העיקרון הזה, שמופיע בעמוד התווך של האבטחה ב-Google Cloud Well-Architected Framework, עוזר לכם לוודא שהאבטחה בעומסי העבודה בענן היא מקיפה. העיקרון של מודל אבטחה של אפס אמון מדגיש את השיטות הבאות:
- ביטול האמון המשתמע
- יישום העיקרון של הרשאות מינימליות בבקרת גישה
- אכיפת אימות מפורש של כל בקשות הגישה
- אימוץ גישה של הנחת פריצה כדי לאפשר אימות רציף ומעקב אחר מצב האבטחה
סקירה כללית של העקרונות
במודל אפס אמון, מוקד האבטחה עובר מאבטחה היקפית לגישה שבה אף משתמש או מכשיר לא נחשב מהימן באופן מובנה. במקום זאת, צריך לאמת כל בקשת גישה, בלי קשר למקור שלה. בגישה הזו, כל משתמש ומכשיר עוברים אימות ואישור, ההקשר שלהם (מיקום ומצב המכשיר) מאומת, וניתנת להם גישה עם הרשאות מינימליות רק למשאבים הנדרשים.
הטמעת מודל אבטחה של אפס אמון עוזרת לארגון לשפר את מצב האבטחה שלו על ידי צמצום ההשפעה של פרצות פוטנציאליות והגנה על נתונים ואפליקציות רגישים מפני גישה לא מורשית. מודל האבטחה "אפס אמון" עוזר להבטיח את הסודיות, התקינות והזמינות של הנתונים והמשאבים בענן.
המלצות
כדי להטמיע את מודל האפס אמון בעומסי העבודה בענן, כדאי לפעול לפי ההמלצות שבקטעים הבאים:
אבטחת הרשת
ההמלצה הזו רלוונטית לתחום המיקוד הבא: אבטחת תשתית.
המעבר מאבטחה היקפית רגילה למודל של אפס אמון דורש כמה שלבים. יכול להיות שהארגון שלכם כבר שילב אמצעי בקרה מסוימים של אבטחה ללא אמון במצב האבטחה שלו. עם זאת, מודל אבטחה של אפס אמון הוא לא מוצר או פתרון יחיד. במקום זאת, מדובר בשילוב הוליסטי של כמה שכבות אבטחה ושיטות מומלצות. בקטע הזה מפורטות המלצות ושיטות להטמעת מודל אבטחה של אפס אמון לאבטחת הרשת.
- בקרת גישה: אכיפה של בקרות גישה על סמך זהות המשתמש וההקשר, באמצעות פתרונות כמו Chrome Enterprise Premium ושרת proxy לאימות זהויות (IAP). כך אתם מעבירים את האבטחה מהיקף הרשת למשתמשים ולמכשירים ספציפיים. הגישה הזו מאפשרת בקרת גישה פרטנית ומצמצמת את שטח המתקפה.
- אבטחת רשת: חיבורים מאובטחים לרשת בין הסביבה המקומית, Google Cloudוסביבות מרובות-עננים.
- להשתמש בשיטות החיבור המבודד של Cloud Interconnect ושל IPsec VPN.
- כדי לאבטח את הגישה לשירותים ולממשקי ה-API של Google Cloud , השתמשו ב-Private Service Connect.
- כדי לאבטח את הגישה החוצה מעומסי עבודה שנפרסו ב-Google Kubernetes Engine (GKE) ובמוצרים קשורים, השתמשו בשערי היציאה של Cloud Service Mesh.
- תכנון הרשת: כדי למנוע סיכוני אבטחה פוטנציאליים, מוחקים את רשתות ברירת המחדל בפרויקטים קיימים ומשביתים את היצירה של רשתות ברירת מחדל בפרויקטים חדשים.
- כדי למנוע התנגשויות, תכננו בקפידה את הקצאת הרשת וכתובות ה-IP.
- כדי לאכוף בקרת גישה יעילה, הגבילו את מספר הרשתות של הענן הווירטואלי הפרטי (VPC) בכל פרויקט.
- סגמנטציה: בידוד עומסי העבודה תוך שמירה על ניהול רשת ריכוזי.
- כדי לפלח את סביבות הרשת, השתמשו בכמה רשתות VPC והגדירו כללים ומדיניות של חומת אש ברמות הארגון, התיקייה ורשת ה-VPC.
