Google Cloud Well-Architected Framework のセキュリティの柱におけるこの原則は、クラウド ワークロード全体で包括的なセキュリティを確保するうえで役立ちます。ゼロトラストの原則では、次のプラクティスが重視されます。
- 暗黙的な信頼の排除
- アクセス制御に最小権限の原則を適用する
- すべてのアクセス リクエストの明示的な検証を適用する
- 侵害を想定した考え方を採用して、継続的な検証とセキュリティ ポスチャーのモニタリングを可能にする
原則の概要
ゼロトラスト モデルでは、セキュリティの焦点を境界ベースのセキュリティから、本質的に信頼できるユーザーやデバイスは存在しないというアプローチにシフトします。代わりに、すべてのアクセス リクエストは、その送信元に関係なく検証される必要があります。このアプローチでは、すべてのユーザーとデバイスを認証および認可し、コンテキスト（場所とデバイスのポスチャー）を検証して、必要なリソースにのみ最小権限のアクセス権を付与します。
ゼロトラスト モデルを実装すると、潜在的な侵害の影響を最小限に抑え、機密データやアプリケーションを不正アクセスから保護することで、組織のセキュリティ ポスチャーを強化できます。ゼロトラスト モデルは、クラウド内のデータとリソースの機密性、完全性、可用性を確保するのに役立ちます。
推奨事項
クラウド ワークロードにゼロトラスト モデルを実装するには、次のセクションの推奨事項を検討してください。
ネットワークを保護する
この推奨事項は、インフラストラクチャのセキュリティという重点分野に関連しています。
従来の境界ベースのセキュリティからゼロトラスト モデルに移行するには、複数のステップが必要です。組織によっては、特定のゼロトラスト管理をセキュリティ ポスチャーにすでに統合している場合があります。ただし、ゼロトラスト モデルは単一のプロダクトやソリューションではありません。代わりに、複数のセキュリティ レイヤとベスト プラクティスを包括的に統合します。このセクションでは、ネットワーク セキュリティにゼロトラストを実装するための推奨事項と手法について説明します。
- アクセス制御: Chrome Enterprise Premium や Identity-Aware Proxy（IAP）などのソリューションを使用して、ユーザー ID とコンテキストに基づいてアクセス制御を適用します。これにより、セキュリティをネットワーク境界から個々のユーザーやデバイスに移行します。このアプローチにより、きめ細かいアクセス制御が可能になり、攻撃対象領域が縮小されます。
- ネットワーク セキュリティ: オンプレミス、 Google Cloud、マルチクラウド環境間の安全なネットワーク接続。
- Cloud Interconnect と IPsec VPN のプライベート接続方法を使用します。
- Google Cloud サービスと API へのアクセスを保護するには、Private Service Connect を使用します。
- Google Kubernetes Engine（GKE）と関連プロダクトにデプロイされたワークロードからのアウトバウンド アクセスを保護するには、Cloud Service Mesh Egress ゲートウェイを使用します。
- ネットワーク設計: 既存のプロジェクトでデフォルト ネットワークを削除し、新しいプロジェクトでデフォルト ネットワークの作成を無効にすることで、潜在的なセキュリティ リスクを防止します。
- 競合を回避するには、ネットワークと IP アドレスの割り振りを慎重に計画してください。
- 効果的なアクセス制御を適用するには、プロジェクトあたりの Virtual Private Cloud（VPC）ネットワーク数を制限します。
- セグメンテーション: ワークロードを分離しながら、ネットワーク管理を一元化します。
- ネットワーク環境をセグメント化するには、複数の VPC ネットワークを使用し、組織、フォルダ、VPC ネットワークのレベルでファイアウォール ポリシーとルールを定義します。
- 別々のプロジェクトにあるリソースのネットワーク管理を一元化するには、共有 VPC を使用します。たとえば、サービス プロジェクトの管理者は、一元管理された共有 VPC ネットワークをホストするプロジェクトから承認されたサブネットを使用する Compute Engine インスタンスを作成できます。
- データの引き出しを防ぐには、VPC Service Controls を使用して、機密性の高い Google Cloud API とサービスの周囲に安全な境界を確立し、厳格な下り（外向き）ファイアウォール ルールを使用してインターネットへのトラフィックを制限します。
- 境界セキュリティ: DDoS 攻撃やウェブ アプリケーションの脅威から保護します。
- 脅威から保護するには、Google Cloud Armor を使用します。
- Google Cloud エッジでトラフィックを許可、拒否、またはリダイレクトするようにセキュリティ ポリシーを構成します。
- 自動化: Infrastructure as Code（IaC）の原則を採用し、Terraform、Jenkins、Cloud Build などのツールを使用して、インフラストラクチャのプロビジョニングを自動化します。IaC は、一貫したセキュリティ構成、デプロイの簡素化、問題発生時の迅速なロールバックを可能にします。
- 安全な基盤: エンタープライズ基盤のブループリントを使用して、安全なアプリケーション環境を構築します。このブループリントには、セキュリティのベスト プラクティスを実装し、Google Cloud リソースを安全に構成するための規範的なガイダンスと自動化スクリプトが用意されています。
すべてのアクセス試行を明示的に検証する
この推奨事項は、次の重点分野に関連しています。
