הגדרת שיטות מומלצות לאבטחה

בדף הזה מפורטות השיטות המומלצות להגברת האבטחה וההגנה על הנתונים בסביבות הפיתוח ב-Cloud Workstations. הרשימה הזו לא מהווה רשימת משימות מקיפה שמבטיחה אבטחה, והיא לא מחליפה את מצבי האבטחה הקיימים שלכם.

המטרה היא לספק לכם מדריך לשיטות המומלצות לאבטחה שאפשר ליישם באמצעות Cloud Workstations. כדאי להוסיף את ההמלצות האלה למגוון פתרונות האבטחה שלכם, כחלק מהמאמצים לבנות גישת אבטחה שכבתית. גישת האבטחה הרב-שכבתית היא אחד מעקרונות האבטחה העיקריים להפעלת שירותים מאובטחים ותואמים ב- Google Cloud.

רקע

שירות Cloud Workstations מספק תמונות בסיס מוגדרות מראש לשימוש בשירות. השירות בונה מחדש ומפרסם מחדש את קובצי האימג' האלה מדי שבוע, כדי לוודא שהתוכנה המצורפת כוללת את תיקוני האבטחה האחרונים. בנוסף, השירות משתמש בערך ברירת מחדל של זמן קצוב לתפוגה בהגדרות של תחנת העבודה, כדי לוודא שתחנות העבודה מתעדכנות באופן אוטומטי ושתמונות ללא תיקונים לא נשארות פעילות.

עם זאת, Google Cloud לא מחזיקה בבעלות על כל החבילות שכלולות בתמונות האלה. מנהלי חבילות עשויים לתעדף עדכונים באופן שונה, בהתאם להשפעה של באג או של פרצות אבטחה וחשיפות נפוצות (CVE) על המוצר שלהם. אם במוצר נעשה שימוש רק בחלק מספרייה, יכול להיות שהוא לא יושפע מממצאים בחלקים אחרים של הספרייה. לכן, למרות שיש ממצאי CVE מבדיקות נקודות חולשה באימג'ים שלנו, Cloud Workstations עדיין יכול לספק מוצר מאובטח.

ב-Cloud Workstations יש מערכת אימות והרשאה שעוזרת לוודא שרק המפתח המיועד יכול לגשת לתחנת העבודה שלו. כמו בכל סביבת פיתוח, המפתחים צריכים להשתמש בשיטות המומלצות כשהם משתמשים בתחנת העבודה שלהם. כדי לשמור על רמת אבטחה גבוהה ככל האפשר, צריך להריץ רק קוד מהימן, לפעול רק על קלט מהימן ולגשת רק לדומיינים מהימנים. בנוסף, מומלץ לא להשתמש בתחנות עבודה לאירוח של שרתי ייצור, ולא לשתף תחנת עבודה אחת עם כמה מפתחים.

אם אתם רוצים שתהיה לכם יותר שליטה על האבטחה של קובצי האימג' של תחנות העבודה בארגון, אתם יכולים גם ליצור קובצי אימג' של קונטיינרים בהתאמה אישית.

שימוש ב-Secure Web Proxy כדי לשלוט בגישה לאינטרנט ולשפר את מניעת אובדן הנתונים (DLP)

כדי לחסום את כל הגישה לאינטרנט הציבורי – לדוגמה, למניעת אובדן נתונים (DLP) – השביתו את כתובות ה-IP הציבוריות בהגדרות של תחנות העבודה. אם משביתים את כתובות ה-IP הציבוריות, צריך להגדיר ברשת גישה פרטית ל-Google או Cloud NAT. אם אתם משתמשים בגישה פרטית ל-Google וב-private. או ב-restricted. ל-Artifact Registry, ודאו שהגדרתם רשומות DNS לדומיינים *..

עם זאת, אם המפתחים צריכים גישה לאתרים חיצוניים מסוימים מתחנות העבודה שלהם, השתמשו ב- Secure Web Proxy כדי לספק גישה לאתרים האלה שניתן לבדוק, כולל הגנות DLP.

