Directory local. La federación te permite extender tu infraestructura de administración de identidades existente a Google Cloud y habilitar el inicio de sesión único (SSO) para los usuarios.
- Si no tienes un IdP existente, considera usar Cloud Identity Premium o Google Workspace.
- Permisos limitados de la cuenta de servicio: Usa las cuentas de servicio con cuidado y cumple con el principio de privilegio mínimo.
- Otorga solo los permisos necesarios para que cada cuenta de servicio realice las tareas designadas.
- Usa la federación de identidades para cargas de trabajo para las aplicaciones que se ejecutan en Google Kubernetes Engine (GKE) o fuera deGoogle Cloud para acceder a los recursos de forma segura.
- Procesos sólidos: Actualiza tus procesos de identidad para que se alineen con las prácticas recomendadas de seguridad en la nube.
- Para garantizar el cumplimiento de los requisitos reglamentarios, implementa la administración de identidades para hacer un seguimiento del acceso, los riesgos y los incumplimientos de políticas.
- Revisa y actualiza tus procesos existentes para otorgar y auditar roles y permisos de control de acceso.
- Autenticación sólida: Implementa el SSO para la autenticación de usuarios y la MFA para las cuentas privilegiadas.
- Google Cloud Admite varios métodos de MFA, incluidas las llaves de seguridad Titan, para mejorar la seguridad.
- Para la autenticación de cargas de trabajo, usa OAuth 2.0 o tokens web JSON (JWT) firmados.
- Privilegio mínimo: Minimiza el riesgo de acceso no autorizado y de violaciones de la seguridad de los datos aplicando los principios de privilegio mínimo y separación de tareas.
- Evita el aprovisionamiento excesivo del acceso de los usuarios.
- Considera implementar el acceso con privilegios justo a tiempo para las operaciones sensibles.
- Registro: Habilita el registro de auditoría para las actividades de administrador y de acceso a los datos.
- Para el análisis y la detección de amenazas, explora los registros con Security Command Center Enterprise o Google Security Operations.
- Configura políticas de retención de registros adecuadas para equilibrar las necesidades de seguridad con los costos de almacenamiento.
Supervisa y mantén tu red
Esta recomendación es pertinente para las siguientes áreas de enfoque:
- Registro, auditoría y supervisión
- Seguridad para aplicaciones
- Operaciones de seguridad (SecOps)
- Seguridad de la infraestructura
Cuando planifiques e implementes medidas de seguridad, considera que un atacante ya está dentro de tu entorno. Este enfoque proactivo implica el uso de las siguientes herramientas y técnicas múltiples para proporcionar visibilidad de tu red:
Registro y supervisión centralizados: Recopila y analiza los registros de seguridad de todos tus recursos de la nube a través del registro y la supervisión centralizados.
- Establece valores de referencia para el comportamiento normal de la red, detecta anomalías e identifica posibles amenazas.
- Analizar continuamente los flujos de tráfico de red para identificar patrones sospechosos y posibles ataques
Estadísticas sobre el rendimiento y la seguridad de la red: Usa herramientas como Network Analyzer. Supervisa el tráfico en busca de protocolos inusuales, conexiones inesperadas o aumentos repentinos en la transferencia de datos, que podrían indicar actividad maliciosa.
Análisis y corrección de vulnerabilidades: Analiza periódicamente tu red y tus aplicaciones en busca de vulnerabilidades.
- Usa Web Security Scanner, que puede identificar automáticamente vulnerabilidades en tus instancias, contenedores y clústeres de GKE de Compute Engine.
- Prioriza la corrección según la gravedad de las vulnerabilidades y su posible impacto en tus sistemas.
Detección de intrusiones: Supervisa el tráfico de red para detectar actividad maliciosa y bloquea automáticamente los eventos sospechosos o recibe alertas sobre ellos con el IDS de Cloud y el servicio de prevención de intrusiones de Cloud NGFW.
Análisis de seguridad: Considera implementar Google SecOps para correlacionar eventos de seguridad de varias fuentes, proporcionar análisis en tiempo real de alertas de seguridad y facilitar la respuesta ante incidentes.
Configuraciones coherentes: Asegúrate de tener configuraciones de seguridad coherentes en toda tu red con herramientas de administración de configuración.