Esse princípio no pilar de segurança do Google Cloud Well-Architected Framework ajuda a garantir a segurança abrangente nas cargas de trabalho da nuvem. O princípio de zero trust enfatiza as seguintes práticas:
- Eliminar a confiança implícita
- Aplicar o princípio de privilégio mínimo ao controle de acesso
- Impor a validação explícita de todas as solicitações de acesso
- Adotar uma mentalidade de violação presumida para ativar a verificação contínua e o monitoramento da postura de segurança
Visão geral do princípio
O modelo de confiança zero muda o foco da segurança baseada em perímetro para uma abordagem em que nenhum usuário ou dispositivo é considerado inerentemente confiável. Em vez disso, cada solicitação de acesso precisa ser verificada, independente da origem. Essa abordagem envolve a autenticação e autorização de cada usuário e dispositivo, a validação do contexto (localização e postura do dispositivo) e a concessão de acesso com privilégio mínimo apenas aos recursos necessários.
A implementação do modelo de confiança zero ajuda sua organização a melhorar a postura de segurança, minimizando o impacto de possíveis violações e protegendo dados sensíveis e aplicativos contra acesso não autorizado. O modelo de confiança zero ajuda a garantir a confidencialidade, a integridade e a disponibilidade de dados e recursos na nuvem.
Recomendações
Para implementar o modelo de confiança zero nas cargas de trabalho da nuvem, considere as recomendações nas seções a seguir:
Proteger a rede
Essa recomendação é relevante para a seguinte área de foco: segurança da infraestrutura.
A transição da segurança convencional baseada em perímetro para um modelo de confiança zero exige várias etapas. Sua organização já pode ter integrado determinados controles de confiança zero à postura de segurança. No entanto, um modelo de confiança zero não é um produto ou solução singular. Em vez disso, é uma integração holística de várias camadas de segurança e práticas recomendadas. Esta seção descreve recomendações e técnicas para implementar zero trust na segurança de rede.
- Controle de acesso: aplique controles de acesso com base na identidade e no contexto do usuário usando soluções como o Chrome Enterprise Premium e o Identity-Aware Proxy (IAP). Ao fazer isso, você muda a segurança do perímetro da rede para usuários e dispositivos individuais. Essa abordagem permite o controle de acesso granular e reduz a superfície de ataque.
- Segurança de rede: proteja as conexões de rede entre os ambientes
locais, Google Cloud, e multicloud.
- Use os métodos de conectividade particular do Cloud Interconnect e das VPNs IPsec.
- Para ajudar a proteger o acesso aos Google Cloud serviços e APIs, use o Private Service Connect.
- Para ajudar a proteger o acesso de saída de cargas de trabalho implantadas no Google Kubernetes Engine (GKE) e produtos relacionados, use gateways de saída do Cloud Service Mesh.
- Design de rede: evite possíveis riscos de segurança excluindo redes padrão
em projetos atuais e desativando a criação de redes padrão
em novos projetos.
- Para evitar conflitos, planeje a alocação de rede e endereço IP com cuidado.
- Para aplicar o controle de acesso eficaz, limite o número de redes de nuvem privada virtual (VPC) por projeto.
- Segmentação: isole cargas de trabalho, mas mantenha o gerenciamento de rede centralizado.
- Para segmentar a rede, use a VPC compartilhada.
- Defina políticas e regras de firewall nos níveis da organização, da pasta e da rede VPC.
- Para evitar a exfiltração de dados, estabeleça perímetros seguros em torno de dados e serviços sensíveis usando o VPC Service Controls.
- Segurança de perímetro: proteja contra ataques DDoS e ameaças de aplicativos da Web.
- Para se proteger contra ameaças, use o Google Cloud Armor.
- Configure políticas de segurança para permitir, negar ou redirecionar o tráfego na Google Cloud borda.
- Automação: automatize o provisionamento de infraestrutura adotando princípios de infraestrutura como código (IaC) e usando ferramentas como Terraform, Jenkins e Cloud Build. A IaC ajuda a garantir configurações de segurança consistentes, implantações simplificadas e reversões rápidas em caso de problemas.
- Base segura: estabeleça um ambiente de aplicativo seguro usando o Blueprint de bases empresariais. Esse blueprint fornece orientações prescritivas e scripts de automação para ajudar você a implementar as práticas recomendadas de segurança e configurar seus Google Cloud recursos com segurança.
