Ce principe du pilier "Sécurité" du Google Cloud Well-Architected Framework vous aide à assurer une sécurité complète pour vos charges de travail cloud. Le principe de confiance zéro met l'accent sur les pratiques suivantes :
- Éliminer la confiance implicite
- Appliquer le principe du moindre privilège au contrôle des accès
- Application de la validation explicite de toutes les demandes d'accès
- Adopter un état d'esprit "assume-breach" (supposer qu'une violation a eu lieu) pour permettre une vérification continue et une surveillance de la stratégie de sécurité
Présentation du principe
Le modèle zéro confiance déplace l'attention de la sécurité périmétrique vers une approche dans laquelle aucun utilisateur ni appareil n'est considéré comme intrinsèquement digne de confiance. Au lieu de cela, chaque demande d'accès doit être vérifiée, quelle que soit son origine. Cette approche implique d'authentifier et d'autoriser chaque utilisateur et appareil, de valider leur contexte (emplacement et stratégie de l'appareil) et d'accorder un accès avec moindre privilège aux seules ressources nécessaires.
La mise en œuvre du modèle zéro confiance aide votre organisation à renforcer sa stratégie de sécurité en minimisant l'impact des failles potentielles et en protégeant les données et applications sensibles contre les accès non autorisés. Le modèle de confiance zéro vous aide à garantir la confidentialité, l'intégrité et la disponibilité des données et des ressources dans le cloud.
Recommandations
Pour mettre en œuvre le modèle de confiance zéro pour vos charges de travail cloud, tenez compte des recommandations des sections suivantes :
- Sécuriser votre réseau
- Vérifier explicitement chaque tentative d'accès
- Surveiller et gérer votre réseau
Sécuriser votre réseau
Cette recommandation s'applique au domaine d'intérêt suivant : sécurité de l'infrastructure.
La transition d'une sécurité périmétrique classique à un modèle zéro confiance nécessite plusieurs étapes. Votre organisation a peut-être déjà intégré certains contrôles zéro confiance dans sa stratégie de sécurité. Toutefois, un modèle zéro confiance n'est pas un produit ou une solution unique. Il s'agit plutôt d'une intégration globale de plusieurs couches de sécurité et bonnes pratiques. Cette section décrit les recommandations et les techniques permettant de mettre en œuvre le modèle zéro confiance pour la sécurité réseau.
- Contrôle des accès : appliquez des contrôles des accès basés sur l'identité et le contexte de l'utilisateur à l'aide de solutions telles que Chrome Enterprise Premium et Identity-Aware Proxy (IAP). De cette façon, vous déplacez la sécurité du périmètre réseau vers les utilisateurs et les appareils individuels. Cette approche permet un contrôle des accès précis et réduit la surface d'attaque.
- Sécurité réseau : sécurisez les connexions réseau entre vos environnements sur site, Google Cloudet multicloud.
- Utilisez les méthodes de connectivité privée de Cloud Interconnect et des VPN IPsec.
- Pour sécuriser l'accès aux services et aux API Google Cloud , utilisez Private Service Connect.
- Pour sécuriser l'accès sortant des charges de travail déployées sur Google Kubernetes Engine (GKE) et les produits associés, utilisez les passerelles de sortie Cloud Service Mesh.
- Conception du réseau : évitez les risques de sécurité potentiels en supprimant les réseaux par défaut dans les projets existants et en désactivant la création de réseaux par défaut dans les nouveaux projets.
- Pour éviter les conflits, planifiez soigneusement votre réseau et l'allocation des adresses IP.
- Pour appliquer un contrôle des accès efficace, limitez le nombre de réseaux cloud privé virtuel (VPC) par projet.
- Segmentation : isolez les charges de travail, mais conservez une gestion centralisée du réseau.
- Pour segmenter vos environnements réseau, utilisez plusieurs réseaux VPC et définissez des stratégies et des règles de pare-feu au niveau de l'organisation, du dossier et du réseau VPC.
- Pour centraliser l'administration réseau des ressources situées dans des projets distincts, utilisez un VPC partagé. Par exemple, les administrateurs d'un projet de service peuvent créer des instances Compute Engine qui utilisent des sous-réseaux approuvés du projet qui héberge un réseau VPC partagé géré de manière centralisée.
- Pour empêcher l'exfiltration de données, établissez des périmètres sécurisés autour des API et des services Google Cloud sensibles à l'aide de VPC Service Controls, et utilisez des règles de pare-feu de sortie strictes pour limiter le trafic vers Internet.
- Sécurité du périmètre : protégez-vous contre les attaques DDoS et les menaces liées aux applications Web.
- Pour vous protéger contre les menaces, utilisez Google Cloud Armor.
- Configurez des stratégies de sécurité pour autoriser, refuser ou rediriger le trafic à la périphérie deGoogle Cloud .
- Automatisation : automatisez le provisionnement de l'infrastructure en adoptant les principes de l'infrastructure as code (IaC) et en utilisant des outils tels que Terraform, Jenkins et Cloud Build. L'IaC permet de garantir des configurations de sécurité cohérentes, des déploiements simplifiés et des rollbacks rapides en cas de problème.
- Base sécurisée : établissez un environnement d'application sécurisé à l'aide du plan de base d'entreprise. Ce plan fournit des conseils normatifs et des scripts d'automatisation pour vous aider à mettre en œuvre les bonnes pratiques de sécurité et à configurer vos ressourcesGoogle Cloud de manière sécurisée.
