Este principio del pilar de seguridad del Google Cloud Well-Architected Framework te ayuda a garantizar una seguridad integral en tus cargas de trabajo en la nube. El principio de confianza cero enfatiza las siguientes prácticas:
- Eliminar la confianza implícita
- Aplica el principio de privilegio mínimo al control de acceso
- Aplicar la validación explícita de todas las solicitudes de acceso
- Adoptar una mentalidad de suposición de vulneración para habilitar la verificación continua y la supervisión de la postura de seguridad
Descripción general del principio
El modelo de confianza cero cambia el enfoque de seguridad de la seguridad basada en el perímetro a un enfoque en el que no se considera que ningún usuario ni dispositivo sea inherentemente confiable. En cambio, cada solicitud de acceso debe verificarse, sin importar su origen. Este enfoque implica autenticar y autorizar a cada usuario y dispositivo, validar su contexto (ubicación y postura del dispositivo) y otorgar acceso con privilegio mínimo solo a los recursos necesarios.
Implementar el modelo de confianza cero ayuda a tu organización a mejorar su postura de seguridad, ya que minimiza el impacto de las posibles violaciones de la seguridad y protege los datos y las aplicaciones sensibles contra el acceso no autorizado. El modelo de confianza cero te ayuda a garantizar la confidencialidad, integridad y disponibilidad de los datos y recursos en la nube.
Recomendaciones
Para implementar el modelo de confianza cero en tus cargas de trabajo de la nube, ten en cuenta las recomendaciones de las siguientes secciones:
Protege la red
Esta recomendación es pertinente para el siguiente área de enfoque: Seguridad de la infraestructura.
La transición de la seguridad convencional basada en el perímetro a un modelo de confianza cero requiere varios pasos. Es posible que tu organización ya haya integrado ciertos controles de confianza cero en su postura de seguridad. Sin embargo, un modelo de confianza cero no es un producto o una solución únicos. En cambio, es una integración integral de múltiples capas de seguridad y prácticas recomendadas. En esta sección, se describen las recomendaciones y técnicas para implementar la confianza cero en la seguridad de redes.
- Control de acceso: Aplica controles de acceso basados en la identidad y el contexto del usuario con soluciones como Chrome Enterprise Premium y Identity-Aware Proxy (IAP). De esta manera, cambias la seguridad del perímetro de la red a los usuarios y dispositivos individuales. Este enfoque permite un control de acceso detallado y reduce la superficie de ataque.
- Seguridad de redes: Protege las conexiones de red entre tus entornos locales, de Google Cloudy de múltiples nubes.
- Usa los métodos de conectividad privada de Cloud Interconnect y VPNs con IPsec.
- Para ayudar a proteger el acceso a los servicios y las APIs de Google Cloud , usa Private Service Connect.
- Para ayudar a proteger el acceso saliente de las cargas de trabajo implementadas en Google Kubernetes Engine (GKE) y los productos relacionados, usa puertas de enlace de salida de Cloud Service Mesh.
- Diseño de red: Evita posibles riesgos de seguridad borrando las redes predeterminadas
en los proyectos existentes y, también, inhabilitando la creación de redes predeterminadas
en los proyectos nuevos.
- Para evitar conflictos, planifica con cuidado la asignación de redes y direcciones IP.
- Para aplicar un control de acceso eficaz, limita la cantidad de redes de nube privada virtual (VPC) por proyecto.
- Segmentación: Aísla las cargas de trabajo, pero mantén la administración de red
centralizada.
- Para segmentar tus entornos de red, usa varias redes de VPC y define políticas y reglas de firewall a nivel de organización, carpeta y red de VPC.
- Para centralizar la administración de red de los recursos que se encuentran en proyectos independientes, usa la VPC compartida. Por ejemplo, los administradores de un proyecto de servicio pueden crear instancias de Compute Engine que usen subredes aprobadas del proyecto que aloja una red de VPC compartida administrada de forma central.
- Para evitar el robo de datos, establece perímetros seguros alrededor de las APIs y los servicios sensibles de Google Cloud con los Controles del servicio de VPC y usa reglas de firewall de salida estrictas para restringir el tráfico vinculado a Internet.
- Seguridad perimetral: Protégete contra ataques DSD y amenazas a aplicaciones web.
- Para protegerte contra amenazas, usa Google Cloud Armor.
- Configura políticas de seguridad para permitir, denegar o redireccionar el tráfico en el perímetro deGoogle Cloud .
- Automatización: Automatiza el aprovisionamiento de infraestructura adoptando los principios de infraestructura como código (IaC) y usando herramientas como Terraform, Jenkins y Cloud Build. La IaC ayuda a garantizar configuraciones de seguridad coherentes, implementaciones simplificadas y reversiones rápidas en caso de problemas.
- Base segura: Establece un entorno de aplicación seguro con el plano de bases empresariales. Este plano proporciona orientación prescriptiva y secuencias de comandos de automatización para ayudarte a implementar las prácticas recomendadas de seguridad y configurar tus recursos deGoogle Cloud de forma segura.
