Zero Trust implementieren

Dieses Prinzip im Sicherheitsbereich des Google Cloud Well-Architected Framework hilft Ihnen, umfassende Sicherheit für Ihre Cloud-Arbeitslasten zu gewährleisten. Das Zero-Trust-Prinzip umfasst die folgenden Praktiken:

  • Implizites Vertrauen beseitigen
  • Prinzip der geringsten Berechtigung auf die Zugriffssteuerung anwenden
  • Erzwingen der expliziten Validierung aller Zugriffsanfragen
  • Assume-Breach-Ansatz für kontinuierliche Überprüfung und Überwachung des Sicherheitsstatus

Übersicht über die Grundsätze

Beim Zero-Trust-Modell wird der Sicherheitsfokus von der perimeterbasierten Sicherheit auf einen Ansatz verlagert, bei dem kein Nutzer und kein Gerät als von Natur aus vertrauenswürdig gilt. Stattdessen muss jede Zugriffsanfrage unabhängig von ihrem Ursprung überprüft werden. Bei diesem Ansatz werden alle Nutzer und Geräte authentifiziert und autorisiert, ihr Kontext (Standort und Gerätestatus) wird validiert und der Zugriff mit den geringsten Berechtigungen wird nur auf die erforderlichen Ressourcen gewährt.

Durch die Implementierung des Zero-Trust-Modells kann Ihr Unternehmen seinen Sicherheitsstatus verbessern, indem die Auswirkungen potenzieller Sicherheitslücken minimiert und sensible Daten und Anwendungen vor unbefugtem Zugriff geschützt werden. Das Zero-Trust-Modell hilft Ihnen, die Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Ressourcen in der Cloud zu gewährleisten.

Empfehlungen

Wenn Sie das Zero-Trust-Modell für Ihre Cloud-Arbeitslasten implementieren möchten, sollten Sie die Empfehlungen in den folgenden Abschnitten berücksichtigen:

Netzwerk sichern

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Infrastruktursicherheit.

Die Umstellung von der herkömmlichen perimeterbasierten Sicherheit auf ein Zero-Trust-Modell erfordert mehrere Schritte. Ihre Organisation hat möglicherweise bereits bestimmte Zero-Trust-Kontrollen in ihren Sicherheitsstatus integriert. Ein Zero-Trust-Modell ist jedoch kein einzelnes Produkt oder eine einzelne Lösung. Stattdessen handelt es sich um eine ganzheitliche Integration mehrerer Sicherheitsebenen und Best Practices. In diesem Abschnitt werden Empfehlungen und Techniken zur Implementierung von Zero Trust für die Netzwerksicherheit beschrieben.

  • Zugriffssteuerung: Erzwingen Sie die Zugriffssteuerung basierend auf Nutzeridentität und ‑kontext mit Lösungen wie Chrome Enterprise Premium und Identity-Aware Proxy (IAP). Dadurch verlagern Sie die Sicherheit vom Netzwerkperimeter auf einzelne Nutzer und Geräte. Dieser Ansatz ermöglicht eine detaillierte Zugriffssteuerung und verringert die Angriffsfläche.
  • Netzwerksicherheit: Sichern Sie Netzwerkverbindungen zwischen Ihren lokalen, Google Cloud- und Multi-Cloud-Umgebungen.
  • Netzwerkdesign: Sie können potenzielle Sicherheitsrisiken vermeiden, indem Sie Standardnetzwerke in vorhandenen Projekten löschen und die Erstellung von Standardnetzwerken in neuen Projekten deaktivieren.
    • Planen Sie Ihr Netzwerk und die Zuweisung von IP-Adressen sorgfältig, um Konflikte zu vermeiden.
    • Um eine effektive Zugriffssteuerung zu erzwingen, sollten Sie die Anzahl der VPC-Netzwerke (Virtual Private Cloud) pro Projekt begrenzen.
  • Segmentierung: Arbeitslasten isolieren, aber die zentrale Netzwerkverwaltung beibehalten.
    • Verwenden Sie freigegebene VPCs, um Ihr Netzwerk zu segmentieren.
    • Definieren Sie Firewallrichtlinien und ‑regeln auf Organisations-, Ordner- und VPC-Netzwerkebene.
    • Um Daten-Exfiltration zu verhindern, können Sie mit VPC Service Controls sichere Perimeter für sensible Daten und Dienste einrichten.
  • Perimetersicherheit: Schutz vor DDoS-Angriffen und Bedrohungen für Webanwendungen.
    • Verwenden Sie Google Cloud Armor, um sich vor Bedrohungen zu schützen.
    • Konfigurieren Sie Sicherheitsrichtlinien, um Traffic amGoogle Cloud -Edge zuzulassen, abzulehnen oder weiterzuleiten.
  • Automatisierung: Automatisieren Sie die Bereitstellung der Infrastruktur, indem Sie die Prinzipien von Infrastructure as Code (IaC) anwenden und Tools wie Terraform, Jenkins und Cloud Build verwenden. IaC trägt dazu bei, dass Sicherheitskonfigurationen konsistent sind, Bereitstellungen vereinfacht werden und im Falle von Problemen schnelle Rollbacks möglich sind.
  • Sichere Grundlage: Richten Sie eine sichere Anwendungsumgebung mit dem Blueprint zu Unternehmensgrundlagen ein. Dieser Blueprint enthält verbindliche Anleitungen und Automatisierungsskripts, mit denen Sie Best Practices für die Sicherheit implementieren und IhreGoogle Cloud -Ressourcen sicher konfigurieren können.