- כדי לרכז את ניהול הרשת של משאבים שנמצאים בפרויקטים נפרדים, משתמשים ב-VPC משותף. לדוגמה, אדמינים של פרויקט שירות יכולים ליצור מכונות של Compute Engine שמשתמשות בתת-רשתות שאושרו מהפרויקט שמארח רשת VPC משותפת שמנוהלת באופן מרכזי.
- כדי למנוע זליגת נתונים, הגדירו מתחמי אבטחה היקפית מסביב לממשקי API ולשירותים רגישים של Google Cloud באמצעות VPC Service Controls, והשתמשו בכללי חומת אש מחמירים לתעבורת נתונים יוצאת כדי להגביל את תעבורת הנתונים לאינטרנט.
- אבטחה היקפית: הגנה מפני התקפות DDoS ואיומים על אפליקציות אינטרנט.
- כדי להגן מפני איומים, השתמשו ב-Google Cloud Armor.
- הגדרת מדיניות אבטחה כדי לאפשר, לדחות או להפנות מחדש תנועה בקצה שלGoogle Cloud .
- אוטומציה: כדי להפוך את הקצאת התשתית לאוטומטית, כדאי להשתמש בעקרונות של תשתית כקוד (IaC) ובכלים כמו Terraform, Jenkins ו-Cloud Build. בעזרת IaC אפשר לוודא שהגדרות האבטחה עקביות, לפשט את הפריסות ולבצע החזרות מהירות למצב קודם במקרה של בעיות.
- תשתית מאובטחת: הגדרת סביבת אפליקציה מאובטחת באמצעות תוכנית אב לתשתיות ארגוניות. ה-Blueprint הזה מספק הנחיות מפורטות וסקריפטים לאוטומציה שיעזרו לכם להטמיע שיטות מומלצות לאבטחה ולהגדיר את המשאבים ב-Google Cloud באופן מאובטח.
אימות מפורש של כל ניסיון גישה
ההמלצה הזו רלוונטית לתחומים הבאים:
- ניהול זהויות והרשאות גישה
- תפעול אבטחה (SecOps)
- רישום ביומן, ביקורת ומעקב
הטמיעו מנגנוני אימות והרשאה חזקים לכל משתמש, מכשיר או שירות שמנסה לגשת למשאבים שלכם בענן. אל תסתמכו על מיקום או על גבולות הרשת כאמצעי בקרה לאבטחה. אל תתנו אמון אוטומטי באף משתמש, מכשיר או שירות, גם אם הם כבר נמצאים בתוך הרשת. במקום זאת, כל ניסיון לגשת למשאבים חייב לעבור אימות והרשאה קפדניים. אתם צריכים להטמיע אמצעים חזקים לאימות זהות, כמו אימות רב-שלבי (MFA). אתם צריכים גם לוודא שההחלטות לגבי מתן הרשאת גישה מבוססות על כללי מדיניות מפורטים, שמביאים בחשבון גורמים שונים שקשורים להקשר, כמו תפקיד המשתמש, מצב המכשיר והמיקום.
כדי ליישם את ההמלצה הזו, השתמשו בשיטות, בכלים ובטכנולוגיות הבאים:
- ניהול זהויות מאוחד: שימוש בספק זהויות (IdP) אחד כדי להבטיח ניהול זהויות עקבי בכל הארגון.
- Google Cloud תומך באיחוד עם רוב ספקי הזהויות, כולל Active Directory מקומי. איחוד מאפשר לכם להרחיב את התשתית הקיימת לניהול זהויות ל- Google Cloud , ולהפעיל כניסה יחידה (SSO) למשתמשים.
- אם אין לכם IdP קיים, כדאי להשתמש ב-Cloud Identity Premium או ב-Google Workspace.
- הרשאות מוגבלות לחשבונות שירות: השתמשו בחשבונות שירות בזהירות, ופעלו לפי העיקרון של הרשאות מינימליות.
- תנו רק את ההרשאות שנדרשות לכל חשבון שירות כדי לבצע את המשימות שהוקצו לו.
