Questo principio del pilastro della sicurezza del Google Cloud framework Well-Architected ti aiuta a garantire una sicurezza completa per i carichi di lavoro cloud. Il principio Zero Trust enfatizza le seguenti pratiche:
- Eliminazione del trust implicito
- Applicazione del principio del privilegio minimo al controllo dell'accesso
- Applicazione della convalida esplicita di tutte le richieste di accesso
- Adozione di una mentalità di presunta violazione per consentire la verifica continua e il monitoraggio del livello di sicurezza
Panoramica del principio
Il modello Zero Trust sposta l'attenzione della sicurezza dalla sicurezza basata sul perimetro a un approccio in cui nessun utente o dispositivo è considerato intrinsecamente affidabile. Al contrario, ogni richiesta di accesso deve essere verificata, indipendentemente dalla sua origine. Questo approccio prevede l'autenticazione e l'autorizzazione di ogni utente e dispositivo, la convalida del relativo contesto (posizione e livello di sicurezza del dispositivo) e la concessione dell'accesso con privilegio minimo solo alle risorse necessarie.
L'implementazione del modello Zero Trust aiuta la tua organizzazione a migliorare il livello di sicurezza riducendo al minimo l'impatto di potenziali violazioni e proteggendo dati e applicazioni sensibili da accessi non autorizzati. Il modello Zero Trust ti aiuta a garantire la riservatezza, l'integrità e la disponibilità di dati e risorse nel cloud.
Consigli
Per implementare il modello Zero Trust per i carichi di lavoro cloud, prendi in considerazione i consigli nelle sezioni seguenti:
- Protezione della rete
- Verifica esplicitamente ogni tentativo di accesso
- Monitoraggio e manutenzione della rete
Protezione della rete
Questo consiglio è pertinente alla seguente area di interesse: sicurezza dell'infrastruttura.
La transizione dalla sicurezza convenzionale basata sul perimetro a un modello Zero Trust richiede più passaggi. La tua organizzazione potrebbe aver già integrato determinati controlli Zero Trust nel suo livello di sicurezza. Tuttavia, un modello Zero Trust non è un singolo prodotto o una singola soluzione. Si tratta invece di un'integrazione olistica di più livelli di sicurezza e best practice. Questa sezione descrive i consigli e le tecniche per implementare Zero Trust per la sicurezza della rete.
- Controllo dell'accesso: applica i controlli dell'accesso in base all'identità e al contesto dell'utente utilizzando soluzioni come Chrome Enterprise Premium e Identity-Aware Proxy (IAP). In questo modo, sposti la sicurezza dal perimetro della rete ai singoli utenti e dispositivi. Questo approccio consente un controllo dell'accesso granulare e riduce la superficie di attacco.
- Sicurezza della rete: proteggi le connessioni di rete tra gli ambienti
on-premise Google Cloude multi-cloud.
- Utilizza i metodi di connettività privata di Cloud Interconnect e delle VPN IPsec.
- Per proteggere l'accesso a Google Cloud servizi e API, utilizza Private Service Connect.
- Per proteggere l'accesso in uscita dai carichi di lavoro di cui è stato eseguito il deployment su Google Kubernetes Engine (GKE) e sui prodotti correlati, utilizza i gateway di uscita di Cloud Service Mesh.
- Progettazione della rete: previeni potenziali rischi per la sicurezza eliminando le reti predefinite
nei progetti esistenti e disabilitando la creazione di reti predefinite
nei nuovi progetti.
- Per evitare conflitti, pianifica attentamente la rete e l'allocazione degli indirizzi IP.
- Per applicare un controllo dell'accesso efficace, limita il numero di reti Virtual Private Cloud (VPC) per progetto.
- Segmentazione: isola i carichi di lavoro, ma mantieni la gestione centralizzata della rete.
- Per segmentare la rete, utilizza il VPC condiviso.
- Definisci regole e policy firewall a livello di organizzazione, cartella e rete VPC.
- Per impedire l'esfiltrazione dei dati, stabilisci perimetri sicuri attorno a dati e servizi sensibili utilizzando i Controlli di servizio VPC.
- Sicurezza perimetrale: proteggiti dagli attacchi DDoS e dalle minacce alle applicazioni web.
- Per proteggerti dalle minacce, utilizza Google Cloud Armor.
- Configura le policy di sicurezza per consentire, negare o reindirizzare il traffico sul Google Cloud perimetro.
- Automazione: automatizza il provisioning dell'infrastruttura adottando i principi dell'infrastruttura come codice (IaC) e utilizzando strumenti come Terraform, Jenkins e Cloud Build. L'IaC contribuisce a garantire configurazioni di sicurezza coerenti, deployment semplificati e rollback rapidi in caso di problemi.
- Base sicura: crea un ambiente applicativo sicuro utilizzando il blueprint delle basi aziendali. Questo blueprint fornisce indicazioni prescrittive e script di automazione per aiutarti a implementare le best practice per la sicurezza e a configurare le Google Cloud risorse in modo sicuro.
