Sicherheitsgrundlagen-Blueprint

In diesem Leitfaden wird eine grobe Darstellung der Best Practices von Google Cloud für die Sicherheit vorgestellt. Sie ist so konzipiert, dass Nutzer sie übernehmen oder anpassen und dann automatisch für ihre Bereiche in Google Cloud bereitstellen können. Dieses Dokument kann nützlich sein, wenn Sie ein CISO, Sicherheitsexperten, Risiko- oder Compliance-Beauftragter sind.

Die Akzeptanz von Clouds nimmt in Unternehmen immer mehr zu, da immer mehr Unternehmen nicht mehr auf die Nutzung einer öffentlichen Cloud-Infrastruktur setzen, sondern tatsächlich Produktionsdienste über öffentliche Clouds für ihre Kunden bereitstellen. Im Allgemeinen unterscheidet sich die Sicherheit in öffentlichen Clouds von der Infrastruktur des Kunden selbst, da die gemeinsame Verantwortung für die Sicherheit zwischen dem Kunden und dem Cloudanbieter unterschiedlich ist. Abbildung 1.1.1 zeigt eine Matrix der herkömmlichen gemeinsamen Verantwortung für Arbeitslasten in der Cloud.

Abbildung 1.1.1: Gemeinsame Sicherheitsaufgaben

Abbildung 1.1.1: Gemeinsame Sicherheitsaufgaben

Die Google Cloud-Produkt- und -Serviceangebote reichen von klassischem Platform as a Service (PaaS), Infrastructure as a Service (IaaS) bis hin zu Software as a Service (SaaS). Wie in Abbildung 1.1.1 gezeigt, ändern sich die konventionellen Grenzen der Verantwortung zwischen Ihnen und dem Cloud-Anbieter basierend auf den ausgewählten Diensten. Im Rahmen ihrer gemeinsamen Verantwortung für die Sicherheit sollten öffentliche Anbieter zumindest Ihnen eine solide Grundlage für eine sichere Grundlage bieten. Anbieter sollten dann das Teil des Modells der geteilten Verantwortung verstehen und ausführen können.

Der Katalog der Google Cloud-Angebote wächst weiterhin schnell. Jeder Google Cloud-Dienst bietet eine Vielzahl von Konfigurationen und Steuerelementen, die Sie an Ihre Geschäfts- und Sicherheitsanforderungen anpassen können. Beim Erstellen und Einrichten Ihrer Kerninfrastruktur möchten wir Ihnen einen schnelleren und sicheren Einstieg bieten, indem Sie Best Practices für die Sicherheit von Google Cloud in diesen überprüften Sicherheits-Blueprints standardmäßig codieren. Sie können dann auf einer zuverlässigen, sicheren Grundlage aufbauen und entweder die Steuerelemente optimieren oder zusätzliche dienstspezifische Sicherheitsinformationen aus unseren Sicherheits-Blueprints nutzen.

Mit unserer kürzlichen Ankündigung zum Risiko-Schutzprogramm möchten wir noch mehr tun und von einem herkömmlichen Modell der geteilten Verantwortung zwischen Kunden und ihren Cloud-Anbietern wechseln, um ein Shared-Fate zu verwenden. Bei diesem Ansatz sind wir aktive Partner, die Ihnen die sichere Bereitstellung auf unserer Plattform ermöglichen und nicht nur die Grenzen des Geltungsbereichs, in dem unsere Verantwortung endet.

