Ver métricas de criptografia

O Cloud Key Management Service (Cloud KMS) mostra métricas sobre as chaves de criptografia que protegem seus dados em repouso. Essas métricas mostram como seus recursos são protegidos e se as chaves estão alinhadas com as práticas recomendadas. As métricas se concentram principalmente nas chaves de criptografia gerenciadas pelo cliente (CMEKs) usadas para proteger recursos em serviços integrados à CMEK. Este guia mostra como visualizar as métricas de criptografia do projeto e ajuda a entender o que elas significam para a postura de segurança da sua organização.

Para mais informações sobre as práticas recomendadas para usar CMEKs na proteção de seus recursos em Google Cloud, consulte Práticas recomendadas para usar CMEKs.

Antes de começar

  1. Para ter as permissões necessárias para visualizar as métricas de criptografia, peça ao administrador para conceder a você os seguintes papéis do IAM no projeto ou em um recurso pai:

    Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

    Também é possível conseguir as permissões necessárias com papéis personalizados ou outros papéis predefinidos.

  2. Se a organização usa um modelo de gerenciamento de chaves centralizado, com chaves armazenadas em um projeto de chaves compartilhadas que protegem recursos em outros projetos, então conceda o papel de Agente de serviço da organização do Cloud KMS ao Agente de serviço da organização do Cloud KMS:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member=serviceAccount:service-org-ORGANIZATION_ID@gcp-sa-cloudkms. \
    --role=roles/cloudkms.orgServiceAgent

    Se você pular essa etapa, o painel Métricas de criptografia poderá mostrar informações incompletas. Por exemplo, ao visualizar as métricas de criptografia de PROJECT_A, os recursos em PROJECT_B que são protegidos por uma chave em PROJECT_A não seriam incluídos nas métricas.

Visualizar métricas de criptografia

Para visualizar as métricas de criptografia, siga estas etapas:

  1. No Google Cloud console do, acesse a a página Gerenciamento de chaves.

    Vá para Gerenciamento de chaves

  2. Clique na guia Visão geral e em Métricas de criptografia.

  3. Use o seletor de projetos para escolher um projeto. O painel mostra as seguintes métricas de criptografia para recursos e chaves nesse projeto:

    • Os gráficos Recursos neste projeto por tipo de proteção e Tipo de proteção de recursos por serviço mostram métricas de resumo da cobertura da CMEK.
    • O gráfico Alinhamento com as práticas recomendadas de uso de chaves mostra métricas de resumo do alinhamento de chaves. Também é possível visualizar os detalhes do alinhamento de chaves .

  4. Opcional: para conferir uma lista de chaves em cada categoria, clique na seção em que você quer visualizar as chaves. Para filtrar a lista de chaves, insira os termos de pesquisa na filter_list Filtro caixa e, em seguida, pressione Enter.

Visualizar detalhes do alinhamento de chaves

Para conferir uma lista de chaves no projeto e ver com quais práticas recomendadas elas estão alinhadas, siga estas etapas:

  1. Na página Métricas de criptografia, localize o gráfico Alinhamento com as práticas recomendadas de uso de chaves.

  2. Opcional: para se concentrar apenas nas chaves criadas pelo Autokey do Cloud KMS, clique na guia Cloud KMS (Autokey). Para se concentrar apenas nas chaves criadas manualmente, clique na guia Cloud KMS (Manual).

  3. Para conferir uma lista de chaves e saber se elas estão alinhadas com cada prática recomendada, clique na seção que representa a categoria e clique em Visualizar.

    A página Alinhamento com as práticas recomendadas de uso de chaves lista as chaves do Cloud KMS no projeto selecionado e mostra se cada uma está Alinhada ou Não alinhada com cada recomendação. Para saber mais sobre o que significa uma chave estar Alinhada ou Não alinhada para uma recomendação, consulte Alinhamento de chaves neste documento.

  4. Opcional: para filtrar a lista de chaves, insira os termos de pesquisa na filter_list Filtro caixa e pressione Enter. Por exemplo, é possível filtrar a lista para mostrar apenas as chaves que estão Alinhadas com a recomendação de Granularidade.

Entender as métricas de criptografia

O painel de métricas de criptografia usa o serviço Inventário de recursos do Cloud para coletar informações sobre seus recursos e chaves do Cloud KMS. O painel calcula as métricas sob demanda usando os dados mais recentes disponíveis.

