Ce principe du pilier "Sécurité" du Google Cloud Well-Architected Framework fournit des recommandations pour intégrer des fonctionnalités de sécurité, des contrôles et des pratiques robustes dans la conception de vos applications, services et plates-formes cloud. De la conception aux opérations, la sécurité est plus efficace lorsqu'elle est intégrée à chaque étape de votre processus de conception.
Présentation du principe
Comme expliqué dans Présentation de l'engagement de Google en faveur de la sécurité dès la conception, les termes sécurisé par défaut et sécurisé dès la conception sont souvent utilisés de manière interchangeable, mais ils représentent des approches distinctes pour créer des systèmes sécurisés. Ces deux approches visent à minimiser les failles et à renforcer la sécurité, mais elles diffèrent par leur champ d'application et leur mise en œuvre :
- Sécurisé par défaut : vise à s'assurer que les paramètres par défaut d'un système sont définis sur un mode sécurisé, ce qui réduit la nécessité pour les utilisateurs ou les administrateurs de prendre des mesures pour sécuriser le système. Cette approche vise à fournir un niveau de sécurité de base à tous les utilisateurs.
- Sécurité dès la conception : principe qui met l'accent sur l'intégration proactive de considérations de sécurité tout au long du cycle de vie du développement d'un système. Cette approche consiste à anticiper les menaces et les failles potentielles dès le départ, et à faire des choix de conception qui atténuent les risques. Cette approche implique d'utiliser des pratiques de codage sécurisées, d'effectuer des examens de sécurité et d'intégrer la sécurité tout au long du processus de conception. L'approche sécurisée dès la conception est une philosophie globale qui guide le processus de développement et permet de s'assurer que la sécurité n'est pas une réflexion après coup, mais fait partie intégrante de la conception d'un système.
Recommandations
Pour mettre en œuvre le principe de sécurité dès la conception pour vos charges de travail cloud, tenez compte des recommandations des sections suivantes :
- Choisir des composants système qui contribuent à sécuriser vos charges de travail
- Créer une approche multicouche de la sécurité
- Utiliser une infrastructure et des services renforcés et attestés
- Chiffrer les données au repos et en transit
Choisir des composants système qui aident à sécuriser vos charges de travail
Cette recommandation s'applique à tous les domaines d'action.
Pour assurer une sécurité efficace, il est essentiel de choisir des composants système robustes (matériels et logiciels) qui constituent votre plate-forme, votre solution ou votre service. Pour réduire la surface d'attaque de sécurité et limiter les dommages potentiels, vous devez également examiner attentivement les modèles de déploiement de ces composants et leurs configurations.
Dans le code de votre application, nous vous recommandons d'utiliser des bibliothèques, des abstractions et des frameworks d'application simples, sûrs et fiables afin d'éliminer les classes de failles. Pour rechercher des failles dans les bibliothèques logicielles, vous pouvez utiliser des outils tiers. Vous pouvez également utiliser Assured Open Source Software, qui permet de réduire les risques liés à votre chaîne d'approvisionnement logicielle en utilisant des packages de logiciels Open Source (OSS) que Google utilise et sécurise.
Votre infrastructure doit utiliser des options de mise en réseau, de stockage et de calcul qui permettent un fonctionnement sûr et qui sont conformes à vos exigences de sécurité et à vos niveaux d'acceptation des risques. La sécurité de l'infrastructure est importante pour les charges de travail internes et celles accessibles sur Internet.
Pour en savoir plus sur les autres solutions Google compatibles avec cette recommandation, consultez Implémenter la sécurité shift-left.
Créer une approche multicouche de la sécurité
Cette recommandation s'applique aux domaines d'intérêt suivants :
- Sécurité de l'IA et du ML
- Sécurité de l'infrastructure
- Gestion de l'authentification et des accès
- Sécurité des données
Nous vous recommandons d'implémenter la sécurité à chaque couche de votre pile d'applications et d'infrastructure en appliquant une approche de défense en profondeur.
Utilisez les fonctionnalités de sécurité de chaque composant de votre plate-forme. Pour limiter l'accès et identifier les limites de l'impact potentiel (c'est-à-dire le rayon d'impact) en cas d'incident de sécurité, procédez comme suit :
- Simplifiez la conception de votre système pour l'adapter à la flexibilité, dans la mesure du possible.