Sicherheit im Mittelpunkt

Die Cloud-Sicherheit unterscheidet sich durch die Kombination von Folgendem von der lokalen Sicherheit:

  • Unterschiede bei den Sicherheitsprimitiven, der Sichtbarkeit und den Steuerungspunkten innerhalb der Infrastruktur, der Produkte und der Dienste.
  • Neue cloudnative Entwicklungsmethoden wie Containerisierung und DevOps-Vorgänge.
  • Geschwindigkeit und Vielfalt neuer Cloud-Produkte und -Dienste sowie deren Nutzung.
  • Kulturelle Veränderungen beim Deployment, der Verwaltung und dem Betrieb von Systemen von Organisationen
  • Kenntnisse und Verteilung von Risiken zwischen Kunden und Cloud-Anbietern

Bei der Einrichtung der Cloud-Bereitstellung müssen Sie viele Entscheidungen treffen. Möglicherweise benötigen Sie Hilfe bei der einfachen und schnellen Bereitstellung von Arbeitslasten mit sicheren Standardeinstellungen, um die Effektivität und den Wert Ihres Unternehmens für Ihre Kunden zu verbessern. Aber Sie haben möglicherweise nicht die Zeit, sich die neuen Fähigkeiten anzueignen, die erforderlich sind, um mit den Unterschieden und neuen Herausforderungen eines Cloud-Übergangs umzugehen. Daher können Sie häufig von ausgewählten und zielgerichteten Anleitungen profitieren, sowohl für einen sicheren Ausgangspunkt als auch für die Anpassung an Ihre spezifischen Anforderungen.

Hier eine gute Nachricht: Sie können mit Sicherheits-Blueprints schneller, effektiver und sicherer auf Google Cloud aufbauen. Diese fügen einen wichtigen neuen Satz von Ebenen in der Sicherheitshierarchie der Google Cloud hinzu. Insgesamt gibt es jetzt fünf Hauptteile, angefangen bei der zentralen Google Cloud-Infrastruktur als Basis. Die vier nachfolgenden Ebenen sind Google Cloud-Produkte und -Dienste. Sicherheitsgrundlagen-Blueprints, Entwürfe für Sicherheitsstatus, Arbeitslasten und Anwendungen und zu guter Letzt Lösungen, die die Produkte, Dienste und Blueprints mit Beispielen für Anwendungsfälle, Kundenreferenzen und einem kommerziellen Angebot bündeln, um das Verständnis, die Akzeptanz und die Nutzung zu vereinfachen. Jede Ebene baut auf den vorherigen Ebenen auf, wie unten erläutert.

Kerninfrastruktur von Google Cloud

Google verfügt über eine umfassende technische Infrastruktur, die Sicherheit über den gesamten Lebenszyklus der Informationsverarbeitung bei Google bietet. Sie ermöglicht eine sichere Bereitstellung von Diensten, eine sichere Speicherung von Daten, bei der der Datenschutz für Endnutzer gewährleistet ist, eine sichere Kommunikation zwischen Diensten, eine sichere und private Kommunikation mit Kunden über das Internet sowie einen sicheren Betrieb durch Administratoren.

Google-Produkte und -Dienste

Google Cloud-Produkte und -Dienste basieren auf der Kerninfrastruktur und sind in Übereinstimmung mit den cloudnativen Sicherheitsgrundsätzen gestaltet, die in unserenWhitepaper zu BeyondProd beschrieben werden. Sie umfassen integrierte Sicherheitsfunktionen, die die Zugriffssteuerung, Segmentierung und den Datenschutz ermöglichen. Darüber hinaus erstellt Google Cloud bestimmte Sicherheitsprodukte, mit denen Sie Ihre Richtlinienanforderungen erfüllen und Ihre kritischen Ressourcen mit unseren Sicherheitsprodukten und -funktionen schützen können.

Blueprints für Sicherheitsgrundlagen

Das Ziel dieses Blueprints zu Sicherheitsgrundlagen besteht darin, Ihnen zusammengestellte, klare Leitlinien und zugehörige Automatisierungen zu bieten, mit denen Sie die nativen Kontrollen und Dienste optimieren können, um einen sicheren Ausgangspunkt für Ihre Google Cloud-Bereitstellung zu schaffen. Dieser Blueprint zu Sicherheitsgrundlagen behandelt folgende Themen:

