Prinsip dalam pilar keamanan Google Cloud Framework yang Dirancang dengan Baik ini membantu Anda memastikan keamanan yang komprehensif di seluruh workload cloud Anda. Prinsip zero-trust menekankan praktik berikut:
- Menghilangkan kepercayaan implisit
- Menerapkan prinsip hak istimewa terendah untuk kontrol akses
- Menerapkan validasi eksplisit atas semua permintaan akses
- Mengadopsi pola pikir asumsi-pelanggaran untuk mengaktifkan verifikasi berkelanjutan dan pemantauan postur keamanan
Ringkasan prinsip
Model zero-trust mengalihkan fokus keamanan dari keamanan berbasis perimeter ke pendekatan yang tidak menganggap pengguna atau perangkat sebagai tepercaya secara inheren. Sebagai gantinya, setiap permintaan akses harus diverifikasi, terlepas dari asalnya. Pendekatan ini melibatkan autentikasi dan otorisasi setiap pengguna dan perangkat, memvalidasi konteksnya (lokasi dan postur perangkat), serta memberikan akses hak istimewa terendah hanya ke resource yang diperlukan.
Menerapkan model zero-trust membantu organisasi Anda meningkatkan postur keamanannya dengan meminimalkan dampak potensi pelanggaran dan melindungi data serta aplikasi sensitif dari akses yang tidak sah. Model zero-trust membantu Anda memastikan kerahasiaan, integritas, dan ketersediaan data serta resource di cloud.
Rekomendasi
Untuk menerapkan model zero-trust bagi workload cloud Anda, pertimbangkan rekomendasi di bagian berikut:
- Mengamankan jaringan Anda
- Memverifikasi setiap upaya akses secara eksplisit
- Memantau dan memelihara jaringan Anda
Mengamankan jaringan Anda
Rekomendasi ini relevan dengan area fokus berikut: Keamanan infrastruktur.
Transisi dari keamanan berbasis perimeter konvensional ke model zero-trust memerlukan beberapa langkah. Organisasi Anda mungkin telah mengintegrasikan kontrol zero-trust tertentu ke dalam postur keamanannya. Namun, model zero-trust bukanlah produk atau solusi tunggal. Sebaliknya, model ini adalah integrasi holistik dari beberapa lapisan keamanan dan praktik terbaik. Bagian ini menjelaskan rekomendasi dan teknik untuk menerapkan zero-trust bagi keamanan jaringan.
- Kontrol akses: Terapkan kontrol akses berdasarkan identitas dan konteks pengguna dengan menggunakan solusi seperti Chrome Enterprise Premium dan Identity-Aware Proxy (IAP). Dengan melakukannya, Anda mengalihkan keamanan dari perimeter jaringan ke setiap pengguna dan perangkat. Pendekatan ini memungkinkan kontrol akses terperinci dan mengurangi permukaan serangan.
- Keamanan jaringan: Amankan koneksi jaringan antara lingkungan
lokal, Google Cloud, dan multicloud Anda.
- Gunakan metode konektivitas pribadi dari Cloud Interconnect dan VPN IPsec.
- Untuk membantu mengamankan akses ke Google Cloud layanan dan API, gunakan Private Service Connect.
- Untuk membantu mengamankan akses keluar dari workload yang di-deploy di Google Kubernetes Engine (GKE) dan produk terkait, gunakan gateway keluar Cloud Service Mesh.
- Desain jaringan: Cegah potensi risiko keamanan dengan menghapus jaringan default
di project yang ada dan menonaktifkan pembuatan jaringan default
di project baru.
- Untuk menghindari konflik, rencanakan alokasi jaringan dan alamat IP Anda dengan cermat.
- Untuk menerapkan kontrol akses yang efektif, batasi jumlah jaringan Virtual Private Cloud (VPC) per project.
- Segmentasi: Pisahkan workload, tetapi pertahankan pengelolaan jaringan terpusat.
- Untuk mensegmentasikan jaringan Anda, gunakan VPC Bersama.
- Tetapkan kebijakan dan aturan firewall di tingkat organisasi, folder, dan jaringan VPC.
- Untuk mencegah eksfiltrasi data, buat perimeter yang aman di sekitar data dan layanan sensitif dengan menggunakan Kontrol Layanan VPC.
- Keamanan perimeter: Lindungi dari serangan DDoS dan ancaman aplikasi web
- Untuk melindungi dari ancaman, gunakan Google Cloud Armor.
- Konfigurasi kebijakan keamanan untuk mengizinkan, menolak, atau mengalihkan traffic di Google Cloud edge.
- Otomatisasi: Otomatiskan penyediaan infrastruktur dengan menerapkan prinsip infrastruktur sebagai kode (IaC) dan menggunakan alat seperti Terraform, Jenkins, dan Cloud Build. IaC membantu memastikan konfigurasi keamanan yang konsisten, deployment yang disederhanakan, dan rollback yang cepat jika terjadi masalah.
- Fondasi yang aman: Buat lingkungan aplikasi yang aman dengan menggunakan blueprint fondasi Enterprise. Blueprint ini memberikan panduan preskriptif dan skrip otomatisasi untuk membantu Anda menerapkan praktik terbaik keamanan dan mengonfigurasi Google Cloud resource Anda dengan aman.