בעזרת Secure Web Proxy, ארגונים יכולים לאכוף גישה מפורטת לאינטרנט ולשלוט בתנועה יוצאת על סמך מקור, זהות, יעד וסוג בקשה. אתם יכולים להגדיר את כללי המדיניות האלה בהקשר של Google Cloudניהול זהויות והרשאות גישה (IAM), באמצעות חשבונות שירות ותגים מאובטחים כדי להגביל את התנועה, למשל, ליעד ספציפי.

בנוסף, ב-Secure Web Proxy יש שירות בדיקת TLS שניתן להתאמה לעומס, שמאפשר לאכוף כללי מדיניות על תנועת TLS מוצפנת שנקלטה.

‫Secure Web Proxy משתלב עם Cloud Logging כדי לתעד מדדים ויומני עסקאות. כדי לזהות את תחנת העבודה שממנה הגיעה רשומת יומן מסוימת, מאתרים את כתובת ה-IP של המכונה הווירטואלית ברשומת היומן, ואז משתמשים ביומני הפלטפורמה של תחנת העבודה כדי להתאים בין כתובת ה-IP הזו לתחנת העבודה המתאימה.

אתם יכולים להשתמש בתמונה בהתאמה אישית כדי להגדיר את https_proxy ו-http_proxy ל-Secure Web Proxy בתחנות העבודה.

הגבלת גישת SSH ישירה

חשוב לוודא שאתם מגבילים את הגישה הישירה של SSH למכונות הווירטואליות בפרויקט שמארח את Cloud Workstations, כך שהגישה תתאפשר רק דרך השער של Cloud Workstations, שבו נאכפת מדיניות ניהול הזהויות והרשאות הגישה (IAM) ואפשר להפעיל את יומני VPC Flow.

כדי להשבית את הגישה הישירה של SSH למכונה הווירטואלית, מריצים את הפקודה הבאה ב-Google Cloud CLI:

    gcloud workstations configs update CONFIG \
        --cluster=CLUSTER \
        --region=REGION \
        --project=PROJECT \
        --disable-ssh-to-vm

הגבלת הגישה למשאבים רגישים

כדי להגביל את הגישה למשאבים רגישים מתחנות העבודה ולמנוע זליגה של קוד מקור ונתונים, הגדירו גבולות גזרה לשירות ב-VPC Service Controls.

העיקרון של הרשאות מינימליות

לפעול לפי העיקרון של הרשאות מינימליות להרשאות ולהקצאת משאבים.

הרשאות IAM

משתמשים בהגדרת ברירת המחדל של ניהול הזהויות והרשאות הגישה (IAM), ומגבילים את הגישה לתחנת העבודה למפתח אחד. כך אפשר לוודא שכל מפתח משתמש במכונה ייחודית של תחנת עבודה עם VM בסיסי נפרד, וכך לשפר את הבידוד של הסביבה. כדי להגביר את הגמישות של המפתחים, עורכי הקוד והאפליקציות של Cloud Workstations פועלים בתוך קונטיינר שפועל במצב הרשאות ועם גישת בסיס. כך לכל מפתח יש תחנת עבודה ייחודית, ואפילו אם משתמש מצליח לצאת מהקונטיינר, הוא עדיין נמצא בתוך ה-VM שלו ולא יכול לגשת למשאבים חיצוניים נוספים.

מגדירים הרשאות IAM שמגבילות את הגישה של משתמשים שאינם אדמינים לשינוי הגדרות של תחנות עבודה וקובצי אימג' של קונטיינרים ב-Artifact Registry.

בנוסף, Google ממליצה להגדיר הרשאות IAM שמגבילות את הגישה של משתמשים שאינם אדמינים לכל אחד מהמשאבים הבסיסיים של Compute Engine בפרויקט שמארח את Cloud Workstations.

מידע נוסף זמין במאמר שימוש מאובטח ב-IAM.

