העיקרון הזה, שמופיע בעמוד התווך של האבטחה ב-Google Cloud Well-Architected Framework, עוזר לכם לוודא שהאבטחה בעומסי העבודה בענן היא מקיפה. העיקרון של מודל אבטחה של אפס אמון מדגיש את השיטות הבאות:
- ביטול האמון המשתמע
- יישום העיקרון של הרשאות מינימליות לבקרת גישה
- אכיפת אימות מפורש של כל בקשות הגישה
- אימוץ גישה של הנחת פריצה כדי לאפשר אימות רציף ומעקב אחרי מצב האבטחה
סקירה כללית של העקרונות
במודל אפס אמון, המיקוד של האבטחה עובר מאבטחה היקפית לגישה שבה אף משתמש או מכשיר לא נחשב מהימן באופן מובנה. במקום זאת, צריך לאמת כל בקשת גישה, בלי קשר למקור שלה. בגישה הזו, כל משתמש ומכשיר עוברים אימות ואישור, ההקשר שלהם (מיקום ומצב המכשיר) מאומת, וניתנת להם גישה עם הרשאות מינימליות רק למשאבים הנדרשים.
הטמעת מודל אבטחה של אפס אמון עוזרת לארגון לשפר את מצב האבטחה שלו על ידי צמצום ההשפעה של פרצות פוטנציאליות והגנה על נתונים ואפליקציות רגישים מפני גישה לא מורשית. מודל האבטחה של אפס אמון עוזר להבטיח את הסודיות, התקינות והזמינות של הנתונים והמשאבים בענן.
המלצות
כדי להטמיע את מודל האפס אמון בעומסי העבודה בענן, כדאי לפעול לפי ההמלצות שבקטעים הבאים:
אבטחת הרשת
ההמלצה הזו רלוונטית לתחום ההתמקדות הבא: אבטחת תשתית.
המעבר מאבטחה היקפית רגילה למודל של אפס אמון דורש כמה שלבים. יכול להיות שהארגון שלכם כבר שילב אמצעי בקרה מסוימים של אבטחה ללא אמון במצב האבטחה שלו. עם זאת, מודל אבטחה של אפס אמון הוא לא מוצר או פתרון יחיד. במקום זאת, מדובר בשילוב הוליסטי של כמה שכבות אבטחה ושיטות מומלצות. בקטע הזה מפורטות המלצות ושיטות להטמעת מודל אפס אמון עבור אבטחת רשת.
- בקרת גישה: אכיפה של בקרות גישה על סמך זהות המשתמש וההקשר, באמצעות פתרונות כמו Chrome Enterprise Premium ושרת proxy לאימות זהויות (IAP). כך אתם מעבירים את האבטחה מהיקף הרשת למשתמשים ולמכשירים ספציפיים. הגישה הזו מאפשרת בקרת גישה פרטנית ומצמצמת את שטח המתקפה.
- אבטחת רשת: חיבורים מאובטחים לרשת בין הסביבה המקומית, Google Cloudוסביבות מרובות-עננים.
- להשתמש בשיטות החיבור המבודד של Cloud Interconnect ושל IPsec VPN.
- כדי לאבטח את הגישה לשירותים ולממשקי ה-API של Google Cloud , אתם יכולים להשתמש ב-Private Service Connect.
- כדי לאבטח את הגישה החוצה מעומסי עבודה שנפרסו ב-Google Kubernetes Engine (GKE) ובמוצרים קשורים, משתמשים בשערי היציאה של Cloud Service Mesh.
- תכנון הרשת: כדי למנוע סיכוני אבטחה פוטנציאליים, מוחקים את רשתות ברירת המחדל בפרויקטים קיימים ומשביתים את היצירה של רשתות ברירת מחדל בפרויקטים חדשים.
- כדי למנוע התנגשויות, תכננו בקפידה את הרשת ואת הקצאת כתובות ה-IP.
- כדי לאכוף בקרת גישה יעילה, הגבילו את מספר הרשתות של הענן הווירטואלי הפרטי (VPC) בכל פרויקט.
- סגמנטציה: בידוד עומסי העבודה תוך שמירה על ניהול רשת ריכוזי.