  • Google Cloud-Organisationsstruktur und -Richtlinie
  • Authentifizierung und Autorisierung
  • Ressourcenhierarchie und Bereitstellung
  • Netzwerke (Segmentierung und Sicherheit)
  • Schlüssel- und Secret-Verwaltung
  • Logging
  • Aufdeckungskontrollen
  • Einrichtung des Abrechnungsplans
  • Gesicherte Anwendungen erstellen und bereitstellen
  • Allgemeine Sicherheitsanleitung

Sicherheitsstatus, -Arbeitslast und -Anwendungs-Blueprints

Zusätzlich zu den starken Sicherheitsgrundlagen stellen wir zusätzliche Blueprints für den Sicherheitsstatus, die Arbeitslast und die Anwendungen bereit, damit Sie Arbeitslasten besser konzipieren, entwickeln und betreiben können – beispielsweise den Blueprint "PCI on GKE".

Lösungen

Eine Kombination aus Produkten und Blueprints, die Best Practices für die Sicherheit von Google Cloud beinhalten, bieten Ihnen die Funktionen, die Architektur und die Anleitung zum Konfigurieren, Bereitstellen und Ausführen bestimmter Dienste. Lösungen bündeln diese Produkte zusammen mit vertikaler und anwendungsspezifischer Anpassung, zusätzlichen Beispielen, Kundenreferenzen und einem gebündelten kommerziellen Angebot. Unser Ziel ist es, die Einführung und Anwendung der Lösungen für die Geschäftsanforderungen Ihres Unternehmens zu vereinfachen und zu beschleunigen. Unser aktuelles Lösungsportfolio finden Sie auf der Seite Google Cloud-Lösungen.

Abbildung 1.1.2 zeigt die Sicherheitsebenen, auf denen Sie aufbauen können, wenn Sie Google Cloud verwenden. Folgen Sie den Anleitungen und Vorlagen der Sicherheits-Blueprints.

Abbildung 1.1.2: Google Cloud-Sicherheitshierarchie

Abbildung 1.1.2: Google Cloud-Sicherheitshierarchie

Mit einem Blueprint für Sicherheitsgrundlagen beginnen

Dieser Leitfaden enthält unseren Blueprint zu den Sicherheitsgrundlagen und eine Schritt-für-Schritt-Anleitung zum Konfigurieren und Bereitstellen des Google Cloud-Kontos. Dieses Dokument bietet eine gute Referenz und Ausgangspunkt, da wir wichtige Themen hervorheben. In jedem Thema geben wir Hintergrundinformationen und Erläuterungen dazu, warum wir unsere Entscheidungen getroffen haben. Neben der Schritt-für-Schritt-Anleitung enthält dieser Blueprint Sicherheitsgrundlagen.Terraform-Automatisierungs-Repository und ein Beispiel für eine Google-Organisation, sodass Sie aus einer Umgebung, die gemäß dem Blueprint konfiguriert wurde, lernen und experimentieren können.

So verwenden Sie den Blueprint für Sicherheitsgrundlagen

Dieser Leitfaden kann nützlich sein, wenn Sie eine oder mehrere der folgenden Rollen in Ihrer Organisation übernehmen:

  • Sicherheitsleiter, die die wichtigsten Google-Prinzipien für Cloud Security kennen und wissen, wie diese angewendet und implementiert werden können, um die Bereitstellung Ihrer eigenen Organisation zu schützen.
  • Sicherheitsexperten Hier finden Sie detaillierte Anleitungen zum Einrichten von Best Practices für die Einrichtung, Konfiguration, Bereitstellung und den Betrieb einer sicherheitsorientierten Infrastruktur-Landing-Zone, die Sie zur Bereitstellung Ihrer Arbeitslasten und Anwendungen verwenden kann.
  • Security Engineer, der wissen muss, wie mehrere verschiedene Sicherheitskontrollen konfiguriert und betrieben werden, damit sie korrekt miteinander interagieren.
  • Unternehmensleiter, die Ihre Teams benötigen, um ihre Kenntnisse zu erweitern und die erweiterten Fähigkeiten zu verstehen, die sie in Google Cloud benötigen, um Ihre erweiterten Anforderungen zu erfüllen. In dieser Rolle müssen Sie auch in der Lage sein, die Sicherheitsdokumentation von Google für Ihre Risiko- und Compliance-Teams freizugeben.
  • Risiko- und Compliance-Beauftragte, die verstehen müssen, welche Kontrollen in der Google Cloud verfügbar sind, um ihre Geschäftsanforderungen zu erfüllen, und wie diese Kontrollen automatisch eingesetzt werden können. Darüber hinaus müssen Sie Einblick in die Kontrollabweichungen und Bereiche haben, die zusätzliche Aufmerksamkeit erfordern, um die regulatorischen Anforderungen Ihres Unternehmens zu erfüllen.

