Este principio del pilar de seguridad del Google Cloud Framework de Well-Architected te ayuda a garantizar una seguridad integral en tus cargas de trabajo en la nube. El principio de confianza cero enfatiza las siguientes prácticas:
- Eliminar la confianza implícita
- Aplicar el principio de privilegio mínimo al control de acceso
- Aplicar la validación explícita de todas las solicitudes de acceso
- Adoptar una mentalidad de suposición de incumplimiento para habilitar la verificación continua y la supervisión de la postura de seguridad
Descripción general del principio
El modelo de confianza cero cambia el enfoque de seguridad de la seguridad basada en el perímetro a un enfoque en el que no se considera que ningún usuario ni dispositivo sea intrínsecamente confiable. En cambio, se debe verificar cada solicitud de acceso, sin importar su origen. Este enfoque implica autenticar y autorizar a cada usuario y dispositivo, validar su contexto (ubicación y postura del dispositivo) y otorgar acceso con privilegio mínimo solo a los recursos necesarios.
Implementar el modelo de confianza cero ayuda a tu organización a mejorar su postura de seguridad, ya que minimiza el impacto de posibles incumplimientos y protege los datos y las aplicaciones sensibles contra el acceso no autorizado. El modelo de confianza cero te ayuda a garantizar la confidencialidad, la integridad y la disponibilidad de los datos y los recursos en la nube.
Recomendaciones
Para implementar el modelo de confianza cero en tus cargas de trabajo en la nube, considera las recomendaciones de las siguientes secciones:
Proteger la red
Esta recomendación es pertinente para el siguiente enfoque: Seguridad de la infraestructura.
La transición de la seguridad convencional basada en el perímetro a un modelo de confianza cero requiere varios pasos. Es posible que tu organización ya haya integrado ciertos controles de confianza cero en su postura de seguridad. Sin embargo, un modelo de confianza cero no es un producto o una solución singular. En cambio, es una integración integral de varias capas de seguridad y prácticas recomendadas. En esta sección, se describen las recomendaciones y las técnicas para implementar la confianza cero en la seguridad de la red.
- Control de acceso: Aplica controles de acceso basados en la identidad y el contexto del usuario con soluciones como Chrome Enterprise Premium y Identity-Aware Proxy (IAP). De esta manera, cambias la seguridad del perímetro de la red a usuarios y dispositivos individuales. Este enfoque permite un control de acceso detallado y reduce la superficie de ataque.
- Seguridad de la red: Protege las conexiones de red entre tus
entornos locales, Google Cloud, y de múltiples nubes.
- Usa los métodos de conectividad privada de Cloud Interconnect y las VPN de IPsec.
- Para proteger el acceso a los Google Cloud servicios y las APIs, usa Private Service Connect.
- Para proteger el acceso saliente de las cargas de trabajo implementadas en Google Kubernetes Engine (GKE) y los productos relacionados, usa las puertas de enlace de salida de Cloud Service Mesh.
- Diseño de red: Evita posibles riesgos de seguridad borrando las redes predeterminadas
en los proyectos existentes y, también, inhabilitando la creación de redes predeterminadas
en proyectos nuevos.
- Para evitar conflictos, planifica cuidadosamente la asignación de redes y direcciones IP.
- Para aplicar un control de acceso eficaz, limita la cantidad de redes de nube privada virtual (VPC) por proyecto.
- Segmentación: Aísla las cargas de trabajo, pero mantén la administración de red
centralizada.
- Para segmentar tu red, usa VPC compartida.
- Define políticas y reglas de firewall a nivel de organización, carpeta y red de VPC.
- Para evitar el robo de datos, establece perímetros seguros alrededor de los datos y servicios sensibles con los Controles del servicio de VPC.
- Seguridad del perímetro: Protégete contra los ataques de DSD y las amenazas de aplicaciones web.
- Para protegerte contra amenazas, usa Google Cloud Armor.
- Configura políticas de seguridad para permitir, rechazar o redireccionar el tráfico en el Google Cloud perímetro.
- Automatización: Automatiza el aprovisionamiento de la infraestructura adoptando los principios de infraestructura como código (IaC) y usando herramientas como Terraform, Jenkins y Cloud Build. IaC ayuda a garantizar configuraciones de seguridad coherentes, implementaciones simplificadas y reversiones rápidas en caso de problemas.
- Base segura: Establece un entorno de aplicación seguro con el plano de bases empresarial. Este plano proporciona orientación prescriptiva y secuencias de comandos de automatización para ayudarte a implementar las prácticas recomendadas de seguridad y configurar tus recursos de forma segura.Google Cloud
Verificar cada intento de acceso de forma explícita
Esta recomendación es pertinente para los siguientes enfoques:
- Administración de identidades y accesos
- Operaciones de seguridad (SecOps)
- Registro, auditoría y supervisión
Implementa mecanismos sólidos de autenticación y autorización para cualquier usuario, dispositivo o servicio que intente acceder a tus recursos en la nube. No dependas de la ubicación ni del perímetro de la red como control de seguridad. No confíes automáticamente en ningún usuario, dispositivo o servicio, incluso si ya están dentro de la red. En cambio, cada intento de acceder a los recursos debe autenticarse y autorizarse de forma rigurosa. Debes implementar medidas sólidas de verificación de identidad, como la autenticación de varios factores (MFA). También debes asegurarte de que las decisiones de acceso se basen en políticas detalladas que consideren varios factores contextuales, como el rol del usuario, la postura del dispositivo y la ubicación.