- Documentez les exigences de sécurité de chaque composant.
- Intégrez un mécanisme sécurisé robuste pour répondre aux exigences de résilience et de récupération.
Lorsque vous concevez les couches de sécurité, effectuez une évaluation des risques afin de déterminer les fonctionnalités de sécurité dont vous avez besoin pour répondre à vos exigences de sécurité internes et à vos exigences réglementaires externes. Nous vous recommandons d'utiliser un framework d'évaluation des risques standard dans l'industrie, qui s'applique aux environnements cloud et à vos exigences réglementaires. Par exemple, la Cloud Security Alliance (CSA) fournit la matrice des contrôles cloud (CCM). L'évaluation des risques vous fournit un catalogue des risques et des contrôles de sécurité correspondants pour les atténuer.
Lorsque vous effectuez l'évaluation des risques, n'oubliez pas que vous avez conclu un accord de responsabilité partagée avec votre fournisseur de services cloud. Par conséquent, les risques auxquels vous êtes exposé dans un environnement cloud diffèrent de ceux auxquels vous êtes exposé dans un environnement sur site. Par exemple, dans un environnement sur site, vous devez atténuer les failles de votre pile matérielle. En revanche, dans un environnement cloud, le fournisseur de services cloud assume ces risques. N'oubliez pas non plus que les limites des responsabilités partagées diffèrent entre les services IaaS, PaaS et SaaS pour chaque fournisseur de services cloud.
Après avoir identifié les risques potentiels, vous devez concevoir et créer un plan d'atténuation qui utilise des contrôles techniques, administratifs et opérationnels, ainsi que des protections contractuelles et des attestations tierces. En outre, une méthode de modélisation des menaces, telle que la méthode de modélisation des menaces d'application OWASP, vous aide à identifier les lacunes potentielles et suggère des actions pour les corriger.
Utiliser une infrastructure et des services renforcés et attestés
Cette recommandation s'applique à tous les domaines d'action.
Un programme de sécurité mature corrige les nouvelles failles, comme décrit dans les bulletins de sécurité. Le programme de sécurité doit également fournir des solutions pour corriger les failles des déploiements existants et sécuriser vos images de VM et de conteneurs. Vous pouvez utiliser des guides de renforcement spécifiques à l'OS et à l'application de vos images, ainsi que des benchmarks comme celui fourni par le Center of Internet Security (CIS).
Si vous utilisez des images personnalisées pour vos VM Compute Engine, vous devez appliquer vous-même les correctifs aux images. Vous pouvez également utiliser les images d'OS sélectionnées fournies par Google, qui sont régulièrement corrigées. Pour exécuter des conteneurs sur des VM Compute Engine, utilisez les images Container-Optimized OS sélectionnées par Google. Google corrige et met régulièrement à jour ces images.
Si vous utilisez Google Kubernetes Engine (GKE), nous vous recommandons d'activer les mises à niveau automatiques des nœuds pour que Google puisse mettre à jour vos nœuds de cluster en appliquant les derniers correctifs. Google gère les plans de contrôle GKE, qui sont automatiquement mis à jour et corrigés. Pour réduire davantage la surface d'attaque de vos conteneurs, vous pouvez utiliser des images distroless. Les images distroless sont idéales pour les applications sensibles à la sécurité, les microservices et les situations où il est primordial de minimiser la taille de l'image et la surface d'attaque.
Pour les charges de travail sensibles, utilisez des VM protégées, qui empêchent le chargement de code malveillant pendant le cycle de démarrage de la VM. Les instances de VM protégées offrent une sécurité au démarrage, surveillent l'intégrité et utilisent le module vTPM (Virtual Trusted Platform Module).
Pour sécuriser l'accès SSH, OS Login permet à vos employés de se connecter à vos VM en utilisant des autorisations Identity and Access Management (IAM) en tant que source de vérité plutôt que des clés SSH. Vous n'avez donc pas besoin de gérer les clés SSH dans votre organisation. OS Login associe l'accès d'un administrateur à son cycle de vie en tant qu'employé. Ainsi, lorsque les employés changent de rôle ou quittent votre organisation, leur accès est révoqué en même temps que leur compte. OS Login est également compatible avec l'authentification à deux facteurs de Google, qui ajoute une couche de sécurité supplémentaire contre les attaques par prise de contrôle de compte.