In jedem dieser Fälle können Sie dieses Dokument als Referenzleitfaden verwenden. Mithilfe der bereitgestellten Terraform-Skripts können Sie auch Ihre eigenen Live-Deployments automatisieren, testen und beschleunigen. Sie können die bereitgestellten Skripts ändern, um sie an Ihre Anforderungen anzupassen.

Bessere Grundlage für Compliance schaffen

Für die Compliance- und behördlichen Rahmenbedingungen, die für Ihr Unternehmen erforderlich sind, benötigen Sie ein klares Verständnis und Nachweise für Folgendes:

  • Ob die von Ihnen ausgewählten Google Cloud-Dienste die Anforderungen erfüllen.
  • Ob die Konfiguration und Verwendung dieser Google Cloud-Dienste die Anforderungen weiterhin erfüllen.

Für den ersten Fall stellt Google Cloud das Compliance-Ressourcencenter bereit. Auf dieser Website können Sie nach Framework, Region oder Branche suchen, um zu ermitteln, welche Google Cloud-Dienste genehmigt sind, und Ihre Compliance unterstützen.

Nach dem Deployment des Blueprints für die Sicherheitsgrundlagen im zweiten Fall bietet Security Command Center Premium eine Dashboard-Übersicht und einen Download der Complianceberichte zu Ihrem Startstatus für CIS 1.0, PCI-DSS 3.2.1, NIST-800-53- und ISO27001-Frameworks auf Organisations-, Ordner- oder Projektebene.

Abbildung 1.2.1 zeigt den Standard-Compliance-Bericht für ein Beispielprojekt, das im Sicherheitsgrundsatz mit den CIS 1.0- und PCI DSS 3.2.1-Frameworks bereitgestellt wurde. Wie in der Abbildung dargestellt, ist die Mehrheit der bewerteten Compliance-Kontrollen standardmäßig von dem Entwurf aus konfiguriert. Die fehlenden Steuerelemente sind Logging-Konfigurationssteuerungen, die eine Nutzereingabe erfordern, bevor sie korrekt eingerichtet werden können.

Abbildung 1.2.1: Zusammenfassung der Security Command Center Premium-Compliance für ein Beispielprojekt mit eingeschränktem Netzwerk

Abbildung 1.2.1: Zusammenfassung der Security Command Center Premium-Compliance für ein Beispielprojekt mit eingeschränktem Netzwerk

Wichtige Sicherheitsgrundsätze implementieren

Neben der Implementierung von Compliance- und behördlichen Anforderungen müssen Sie auch Ihre Infrastruktur und Anwendungen schützen.

Mit dem Blueprint zur Sicherheitsgrundlage und den zugehörigen Automatisierungsskripts können Sie drei Sicherheitsgrundsätze von Google Cloud umsetzen, die für die Sicherheit von Google von zentraler Bedeutung sind. Diese sind:

  • Standardmäßig tief greifenden Schutz ausführen.
  • Anwendung des BeyondProd-Ansatzes für Infrastruktur- und Anwendungssicherheit.
  • Risikomanagement für die Cloud durch den Umstieg auf eine Shared-Fate-Beziehung

Standardmäßig tief greifenden Schutz

Ein Kernprinzip, mit dem Google seine eigene Infrastruktur schützt, besteht darin, dass es nie nur ein Hindernis zwischen einem Angreifer und einem relevanten Ziel geben darf (tief greifender Schutz). Zusätzlich zu diesem Kernprinzip sollte die Sicherheit skalierbar und standardmäßig aktiviert sein.