O painel mostra duas categorias principais de métricas: cobertura da CMEK e alinhamento de chaves. Ambas as métricas mostram uma visualização de resumo com informações agregadas e uma visualização detalhada com uma lista tabular de recursos ou chaves.

Cobertura da CMEK

As métricas de cobertura da CMEK nos gráficos Recursos neste projeto por tipo de proteção e Tipo de proteção de recursos por serviço mostram quantos recursos estão protegidos por CMEKs. Essa métrica considera os recursos em que a integração da CMEK e o rastreamento de chaves do Cloud KMS são compatíveis. Os recursos são agrupados nas seguintes categorias:

  • Criptografia gerenciada pelo Google: recursos protegidos pela criptografia padrão do Google.
  • Cloud KMS (Manual): recursos protegidos por uma CMEK criada e gerenciada manualmente.
  • Cloud KMS (Autokey): recursos protegidos por uma CMEK provisionada e atribuída pelo Autokey do Cloud KMS.

As métricas de cobertura da CMEK são mostradas para o projeto como um todo e detalhadas pelo serviço associado a cada um dos recursos protegidos. É possível usar essas informações para avaliar quantos recursos no projeto selecionado estão usando a criptografia padrão do Google quando poderiam usar CMEKs.

Para acessar uma lista de tipos de recursos compatíveis, consulte Tipos de recursos rastreados.

Alinhamento de chaves

As métricas de alinhamento de chaves no gráfico Alinhamento com as práticas recomendadas de uso de chaves mostram se as chaves do Cloud KMS estão alinhadas com as seguintes práticas de segurança recomendadas:

  • Período de rotação: a chave tem um período de rotação adequado definido.
  • Granularidade: a chave protege recursos que estão em um projeto e pertencem a um serviço.
  • Segregação de funções: somente as contas de serviço têm permissão para criptografar e descriptografar com a chave.
  • Local: a chave só protege recursos que estão no mesmo local da nuvem.

As métricas de alinhamento de chaves incluem todas as chaves de criptografia simétricas do Cloud KMS no projeto selecionado, mesmo que elas não sejam usadas para proteger recursos em um serviço integrado à CMEK. Essas métricas são avaliadas para chaves, não para versões de chaves. Por exemplo, uma chave sem versões ativas ainda pode ser mostrada como Alinhada para qualquer uma ou todas essas práticas recomendadas.

As seções a seguir fornecem mais informações sobre cada uma dessas práticas.

Granularidade

A granularidade da chave se refere à escala e ao escopo do uso pretendido de uma chave. As chaves podem ser altamente granulares, protegendo apenas um único recurso, ou podem ser menos granulares, protegendo muitos recursos. O uso de chaves menos granulares aumenta o impacto potencial de incidentes de segurança, incluindo acesso não autorizado e perda acidental de dados.

Em geral, recomendamos a seguinte estratégia de granularidade:

  • Cada chave protege recursos em um único local, por exemplo, us-central1.
  • Cada chave protege recursos em um único serviço ou produto, por exemplo, o BigQuery.
  • Cada chave protege recursos em um único Google Cloud projeto.

Essa recomendação pode não ser a estratégia de granularidade ideal para sua organização. Para a maioria das organizações, essa estratégia oferece um bom equilíbrio entre a sobrecarga de manter muitas chaves altamente granulares e os riscos potenciais de usar chaves menos granulares compartilhadas entre muitos projetos, serviços ou recursos.

Cada chave no projeto é considerada Alinhada com essa recomendação se os recursos que ela protege estiverem localizados no mesmo local, serviço e projeto. Uma chave é considerada Não alinhada com essa recomendação se os recursos que ela protege estiverem localizados em dois ou mais locais, serviços ou projetos.

Se as chaves não estiverem alinhadas com essa recomendação, considere se ajustar a estratégia de granularidade da chave é adequada para sua organização. Para mais informações sobre as práticas recomendadas para granularidade de chaves, consulte Escolher uma estratégia de granularidade de chaves.

Local

Na maioria dos casos, as chaves do Cloud KMS usadas com serviços integrados à CMEK precisam estar na mesmaregião ou multirregião em que os recursos que elas protegem estão localizados. Google Cloud No entanto, alguns serviços permitem exceções a essa regra.