- Identity and Access Management
- セキュリティ運用（SecOps）
- ロギング、監査、モニタリング
クラウド リソースにアクセスしようとするユーザー、デバイス、サービスに対して、強力な認証と認可のメカニズムを実装します。セキュリティ管理として、ロケーションやネットワーク境界に依存しないでください。ユーザー、デバイス、サービスがすでにネットワーク内に存在する場合でも、それらを自動的に信頼しないでください。代わりに、リソースにアクセスしようとするたびに、厳格な認証と認可を受ける必要があります。多要素認証（MFA）などの強力な本人確認手段を実装する必要があります。また、ユーザーのロール、デバイスの状況、場所など、さまざまなコンテキスト要因を考慮したきめ細かいポリシーに基づいてアクセスを決定する必要があります。
この推奨事項を実装するには、次の方法、ツール、テクノロジーを使用します。
- 統合 ID 管理: 単一の ID プロバイダ（IdP）を使用して、組織全体で一貫した ID 管理を実現します。
- Google Cloud は、オンプレミスの Active Directory など、ほとんどの IdP との連携をサポートしています。フェデレーションを使用すると、既存の ID 管理インフラストラクチャを Google Cloud に拡張し、ユーザーのシングル サインオン（SSO）を有効にできます。
- 既存の IdP がない場合は、Cloud Identity Premium または Google Workspace の使用を検討してください。
- サービス アカウントの権限を制限する: サービス アカウントを慎重に使用し、最小権限の原則を遵守します。
- 各サービス アカウントに、指定されたタスクを実行するために必要な権限のみを付与します。
- GKE で実行されているアプリケーション、またはGoogle Cloud の外部で実行されているアプリケーションで Workload Identity 連携を使用して、リソースに安全にアクセスします。
- 堅牢なプロセス: クラウド セキュリティのベスト プラクティスに合わせて ID プロセスを更新します。
- 規制要件を確実に遵守するため、ID ガバナンスを実装して、アクセス、リスク、ポリシー違反を追跡します。
- アクセス制御のロールと権限の付与と監査に関する既存のプロセスを確認して更新します。
- 強力な認証: ユーザー認証に SSO を実装し、特権アカウントに MFA を実装します。
- Google Cloud は、セキュリティを強化するために、Titan セキュリティ キーなど、さまざまな MFA メソッドをサポートしています。
- ワークロード認証には、OAuth 2.0 または署名付き JSON ウェブトークン（JWT）を使用します。
- 最小権限: 最小権限の原則と職務分掌の原則を適用することで、不正アクセスとデータ侵害のリスクを最小限に抑えます。
- ユーザー アクセスのオーバープロビジョニングを避ける。
- 機密性の高いオペレーションに対して、ジャストインタイム特権アクセスの実装を検討してください。
- ロギング: 管理者アクティビティとデータアクセス アクティビティの監査ロギングを有効にします。
- 分析と脅威検出を行うには、Security Command Center または Google Security Operations を使用してログをスキャンします。
- 適切なログ保持ポリシーを構成して、セキュリティ ニーズとストレージ費用のバランスを取ります。
ネットワークをモニタリングして維持する
この推奨事項は、次の重点分野に関連しています。
- ロギング、監査、モニタリング
- アプリケーションのセキュリティ
- セキュリティ運用（SecOps）
- インフラストラクチャのセキュリティ
セキュリティ対策を計画して実装する際は、攻撃者がすでに環境内にいることを想定してください。このプロアクティブなアプローチでは、次の複数のツールと手法を使用して、ネットワークを可視化します。
一元的なロギングとモニタリング: 一元的なロギングとモニタリングを通じて、すべてのクラウド リソースからセキュリティ ログを収集して分析します。
- 通常のネットワーク動作のベースラインを確立し、異常を検出して、潜在的な脅威を特定します。
- ネットワーク トラフィック フローを継続的に分析して、不審なパターンや潜在的な攻撃を特定します。
ネットワークのパフォーマンスとセキュリティに関する分析情報: ネットワーク アナライザなどのツールを使用します。トラフィックをモニタリングして、異常なプロトコル、予期しない接続、データ転送の急増など、悪意のあるアクティビティを示す可能性のあるものを検出します。
脆弱性スキャンと修復: ネットワークとアプリケーションの脆弱性を定期的にスキャンします。
- Security Command Center を使用します。これにより、Compute Engine インスタンス、コンテナ、GKE クラスタの脆弱性を自動的に特定できます。
- 脆弱性の重大度とシステムに対する潜在的な影響に基づいて、修復の優先順位を付けます。
侵入検知: Cloud Intrusion Detection System（Cloud IDS）と Cloud Next Generation Firewall（Cloud NGFW）侵入防止サービスを使用して、ネットワーク トラフィックに悪意のあるアクティビティがないかモニタリングし、不審なイベントを自動的にブロックするか、アラートを受け取ります。
セキュリティ分析: Google SecOps を実装して、さまざまなソースからのセキュリティ イベントを関連付け、セキュリティ通知のリアルタイム分析を提供し、インシデント対応を容易にすることを検討してください。
一貫した構成: 構成管理ツールを使用して、ネットワーク全体で一貫したセキュリティ構成を確保します。