Dieses Prinzip in der Sicherheitssäule des Google Cloud Architektur-Frameworks hilft Ihnen, für umfassende Sicherheit in Ihren Cloud-Arbeitslasten zu sorgen. Das Zero-Trust-Prinzip betont die folgenden Praktiken:
- Implizites Vertrauen beseitigen
- Prinzip der geringsten Berechtigung auf die Zugriffssteuerung anwenden
- Erforderliche explizite Validierung aller Zugriffsanfragen
- Annahme eines Sicherheitsverstoßes, um eine kontinuierliche Überprüfung und Überwachung der Sicherheitslage zu ermöglichen
Grundsatzübersicht
Beim Zero-Trust-Modell liegt der Sicherheitsfokus nicht mehr auf der perimeterbasierten Sicherheit, sondern auf einem Ansatz, bei dem kein Nutzer oder Gerät von Natur aus als vertrauenswürdig eingestuft wird. Stattdessen muss jede Zugriffsanfrage unabhängig von ihrem Ursprung überprüft werden. Bei diesem Ansatz werden alle Nutzer und Geräte authentifiziert und autorisiert, ihr Kontext (Standort und Gerätestatus) validiert und nur den erforderlichen Ressourcen Zugriff mit den geringsten Berechtigungen gewährt.
Durch die Implementierung des Zero-Trust-Modells kann Ihr Unternehmen seinen Sicherheitsstatus verbessern, indem es die Auswirkungen potenzieller Sicherheitsverletzungen minimiert und sensible Daten und Anwendungen vor unbefugtem Zugriff schützt. Mit dem Zero-Trust-Modell können Sie für Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Ressourcen in der Cloud sorgen.
Empfehlungen
Beachten Sie bei der Implementierung des Zero-Trust-Modells für Ihre Cloud-Arbeitslasten die Empfehlungen in den folgenden Abschnitten:
Netzwerk sichern
Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Infrastruktursicherheit.
Die Umstellung von der herkömmlichen perimeterbasierten Sicherheit auf ein Zero-Trust-Modell erfordert mehrere Schritte. Möglicherweise hat Ihre Organisation bereits bestimmte Zero-Trust-Kontrollen in ihre Sicherheitsstrategie integriert. Ein Zero-Trust-Modell ist jedoch kein einzelnes Produkt oder eine einzelne Lösung. Stattdessen handelt es sich um eine ganzheitliche Integration mehrerer Sicherheitsebenen und Best Practices. In diesem Abschnitt werden Empfehlungen und Verfahren zur Implementierung von Zero Trust für die Netzwerksicherheit beschrieben.
- Zugriffssteuerung: Mit Lösungen wie Chrome Enterprise Premium und Identity-Aware Proxy (IAP) können Sie Zugriffssteuerungen basierend auf der Nutzeridentität und dem Kontext erzwingen. Dadurch wird die Sicherheit vom Netzwerkperimeter auf einzelne Nutzer und Geräte verlagert. Dieser Ansatz ermöglicht eine detaillierte Zugriffssteuerung und reduziert die Angriffsfläche.
- Netzwerksicherheit: Sichere Netzwerkverbindungen zwischen Ihren lokalen Google Cloudund Multi-Cloud-Umgebungen.
- Verwenden Sie die Methoden für die private Konnektivität von Cloud Interconnect und IPsec-VPNs.
- Verwenden Sie Private Service Connect, um den Zugriff auf Google Cloud Dienste und APIs zu sichern.
- Verwenden Sie Egress-Gateways von Cloud Service Mesh, um den ausgehenden Zugriff von Arbeitslasten zu schützen, die in GKE Enterprise bereitgestellt werden.
- Netzwerkdesign: Sie können potenzielle Sicherheitsrisiken vermeiden, indem Sie Standardnetzwerke in vorhandenen Projekten löschen und die Erstellung von Standardnetzwerken in neuen Projekten deaktivieren.
- Planen Sie die Netzwerk- und IP-Adresszuweisung sorgfältig, um Konflikte zu vermeiden.
- Begrenzen Sie die Anzahl der VPC-Netzwerke (Virtual Private Cloud) pro Projekt, um eine effektive Zugriffssteuerung zu erzwingen.
- Segmentierung: Arbeitslasten isolieren, aber die zentrale Netzwerkverwaltung beibehalten.
