Dieses Prinzip in der Sicherheitssäule des Google Cloud Well-Architected Framework hilft Ihnen, für umfassende Sicherheit bei Ihren Cloud-Arbeitslasten zu sorgen. Das Zero-Trust-Prinzip betont die folgenden Praktiken:
- Implizites Vertrauen eliminieren
- Prinzip der geringsten Berechtigung auf die Zugriffssteuerung anwenden
- Erzwingen der expliziten Validierung aller Zugriffsanfragen
- Annahme einer Assume-Breach-Mentalität, um eine kontinuierliche Überprüfung und Überwachung des Sicherheitsstatus zu ermöglichen
Übersicht über die Prinzipien
Beim Zero-Trust-Modell verlagert sich der Sicherheitsfokus von der perimeterbasierten Sicherheit auf einen Ansatz, bei dem kein Nutzer und kein Gerät als grundsätzlich vertrauenswürdig gilt. Stattdessen muss jede Zugriffsanfrage unabhängig von ihrem Ursprung überprüft werden. Bei diesem Ansatz werden alle Nutzer und Geräte authentifiziert und autorisiert, ihr Kontext (Standort und Gerätestatus) wird validiert und es wird nur der Zugriff mit den geringsten Berechtigungen auf die erforderlichen Ressourcen gewährt.
Durch die Implementierung des Zero-Trust-Modells kann Ihr Unternehmen seinen Sicherheitsstatus verbessern, indem die Auswirkungen potenzieller Sicherheitslücken minimiert und sensible Daten und Anwendungen vor unbefugtem Zugriff geschützt werden. Das Zero-Trust-Modell hilft Ihnen, die Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Ressourcen in der Cloud zu gewährleisten.
Empfehlungen
Wenn Sie das Zero-Trust-Modell für Ihre Cloud-Arbeitslasten implementieren möchten, beachten Sie die Empfehlungen in den folgenden Abschnitten:
Netzwerk sichern
Diese Empfehlung ist für den folgenden Schwerpunktbereich relevant: Infrastruktursicherheit.
Der Übergang von der herkömmlichen perimeterbasierten Sicherheit zu einem Zero-Trust-Modell erfordert mehrere Schritte. Möglicherweise hat Ihre Organisation bereits bestimmte Zero-Trust-Kontrollen in ihren Sicherheitsstatus integriert. Ein Zero-Trust-Modell ist jedoch kein einzelnes Produkt oder eine einzelne Lösung. Stattdessen handelt es sich um eine ganzheitliche Integration mehrerer Sicherheitsebenen und Best Practices. In diesem Abschnitt werden Empfehlungen und Techniken zur Implementierung von Zero-Trust für die Netzwerksicherheit beschrieben.
- Zugriffssteuerung: Erzwingen Sie Zugriffssteuerungen basierend auf Nutzeridentität und Kontext, indem Sie Lösungen wie Chrome Enterprise Premium und Identity-Aware Proxy (IAP) verwenden. Dadurch verlagern Sie die Sicherheit vom Netzwerkperimeter auf einzelne Nutzer und Geräte. Dieser Ansatz ermöglicht eine detaillierte Zugriffssteuerung und reduziert die Angriffsfläche.
- Netzwerksicherheit: Sichere Netzwerkverbindungen zwischen Ihren lokalen, Google Cloud- und Multi-Cloud-Umgebungen.
- Verwenden Sie die Methoden für private Konnektivität von Cloud Interconnect und IPsec-VPNs.
- Verwenden Sie Private Service Connect, um den Zugriff auf Dienste und APIs von Google Cloud zu sichern.
- Verwenden Sie Cloud Service Mesh-Egress-Gateways, um den ausgehenden Zugriff von Arbeitslasten zu sichern, die in der Google Kubernetes Engine (GKE) und zugehörigen Produkten bereitgestellt werden.
- Netzwerkdesign: Verhindern Sie potenzielle Sicherheitsrisiken, indem Sie Standardnetzwerke in vorhandenen Projekten löschen und das Erstellen von Standardnetzwerken in neuen Projekten deaktivieren.
- Planen Sie Ihr Netzwerk und die IP-Adresszuweisung sorgfältig, um Konflikte zu vermeiden.
- Um eine effektive Zugriffssteuerung zu erzwingen, begrenzen Sie die Anzahl der VPC-Netzwerke (Virtual Private Cloud) pro Projekt.
- Segmentierung: Arbeitslasten isolieren, aber die zentrale Netzwerkverwaltung beibehalten.