Verificar explicitamente todas as tentativas de acesso
Essa recomendação é relevante para as seguintes áreas de foco:
- Gerenciamento de identidade e acesso
- Operações de segurança (SecOps)
- Registro, auditoria e monitoramento
Implemente mecanismos de autenticação e autorização fortes para qualquer usuário, dispositivo ou serviço que tente acessar os recursos da nuvem. Não confie na localização ou no perímetro da rede como um controle de segurança. Não confie automaticamente em nenhum usuário, dispositivo ou serviço, mesmo que já estejam dentro da rede. Em vez disso, toda tentativa de acesso a recursos precisa ser rigorosamente autenticada e autorizada. É necessário implementar medidas de verificação de identidade fortes, como a autenticação multifator (MFA). Você também precisa garantir que as decisões de acesso sejam baseadas em políticas granulares que considerem vários fatores contextuais, como função do usuário, postura do dispositivo e localização.
Para implementar essa recomendação, use os seguintes métodos, ferramentas e tecnologias:
- Gerenciamento de identidade unificado: garanta o gerenciamento de identidade consistente
em toda a organização usando um único provedor de identidade (IdP).
- Google Cloud oferece suporte à federação com a maioria dos IdPs, incluindo o Active Directory local. A federação permite estender a infraestrutura de gerenciamento de identidade atual para Google Cloud e ativar o Logon único (SSO) para usuários.
- Se você não tiver um IdP, considere usar o Cloud Identity Premium ou o Google Workspace.
- Permissões limitadas da conta de serviço: use
contas de serviço
com cuidado e siga o princípio de privilégio mínimo.
- Conceda apenas as permissões necessárias para que cada conta de serviço execute as tarefas designadas.
- Use a federação de identidade da carga de trabalho para aplicativos executados no Google Kubernetes Engine (GKE) ou fora dele Google Cloud para acessar recursos com segurança.
- Processos robustos: atualize os processos de identidade para se alinhar às práticas recomendadas de segurança na nuvem.
- Para ajudar a garantir a conformidade com os requisitos regulamentares, implemente a governança de identidade para rastrear acesso, riscos e violações de políticas.
- Revise e atualize os processos atuais para conceder e auditar papéis e permissões de controle de acesso.
- Autenticação forte: implemente o SSO para autenticação do usuário e
a MFA para contas privilegiadas.
- Google Cloud oferece suporte a vários métodos de MFA, incluindo chaves de segurança Titan, para maior segurança.
- Para autenticação de carga de trabalho, use o OAuth 2.0 ou JSON Web Tokens (JWTs) assinados.
- Privilégio mínimo: minimize o risco de acesso não autorizado e violações de dados
aplicando os princípios de privilégio mínimo e separação de
tarefas.
- Evite o provisionamento excessivo de acesso do usuário.
- Considere implementar o acesso privilegiado just-in-time para operações sensíveis.
- Geração de registros: ative a geração de registros de auditoria para atividades de administrador e acesso aos dados
- Para análise e detecção de ameaças, verifique os registros usando o Security Command Center Enterprise ou o Google Security Operations.
- Configure políticas de retenção de registros adequadas para equilibrar as necessidades de segurança com os custos de armazenamento.
Monitorar e manter a rede
Essa recomendação é relevante para as seguintes áreas de foco:
- Registro, auditoria e monitoramento
- Segurança para aplicativos
- Operações de segurança (SecOps)
- Segurança da infraestrutura
Ao planejar e implementar medidas de segurança, suponha que um invasor já esteja no seu ambiente. Essa abordagem proativa envolve o uso das seguintes várias ferramentas e técnicas para fornecer visibilidade à rede:
Registro e monitoramento centralizados: colete e analise registros de segurança de todos os recursos da nuvem usando o registro e o monitoramento centralizados.
- Estabeleça valores de referência para o comportamento normal da rede, detecte anomalias e identifique possíveis ameaças.
- Analise continuamente os fluxos de tráfego de rede para identificar padrões suspeitos e possíveis ataques.
Insights sobre o desempenho e a segurança da rede: use ferramentas como o Network Analyzer. Monitore o tráfego em busca de protocolos incomuns, conexões inesperadas ou picos repentinos na transferência de dados, o que pode indicar atividade maliciosa.
Verificação e correção de vulnerabilidades: verifique regularmente a rede e os aplicativos em busca de vulnerabilidades.
- Use Web Security Scanner, que pode identificar automaticamente vulnerabilidades nas instâncias do Compute Engine contêineres e clusters do GKE.
- Priorize a correção com base na gravidade das vulnerabilidades e no impacto potencial delas nos sistemas.
Detecção de intrusão: monitore o tráfego de rede em busca de atividades maliciosas e bloqueie ou receba alertas automaticamente para eventos suspeitos usando o Cloud IDS e o serviço de prevenção contra invasões do Cloud NGFW.
Análise de segurança: considere implementar o Google SecOps para correlacionar eventos de segurança de várias fontes, fornecer análise em tempo real de alertas de segurança e facilitar a resposta a incidentes.
Configurações consistentes: garanta configurações de segurança consistentes em toda a rede usando ferramentas de gerenciamento de configuração.