Questo principio del pilastro della sicurezza del Well-Architected FrameworkGoogle Cloud ti aiuta a garantire una sicurezza completa nei tuoi workload cloud. Il principio di Zero Trust enfatizza le seguenti pratiche:
- Eliminazione della fiducia implicita
- Applicazione del principio del privilegio minimo al controllo dell'accesso
- Applicazione della convalida esplicita di tutte le richieste di accesso
- Adottare una mentalità di presunta violazione per consentire la verifica continua e il monitoraggio della security posture
Panoramica del principio
Il modello Zero Trust sposta l'attenzione dalla sicurezza basata sul perimetro a un approccio in cui nessun utente o dispositivo è considerato intrinsecamente affidabile. Al contrario, ogni richiesta di accesso deve essere verificata, indipendentemente dalla sua origine. Questo approccio prevede l'autenticazione e l'autorizzazione di ogni utente e dispositivo, la convalida del contesto (posizione e postura del dispositivo) e la concessione dell'accesso con privilegio minimo solo alle risorse necessarie.
L'implementazione del modello Zero Trust aiuta la tua organizzazione a migliorare la propria security posture riducendo al minimo l'impatto di potenziali violazioni e proteggendo i dati e le applicazioni sensibili da accessi non autorizzati. Il modello zero trust ti aiuta a garantire la riservatezza, l'integrità e la disponibilità dei dati e delle risorse nel cloud.
Consigli
Per implementare il modello Zero Trust per i tuoi workload cloud, prendi in considerazione i suggerimenti riportati nelle sezioni seguenti:
- Proteggi la tua rete
- Verifica esplicitamente ogni tentativo di accesso
- Monitora e gestisci la tua rete
Protezione della rete
Questo suggerimento è pertinente alla seguente area di interesse: sicurezza dell'infrastruttura.
La transizione dalla sicurezza perimetrale convenzionale a un modello Zero Trust richiede diversi passaggi. La tua organizzazione potrebbe aver già integrato alcuni controlli Zero Trust nella sua security posture. Tuttavia, un modello Zero Trust non è un singolo prodotto o una singola soluzione. Si tratta invece di un'integrazione olistica di più livelli di sicurezza e best practice. Questa sezione descrive i suggerimenti e le tecniche per implementare Zero Trust per la sicurezza di rete.
- Controllo degli accessi: applica i controlli degli accessi in base all'identità e al contesto dell'utente utilizzando soluzioni come Chrome Enterprise Premium e Identity-Aware Proxy (IAP). In questo modo, la sicurezza viene spostata dal perimetro della rete ai singoli utenti e dispositivi. Questo approccio consente controllo dell'accesso granulare e riduce la superficie di attacco.
- Sicurezza di rete: connessioni di rete sicure tra i tuoi ambienti on-premise, Google Cloude multi-cloud.
- Utilizza i metodi di connettività privata di Cloud Interconnect e delle VPN IPsec.
- Per proteggere l'accesso ai servizi e alle API Google Cloud , utilizza Private Service Connect.
- Per proteggere l'accesso in uscita dai workload di cui è stato eseguito il deployment su Google Kubernetes Engine (GKE) e sui prodotti correlati, utilizza i gateway in uscita di Cloud Service Mesh.
- Design della rete: previeni potenziali rischi per la sicurezza eliminando le reti predefinite nei progetti esistenti e disattivando la creazione di reti predefinite nei nuovi progetti.
- Per evitare conflitti, pianifica attentamente la rete e l'allocazione degli indirizzi IP.
- Per applicare controllo dell'accesso efficace, limita il numero di reti Virtual Private Cloud (VPC) per progetto.
- Segmentazione: isola i workload, ma mantieni la gestione centralizzata della rete.
- Per segmentare gli ambienti di rete, utilizza più reti VPC e definisci policy e regole del firewall a livello di organizzazione, cartella e rete VPC.
- Per centralizzare l'amministrazione di rete per le risorse che si trovano in progetti separati, utilizza il VPC condiviso. Ad esempio, gli amministratori di un progetto di servizio possono creare istanze di Compute Engine che utilizzano subnet approvate del progetto che ospita una rete VPC condiviso amministrata centralmente.
- Per impedire l'esfiltrazione di dati, stabilisci perimetri sicuri attorno ad API e servizi Google Cloud sensibili utilizzando i Controlli di servizio VPC e utilizza regole firewall in uscita rigorose per limitare il traffico verso internet.
- Sicurezza perimetrale: protezione da attacchi DDoS e minacce alle applicazioni web.
- Per proteggerti dalle minacce, utilizza Google Cloud Armor.
- Configura le policy di sicurezza per consentire, negare o reindirizzare il traffico sul perimetro diGoogle Cloud .
- Automazione: automatizza il provisioning dell'infrastruttura adottando i principi di Infrastructure as Code (IaC) e utilizzando strumenti come Terraform, Jenkins e Cloud Build. L'IaC contribuisce a garantire configurazioni di sicurezza coerenti, deployment semplificati e rollback rapidi in caso di problemi.
- Base sicura: crea un ambiente applicativo sicuro utilizzando il progetto di base di un'azienda. Questo progetto fornisce indicazioni prescrittive e script di automazione per aiutarti a implementare le best practice per la sicurezza e configurare le tue risorseGoogle Cloud in modo sicuro.