הרשאות ב-Cloud KMS

כדי לתמוך בצורה טובה יותר בעיקרון של הרשאות מינימליות, מומלץ לשמור את המשאבים של Cloud KMS ושל Cloud Workstations בפרויקטים נפרדים ב- Google Cloud . יוצרים את פרויקט מפתחות Cloud KMS בלי owner ברמת הפרויקט, ומקצים אדמין ארגוני ברמת הארגון. בניגוד לowner, אדמין ארגוני לא יכול לנהל מפתחות או להשתמש בהם ישירות. הם מוגבלים להגדרת כללי מדיניות של IAM, שמגבילים את האנשים שיכולים לנהל את המפתחות ולהשתמש בהם.

העיקרון הזה נקרא גם הפרדת תפקידים, והוא נועד לוודא שלאדם אחד אין את כל ההרשאות הנדרשות כדי לבצע פעולה זדונית. למידע נוסף, קראו על הפרדת תפקידים.

אכיפת עדכונים אוטומטיים של קובצי אימג' ותיקונים

חשוב לוודא שסביבות העבודה שלכם משתמשות בגרסה העדכנית של תמונות הבסיס של Cloud Workstations, שמכילות את תיקוני האבטחה והתיקונים האחרונים. ערך זמן הקצוב לתפוגה בהגדרות של סביבת העבודה עוזר לוודא שסביבות עבודה שנוצרו עם ההגדרות האלה מתעדכנות באופן אוטומטי בסשן הבא, כדי להתאים לגרסה האחרונה של קובץ האימג' של הקונטיינר שמוגדר בהגדרות של סביבת העבודה.

  • אם הארגון שלכם משתמש באחת מתמונות הבסיס של Cloud Workstations, תחנת העבודה תאסוף באופן אוטומטי את כל העדכונים להגדרות שלה בפעם הבאה שהיא תושבת ותופעל מחדש. הגדרת הערך runningTimeout, או שימוש בערך ברירת המחדל, עוזרים לוודא שתחנות העבודה האלה מושבתות.
  • אם הארגון שלכם משתמש בתמונה בהתאמה אישית, חשוב ליצור מחדש את התמונה באופן קבוע.

תחזוקה של תמונות בהתאמה אישית

אתם אחראים לתחזק ולעדכן את החבילות בהתאמה אישית ואת יחסי התלות שנוספו לתמונות בהתאמה אישית.

אם אתם יוצרים תמונות בהתאמה אישית, מומלץ:

הגדרת VPC Flow Logs

כשיוצרים אשכול של תחנות עבודה, Cloud Workstations משייך את האשכול לרשת משנה מסוימת וכל תחנות העבודה ממוקמות ברשת המשנה הזו. כדי להפעיל את VPC Flow Logs, צריך לוודא שהפעלתם את הרישום ביומן של רשת המשנה הזו. מידע נוסף זמין במאמר הפעלת יומני VPC Flow ברשת משנה קיימת.

הפעלת VM Threat Detection ב-Security Command Center

‫Security Command Center הוא פתרון מבוסס-ענן לניהול סיכונים, שעוזר לאנשי מקצוע בתחום האבטחה למנוע, לזהות ולטפל בבעיות אבטחה. מכיוון שסביבות העבודה פועלות במכונה וירטואלית ייעודית לכל סביבת עבודה, אפשר להשתמש בזיהוי איומים במכונות וירטואליות כדי לזהות אפליקציות שעלולות להיות זדוניות, כמו תוכנות לכריית מטבעות וירטואליים, ערכות Rootkit במצב ליבה ותוכנות זדוניות שפועלות בסביבת העבודה.

כשבודקים את הממצאים של המכונות הווירטואליות, אפשר למצוא את סביבת העבודה שהוקצתה למכונה הווירטואלית על ידי בדיקת התוויות של סביבת העבודה במכונה הווירטואלית, או באמצעות יומני הפלטפורמה של סביבות העבודה כדי לחפש הקצאות היסטוריות.