- Wenn Sie Ihre Netzwerkumgebungen segmentieren möchten, verwenden Sie mehrere VPC-Netzwerke und definieren Sie Firewallrichtlinien und ‑regeln auf Organisations-, Ordner- und VPC-Netzwerkebene.
- Wenn Sie die Netzwerkverwaltung für Ressourcen in separaten Projekten zentralisieren möchten, verwenden Sie eine gemeinsam genutzte VPC. Beispielsweise können Administratoren eines Dienstprojekts Compute Engine-Instanzen erstellen, die genehmigte Subnetze aus dem Projekt verwenden, das ein zentral verwaltetes gemeinsam genutztes VPC-Netzwerk hostet.
- Um Daten-Exfiltration zu verhindern, richten Sie mit VPC Service Controls sichere Perimeter für sensible Google Cloud -APIs und -Dienste ein und verwenden Sie strenge Firewallregeln für ausgehenden Traffic, um den Traffic ins Internet einzuschränken.
- Perimetersicherheit: Schutz vor DDoS-Angriffen und Bedrohungen für Webanwendungen.
- Verwenden Sie Google Cloud Armor, um sich vor Bedrohungen zu schützen.
- Sicherheitsrichtlinien konfigurieren, um Traffic amGoogle Cloud Edge zuzulassen, abzulehnen oder umzuleiten.
- Automatisierung: Automatisieren Sie die Infrastrukturbereitstellung, indem Sie die Prinzipien von Infrastruktur als Code (IaC) übernehmen und Tools wie Terraform, Jenkins und Cloud Build verwenden. IaC trägt dazu bei, konsistente Sicherheitskonfigurationen, vereinfachte Bereitstellungen und schnelle Rollbacks im Falle von Problemen zu gewährleisten.
- Sichere Grundlage: Erstellen Sie eine sichere Anwendungsumgebung mit dem Blueprint für Unternehmensgrundlagen. Dieser Blueprint enthält verbindliche Anleitungen und Automatisierungsskripts, mit denen Sie Best Practices für die Sicherheit implementieren und IhreGoogle Cloud -Ressourcen sicher konfigurieren können.
Jeden Zugriffsversuch explizit überprüfen
Diese Empfehlung ist für die folgenden Schwerpunkte relevant:
- Identitäts- und Zugriffsverwaltung
- Security Operations (SecOps)
- Logging, Auditing und Monitoring
Implementieren Sie strenge Authentifizierungs- und Autorisierungsmechanismen für alle Nutzer, Geräte oder Dienste, die versuchen, auf Ihre Cloud-Ressourcen zuzugreifen. Verlassen Sie sich nicht auf den Standort oder den Netzwerkperimeter als Sicherheitskontrolle. Vertrauen Sie keinem Nutzer, Gerät oder Dienst automatisch, auch wenn er sich bereits im Netzwerk befindet. Stattdessen muss jeder Versuch, auf Ressourcen zuzugreifen, streng authentifiziert und autorisiert werden. Sie müssen strenge Maßnahmen zur Identitätsüberprüfung implementieren, z. B. die Multi-Faktor-Authentifizierung (MFA). Außerdem müssen Sie dafür sorgen, dass Zugriffsentscheidungen auf detaillierten Richtlinien basieren, die verschiedene Kontextfaktoren wie Nutzerrolle, Gerätestatus und Standort berücksichtigen.
Verwenden Sie die folgenden Methoden, Tools und Technologien, um diese Empfehlung zu implementieren:
- Einheitliche Identitätsverwaltung: Sorgen Sie für eine konsistente Identitätsverwaltung in Ihrer Organisation, indem Sie einen einzigen Identitätsanbieter (IdP) verwenden.
- Google Cloud unterstützt die Föderation mit den meisten IdPs, einschließlich des lokalen Active Directory. Mit der Föderation können Sie Ihre bestehende Infrastruktur für die Identitätsverwaltung auf Google Cloud erweitern und die Einmalanmeldung (SSO) für Nutzer aktivieren.
- Wenn Sie noch keinen IdP haben, können Sie die Cloud Identity Premiumversion oder Google Workspace verwenden.
- Eingeschränkte Dienstkontoberechtigungen: Verwenden Sie Dienstkonten mit Bedacht und halten Sie sich an das Prinzip der geringsten Berechtigung.
- Gewähren Sie nur die Berechtigungen, die für jedes Dienstkonto erforderlich sind, um die zugewiesenen Aufgaben auszuführen.
- Verwenden Sie die Workload Identity-Föderation für Anwendungen, die in GKE oder außerhalb vonGoogle Cloud ausgeführt werden, um sicher auf Ressourcen zuzugreifen.
