Prinsip dalam pilar keamanan Google Cloud Well-Architected Framework ini membantu Anda memastikan keamanan yang komprehensif di seluruh workload cloud Anda. Prinsip zero-trust menekankan praktik berikut:
- Menghilangkan kepercayaan implisit
- Menerapkan prinsip hak istimewa terendah ke kontrol akses
- Menerapkan validasi eksplisit untuk semua permintaan akses
- Mengadopsi pola pikir asumsi pelanggaran untuk memungkinkan verifikasi berkelanjutan dan pemantauan postur keamanan
Ringkasan prinsip
Model zero-trust mengalihkan fokus keamanan dari keamanan berbasis perimeter ke pendekatan yang tidak menganggap pengguna atau perangkat sebagai sesuatu yang secara inheren dapat dipercaya. Sebaliknya, setiap permintaan akses harus diverifikasi, terlepas dari asalnya. Pendekatan ini melibatkan autentikasi dan otorisasi setiap pengguna dan perangkat, memvalidasi konteksnya (lokasi dan postur perangkat), serta memberikan akses hak istimewa terendah hanya ke resource yang diperlukan.
Menerapkan model zero-trust membantu organisasi Anda meningkatkan postur keamanannya dengan meminimalkan dampak potensi pelanggaran dan melindungi data dan aplikasi sensitif dari akses yang tidak sah. Model zero-trust membantu Anda memastikan kerahasiaan, integritas, dan ketersediaan data dan resource di cloud.
Rekomendasi
Untuk menerapkan model zero-trust untuk workload cloud Anda, pertimbangkan rekomendasi di bagian berikut:
- Mengamankan jaringan Anda
- Memverifikasi setiap upaya akses secara eksplisit
- Memantau dan mengelola jaringan Anda
Mengamankan jaringan Anda
Rekomendasi ini relevan dengan area fokus berikut: Keamanan infrastruktur.
Transisi dari keamanan berbasis perimeter konvensional ke model zero-trust memerlukan beberapa langkah. Organisasi Anda mungkin telah mengintegrasikan kontrol zero-trust tertentu ke dalam postur keamanannya. Namun, model zero-trust bukanlah produk atau solusi tunggal. Sebaliknya, ini adalah integrasi holistik dari beberapa lapisan keamanan dan praktik terbaik. Bagian ini menjelaskan rekomendasi dan teknik untuk menerapkan zero trust untuk keamanan jaringan.
- Kontrol akses: Terapkan kontrol akses berdasarkan identitas dan konteks pengguna menggunakan solusi seperti Chrome Enterprise Premium dan Identity-Aware Proxy (IAP). Dengan melakukan ini, Anda mengalihkan keamanan dari perimeter jaringan ke setiap pengguna dan perangkat. Pendekatan ini memungkinkan kontrol akses terperinci dan mengurangi permukaan serangan.
- Keamanan jaringan: Amankan koneksi jaringan antara lingkungan lokal, Google Cloud, dan multicloud Anda.
- Gunakan metode konektivitas pribadi dari Cloud Interconnect dan IPsec VPN.
- Untuk membantu mengamankan akses ke layanan dan API Google Cloud , gunakan Private Service Connect.
- Untuk membantu mengamankan akses keluar dari workload yang di-deploy di Google Kubernetes Engine (GKE) dan produk terkait, gunakan gateway egress Cloud Service Mesh.
- Desain jaringan: Cegah potensi risiko keamanan dengan menghapus jaringan default di project yang ada dan menonaktifkan pembuatan jaringan default di project baru.
- Untuk menghindari konflik, rencanakan alokasi jaringan dan alamat IP Anda dengan cermat.
- Untuk menerapkan kontrol akses yang efektif, batasi jumlah jaringan Virtual Private Cloud (VPC) per project.
- Segmentasi: Mengisolasi workload, tetapi mempertahankan pengelolaan jaringan terpusat.