- Verwenden Sie Shared VPC, um Ihr Netzwerk zu segmentieren.
- Definieren Sie Firewallrichtlinien und ‑regeln auf Organisations-, Ordner- und VPC-Netzwerkebene.
- Um eine Datenextraktion zu verhindern, können Sie mit VPC Service Controls sichere Perimeter um sensible Daten und Dienste herum einrichten.
- Perimeter-Sicherheit: Schutz vor DDoS-Angriffen und Bedrohungen durch Webanwendungen.
- Verwenden Sie Google Cloud Armor, um sich vor Bedrohungen zu schützen.
- Konfigurieren Sie Sicherheitsrichtlinien, um Traffic amGoogle Cloud -Edge zuzulassen, abzulehnen oder weiterzuleiten.
- Automatisierung: Automatisieren Sie die Infrastrukturbereitstellung, indem Sie die Prinzipien von „Infrastruktur als Code“ (IaC) anwenden und Tools wie Terraform, Jenkins und Cloud Build verwenden. IaC trägt dazu bei, einheitliche Sicherheitskonfigurationen, vereinfachte Bereitstellungen und schnelle Rollbacks bei Problemen zu ermöglichen.
- Sichere Grundlage: Mit dem Blueprint zu Unternehmensgrundlagen können Sie eine sichere Anwendungsumgebung einrichten. Dieser Blueprint enthält präskriptive Anleitungen und Automatisierungsscripts, mit denen Sie Best Practices für die Sicherheit implementieren und IhreGoogle Cloud -Ressourcen sicher konfigurieren können.
Jeden Zugriffsversuch explizit bestätigen
Diese Empfehlung ist für die folgenden Fokusbereiche relevant:
- Identitäts- und Zugriffsverwaltung
- Sicherheitsabläufe (SecOps)
- Logging, Auditing und Monitoring
Implementieren Sie strenge Authentifizierungs- und Autorisierungsmechanismen für alle Nutzer, Geräte oder Dienste, die versuchen, auf Ihre Cloud-Ressourcen zuzugreifen. Verlass dich nicht auf den Standort oder den Netzwerkperimeter als Sicherheitsmaßnahme. Kein Nutzer, kein Gerät und kein Dienst sollte automatisch als vertrauenswürdig eingestuft werden, auch wenn er sich bereits im Netzwerk befindet. Stattdessen muss jeder Zugriffsversuch auf Ressourcen streng authentifiziert und autorisiert werden. Sie müssen strenge Maßnahmen zur Identitätsbestätigung implementieren, z. B. die Multi-Faktor-Authentifizierung (MFA). Außerdem müssen Sie dafür sorgen, dass Zugriffsentscheidungen auf detaillierten Richtlinien basieren, die verschiedene Kontextfaktoren wie Nutzerrolle, Gerätestatus und Standort berücksichtigen.
Verwenden Sie die folgenden Methoden, Tools und Technologien, um diese Empfehlung umzusetzen:
- Einheitliche Identitätsverwaltung: Mit einem einzigen Identitätsanbieter (IdP) sorgen Sie für eine einheitliche Identitätsverwaltung in Ihrer Organisation.
- Google Cloud unterstützt die Föderierung mit den meisten Identitätsanbietern, einschließlich On-Premises-Active Directory. Mit der Föderierung können Sie Ihre vorhandene Identitätsverwaltungsinfrastruktur erweitern und die Einmalanmeldung (SSO) für Nutzer aktivieren. Google Cloud
- Wenn Sie noch keinen IdP haben, können Sie Cloud Identity Premium oder Google Workspace verwenden.
- Eingeschränkte Berechtigungen für Dienstkonten: Verwenden Sie Dienstkonten mit Bedacht und beachten Sie den Grundsatz der geringsten Berechtigung.
- Gewähren Sie jedem Dienstkonto nur die erforderlichen Berechtigungen, um seine Aufgaben auszuführen.
- Verwenden Sie die Workload Identity-Föderation für Anwendungen, die in der Google Kubernetes Engine (GKE) oder außerhalb vonGoogle Cloud ausgeführt werden, um sicher auf Ressourcen zuzugreifen.
- Robuste Prozesse: Aktualisieren Sie Ihre Identitätsprozesse gemäß den Best Practices für die Cloud-Sicherheit.
