Esse princípio no pilar de segurança do Google Cloud Well-Architected Framework ajuda a garantir uma segurança abrangente em todas as suas cargas de trabalho na nuvem. O princípio de confiança zero enfatiza as seguintes práticas:
- Eliminar a confiança implícita
- Aplicar o princípio de privilégio mínimo ao controle de acesso
- Aplicar a validação explícita de todas as solicitações de acesso
- Adotar uma mentalidade de suposição de violação para permitir a verificação contínua e o monitoramento da postura de segurança
Visão geral do princípio
O modelo de confiança zero muda o foco da segurança baseada em perímetro para uma abordagem em que nenhum usuário ou dispositivo é considerado inerentemente confiável. Em vez disso, cada solicitação de acesso precisa ser verificada, independentemente da origem. Essa abordagem envolve autenticar e autorizar cada usuário e dispositivo, validar o contexto deles (localização e postura do dispositivo) e conceder acesso de privilégio mínimo apenas aos recursos necessários.
A implementação do modelo de confiança zero ajuda sua organização a melhorar a postura de segurança, minimizando o impacto de possíveis violações e protegendo dados e aplicativos sensíveis contra acesso não autorizado. O modelo de confiança zero ajuda a garantir a confidencialidade, integridade e disponibilidade de dados e recursos na nuvem.
Recomendações
Para implementar o modelo de confiança zero nas cargas de trabalho em nuvem, considere as recomendações nas seções a seguir:
Proteger a rede
Esta recomendação é relevante para a seguinte área de foco: segurança da infraestrutura.
A transição da segurança convencional baseada em perímetro para um modelo de confiança zero requer várias etapas. Sua organização pode já ter integrado determinados controles de zero trust à postura de segurança. No entanto, um modelo de confiança zero não é um produto ou solução único. Em vez disso, é uma integração holística de várias camadas de segurança e práticas recomendadas. Nesta seção, descrevemos recomendações e técnicas para implementar a confiança zero na segurança de rede.
- Controle de acesso: aplique controles de acesso com base na identidade e no contexto do usuário usando soluções como o Chrome Enterprise Premium e o Identity-Aware Proxy (IAP). Ao fazer isso, você transfere a segurança do perímetro da rede para usuários e dispositivos individuais. Essa abordagem permite o controle de acesso granular e reduz a superfície de ataque.
- Segurança de rede: proteja as conexões de rede entre seus ambientes locais, do Google Cloude multicloud.
- Use os métodos de conectividade privada do Cloud Interconnect e das VPNs IPsec.
- Para ajudar a proteger o acesso a serviços e APIs do Google Cloud , use o Private Service Connect.
- Para ajudar a proteger o acesso de saída de cargas de trabalho implantadas no Google Kubernetes Engine (GKE) e em produtos relacionados, use gateways de saída do Cloud Service Mesh.
- Design de rede: evite possíveis riscos de segurança excluindo redes padrão em projetos atuais e desativando a criação de redes padrão em novos projetos.
- Para evitar conflitos, planeje cuidadosamente sua rede e a alocação de endereços IP.
- Para aplicar um controle de acesso eficaz, limite o número de redes de nuvem privada virtual (VPC) por projeto.
- Segmentação: isole as cargas de trabalho, mas mantenha o gerenciamento de rede centralizado.
- Para segmentar seus ambientes de rede, use várias redes VPC e defina políticas e regras de firewall nos níveis da organização, da pasta e da rede VPC.
- Para centralizar a administração da rede de recursos que estão em projetos separados, use a VPC compartilhada. Por exemplo, os administradores de um projeto de serviço podem criar instâncias do Compute Engine que usam sub-redes aprovadas do projeto que hospeda uma rede VPC compartilhada administrada centralmente.
- Para evitar a exfiltração de dados, estabeleça perímetros seguros em torno de APIs e serviços sensíveis do Google Cloud usando o VPC Service Controls e use regras de firewall de saída estritas para restringir o tráfego com destino à Internet.
- Segurança de perímetro: proteção contra ataques DDoS e ameaças a aplicativos da Web.
- Para se proteger contra ameaças, use o Google Cloud Armor.
- Configure políticas de segurança para permitir, negar ou redirecionar o tráfego na borda doGoogle Cloud .
- Automação: automatize o provisionamento de infraestrutura adotando princípios de infraestrutura como código (IaC) e usando ferramentas como Terraform, Jenkins e Cloud Build. A IaC ajuda a garantir configurações de segurança consistentes, implantações simplificadas e reversões rápidas em caso de problemas.
- Base segura: estabeleça um ambiente de aplicativo seguro usando o blueprint de bases empresariais. Este blueprint fornece orientações prescritivas e scripts de automação para ajudar você a implementar as práticas recomendadas de segurança e configurar seus recursos doGoogle Cloud com segurança.
