Esse princípio no pilar de segurança do framework de arquiteturaGoogle Cloud ajuda a garantir a segurança abrangente em todas as cargas de trabalho na nuvem. O princípio de confiança zero enfatiza as seguintes práticas:
- Como eliminar a confiança implícita
- Como aplicar o princípio do menor privilégio ao controle de acesso
- Como forçar a validação explícita de todas as solicitações de acesso
- Adotar uma mentalidade de suposição de violação para permitir a verificação contínua e o monitoramento da postura de segurança
Visão geral do princípio
O modelo de confiança zero muda o foco da segurança de perímetro para uma abordagem em que nenhum usuário ou dispositivo é considerado confiável por padrão. Em vez disso, cada solicitação de acesso precisa ser verificada, independentemente da origem. Essa abordagem envolve a autenticação e autorização de todos os usuários e dispositivos, a validação do contexto deles (localização e postura do dispositivo) e a concessão de acesso de menor privilégio apenas aos recursos necessários.
A implementação do modelo de confiança zero ajuda sua organização a melhorar a postura de segurança, minimizando o impacto de possíveis violações e protegendo dados e aplicativos sensíveis contra acesso não autorizado. O modelo de confiança zero ajuda a garantir a confidencialidade, a integridade e a disponibilidade de dados e recursos na nuvem.
Recomendações
Para implementar o modelo de confiança zero para suas cargas de trabalho na nuvem, considere as recomendações nas seções a seguir:
Proteger a rede
Esta recomendação é relevante para a seguinte área de foco: segurança da infraestrutura.
A transição da segurança baseada em perímetro convencional para um modelo de confiança zero exige várias etapas. Talvez sua organização já tenha integrado determinados controles de confiança zero à postura de segurança. No entanto, um modelo de confiança zero não é um produto ou solução singular. Em vez disso, é uma integração holística de várias camadas de segurança e práticas recomendadas. Esta seção descreve recomendações e técnicas para implementar a confiança zero para a segurança da rede.
- Controle de acesso: aplique controles de acesso com base na identidade e no contexto do usuário usando soluções como o Chrome Enterprise Premium e o Identity-Aware Proxy (IAP). Ao fazer isso, você transfere a segurança do perímetro da rede para usuários e dispositivos individuais. Essa abordagem permite o controle de acesso granular e reduz a superfície de ataque.
- Segurança de rede: proteja as conexões de rede entre os
ambientes locais, Google Cloude multicloud.
- Use os métodos de conectividade particular do Cloud Interconnect e das VPNs IPsec.
- Para ajudar a proteger o acesso a Google Cloud serviços e APIs, use o Private Service Connect.
- Para ajudar a proteger o acesso de saída de cargas de trabalho implantadas no GKE Enterprise, use gateways de saída do Cloud Service Mesh.
- Design de rede: evite possíveis riscos de segurança excluindo redes
padrão em projetos atuais e desativando a criação de redes
padrão em novos projetos.
- Para evitar conflitos, planeje a alocação de rede e endereço IP com cuidado.
- Para aplicar um controle de acesso eficaz, limite o número de redes de nuvem privada virtual (VPC) por projeto.
- Segmentação: isole as cargas de trabalho, mas mantenha o gerenciamento centralizado de rede.
- Para segmentar sua rede, use a VPC compartilhada.
- Defina políticas e regras de firewall nos níveis da organização, da pasta e da rede VPC.
- Para evitar a exfiltração de dados, estabeleça perímetros seguros em torno de dados e serviços sensíveis usando o VPC Service Controls.
- Segurança do perímetro: proteja-se contra ataques DDoS e ameaças a aplicativos da Web.
- Para se proteger contra ameaças, use o Google Cloud Armor.
- Configure políticas de segurança para permitir, negar ou redirecionar o tráfego na bordaGoogle Cloud .
- Automação: automatize o provisionamento de infraestrutura adotando princípios de infraestrutura como código (IaC) e usando ferramentas como o Terraform, o Jenkins e o Cloud Build. A IaC ajuda a garantir configurações de segurança consistentes, implantações simplificadas e rollbacks rápidos em caso de problemas.
- Base segura: estabeleça um ambiente de aplicativo seguro usando o blueprint de bases empresariais. Este blueprint fornece orientações e scripts de automação para ajudar você a implementar as práticas recomendadas de segurança e configurar seus Google Cloud recursos com segurança.