Cada chave no projeto é considerada Alinhada com essa recomendação se os recursos que ela protege estiverem localizados no mesmo local da chave. Por exemplo, uma chave em us-central1 que protege recursos em us-central1. As chaves regionais podem proteger recursos zonais na mesma região. Por exemplo, uma chave em us-central1 que protege recursos em us-central1a.

Uma chave é considerada Não alinhada com essa recomendação se ela proteger um recurso em uma região ou multirregião diferente. Por exemplo, uma chave na us multirregião que protege um disco do Compute Engine na us-central1 região.

Se as chaves não estiverem alinhadas com essa recomendação, considere mover ou substituir os recursos ou chaves para que eles estejam no mesmo local. Para mais informações sobre locais, consulte Locais do Cloud KMS.

Alternância

A alternância regular das chaves é um aspecto importante da segurança da informação. Por exemplo, alguns padrões exigem que você alterne as chaves em uma determinada programação. As chaves que protegem cargas de trabalho sensíveis podem precisar ser alternadas com mais frequência. O Cloud KMS permite configurar a alternância automática de chaves para garantir que a programação escolhida seja seguida.

Cada chave no projeto é considerada Alinhada com essa recomendação se ela tiver uma programação de alternância definida. Uma chave é considerada Não alinhada se não estiver configurada para rotação de chaves automática.

Para ativar a alternância automática, faça o seguinte:

Segregação de funções

A segregação de funções é uma prática de segurança que visa evitar conceder permissões demais a usuários ou outros principais. No contexto das integrações do Cloud KMS e da CMEK, isso significa que os usuários que mantêm as chaves do Cloud KMS não devem ter permissões para usar essas chaves, e os principais que usam as chaves para criptografar e descriptografar os recursos não têm outras permissões nas chaves.

Cada chave no projeto é considerada Alinhada com essa recomendação se as duas condições a seguir forem verdadeiras:

  • A conta de serviço do recurso protegido é o único principal com as permissões cloudkms.cryptoKeyVersions.useToEncrypt e cloudkms.cryptoKeyVersions.useToDecrypt na chave.
  • A conta de serviço do recurso protegido não tem um papel que conceda permissões de administração de chaves na chave, incluindo roles/cloudkms.admin, roles/editor e roles/owner.

Uma chave é considerada Não alinhada se a conta de serviço tiver permissões de administração ou se outro principal tiver permissões de criptografia ou descriptografia.

Se as chaves não estiverem alinhadas com essa recomendação, revise os papéis e permissões do IAM nas chaves e em outros recursos do Cloud KMS e remova as concessões de papéis e permissões que não são necessárias. Para mais informações sobre os papéis do Cloud KMS e as permissões que eles incluem, consulte Permissões e papéis. Para mais informações sobre como visualizar e remover papéis do IAM em recursos do Cloud KMS, consulte Controle de acesso com o IAM.

Limitações

O painel Métricas de criptografia tem as seguintes limitações:

  • O painel mostra métricas de um projeto por vez.
  • O painel tem um limite de 10.000 recursos ou chaves por projeto. Se o projeto contiver mais de 10.000 chaves ou se as chaves no projeto protegerem mais de 10.000 recursos, apenas métricas parciais serão mostradas.
  • O painel depende de dados do serviço Inventário de recursos do Cloud. Se algum dos dados no Inventário de recursos do Cloud estiver desatualizado, o painel poderá mostrar informações imprecisas ou incompletas.
  • O painel considera apenas chaves simétricas para alinhamento de chaves e cobertura da CMEK.
  • O painel considera apenas recursos que oferecem suporte ao rastreamento de uso de chaves.
  • As métricas de alinhamento de chaves não distinguem entre chaves que estão em uso ativo como CMEKs protegendo recursos rastreáveis, chaves que estão em uso ativo para outros casos de uso e chaves que não têm versões ativas. Por exemplo, os dados de alinhamento de chaves podem incluir chaves usadas para aplicativos personalizados.
  • Quando os dados de alinhamento de chaves incluem chaves que protegem recursos não rastreáveis e aplicativos personalizados, os detalhes de alinhamento dessas chaves podem não ser precisos. Por exemplo, uma chave usada em vários aplicativos personalizados em vários projetos pode ser mostrada como Alinhada com as recomendações de granularidade de chaves, mesmo que não seja.

A seguir