Dans GKE, les instances d'application s'exécutent dans des conteneurs Docker. Pour activer un profil de risque défini et empêcher les employés de modifier les conteneurs, assurez-vous que vos conteneurs sont sans état et immuables. Le principe d'immuabilité signifie que vos employés ne peuvent pas modifier le conteneur ou y accéder de manière interactive. Si le conteneur doit être modifié, vous devez créer une nouvelle image et la déployer. N'activez l'accès SSH aux conteneurs sous-jacents que dans des scénarios de débogage spécifiques.
Pour sécuriser les configurations de manière globale dans votre environnement, vous pouvez utiliser des règles d'administration afin de définir des contraintes ou des garde-fous sur les ressources qui affectent le comportement de vos éléments cloud. Par exemple, vous pouvez définir les règles d'administration suivantes et les appliquer de manière globale à une organisation Google Cloud ou de manière sélective au niveau d'un dossier ou d'un projet :
- Désactivez l'attribution d'adresses IP externes aux VM.
- Limitez la création de ressources à des emplacements géographiques spécifiques.
- Désactivez la création de comptes de service ou de leurs clés.
Chiffrer les données au repos et en transit
Cette recommandation s'applique aux domaines d'intérêt suivants :
- Sécurité de l'infrastructure
- Sécurité des données
Le chiffrement des données est un contrôle fondamental pour protéger les informations sensibles et un élément clé de la gouvernance des données. Une stratégie efficace de protection des données inclut le contrôle des accès, la segmentation des données et la résidence géographique, l'audit et la mise en œuvre du chiffrement, en fonction d'une évaluation minutieuse des exigences.
Par défaut, Google Cloud chiffre les données client stockées au repos, sans action requise de votre part. En plus du chiffrement par défaut,Google Cloud propose des options de chiffrement d'enveloppe et de gestion des clés de chiffrement. Vous devez identifier les solutions qui répondent le mieux à vos exigences en matière de génération, de stockage et de rotation des clés, que vous choisissiez les clés pour votre stockage, pour le calcul ou pour les charges de travail de big data. Par exemple, les clés de chiffrement gérées par le client (CMEK) peuvent être créées dans Cloud Key Management Service (Cloud KMS). Les CMEK peuvent être logicielles ou protégées par HSM pour répondre à vos exigences réglementaires ou de conformité, telles que la nécessité d'effectuer une rotation régulière des clés de chiffrement. Cloud KMS Autokey vous permet d'automatiser le provisionnement et l'attribution des CMEK. Vous pouvez également importer vos propres clés provenant d'un système de gestion de clés tiers à l'aide de Cloud External Key Manager (Cloud EKM).
Nous vous recommandons vivement de chiffrer les données en transit. Google chiffre et authentifie les données en transit sur une ou plusieurs couches réseau lorsque des données sont transférées en dehors des limites physiques qui ne sont pas contrôlées par ou pour le compte de Google. Tout le trafic de VM à VM dans un réseau VPC et entre des réseaux VPC appairés est chiffré. Vous pouvez utiliser MACsec pour chiffrer le trafic sur les connexions Cloud Interconnect. IPsec fournit un chiffrement pour le trafic sur les connexions Cloud VPN. Vous pouvez protéger le trafic d'application à application dans le cloud à l'aide de fonctionnalités de sécurité telles que les configurations TLS et mTLS dans Apigee et Cloud Service Mesh pour les applications conteneurisées.
Par défaut, Google Cloud chiffre les données au repos et les données en transit sur le réseau. Toutefois, les données ne sont pas chiffrées par défaut lorsqu'elles sont utilisées en mémoire. Si votre organisation traite des données confidentielles, vous devez atténuer les menaces qui portent atteinte à la confidentialité et à l'intégrité de l'application ou des données dans la mémoire système. Pour limiter ces menaces, vous pouvez utiliser l'informatique confidentielle, qui fournit un environnement d'exécution sécurisé pour vos charges de travail de calcul. Pour en savoir plus, consultez Présentation de Confidential VM.