Verificar cada tentativa de acesso explicitamente
Essa recomendação é relevante para as seguintes áreas de foco:
- Gerenciamento de identidade e acesso
- Operações de segurança (SecOps)
- Geração de registros, auditoria e monitoramento
Implemente mecanismos de autenticação e autorização fortes para qualquer usuário, dispositivo ou serviço que tente acessar seus recursos na nuvem. Não confie no perímetro de local ou de rede como um controle de segurança. Não confie automaticamente em nenhum usuário, dispositivo ou serviço, mesmo que ele já esteja na rede. Em vez disso, toda tentativa de acesso a recursos precisa ser autenticada e autorizada de forma rigorosa. É necessário implementar medidas de verificação de identidade avançadas, como a autenticação multifator (MFA). Você também precisa garantir que as decisões de acesso sejam baseadas em políticas detalhadas que considerem vários fatores contextuais, como função do usuário, postura do dispositivo e localização.
Para implementar essa recomendação, use os seguintes métodos, ferramentas e tecnologias:
- Gerenciamento unificado de identidade: use um único provedor de identidade (IdP) para garantir o gerenciamento consistente de identidade em toda a organização.
- OGoogle Cloud oferece suporte à federação com a maioria dos IdPs, incluindo o Active Directory no local. A federação permite estender sua infraestrutura de gerenciamento de identidade para Google Cloud e ativar o Logon único (SSO) para os usuários.
- Se você não tiver um IdP, use o Cloud Identity Premium ou o Google Workspace.
- Permissões limitadas da conta de serviço: use
contas de serviço
com cuidado e siga o princípio do menor privilégio.
- Conceda apenas as permissões necessárias para que cada conta de serviço realize as tarefas designadas.
- Use a Federação de identidade da carga de trabalho para aplicativos executados no Google Kubernetes Engine (GKE) ou fora do Google Cloud para acessar recursos com segurança.
- Processos robustos: atualize seus processos de identidade para se alinhar às práticas recomendadas de segurança
na nuvem.
- Para ajudar a garantir a conformidade com os requisitos regulamentares, implemente a governança de identidade para rastrear acesso, riscos e violações da política.
- Revise e atualize seus processos atuais para conceder e auditar papéis e permissões de controle de acesso.
- Autenticação forte: implemente o SSO para autenticação do usuário e
implemente a MFA para contas privilegiadas.
- OGoogle Cloud oferece suporte a vários métodos de MFA, incluindo chaves de segurança Titan, para aumentar a segurança.
- Para autenticação de carga de trabalho, use OAuth 2.0 ou JSON Web Tokens (JWTs) assinados.
- Privilégio mínimo: minimize o risco de acesso não autorizado e violações de dados
aplicando os princípios de privilégio mínimo e separação de
funções.
- Evite provisionar demais o acesso do usuário.
- Considere implementar o acesso privilegiado just-in-time para operações sensíveis.
- Logging: ative o registro de auditoria para atividades de administrador e de acesso a dados.
- Para análise e detecção de ameaças, verifique os registros usando o Security Command Center Enterprise ou o Google Security Operations.
- Configure políticas de retenção de registros adequadas para equilibrar as necessidades de segurança com os custos de armazenamento.
Monitorar e manter a rede
Essa recomendação é relevante para as seguintes áreas de foco:
- Geração de registros, auditoria e monitoramento
- Segurança para aplicativos
- Operações de segurança (SecOps)
- Segurança da infraestrutura
Ao planejar e implementar medidas de segurança, suponha que um invasor já esteja dentro do seu ambiente. Essa abordagem proativa envolve o uso das seguintes ferramentas e técnicas para fornecer visibilidade à sua rede:
Registro e monitoramento centralizados: colete e analise registros de segurança de todos os seus recursos de nuvem com o registro e monitoramento centralizados.
- Estabeleça valores de referência para o comportamento normal da rede, detecte anomalias e identifique possíveis ameaças.
- Analise continuamente os fluxos de tráfego de rede para identificar padrões suspeitos e possíveis ataques.
Insights sobre a performance e a segurança da rede: use ferramentas como o Network Analyzer. Monitore o tráfego em busca de protocolos incomuns, conexões inesperadas ou picos repentinos na transferência de dados, que podem indicar atividade maliciosa.
Verificação e remediação de vulnerabilidades: verifique regularmente sua rede e seus aplicativos em busca de vulnerabilidades.
- Use o Web Security Scanner, que identifica automaticamente vulnerabilidades nas instâncias, contêineres e clusters do GKE do Compute Engine.
- Priorize a correção com base na gravidade das vulnerabilidades e no impacto potencial delas nos sistemas.
Detecção de invasões: monitore o tráfego de rede em busca de atividades maliciosas e bloqueie automaticamente ou receba alertas de eventos suspeitos usando o Cloud IDS e o serviço de prevenção contra invasões do Cloud NGFW.
Análise de segurança: implemente o Google SecOps para correlacionar eventos de segurança de várias fontes, fornecer análise em tempo real de alertas de segurança e facilitar a resposta a incidentes.
Configurações consistentes: use ferramentas de gerenciamento de configuração para garantir que você tenha configurações de segurança consistentes em toda a rede.