- כדי לפלח את סביבות הרשת, השתמשו בכמה רשתות VPC והגדירו כללים ומדיניות של חומת אש ברמות הארגון, התיקייה ורשת ה-VPC.
- כדי לרכז את ניהול הרשת של משאבים שנמצאים בפרויקטים נפרדים, משתמשים ב-VPC משותף. לדוגמה, אדמינים של פרויקט שירות יכולים ליצור מכונות של Compute Engine שמשתמשות בתת-רשתות שאושרו מהפרויקט שמארח רשת VPC משותפת שמנוהלת באופן מרכזי.
- כדי למנוע זליגת נתונים, הגדירו מתחמי אבטחה היקפית מסביב לממשקי API ולשירותים רגישים של Google Cloud באמצעות VPC Service Controls, והשתמשו בכללי חומת אש מחמירים לתעבורת נתונים יוצאת כדי להגביל את תעבורת הנתונים לאינטרנט.
- אבטחה היקפית: הגנה מפני התקפות DDoS ואיומים על אפליקציות אינטרנט.
- כדי להגן מפני איומים, השתמשו ב-Google Cloud Armor.
- הגדרת מדיניות אבטחה כדי לאשר, לדחות או להפנות מחדש תנועה ב-Google Cloud edge.
- אוטומציה: אוטומציה של הקצאת התשתית על ידי אימוץ עקרונות של תשתית כקוד (IaC) ושימוש בכלים כמו Terraform, Jenkins ו-Cloud Build. בעזרת IaC אפשר לוודא שהגדרות האבטחה עקביות, לפשט את הפריסות ולבצע החזרות מהירות למצב קודם במקרה של בעיות.
- תשתית מאובטחת: הגדרת סביבת אפליקציה מאובטחת באמצעות Enterprise foundations blueprint. התוכנית הזו כוללת הנחיות מפורטות וסקריפטים אוטומטיים שיעזרו לכם ליישם שיטות מומלצות לאבטחה ולהגדיר את המשאבים ב-Google Cloud בצורה מאובטחת.
אימות מפורש של כל ניסיון גישה
ההמלצה הזו רלוונטית לתחומי המיקוד הבאים:
- ניהול זהויות והרשאות גישה
- תפעול אבטחה (SecOps)
- רישום ביומן, ביקורת ומעקב
הטמיעו מנגנוני אימות והרשאה חזקים לכל משתמש, מכשיר או שירות שמנסה לגשת למשאבים שלכם בענן. אל תסתמכו על המיקום או על גבולות הרשת כאמצעי בקרה לאבטחה. אל תתנו אמון אוטומטי באף משתמש, מכשיר או שירות, גם אם הם כבר נמצאים בתוך הרשת. במקום זאת, כל ניסיון לגשת למשאבים חייב לעבור אימות והרשאה קפדניים. אתם צריכים להטמיע אמצעים חזקים לאימות זהות, כמו אימות רב-שלבי (MFA). אתם צריכים גם לוודא שההחלטות לגבי מתן הרשאת גישה מבוססות על כללי מדיניות מפורטים, שמתחשבים בגורמים שונים שקשורים להקשר, כמו תפקיד המשתמש, מצב המכשיר והמיקום.
כדי ליישם את ההמלצה הזו, השתמשו בשיטות, בכלים ובטכנולוגיות הבאים:
- ניהול זהויות מאוחד: שימוש בספק זהויות (IdP) אחד כדי להבטיח ניהול זהויות עקבי בכל הארגון.
- Google Cloud תומך באיחוד עם רוב ספקי הזהויות, כולל Active Directory מקומי. איחוד מאפשר לכם להרחיב את התשתית הקיימת לניהול זהויות ל- Google Cloud , ולהפעיל כניסה יחידה (SSO) למשתמשים.
- אם אין לכם IdP קיים, כדאי להשתמש ב-Cloud Identity Premium או ב-Google Workspace.
- הרשאות מוגבלות לחשבונות שירות: השתמשו בחשבונות שירות בזהירות, ופעלו לפי העיקרון של הרשאות מינימליות.
- תנו רק את ההרשאות שנדרשות לכל חשבון שירות כדי לבצע את המשימות שהוקצו לו.
- כדי לגשת למשאבים באופן מאובטח, השתמשו באיחוד שירותי אימות הזהות של עומסי עבודה באפליקציות שפועלות ב-GKE או מחוץ ל-Google Cloud .