- כדי לגשת למשאבים באופן מאובטח, משתמשים באיחוד שירותי אימות הזהות של עומסי עבודה באפליקציות שפועלות ב-GKE או מחוץ ל-Google Cloud .
- תהליכים חזקים: עדכון תהליכי הזהות בהתאם לשיטות המומלצות לאבטחה בענן.
- כדי לעמוד בדרישות הרגולטוריות, כדאי להטמיע ניהול זהויות כדי לעקוב אחרי הגישה, הסיכונים והפרות המדיניות.
- לבדוק ולעדכן את התהליכים הקיימים להענקת תפקידים והרשאות של בקרת גישה ולביקורת שלהם.
- אימות חזק: הטמעת SSO לאימות משתמשים והטמעת MFA לחשבונות עם הרשאות.
- Google Cloud תומך בשיטות שונות של MFA, כולל מפתחות אבטחה Titan, כדי לשפר את האבטחה.
- כדי לאמת עומסי עבודה, השתמשו ב-OAuth 2.0 או באסימוני JSON Web Tokens (JWT) חתומים.
- הרשאות מינימליות: כדי לצמצם את הסיכון לגישה לא מורשית ולפרצות באבטחת מידע, צריך לאכוף את העקרונות של הרשאות מינימליות והפרדת תפקידים.
- אל תתנו למשתמשים יותר מדי הרשאות גישה.
- כדאי להטמיע גישה מיוחדת בזמן אמת לפעולות רגישות.
- רישום ביומן: הפעלת רישום ביומן הביקורת של פעילויות אדמין וגישה לנתונים.
- כדי לנתח ולזהות איומים, סורקים את היומנים באמצעות Security Command Center או Google Security Operations.
- כדי לאזן בין צורכי האבטחה לבין עלויות האחסון, הגדירו כללי מדיניות מתאימים לשמירת יומנים.
מעקב אחרי הרשת ותחזוקה שלה
ההמלצה הזו רלוונטית לתחומים הבאים:
- רישום ביומן, ביקורת ומעקב
- אבטחת אפליקציות
- תפעול אבטחה (SecOps)
- אבטחת התשתית
כשאתם מתכננים ומיישמים אמצעי אבטחה, תניחו שהתוקף כבר נמצא בתוך הסביבה שלכם. הגישה היזומה הזו כוללת שימוש בכלים ובשיטות הבאים כדי לספק תובנות לגבי הרשת:
רישום מרכזי ביומן ומעקב: איסוף וניתוח של יומני אבטחה מכל משאבי הענן באמצעות רישום מרכזי ביומן ומעקב.
- להגדיר ערכי בסיס להתנהגות רגילה ברשת, לזהות אנומליות ולזהות איומים פוטנציאליים.
- לנתח באופן קבוע את זרימת התנועה ברשת כדי לזהות דפוסים חשודים והתקפות פוטנציאליות.
תובנות לגבי הביצועים והאבטחה של הרשת: שימוש בכלים כמו Network Analyzer. עוקבים אחרי התנועה כדי לזהות פרוטוקולים חריגים, חיבורים לא צפויים או עליות חדות בהעברת הנתונים, שיכולים להצביע על פעילות זדונית.
בדיקת נקודות חולשה ותיקון: סורקים באופן קבוע את הרשת והאפליקציות כדי לאתר נקודות חולשה.
- להשתמש ב-Security Command Center, שיכול לזהות באופן אוטומטי נקודות חולשה במכונות Compute Engine, בקונטיינרים ובאשכולות GKE.
- תעדפו את התיקון לפי חומרת נקודות החולשה וההשפעה הפוטנציאלית שלהן על המערכות שלכם.
זיהוי חדירות: מעקב אחרי התנועה ברשת כדי לזהות פעילות זדונית, וחסימה אוטומטית של אירועים חשודים או קבלת התראות לגביהם באמצעות Cloud IDS ושירות מניעת החדירות של Cloud Next Generation Firewall (Cloud NGFW).
ניתוח אבטחה: כדאי להטמיע את Google SecOps כדי ליצור קורלציה בין אירועי אבטחה ממקורות שונים, לנתח בזמן אמת התראות אבטחה ולסייע בתגובה לאירועים.
הגדרות עקביות: ודאו שהגדרות האבטחה עקביות בכל הרשת באמצעות כלים לניהול הגדרות.