Der Blueprint von Sicherheitsgrundlagen umfasst diese Prinzipien auf verschiedene Arten. Die Daten werden standardmäßig durch mehrere mehrschichtige Abwehrmaßnahmen mit Richtlinien und Kontrollen geschützt, die für Netzwerk-, Verschlüsselungs-, IAM-, Erkennungs-, Logging- und Monitoringdienste konfiguriert sind.

Beispielsweise haben die Daten in einem Produktionsprojekt standardmäßig drei Netzwerkschutzebenen: VPC-Segmentierung, VPC-Dienstperimeter und Firewallregeln. Außerdem wird es durch mehrere Zugriffsebenen mit IAM, Zugriffskontextebenen und Multi-Faktor-Validierung von Nutzeridentitäten geschützt.

Der Blueprint enthält ein Beispiel für eine gesicherte CI/CD-Pipeline zum Erstellen von Anwendungen, die Zugriff auf die Daten haben. Zu den Sicherheitsfunktionen der Pipeline gehören sowohl Bewertungen von Build-Sicherheitslücken als auch Richtlinienprüfungen bei der Bereitstellung. Darüber hinaus sind die Daten selbst durch vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEKs) geschützt. Der gesamte Administratorzugriff und der Datenzugriff können mithilfe des Standard-Audit-Loggings protokolliert werden. Security Command Center Premium bietet fortlaufende Sicherheitsüberwachung und -erkennung. Darüber hinaus können Sie dies durch die benutzerdefinierte Erkennung über BigQuery ergänzen.

BeyondProd

Im Jahr 2019 haben wir BeyondProd veröffentlicht, den neuen Ansatz von Google für die Sicherheit nativer Clouds. Dies wurde durch die gleichen Erkenntnisse motiviert, die unseren BeyondCorp-Ansatz im Jahr 2014 veranlasst haben, da uns klar wurde, dass ein perimeterbasiertes Sicherheitsmodell nicht ausreicht. BeyondProd übernimmt für Arbeitslasten und Dienstidentitäten, die BeyondCorp für Workstations und Nutzer durchgeführt hat. Wenn ein Angreifer bei dem herkömmlichen netzwerkorientierten Modell den Perimeter durchbricht, hat er innerhalb des Systems eine freie Bewegung. Stattdessen verwendet der BeyondProd-Ansatz standardmäßig ein Zero-Trust-Modell. Zerlegt große monolithische Anwendungen in Mikrodienste, wodurch die Segmentierung und Isolation erhöht und der betroffene Bereich abgegrenzt wird. Gleichzeitig werden die betriebliche Effizienz und Skalierbarkeit erhöht.

Ein Kernkonzept in BeyondProd besteht darin, dass Entwickler in der Lage sind, gesicherte Anwendungen zu schreiben und bereitzustellen, ohne umfassende Sicherheitskenntnisse zu haben und keine Sicherheitsfunktionen selbst implementieren müssen. Die wichtigsten Grundsätze von BeyondProd sind daher:

  • Sicherheit ist ganzheitlich und integriert, nicht unzugänglich.
  • Der Schutz des Netzwerks am Rand, obwohl er dennoch erforderlich ist, ist nicht der primäre Schutz und nicht der einzige Schutzpunkt.
  • Es besteht kein inhärentes gegenseitiges Vertrauen unter den Diensten.
  • Vertrauenswürdige Maschinen, auf denen Code bekannter Herkunft ausgeführt wird.
  • Logische Nadelöhre werden für eine konsistente Richtlinienerzwingung bei allen Diensten verwendet, beispielsweise um autorisierten Datenzugriff zu ermöglichen.
  • Das Rollout von Änderungen ist einfach, automatisiert und standardisiert.
  • Die Isolation wird zwischen Arbeitslasten erzwungen und überwacht.