Memverifikasi setiap upaya akses secara eksplisit
Rekomendasi ini relevan dengan area fokus berikut:
- Pengelolaan akses dan identitas
- Operasi keamanan (SecOps)
- Logging, audit, dan pemantauan
Terapkan mekanisme autentikasi dan otorisasi yang kuat untuk setiap pengguna, perangkat, atau layanan yang mencoba mengakses resource cloud Anda. Jangan mengandalkan lokasi atau perimeter jaringan sebagai kontrol keamanan. Jangan otomatis mempercayai pengguna, perangkat, atau layanan apa pun, meskipun mereka sudah berada di dalam jaringan. Sebagai gantinya, setiap upaya untuk mengakses resource harus diautentikasi dan diotorisasi secara ketat. Anda harus menerapkan langkah-langkah verifikasi identitas yang kuat, seperti autentikasi multi-faktor (MFA). Anda juga harus memastikan bahwa keputusan akses didasarkan pada kebijakan terperinci yang mempertimbangkan berbagai faktor kontekstual seperti peran pengguna, postur perangkat, dan lokasi.
Untuk menerapkan rekomendasi ini, gunakan metode, alat, dan teknologi berikut:
- Pengelolaan identitas terpadu: Pastikan pengelolaan identitas yang konsisten
di seluruh organisasi Anda dengan menggunakan satu penyedia identitas (IdP).
- Google Cloud mendukung federasi dengan sebagian besar IdP, termasuk Active Directory lokal. Federasi memungkinkan Anda memperluas infrastruktur pengelolaan identitas yang ada ke Google Cloud dan mengaktifkan single sign-on (SSO) untuk pengguna.
- Jika Anda tidak memiliki IdP yang ada, pertimbangkan untuk menggunakan Cloud Identity Premium atau Google Workspace.
- Izin akun layanan terbatas: Gunakan
akun layanan
dengan hati-hati, dan patuhi prinsip hak istimewa terendah.
- Berikan hanya izin yang diperlukan untuk setiap akun layanan agar dapat menjalankan tugas yang ditentukan.
- Gunakan Workload Identity Federation untuk aplikasi yang berjalan di Google Kubernetes Engine (GKE) atau berjalan di luar Google Cloud untuk mengakses resource dengan aman.
- Proses yang kuat: Perbarui proses identitas Anda agar selaras dengan praktik terbaik keamanan cloud.
- Untuk membantu memastikan kepatuhan terhadap persyaratan peraturan, terapkan tata kelola identitas untuk melacak akses, risiko, dan pelanggaran kebijakan.
- Tinjau dan perbarui proses yang ada untuk memberikan dan mengaudit peran serta izin kontrol akses.
- Autentikasi yang kuat: Terapkan SSO untuk autentikasi pengguna dan
terapkan MFA untuk akun hak istimewa.
- Google Cloud mendukung berbagai metode MFA, termasuk Kunci Keamanan Titan, untuk meningkatkan keamanan.
- Untuk autentikasi workload, gunakan OAuth 2.0 atau Token Web JSON (JWT) yang ditandatangani.
- Hak istimewa terendah: Minimalkan risiko akses tidak sah dan data
pelanggaran dengan menerapkan prinsip hak istimewa terendah dan pemisahan
tugas.
- Hindari penyediaan akses pengguna yang berlebihan.
- Pertimbangkan untuk menerapkan akses hak istimewa tepat waktu untuk operasi sensitif.
- Logging: Aktifkan logging audit untuk aktivitas administrator dan akses data.
- Untuk analisis dan deteksi ancaman, pindai log menggunakan Security Command Center Enterprise atau Google Security Operations.
- Konfigurasi kebijakan retensi log yang sesuai untuk menyeimbangkan kebutuhan keamanan dengan biaya penyimpanan.
Memantau dan memelihara jaringan Anda
Rekomendasi ini relevan dengan area fokus berikut:
- Logging, audit, dan pemantauan
- Keamanan aplikasi
- Operasi keamanan (SecOps)
- Keamanan infrastruktur
Saat Anda merencanakan dan menerapkan langkah-langkah keamanan, asumsikan bahwa penyerang sudah berada di dalam lingkungan Anda. Pendekatan proaktif ini melibatkan penggunaan beberapa alat dan teknik berikut untuk memberikan visibilitas ke jaringan Anda:
Logging dan pemantauan terpusat: Kumpulkan dan analisis log keamanan dari semua resource cloud Anda melalui logging dan pemantauan terpusat.
- Buat dasar pengukuran untuk perilaku jaringan normal, deteksi anomali, dan identifikasi potensi ancaman.
- Terus analisis alur traffic jaringan untuk mengidentifikasi pola mencurigakan dan potensi serangan.
Insight tentang performa dan keamanan jaringan: Gunakan alat seperti Network Analyzer. Pantau traffic untuk protokol yang tidak biasa, koneksi yang tidak terduga, atau lonjakan mendadak dalam transfer data, yang dapat menunjukkan aktivitas berbahaya.
Pemindaian dan perbaikan kerentanan: Pindai jaringan dan aplikasi Anda secara rutin untuk mengetahui kerentanan.
- Gunakan Web Security Scanner, yang dapat otomatis mengidentifikasi kerentanan di instance Compute Engine Anda, container, dan cluster GKE.
- Prioritaskan perbaikan berdasarkan tingkat keparahan kerentanan dan potensi dampaknya terhadap sistem Anda.
Deteksi penyusupan: Pantau traffic jaringan untuk aktivitas berbahaya dan otomatis blokir atau dapatkan pemberitahuan untuk peristiwa mencurigakan menggunakan Cloud IDS dan layanan pencegahan penyusupan Cloud NGFW.
Analisis keamanan: Pertimbangkan untuk menerapkan Google SecOps guna mengorelasikan peristiwa keamanan dari berbagai sumber, memberikan analisis real-time atas pemberitahuan keamanan, dan memfasilitasi respons insiden.
Konfigurasi yang konsisten: Pastikan Anda memiliki konfigurasi keamanan yang konsisten di seluruh jaringan Anda dengan menggunakan alat pengelolaan konfigurasi.