Verifica esplicitamente ogni tentativo di accesso
Questo suggerimento è pertinente alle seguenti aree di interesse:
- Gestione di identità e accessi
- Operazioni di sicurezza (SecOps)
- Logging, controllo e monitoraggio
Implementa meccanismi di autenticazione e autorizzazione efficaci per qualsiasi utente, dispositivo o servizio che tenta di accedere alle tue risorse cloud. Non fare affidamento sulla posizione o sul perimetro della rete come controllo di sicurezza. Non considerare automaticamente attendibile alcun utente, dispositivo o servizio, anche se si trova già all'interno della rete. Al contrario, ogni tentativo di accesso alle risorse deve essere rigorosamente autenticato e autorizzato. Devi implementare misure di verifica dell'identità efficaci, come l'autenticazione a più fattori (MFA). Devi inoltre assicurarti che le decisioni sull'accesso si basino su policy granulari che tengano conto di vari fattori contestuali, come il ruolo dell'utente, la postura del dispositivo e la posizione.
Per implementare questo suggerimento, utilizza i seguenti metodi, strumenti e tecnologie:
- Gestione unificata delle identità: garantisci una gestione coerente delle identità
all'interno della tua organizzazione utilizzando un unico provider di identità (IdP).
- Google Cloud supporta la federazione con la maggior parte degli IdP, tra cui Active Directory on-premise. La federazione ti consente di estendere l'infrastruttura di gestione delle identità esistente a Google Cloud e di attivare il Single Sign-On (SSO) per gli utenti.
- Se non hai un IdP esistente, valuta la possibilità di utilizzare Cloud Identity Premium o Google Workspace.
- Autorizzazioni account di servizio account: utilizza i service account con attenzione e rispetta il principio del privilegio minimo.
- Concedi solo le autorizzazioni necessarie per consentire a ogni account di servizio di eseguire le attività assegnate.
- Utilizza la federazione delle identità per i workload per le applicazioni eseguite su GKE o all'esterno diGoogle Cloud per accedere alle risorse in modo sicuro.
- Processi solidi: aggiorna i processi di gestione delle identità per allinearli alle best practice di sicurezza del cloud.
- Per garantire la conformità ai requisiti normativi, implementa la governance delle identità per monitorare l'accesso, i rischi e le violazioni delle policy.
- Rivedi e aggiorna i processi esistenti per la concessione e il controllo dei ruoli e delle autorizzazioni di controllo degli accessi.
- Autenticazione efficace: implementa l'SSO per l'autenticazione degli utenti e l'MFA per gli account con privilegi.
- Google Cloud supporta vari metodi MFA, tra cui i token di sicurezza Titan, per una maggiore sicurezza.
- Per l'autenticazione dei workload, utilizza OAuth 2.0 o i token web JSON (JWT) firmati.
- Privilegio minimo: riduci al minimo il rischio di accessi non autorizzati e violazioni dei dati applicando i principi del privilegio minimo e della separazione dei compiti.
- Evita l'overprovisioning dell'accesso utente.
- Valuta la possibilità di implementare l'accesso con privilegi just-in-time per le operazioni sensibili.
- Logging: abilita l'audit logging per le attività di amministrazione e di accesso ai dati.
- Per l'analisi e il rilevamento delle minacce, scansiona i log utilizzando Security Command Center o Google Security Operations.
- Configura policy di conservazione dei log appropriate per bilanciare le esigenze di sicurezza con i costi di archiviazione.
Monitora e gestisci la tua rete
Questo suggerimento è pertinente alle seguenti aree di interesse:
- Logging, controllo e monitoraggio
- Sicurezza delle applicazioni
- Operazioni di sicurezza (SecOps)
- Sicurezza dell'infrastruttura
Quando pianifichi e implementi le misure di sicurezza, supponi che un utente malintenzionato sia già all'interno del tuo ambiente. Questo approccio proattivo prevede l'utilizzo dei seguenti strumenti e tecniche per fornire visibilità sulla rete:
Logging e monitoraggio centralizzati: raccogli e analizza i log di sicurezza di tutte le tue risorse cloud tramite logging e monitoraggio centralizzati.
- Stabilisci le basi di riferimento per il comportamento normale della rete, rileva le anomalie e identifica le potenziali minacce.
- Analizza continuamente i flussi di traffico di rete per identificare pattern sospetti e potenziali attacchi.
Insight su prestazioni e sicurezza della rete: utilizza strumenti come Network Analyzer. Monitora il traffico per rilevare protocolli insoliti, connessioni impreviste o picchi improvvisi nel trasferimento di dati, che potrebbero indicare attività dannose.
Analisi delle vulnerabilità e correzione: analizza regolarmente la rete e le applicazioni per rilevare eventuali vulnerabilità.
- Utilizza Security Command Center, che può identificare automaticamente le vulnerabilità nelle istanze Compute Engine, nei container e nei cluster GKE.
- Dai la priorità alla correzione in base alla gravità delle vulnerabilità e al loro potenziale impatto sui tuoi sistemi.
Rilevamento delle intrusioni: monitora il traffico di rete per rilevare attività dannose e blocca o ricevi automaticamente avvisi per eventi sospetti utilizzando Cloud Intrusion Detection System (Cloud IDS) e il servizio di prevenzione delle intrusioni di Cloud Next Generation Firewall (Cloud NGFW).
Analisi della sicurezza: valuta la possibilità di implementare Google SecOps per correlare gli eventi di sicurezza provenienti da varie fonti, fornire un'analisi in tempo reale degli avvisi di sicurezza e facilitare la risposta agli incidenti.
Configurazioni coerenti: assicurati di avere configurazioni di sicurezza coerenti in tutta la rete utilizzando strumenti di gestione delle configurazioni.