- Untuk menyegmentasikan lingkungan jaringan Anda, gunakan beberapa jaringan VPC dan tentukan kebijakan serta aturan firewall di tingkat organisasi, folder, dan jaringan VPC.
- Untuk memusatkan administrasi jaringan bagi resource yang berada dalam project terpisah, gunakan VPC Bersama. Misalnya, administrator project layanan dapat membuat instance Compute Engine yang menggunakan subnet yang disetujui dari project yang menghosting jaringan VPC Bersama yang dikelola secara terpusat.
- Untuk mencegah pemindahan data yang tidak sah, buat perimeter yang aman di sekitar API dan layanan Google Cloud sensitif menggunakan Kontrol Layanan VPC, dan gunakan aturan firewall egress yang ketat untuk membatasi traffic yang mengarah ke internet.
- Keamanan perimeter: Melindungi dari serangan DDoS dan ancaman aplikasi web.
- Untuk melindungi dari ancaman, gunakan Google Cloud Armor.
- Konfigurasikan kebijakan keamanan untuk mengizinkan, menolak, atau mengalihkan traffic di edgeGoogle Cloud .
- Otomatisasi: Otomatiskan penyediaan infrastruktur dengan menerapkan prinsip infrastructure as code (IaC) dan menggunakan alat seperti Terraform, Jenkins, dan Cloud Build. IaC membantu memastikan konfigurasi keamanan yang konsisten, deployment yang disederhanakan, dan rollback cepat jika terjadi masalah.
- Fondasi yang aman: Buat lingkungan aplikasi yang aman dengan menggunakan Blueprint fondasi perusahaan. Blueprint ini memberikan panduan preskriptif dan skrip otomatisasi untuk membantu Anda menerapkan praktik terbaik keamanan dan mengonfigurasi resourceGoogle Cloud dengan aman.
Memverifikasi setiap upaya akses secara eksplisit
Rekomendasi ini relevan dengan area fokus berikut:
- Pengelolaan akses dan identitas
- Operasi keamanan (SecOps)
- Logging, audit, dan pemantauan
Terapkan mekanisme autentikasi dan otorisasi yang kuat untuk setiap pengguna, perangkat, atau layanan yang mencoba mengakses resource cloud Anda. Jangan mengandalkan lokasi atau perimeter jaringan sebagai kontrol keamanan. Jangan otomatis memercayai pengguna, perangkat, atau layanan apa pun, meskipun mereka sudah berada di dalam jaringan. Sebaliknya, setiap upaya untuk mengakses resource harus diautentikasi dan diotorisasi secara ketat. Anda harus menerapkan langkah-langkah verifikasi identitas yang kuat, seperti autentikasi multi-faktor (MFA). Anda juga harus memastikan bahwa keputusan akses didasarkan pada kebijakan terperinci yang mempertimbangkan berbagai faktor kontekstual seperti peran pengguna, postur perangkat, dan lokasi.
Untuk menerapkan rekomendasi ini, gunakan metode, alat, dan teknologi berikut:
- Pengelolaan identitas terpadu: Pastikan pengelolaan identitas yang konsisten
di seluruh organisasi Anda menggunakan satu penyedia identitas (IdP).
- Google Cloud mendukung penggabungan dengan sebagian besar IdP, termasuk Active Directory lokal. Federasi memungkinkan Anda memperluas infrastruktur pengelolaan identitas yang ada ke Google Cloud dan mengaktifkan single sign-on (SSO) untuk pengguna.
- Jika Anda belum memiliki IdP, pertimbangkan untuk menggunakan Cloud Identity Premium atau Google Workspace.
- Izin akun layanan terbatas: Gunakan akun layanan dengan hati-hati, dan patuhi prinsip hak istimewa terendah.
- Hanya berikan izin yang diperlukan untuk setiap akun layanan agar dapat melakukan tugas yang ditetapkan.
- Gunakan Workload Identity Federation untuk aplikasi yang berjalan di GKE atau berjalan di luar Google Cloud untuk mengakses resource dengan aman.