Der Blueprint der Sicherheitsgrundlagen erleichtert Ihnen die Einführung von BeyondProd. Sicherheitskontrollen sind in jeden Schritt der Entwurfs-Architektur und -Bereitstellung integriert und werden eingebunden. Die verschiedenen Ebenen von Sicherheitskontrollen sind darauf ausgelegt, zusammenzuarbeiten, und sind kein Nebengedanke. Zwischen den Diensten im System gibt es kein inhärentes gegenseitiges Vertrauen. Vordefinierte IAM-Rollen erstellen eine Standardtrennung der Aufgaben. Das Design der Ressourcenhierarchie erstellt standardmäßig klare IAM- und Netzwerkgrenzen zwischen Projekten. Mit VPC-Dienstperimetern können Sie die Segmentierung und Isolation nach Dienst und Arbeitslast erzwingen. Logische Steuerungs-Nadelöhre wie Organisationsrichtlinien bieten Ihnen eine konsistente, standardmäßig vorbeugende Richtlinienerzwingung beim Erstellen und Bereitstellen. Zentralisierte und einheitliche Sichtbarkeit über Security Command Center Premium bietet einheitliches Monitoring und Erkennung für alle Ressourcen und Projekte in Ihrer Organisation.

Weitere Informationen zur Zuordnung von Google Cloud-Funktionen zu BeyondProd-Prinzipien finden Sie unter Tabelle 2.12.5 im Abschnitt "Anwendung erstellen und bereitstellen".

Geteiltes Schicksal

Damit wir Sie von gemeinsamem Verantwortungsbewusstsein auf ein Shared-Fate bringen, sind wir verantwortlich für aktive Partner bei der Bereitstellung und der sicheren Ausführung auf unserer Plattform. Dies bedeutet, dass Sie während des gesamten Tages von Tag 0 bis Tag N ganzheitliche integrierte Funktionen bereitstellen müssen. Beispiel:

  • Design und Build-Zeit: Unterstützte Sicherheitsgrundlagen und Sicherheits-Blueprints, die Best Practices standardmäßig für Ihre Infrastruktur und Anwendungen codieren.
  • Bereitstellungszeit: "Guards Rails“ über Dienste wie Organisationsrichtlinien und zugesicherte Arbeitslasten, die Ihre deklarativen Sicherheitseinschränkungen durchsetzen
  • Laufzeit: Funktionen wie Sichtbarkeit, Monitoring, Benachrichtigungen und Korrekturmaßnahmen über Dienste wie Security Command Center Premium.

Gemeinsam verringern die integrierten Dienste Ihr Risiko, indem Sie sie mit quantifizierten und verständlichen Risiken in einen vertrauenswürdigen Zustand versetzen. Wie in Abbildung 1.2.2 gezeigt, können Sie durch diesen verbesserten Risikostatus die Vorteile von Risikoschutzdiensten nutzen und so das Risiko verringern und letztendlich Ihre Fähigkeit, in die Cloud zu migrieren und zu transformieren, beschleunigen.

Abbildung 1.2.2: Der Wert des Fate-Sharings

Abbildung 1.2.2: Der Wert des Fate-Sharings

Organisation von Dokumenten

Der Umfang dieses Dokuments ist in Abschnitte unterteilt, die Folgendes abdecken:

  • Einführung
  • Fundament-Sicherheitsmodell
  • Fundamentdesign
  • Das Beispiel "example.com", das die ausgedrückte Organisationsstruktur angibt
  • Ressourcen-Deployment
  • Authentifizierung und Autorisierung
  • Netzwerk
  • Schlüssel- und Secret-Verwaltung
  • Logging
  • Aufdeckungskontrollen
  • Abrechnung
  • Gesicherte Anwendungen erstellen und bereitstellen
  • Allgemeine Sicherheitsanleitung