- Um die Einhaltung gesetzlicher Anforderungen zu gewährleisten, sollten Sie Identity Governance implementieren, um Zugriffe, Risiken und Richtlinienverstöße zu verfolgen.
- Überprüfen und aktualisieren Sie Ihre vorhandenen Prozesse zum Gewähren und Prüfen von Rollen und Berechtigungen für die Zugriffssteuerung.
- Starke Authentifizierung: Implementieren Sie die Einmalanmeldung für die Nutzerauthentifizierung und die Multi-Faktor-Authentifizierung für privilegierte Konten.
- Google Cloud unterstützt verschiedene MFA-Methoden, einschließlich Titan-Sicherheitsschlüsseln, für einen verbesserten Schutz.
- Verwenden Sie für die Arbeitslastauthentifizierung OAuth 2.0 oder signierte JSON Web Tokens (JWTs).
- Grundsatz der geringsten Berechtigung: Minimieren Sie das Risiko von unbefugten Zugriffen und Datenpannen, indem Sie die Prinzipien der geringsten Berechtigung und der Aufgabentrennung erzwingen.
- Vermeiden Sie eine übermäßige Bereitstellung des Nutzerzugriffs.
- Für sensible Vorgänge sollten Sie den Just-in-Time-Zugriff implementieren.
- Logging: Aktivieren Sie das Audit-Logging für Administratoraktivitäten und Datenzugriff.
- Scannen Sie die Protokolle mit Security Command Center Enterprise oder Google Security Operations, um sie zu analysieren und Bedrohungen zu erkennen.
- Konfigurieren Sie geeignete Richtlinien für die Logaufbewahrung, um Sicherheitsanforderungen mit Speicherkosten in Einklang zu bringen.
Netzwerk überwachen und warten
Diese Empfehlung ist für die folgenden Fokusbereiche relevant:
- Logging, Auditing und Monitoring
- Anwendungssicherheit
- Sicherheitsabläufe (SecOps)
- Sichere Infrastruktur
Gehen Sie bei der Planung und Implementierung von Sicherheitsmaßnahmen davon aus, dass sich ein Angreifer bereits in Ihrer Umgebung befindet. Dieser proaktive Ansatz umfasst die Verwendung der folgenden Tools und Methoden, um Transparenz in Ihrem Netzwerk zu schaffen:
Zentrales Logging und Monitoring: Sicherheitsprotokolle aus allen Ihren Cloud-Ressourcen werden mithilfe von zentralem Logging und Monitoring erfasst und analysiert.
- Erstellen Sie Baselines für das normale Netzwerkverhalten, erkennen Sie Anomalien und identifizieren Sie potenzielle Bedrohungen.
- Netzwerkverkehrsflüsse werden kontinuierlich analysiert, um verdächtige Muster und potenzielle Angriffe zu erkennen.
Statistiken zur Netzwerkleistung und -sicherheit: Verwenden Sie Tools wie den Network Analyzer. Der Traffic wird auf ungewöhnliche Protokolle, unerwartete Verbindungen oder plötzliche Spitzen bei der Datenübertragung überwacht, die auf schädliche Aktivitäten hinweisen könnten.
Sicherheitslücken-Scan und -Behebung: Scannen Sie Ihr Netzwerk und Ihre Anwendungen regelmäßig auf Sicherheitslücken.
- Mit dem Web Security Scanner können Sie automatisch Sicherheitslücken in Ihren Compute Engine-Instanzen, Containern und GKE-Clustern erkennen.
- Priorisieren Sie die Behebung anhand des Schweregrads der Sicherheitslücken und ihrer potenziellen Auswirkungen auf Ihre Systeme.
Einbruchserkennung: Mit Cloud IDS und dem Cloud NGFW-Dienst zur Einbruchsprävention können Sie den Netzwerkverkehr auf schädliche Aktivitäten überwachen und verdächtige Ereignisse automatisch blockieren oder Benachrichtigungen erhalten.
Sicherheitsanalyse: Sie können Google SecOps implementieren, um Sicherheitsereignisse aus verschiedenen Quellen zu korrelieren, Sicherheitswarnungen in Echtzeit zu analysieren und die Reaktion auf Vorfälle zu erleichtern.
Einheitliche Konfigurationen: Mithilfe von Konfigurationsverwaltungstools können Sie für ein einheitliches Sicherheitsniveau in Ihrem gesamten Netzwerk sorgen.