- Proses yang andal: Perbarui proses identitas Anda agar selaras dengan praktik terbaik keamanan cloud.
- Untuk membantu memastikan kepatuhan terhadap persyaratan peraturan, terapkan tata kelola identitas untuk melacak akses, risiko, dan pelanggaran kebijakan.
- Tinjau dan perbarui proses yang ada untuk memberikan dan mengaudit peran serta izin kontrol akses.
- Autentikasi yang kuat: Terapkan SSO untuk autentikasi pengguna dan
terapkan MFA untuk akun dengan hak istimewa.
- Google Cloud mendukung berbagai metode MFA, termasuk Kunci Keamanan Titan, untuk keamanan yang lebih baik.
- Untuk autentikasi workload, gunakan OAuth 2.0 atau Token Web JSON (JWT) yang ditandatangani.
- Hak istimewa terendah: Minimalkan risiko akses yang tidak sah dan pelanggaran data dengan menerapkan prinsip hak istimewa terendah dan pemisahan tugas.
- Hindari penyediaan akses pengguna yang berlebihan.
- Pertimbangkan untuk menerapkan akses hak istimewa tepat waktu untuk operasi sensitif.
- Logging: Aktifkan logging audit untuk aktivitas administrator dan akses data.
- Untuk analisis dan deteksi ancaman, pindai log menggunakan Security Command Center atau Google Security Operations.
- Konfigurasikan kebijakan retensi log yang sesuai untuk menyeimbangkan kebutuhan keamanan dengan biaya penyimpanan.
Memantau dan mengelola jaringan Anda
Rekomendasi ini relevan dengan area fokus berikut:
- Logging, audit, dan pemantauan
- Keamanan aplikasi
- Operasi keamanan (SecOps)
- Keamanan infrastruktur
Saat Anda merencanakan dan menerapkan langkah-langkah keamanan, asumsikan bahwa penyerang sudah berada di dalam lingkungan Anda. Pendekatan proaktif ini melibatkan penggunaan beberapa alat dan teknik berikut untuk memberikan visibilitas ke jaringan Anda:
Logging dan pemantauan terpusat: Kumpulkan dan analisis log keamanan dari semua resource cloud Anda melalui logging dan pemantauan terpusat.
- Menetapkan dasar pengukuran untuk perilaku jaringan normal, mendeteksi anomali, dan mengidentifikasi potensi ancaman.
- Menganalisis aliran traffic jaringan secara terus-menerus untuk mengidentifikasi pola yang mencurigakan dan potensi serangan.
Insight tentang performa dan keamanan jaringan: Gunakan alat seperti Network Analyzer. Pantau traffic untuk mendeteksi protokol yang tidak biasa, koneksi yang tidak terduga, atau lonjakan mendadak dalam transfer data, yang dapat mengindikasikan aktivitas berbahaya.
Pemindaian dan perbaikan kerentanan: Pindai jaringan dan aplikasi Anda secara rutin untuk menemukan kerentanan.
- Gunakan Security Command Center, yang dapat otomatis mengidentifikasi kerentanan di instance Compute Engine, container, dan cluster GKE Anda.
- Prioritaskan perbaikan berdasarkan tingkat keparahan kerentanan dan potensi dampaknya terhadap sistem Anda.
Deteksi penyusupan: Pantau traffic jaringan untuk aktivitas berbahaya dan otomatis blokir atau dapatkan pemberitahuan untuk peristiwa mencurigakan menggunakan Cloud Intrusion Detection System (Cloud IDS) dan layanan pencegahan penyusupan Cloud Next Generation Firewall (Cloud NGFW).
Analisis keamanan: Pertimbangkan untuk menerapkan Google SecOps untuk menghubungkan peristiwa keamanan dari berbagai sumber, memberikan analisis real-time atas notifikasi keamanan, dan memfasilitasi respons insiden.
Konfigurasi yang konsisten: Pastikan Anda memiliki konfigurasi keamanan yang konsisten di seluruh jaringan menggunakan alat pengelolaan konfigurasi.