- Robuste Prozesse: Aktualisieren Sie Ihre Identitätsprozesse, um sie an die Best Practices für die Cloud-Sicherheit anzupassen.
- Um die Einhaltung gesetzlicher Anforderungen zu gewährleisten, sollten Sie Identity Governance implementieren, um Zugriff, Risiken und Richtlinienverstöße zu verfolgen.
- Überprüfen und aktualisieren Sie Ihre vorhandenen Prozesse zum Gewähren und Prüfen von Rollen und Berechtigungen für die Zugriffssteuerung.
- Starke Authentifizierung: Implementieren Sie SSO für die Nutzerauthentifizierung und MFA für privilegierte Konten.
- Google Cloud unterstützt verschiedene MFA-Methoden, einschließlich Titan-Sicherheitsschlüsseln, für mehr Sicherheit.
- Verwenden Sie für die Arbeitslastauthentifizierung OAuth 2.0 oder signierte JSON Web Tokens (JWTs).
- Geringste Berechtigung: Minimieren Sie das Risiko von unbefugtem Zugriff und Datenpannen, indem Sie die Prinzipien der geringsten Berechtigung und der Aufgabentrennung durchsetzen.
- Vermeiden Sie eine Überdimensionierung des Nutzerzugriffs.
- Erwägen Sie die Implementierung eines Just-in-Time-privilegierten Zugriffs für sensible Vorgänge.
- Logging: Aktivieren Sie das Audit-Logging für Administrator- und Datenzugriffsaktivitäten.
- Scannen Sie die Logs zur Analyse und Bedrohungserkennung mit Security Command Center oder Google Security Operations.
- Konfigurieren Sie geeignete Richtlinien für die Logaufbewahrung, um Sicherheitsanforderungen mit Speicherkosten in Einklang zu bringen.
Netzwerk überwachen und verwalten
Diese Empfehlung ist für die folgenden Schwerpunkte relevant:
- Logging, Auditing und Monitoring
- Anwendungssicherheit
- Security Operations (SecOps)
- Sichere Infrastruktur
Gehen Sie bei der Planung und Implementierung von Sicherheitsmaßnahmen davon aus, dass sich ein Angreifer bereits in Ihrer Umgebung befindet. Dieser proaktive Ansatz umfasst die Verwendung der folgenden Tools und Techniken, um Einblick in Ihr Netzwerk zu erhalten:
Zentralisiertes Logging und Monitoring: Erfassen und analysieren Sie Sicherheitslogs aus allen Ihren Cloud-Ressourcen über zentralisiertes Logging und Monitoring.
- Baselines für normales Netzwerkverhalten festlegen, Anomalien erkennen und potenzielle Bedrohungen identifizieren.
- Analysieren Sie kontinuierlich den Netzwerkverkehr, um verdächtige Muster und potenzielle Angriffe zu erkennen.
Einblicke in Netzwerkleistung und -sicherheit: Verwenden Sie Tools wie Network Analyzer. Überwachen Sie den Traffic auf ungewöhnliche Protokolle, unerwartete Verbindungen oder plötzliche Spitzen bei der Datenübertragung, die auf schädliche Aktivitäten hindeuten könnten.
Scannen auf Sicherheitslücken und Behebung von Sicherheitslücken: Scannen Sie Ihr Netzwerk und Ihre Anwendungen regelmäßig auf Sicherheitslücken.
- Verwenden Sie das Security Command Center, mit dem Sicherheitslücken in Ihren Compute Engine-Instanzen, Containern und GKE-Clustern automatisch erkannt werden können.
- Priorisieren Sie die Behebung von Sicherheitslücken nach ihrem Schweregrad und ihren potenziellen Auswirkungen auf Ihre Systeme.
Einbruchserkennung: Überwachen Sie den Netzwerkverkehr auf schädliche Aktivitäten und blockieren Sie verdächtige Ereignisse automatisch oder erhalten Sie Benachrichtigungen dazu. Verwenden Sie dazu das Cloud Intrusion Detection System (Cloud IDS) und den Cloud Next Generation Firewall (Cloud NGFW)-Dienst zur Einbruchsprävention.
Sicherheitsanalyse: Erwägen Sie die Implementierung von Google SecOps, um Sicherheitsereignisse aus verschiedenen Quellen zu korrelieren, Sicherheitswarnungen in Echtzeit zu analysieren und die Incident Response zu erleichtern.
Konsistente Konfigurationen: Sorgen Sie mit Konfigurationsverwaltungstools für konsistente Sicherheitskonfigurationen in Ihrem Netzwerk.