Verifica cada intento de acceso de forma explícita
Esta recomendación es relevante para las siguientes áreas de enfoque:
- Administración de identidades y accesos
- Operaciones de seguridad (SecOps)
- Registro, auditoría y supervisión
Implementa mecanismos de autenticación y autorización sólidos para cualquier usuario, dispositivo o servicio que intente acceder a tus recursos de nube. No dependas de la ubicación ni del perímetro de red como control de seguridad. No confíes automáticamente en ningún usuario, dispositivo o servicio, incluso si ya están dentro de la red. En cambio, cada intento de acceder a los recursos debe autenticarse y autorizarse de forma rigurosa. Debes implementar medidas de verificación de identidad sólidas, como la autenticación de varios factores (MFA). También debes asegurarte de que las decisiones de acceso se basen en políticas detalladas que consideren varios factores contextuales, como el rol del usuario, la postura del dispositivo y la ubicación.
Para implementar esta recomendación, usa los siguientes métodos, herramientas y tecnologías:
- Administración de identidades unificada: Garantiza una administración de identidades coherente
en toda tu organización con un solo proveedor de identidad (IdP).
- Google Cloud admite la federación con la mayoría de los IdP, incluido Active Directory local. La federación te permite extender tu infraestructura de administración de identidades existente a Google Cloud y habilitar el inicio de sesión único (SSO) para los usuarios.
- Si no tienes un IdP existente, considera usar Cloud Identity Premium o Google Workspace.
- Permisos de cuentas de servicio limitados: Usa las
cuentas de servicio
con cuidado y cumple con el principio de privilegio mínimo.
- Otorga solo los permisos necesarios para que cada cuenta de servicio realice sus tareas designadas.
- Usa la federación de identidades para cargas de trabajo en las aplicaciones que se ejecutan en GKE o fuera de Google Cloud para acceder a los recursos de forma segura.
- Procesos sólidos: Actualiza tus procesos de identidad para alinearlos con las prácticas recomendadas de seguridad en la nube.
- Para garantizar el cumplimiento de los requisitos regulatorios, implementa la administración de identidades para hacer un seguimiento del acceso, los riesgos y los incumplimientos de políticas.
- Revisa y actualiza tus procesos existentes para otorgar y auditar roles y permisos de control de acceso.
- Autenticación sólida: Implementa el SSO para la autenticación de usuarios y
la MFA para las cuentas con privilegios.
- Google Cloud admite varios métodos de MFA, incluidas las llaves de seguridad Titan, para mejorar la seguridad.
- Para la autenticación de cargas de trabajo, usa OAuth 2.0 o tokens web JSON (JWT) firmados.
- Privilegio mínimo: Minimiza el riesgo de acceso no autorizado y violaciones de la seguridad de los datos aplicando los principios de privilegio mínimo y separación de funciones.
- Evita el aprovisionamiento excesivo del acceso de los usuarios.
- Considera implementar el acceso con privilegios justo a tiempo para las operaciones sensibles.
- Registro: Habilita el registro de auditoría para las actividades de administrador y de acceso a los datos.
- Para el análisis y la detección de amenazas, analiza los registros con Security Command Center o Google Security Operations.
- Configura políticas de retención de registros adecuadas para equilibrar las necesidades de seguridad con los costos de almacenamiento.
Supervisa y mantén tu red
Esta recomendación es relevante para las siguientes áreas de enfoque:
- Registro, auditoría y supervisión
- Seguridad para aplicaciones
- Operaciones de seguridad (SecOps)
- Seguridad de la infraestructura
Cuando planifiques e implementes medidas de seguridad, asume que un atacante ya está dentro de tu entorno. Este enfoque proactivo implica usar las siguientes herramientas y técnicas para proporcionar visibilidad de tu red:
Registro y supervisión centralizados: Recopila y analiza los registros de seguridad de todos tus recursos de la nube a través del registro y la supervisión centralizados.
- Establece valores de referencia para el comportamiento normal de la red, detecta anomalías y reconoce posibles amenazas.
- Analiza continuamente los flujos de tráfico de red para identificar patrones sospechosos y posibles ataques.
Estadísticas sobre el rendimiento y la seguridad de la red: Usa herramientas como Network Analyzer. Supervisa el tráfico en busca de protocolos inusuales, conexiones inesperadas o aumentos repentinos en la transferencia de datos, lo que podría indicar actividad maliciosa.
Análisis y corrección de vulnerabilidades: Analiza con regularidad tu red y tus aplicaciones en busca de vulnerabilidades.
- Usa Security Command Center, que puede identificar automáticamente vulnerabilidades en tus instancias de Compute Engine, contenedores y clústeres de GKE.
- Prioriza la corrección según la gravedad de las vulnerabilidades y su posible impacto en tus sistemas.
Detección de intrusiones: Supervisa el tráfico de red en busca de actividad maliciosa y bloquea o recibe alertas de forma automática para eventos sospechosos con el Sistema de detección de intrusiones de Cloud (IDS de Cloud) y el servicio de prevención de intrusiones de Cloud Next Generation Firewall (Cloud NGFW).
Análisis de seguridad: Considera implementar Google SecOps para correlacionar eventos de seguridad de varias fuentes, proporcionar análisis en tiempo real de las alertas de seguridad y facilitar la respuesta ante incidentes.
Parámetros de configuración coherentes: Asegúrate de tener parámetros de configuración de seguridad coherentes en toda la red con herramientas de administración de configuración.