Vérifier explicitement chaque tentative d'accès
Cette recommandation s'applique aux domaines d'intérêt suivants :
- Gestion de l'authentification et des accès
- Opérations de sécurité (SecOps)
- Journalisation, audit et surveillance
Mettez en œuvre des mécanismes d'authentification et d'autorisation stricts pour tout utilisateur, appareil ou service qui tente d'accéder à vos ressources cloud. Ne vous fiez pas à l'emplacement ni au périmètre réseau comme contrôle de sécurité. Ne faites pas automatiquement confiance à un utilisateur, un appareil ou un service, même s'il se trouve déjà sur le réseau. Au lieu de cela, chaque tentative d'accès aux ressources doit être rigoureusement authentifiée et autorisée. Vous devez mettre en œuvre des mesures de validation de l'identité strictes, telles que l'authentification multifacteur (MFA). Vous devez également vous assurer que les décisions d'accès sont basées sur des règles précises qui tiennent compte de divers facteurs contextuels tels que le rôle de l'utilisateur, la stratégie de l'appareil et l'emplacement.
Pour mettre en œuvre cette recommandation, utilisez les méthodes, outils et technologies suivants :
- Gestion unifiée des identités : assurez une gestion cohérente des identités dans l'ensemble de votre organisation en utilisant un seul fournisseur d'identité (IdP).
- Google Cloud est compatible avec la fédération avec la plupart des IdP, y compris Active Directory sur site. La fédération vous permet d'étendre votre infrastructure de gestion des identités existante à Google Cloud et d'activer l'authentification unique (SSO) pour les utilisateurs.
- Si vous ne disposez d'aucun IdP, envisagez d'utiliser Cloud Identity Premium ou Google Workspace.
- Autorisations de compte de service limitées : utilisez les comptes de service avec précaution et respectez le principe du moindre privilège.
- N'accordez que les autorisations nécessaires à chaque compte de service pour effectuer les tâches qui lui sont attribuées.
- Utilisez la fédération d'identité de charge de travail pour les applications qui s'exécutent sur GKE ou en dehors deGoogle Cloud afin d'accéder aux ressources de manière sécurisée.
- Processus robustes : mettez à jour vos processus d'identité pour les aligner sur les bonnes pratiques de sécurité du cloud.
- Pour garantir la conformité avec les exigences réglementaires, mettez en œuvre la gouvernance des identités afin de suivre les accès, les risques et les cas de non-respect des règles.
- Examinez et mettez à jour vos processus existants pour accorder et auditer les rôles et autorisations de contrôle des accès.
- Authentification forte : implémentez l'authentification unique pour l'authentification des utilisateurs et l'authentification MFA pour les comptes privilégiés.
- Google Cloud accepte différentes méthodes MFA, y compris les clés de sécurité Titan, pour une sécurité renforcée.
- Pour l'authentification des charges de travail, utilisez OAuth 2.0 ou des jetons Web JSON (JWT) signés.
- Moindre privilège : minimisez le risque d'accès non autorisé et de violation de données en appliquant les principes du moindre privilège et de la séparation des tâches.
- Évitez de surprovisionner l'accès des utilisateurs.
- Envisagez d'implémenter un accès privilégié avec le juste-à-temps pour les opérations sensibles.
- Journalisation : activez la journalisation d'audit pour les activités d'administration et d'accès aux données.
- Pour l'analyse et la détection des menaces, analysez les journaux à l'aide de Security Command Center ou de Google Security Operations.
- Configurez des règles de conservation des journaux appropriées pour équilibrer les besoins de sécurité et les coûts de stockage.
Surveiller et gérer votre réseau
Cette recommandation s'applique aux domaines d'intérêt suivants :
- Journalisation, audit et surveillance
- Sécurité des applications
- Opérations de sécurité (SecOps)
- Sécurité de l'infrastructure
Lorsque vous planifiez et mettez en œuvre des mesures de sécurité, partez du principe qu'un pirate informatique se trouve déjà dans votre environnement. Cette approche proactive implique l'utilisation des outils et techniques suivants pour assurer la visibilité de votre réseau :
Journalisation et surveillance centralisées : collectez et analysez les journaux de sécurité de toutes vos ressources cloud grâce à la journalisation et à la surveillance centralisées.
- Établissez des références pour le comportement normal du réseau, détectez les anomalies et identifiez les menaces potentielles.
- Analysez en continu les flux de trafic réseau pour identifier les schémas suspects et les attaques potentielles.
Insights sur les performances et la sécurité du réseau : utilisez des outils tels que Network Analyzer. Surveillez le trafic pour détecter les protocoles inhabituels, les connexions inattendues ou les pics soudains de transfert de données, qui pourraient indiquer une activité malveillante.
Analyse et correction des failles : analysez régulièrement votre réseau et vos applications pour détecter les failles.
- Utilisez Security Command Center, qui peut identifier automatiquement les failles de vos instances Compute Engine, de vos conteneurs et de vos clusters GKE.
- Hiérarchisez les corrections en fonction de la gravité des failles et de leur impact potentiel sur vos systèmes.
Détection des intrusions : surveillez le trafic réseau pour détecter les activités malveillantes, et bloquez automatiquement les événements suspects ou recevez des alertes les concernant à l'aide de Cloud Intrusion Detection System (Cloud IDS) et du service de prévention des intrusions de Cloud Next Generation Firewall (Cloud NGFW).
Analyse de sécurité : envisagez d'implémenter Google SecOps pour corréler les événements liés à la sécurité provenant de différentes sources, fournir une analyse en temps réel des alertes de sécurité et faciliter la réponse aux incidents.
Configurations cohérentes : assurez-vous que les configurations de sécurité sont cohérentes sur l'ensemble de votre réseau à l'aide d'outils de gestion de la configuration.