- תהליכים חזקים: עדכון תהליכי הזהות בהתאם לשיטות המומלצות לאבטחה בענן.
- כדי לעמוד בדרישות הרגולטוריות, כדאי להטמיע ניהול זהויות כדי לעקוב אחרי הגישה, הסיכונים והפרות המדיניות.
- לבדוק ולעדכן את התהליכים הקיימים להקצאה ולביקורת של תפקידים והרשאות לבקרת גישה.
- אימות חזק: הטמיעו SSO לאימות משתמשים והטמיעו MFA לחשבונות עם הרשאות.
- Google Cloud תומך בשיטות שונות של MFA, כולל מפתחות אבטחה Titan, כדי לשפר את האבטחה.
- כדי לאמת עומסי עבודה, השתמשו ב-OAuth 2.0 או באסימוני JWT (JSON Web Tokens) חתומים.
- הרשאות מינימליות: כדי לצמצם את הסיכון לגישה לא מורשית ולפרצות באבטחת מידע, צריך לאכוף את העקרונות של הרשאות מינימליות והפרדת תפקידים.
- הימנעו מהקצאת יתר של גישת משתמשים.
- כדאי להטמיע גישה מיוחדת בדיוק בזמן לפעולות רגישות.
- רישום ביומן: הפעלת רישום ביומן הביקורת של פעילויות אדמין וגישה לנתונים.
- כדי לנתח ולזהות איומים, סורקים את היומנים באמצעות Security Command Center או Google Security Operations.
- הגדירו כללי מדיניות מתאימים לשמירת יומנים כדי לאזן בין צורכי האבטחה לבין עלויות האחסון.
מעקב אחרי הרשת ותחזוקה שלה
ההמלצה הזו רלוונטית לתחומי המיקוד הבאים:
- רישום ביומן, ביקורת ומעקב
- אבטחת אפליקציות
- תפעול אבטחה (SecOps)
- אבטחת התשתית
כשאתם מתכננים ומיישמים אמצעי אבטחה, תניחו שהתוקף כבר נמצא בסביבה שלכם. הגישה היזומה הזו כוללת שימוש בכלים ובשיטות הבאים כדי לספק תצוגה של הרשת:
רישום ביומן ומעקב באופן מרוכז: אוספים ומנתחים יומני אבטחה מכל משאבי הענן באמצעות רישום ביומן ומעקב באופן מרוכז.
- להגדיר ערכי בסיס להתנהגות רגילה ברשת, לזהות אנומליות ולזהות איומים פוטנציאליים.
- לנתח באופן קבוע את זרימת התנועה ברשת כדי לזהות דפוסים חשודים והתקפות פוטנציאליות.
תובנות לגבי הביצועים והאבטחה של הרשת: שימוש בכלים כמו Network Analyzer. עוקבים אחרי התנועה כדי לזהות פרוטוקולים חריגים, חיבורים לא צפויים או עליות פתאומיות בהעברת הנתונים, שיכולים להצביע על פעילות זדונית.
בדיקת נקודות חולשה ותיקון: סורקים באופן קבוע את הרשת והאפליקציות כדי לאתר נקודות חולשה.
- להשתמש ב-Security Command Center, שיכול לזהות באופן אוטומטי נקודות חולשה במכונות Compute Engine, במארזים ובאשכולות GKE.
- תעדפו את התיקון לפי חומרת נקודות החולשה וההשפעה הפוטנציאלית שלהן על המערכות שלכם.
זיהוי חדירות: מעקב אחרי התנועה ברשת כדי לזהות פעילות זדונית, וחסימה אוטומטית או קבלת התראות על אירועים חשודים באמצעות Cloud IDS ושירות מניעת הפריצות של Cloud Next Generation Firewall (Cloud NGFW).
ניתוח אבטחה: כדאי להטמיע את Google SecOps כדי ליצור קורלציה בין אירועי אבטחה ממקורות שונים, לנתח בזמן אמת התראות אבטחה ולסייע בתגובה לאירועים.
הגדרות עקביות: חשוב לוודא שהגדרות האבטחה עקביות בכל הרשת, באמצעות כלים לניהול הגדרות.