Para implementar esta recomendación, usa los siguientes métodos, herramientas y tecnologías:
- Administración de identidades unificada: Asegúrate de que la administración de identidades sea coherente
en toda la organización con un solo proveedor de identidad (IdP).
- Google Cloud admite la federación con la mayoría de los IdP, incluido Active Directory local. La federación te permite extender tu infraestructura de administración de identidades existente a Google Cloud y habilitar el inicio de sesión único (SSO) para los usuarios.
- Si no tienes un IdP existente, considera usar Cloud Identity Premium o Google Workspace.
- Permisos limitados de cuentas de servicio: Usa
las cuentas de servicio
con cuidado y respeta el principio de privilegio mínimo.
- Otorga solo los permisos necesarios para que cada cuenta de servicio realice las tareas designadas.
- Usa la federación de Workload Identity para las aplicaciones que se ejecutan en Google Kubernetes Engine (GKE) o fuera de él Google Cloud para acceder a los recursos de forma segura.
- Procesos sólidos: Actualiza tus procesos de identidad para que se alineen con las prácticas recomendadas de seguridad en la nube.
- Para garantizar el cumplimiento de los requisitos reglamentarios, implementa la administración de identidades para hacer un seguimiento del acceso, los riesgos y los incumplimientos de políticas.
- Revisa y actualiza tus procesos existentes para otorgar y auditar roles y permisos de control de acceso.
- Autenticación sólida: Implementa el SSO para la autenticación de usuarios y
la MFA para las cuentas con privilegios.
- Google Cloud admite varios métodos de MFA, incluidas las llaves de seguridad Titan, para mejorar la seguridad.
- Para la autenticación de cargas de trabajo, usa OAuth 2.0 o tokens web JSON (JWT) firmados.
- Privilegio mínimo: Minimiza el riesgo de acceso no autorizado y robo de
datos aplicando los principios de privilegio mínimo y separación de
tareas.
- Evita el aprovisionamiento excesivo del acceso de los usuarios.
- Considera implementar el acceso con privilegios justo a tiempo para las operaciones sensibles.
- Registro: Habilita el registro de auditoría para las actividades de administrador y de acceso a los datos.
- Para el análisis y la detección de amenazas, explora los registros con Security Command Center Enterprise o Google Security Operations.
- Configura políticas de retención de registros adecuadas para equilibrar las necesidades de seguridad con los costos de almacenamiento.
Supervisar y mantener la red
Esta recomendación es pertinente para los siguientes enfoques:
- Registro, auditoría y supervisión
- Seguridad para aplicaciones
- Operaciones de seguridad (SecOps)
- Seguridad de la infraestructura
Cuando planifiques e implementes medidas de seguridad, da por sentado que un atacante ya está dentro de tu entorno. Este enfoque proactivo implica usar las siguientes herramientas y técnicas múltiples para proporcionar visibilidad en tu red:
Registro y supervisión centralizados: Recopila y analiza registros de seguridad de todos tus recursos en la nube a través del registro y la supervisión centralizados .
- Establece modelos de referencia para el comportamiento normal de la red, detecta anomalías y, también, identifica posibles amenazas.
- Analiza continuamente los flujos de tráfico de red para identificar patrones sospechosos y posibles ataques.
Estadísticas sobre el rendimiento y la seguridad de la red: Usa herramientas como el Analizador de red. Supervisa el tráfico en busca de protocolos inusuales, conexiones inesperadas o aumentos repentinos en la transferencia de datos, que podrían indicar actividad maliciosa.
Análisis y corrección de vulnerabilidades: Analiza periódicamente tu red y tus aplicaciones en busca de vulnerabilidades.
- Usa Web Security Scanner, que puede identificar automáticamente vulnerabilidades en tus instancias de Compute Engine contenedores y clústeres de GKE.
- Prioriza la corrección según la gravedad de las vulnerabilidades y su posible impacto en tus sistemas.
Detección de intrusiones: Supervisa el tráfico de red en busca de actividad maliciosa y bloquea automáticamente los eventos sospechosos o recibe alertas sobre ellos con Cloud IDS y el servicio de prevención de intrusiones de Cloud NGFW.
Análisis de seguridad: Considera implementar Google SecOps para correlacionar eventos de seguridad de varias fuentes, proporcionar análisis en tiempo real de las alertas de seguridad y facilitar la respuesta ante incidentes.
Configuraciones coherentes: Asegúrate de tener configuraciones de seguridad coherentes en toda la red con herramientas de administración de configuración.