Verificar explicitamente todas as tentativas de acesso
Esta recomendação é relevante para as seguintes áreas de foco:
- Gerenciamento de identidade e acesso
- Operações de segurança (SecOps)
- Geração de registros, auditoria e monitoramento
Implemente mecanismos fortes de autenticação e autorização para qualquer usuário, dispositivo ou serviço que tente acessar seus recursos de nuvem. Não use o local ou o perímetro de rede como controle de segurança. Não confie automaticamente em nenhum usuário, dispositivo ou serviço, mesmo que já estejam dentro da rede. Em vez disso, cada tentativa de acesso aos recursos precisa ser rigorosamente autenticada e autorizada. É preciso implementar medidas fortes de confirmação de identidade, como autenticação multifator (MFA). Você também precisa garantir que as decisões de acesso sejam baseadas em políticas granulares que considerem vários fatores contextuais, como função do usuário, postura do dispositivo e localização.
Para implementar essa recomendação, use os seguintes métodos, ferramentas e tecnologias:
- Gerenciamento unificado de identidade: garanta um gerenciamento de identidade consistente
em toda a organização usando um único provedor de identidade (IdP).
- OGoogle Cloud é compatível com a federação com a maioria dos IdPs, incluindo o Active Directory no local. A federação permite que você estenda sua infraestrutura de gerenciamento de identidade para o Google Cloud e ative o Logon único (SSO) para os usuários.
- Se você não tiver um IdP, use o Cloud Identity Premium ou o Google Workspace.
- Permissões limitadas da conta de serviço: use
contas de serviço
com cuidado e siga o princípio de privilégio mínimo.
- Conceda apenas as permissões necessárias para que cada conta de serviço execute as tarefas designadas.
- Use a federação de identidade da carga de trabalho para aplicativos executados no GKE ou fora do Google Cloud para acessar recursos com segurança.
- Processos robustos: atualize seus processos de identidade para alinhá-los às práticas recomendadas de segurança na nuvem.
- Para garantir a conformidade com os requisitos regulatórios, implemente a governança de identidade para rastrear acessos, riscos e violações da política.
- Revise e atualize os processos atuais para conceder e auditar papéis e permissões de controle de acesso.
- Autenticação forte: implemente o SSO para autenticação de usuários e
a MFA para contas privilegiadas.
- OGoogle Cloud oferece suporte a vários métodos de MFA, incluindo as chaves de segurança Titan, para maior segurança.
- Para autenticação de carga de trabalho, use o OAuth 2.0 ou JSON Web Tokens (JWTs) assinados.
- Privilégio mínimo: minimize o risco de acesso não autorizado e violações de dados aplicando os princípios de privilégio mínimo e segregação de funções.
- Evite o provisionamento excessivo de acesso de usuários.
- Considere implementar o acesso privilegiado just-in-time para operações sensíveis.
- Geração de registros: ative a geração de registros de auditoria para atividades de administrador e acesso a dados.
- Para análise e detecção de ameaças, verifique os registros usando o Security Command Center ou o Google Security Operations.
- Configure políticas de retenção de registros adequadas para equilibrar as necessidades de segurança com os custos de armazenamento.
Monitorar e manter sua rede
Esta recomendação é relevante para as seguintes áreas de foco:
- Geração de registros, auditoria e monitoramento
- Segurança para aplicativos
- Operações de segurança (SecOps)
- Segurança da infraestrutura
Ao planejar e implementar medidas de segurança, presuma que um invasor já está dentro do seu ambiente. Essa abordagem proativa envolve o uso das seguintes ferramentas e técnicas para fornecer visibilidade da sua rede:
Geração de registros e monitoramento centralizados: colete e analise registros de segurança de todos os seus recursos de nuvem por meio de geração de registros e monitoramento centralizados.
- Estabeleça valores de referência para o comportamento normal da rede, detecte anomalias e identifique possíveis ameaças.
- Analisar continuamente os fluxos de tráfego de rede para identificar padrões suspeitos e possíveis ataques.
Insights sobre o desempenho e a segurança da rede: use ferramentas como o Network Analyzer. Monitore o tráfego em busca de protocolos incomuns, conexões inesperadas ou picos repentinos na transferência de dados, o que pode indicar atividade maliciosa.
Verificação e correção de vulnerabilidades: verifique regularmente sua rede e seus aplicativos em busca de vulnerabilidades.
- Use o Security Command Center, que pode identificar automaticamente vulnerabilidades nas instâncias do Compute Engine, nos contêineres e nos clusters do GKE.
- Priorize a correção com base na gravidade das vulnerabilidades e no impacto potencial delas nos sistemas.
Detecção de intrusões: monitore o tráfego de rede em busca de atividades maliciosas e bloqueie ou receba alertas automaticamente para eventos suspeitos usando o Sistema de detecção de intrusões do Cloud (Cloud IDS) e o serviço de prevenção contra intrusões do Cloud Next Generation Firewall (Cloud NGFW).
Análise de segurança: considere implementar o Google SecOps para correlacionar ocorrências de segurança de várias fontes, fornecer análises em tempo real de alertas de segurança e facilitar a resposta a incidentes.
Configurações consistentes: use ferramentas de gerenciamento de configuração para garantir que as configurações de segurança sejam consistentes em toda a rede.