Verifica esplicitamente ogni tentativo di accesso
Questo consiglio è pertinente alle seguenti aree di interesse:
- Gestione di identità e accessi
- Operazioni di sicurezza (SecOps)
- Logging, controllo e monitoraggio
Implementa meccanismi di autenticazione e autorizzazione efficaci per qualsiasi utente, dispositivo o servizio che tenti di accedere alle risorse cloud. Non fare affidamento sulla posizione o sul perimetro della rete come controllo di sicurezza. Non considerare automaticamente attendibile alcun utente, dispositivo o servizio, anche se si trova già all'interno della rete. Al contrario, ogni tentativo di accesso alle risorse deve essere autenticato e autorizzato in modo rigoroso. Devi implementare misure di verifica dell'identità efficaci, come l'autenticazione a più fattori (MFA). Devi anche assicurarti che le decisioni sull'accesso si basino su policy granulari che tengano conto di vari fattori contestuali, come il ruolo dell'utente, il livello di sicurezza del dispositivo e la posizione.
Per implementare questo consiglio, utilizza i seguenti metodi, strumenti e tecnologie:
- Gestione unificata delle identità: garantisci una gestione coerente delle identità
nella tua organizzazione utilizzando un singolo provider di identità (IdP).
- Google Cloud supporta la federazione con la maggior parte degli IdP, inclusa Active Directory on-premise. La federazione ti consente di estendere l'infrastruttura di gestione delle identità esistente a Google Cloud e di abilitare il Single Sign-On (SSO) per gli utenti.
- Se non hai un IdP esistente, valuta la possibilità di utilizzare Cloud Identity Premium o Google Workspace.
- Autorizzazioni account di servizio account: utilizza
i service account
con attenzione e rispetta il principio del privilegio minimo.
- Concedi solo le autorizzazioni necessarie a ogni account di servizio per eseguire le attività designate.
- Utilizza la federazione delle identità per i workload per le applicazioni che vengono eseguite su Google Kubernetes Engine (GKE) o all'esterno Google Cloud per accedere alle risorse in modo sicuro.
- Processi solidi: aggiorna i processi di identità in modo che siano in linea con le best practice per la sicurezza del cloud.
- Per garantire la conformità ai requisiti normativi, implementa la governance delle identità per monitorare l'accesso, i rischi e le violazioni delle policy.
- Esamina e aggiorna i processi esistenti per la concessione e il controllo dei ruoli e delle autorizzazioni di controllo dell'accesso.
- Autenticazione efficace: implementa l'SSO per l'autenticazione degli utenti e
l'MFA per gli account con privilegi.
- Google Cloud supporta vari metodi MFA, inclusi i token di sicurezza Titan, per una maggiore sicurezza.
- Per l'autenticazione dei carichi di lavoro, utilizza OAuth 2.0 o i token web JSON (JWT) firmati.
- Privilegio minimo: riduci al minimo il rischio di accesso non autorizzato e violazioni dei dati applicando i principi del privilegio minimo e della separazione dei compiti.
- Evita il provisioning eccessivo dell'accesso degli utenti.
- Valuta la possibilità di implementare l'accesso con privilegi just-in-time per le operazioni sensibili.
- Logging: abilita gli audit log per le attività di amministrazione e di accesso ai dati.
- Per l'analisi e il rilevamento delle minacce, esamina i log utilizzando Security Command Center Enterprise o Google Security Operations.
- Configura policy di conservazione dei log appropriate per bilanciare le esigenze di sicurezza con i costi di archiviazione.
Monitoraggio e manutenzione della rete
Questo consiglio è pertinente alle seguenti aree di interesse:
- Logging, controllo e monitoraggio
- Sicurezza delle applicazioni
- Operazioni di sicurezza (SecOps)
- Sicurezza dell'infrastruttura
Quando pianifichi e implementi misure di sicurezza, presupponi che un utente malintenzionato si trovi già all'interno del tuo ambiente. Questo approccio proattivo prevede l'utilizzo dei seguenti strumenti e tecniche per fornire visibilità sulla rete:
Logging e monitoraggio centralizzati: raccogli e analizza i log di sicurezza di tutte le risorse cloud tramite il logging e il monitoraggio centralizzati.
- Stabilisci le baseline per il comportamento normale della rete, rileva le anomalie e identifica le potenziali minacce.
- Analizza continuamente i flussi di traffico di rete per identificare pattern sospetti e potenziali attacchi.
Approfondimenti sulle prestazioni e sulla sicurezza della rete: utilizza strumenti come Network Analyzer. Monitora il traffico per rilevare protocolli insoliti, connessioni impreviste o picchi improvvisi nel trasferimento di dati, che potrebbero indicare attività dannose.
Scansione e correzione delle vulnerabilità: esegui regolarmente la scansione della rete e delle applicazioni per rilevare le vulnerabilità.
- Utilizza Web Security Scanner, che può identificare automaticamente le vulnerabilità nelle istanze di Compute Engine , nei container e nei cluster GKE.
- Dai la priorità alla correzione in base alla gravità delle vulnerabilità e al loro potenziale impatto sui sistemi.
Rilevamento delle intrusioni: monitora il traffico di rete per rilevare attività dannose e blocca automaticamente o ricevi avvisi per eventi sospetti utilizzando Cloud IDS e il servizio di prevenzione delle intrusioni di Cloud NGFW.
Analisi della sicurezza: valuta la possibilità di implementare Google SecOps per correlare gli eventi di sicurezza provenienti da varie fonti, fornire analisi in tempo reale degli avvisi di sicurezza e facilitare la risposta agli incidenti.
Configurazioni coerenti: assicurati di avere configurazioni di sicurezza coerenti nella rete utilizzando gli strumenti di gestione della configurazione.