Jeden Zugriffsversuch explizit bestätigen

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

  • Identitäts- und Zugriffsverwaltung
  • Security Operations (SecOps)
  • Logging, Prüfung und Monitoring

Implementieren Sie strenge Authentifizierungs- und Autorisierungsmechanismen für jeden Nutzer, jedes Gerät und jeden Dienst, der versucht, auf Ihre Cloud-Ressourcen zuzugreifen. Verlassen Sie sich nicht auf den Standort oder den Netzwerkperimeter als Sicherheitskontrolle. Vertrauen Sie Nutzern, Geräten oder Diensten nicht automatisch, auch wenn sie sich bereits im Netzwerk befinden. Stattdessen muss jeder Versuch, auf Ressourcen zuzugreifen, streng authentifiziert und autorisiert werden. Sie müssen starke Maßnahmen zur Identitätsbestätigung implementieren, z. B. die Multi-Faktor-Authentifizierung (MFA). Außerdem müssen Sie dafür sorgen, dass Zugriffsentscheidungen auf detaillierten Richtlinien basieren, die verschiedene Kontextfaktoren wie Nutzerrolle, Gerätestatus und Standort berücksichtigen.

Verwenden Sie die folgenden Methoden, Tools und Technologien, um diese Empfehlung zu implementieren:

  • Einheitliche Identitätsverwaltung: Sorgen Sie für eine einheitliche Identitätsverwaltung in Ihrer gesamten Organisation, indem Sie einen einzigen Identitätsanbieter (IdP) verwenden.
    • Google Cloud unterstützt die Föderation mit den meisten IdPs, einschließlich des lokalen Active Directory. Mit der Föderation können Sie Ihre vorhandene Infrastruktur für die Identitätsverwaltung auf Google Cloud erweitern und die Einmalanmeldung (SSO) für Nutzer aktivieren.
    • Wenn Sie noch keinen IdP haben, sollten Sie die Cloud Identity Premiumversion oder Google Workspace verwenden.
  • Eingeschränkte Dienstkontoberechtigungen: Verwenden Sie Dienstkonten mit Bedacht und halten Sie sich an den Grundsatz der geringsten Berechtigung.
    • Erteilen Sie jedem Dienstkonto nur die Berechtigungen, die für die Ausführung der zugewiesenen Aufgaben erforderlich sind.
    • Verwenden Sie die Workload Identity-Föderation für Anwendungen, die in Google Kubernetes Engine (GKE) oder außerhalb vonGoogle Cloud ausgeführt werden, um sicher auf Ressourcen zuzugreifen.
  • Robuste Prozesse: Aktualisieren Sie Ihre Identitätsprozesse, um sie an die Best Practices für die Cloud-Sicherheit anzupassen.
    • Um die Einhaltung gesetzlicher Anforderungen zu gewährleisten, sollten Sie Identity Governance implementieren, um den Zugriff, die Risiken und Richtlinienverstöße zu verfolgen.
    • Überprüfen und aktualisieren Sie Ihre bestehenden Prozesse zum Gewähren und Prüfen von Rollen und Berechtigungen für die Zugriffssteuerung.
  • Starke Authentifizierung: Implementieren Sie SSO für die Nutzerauthentifizierung und MFA für privilegierte Konten.
    • Google Cloud unterstützt verschiedene MFA-Methoden, darunter Titan-Sicherheitsschlüssel, für mehr Sicherheit.
    • Verwenden Sie für die Arbeitslastauthentifizierung OAuth 2.0 oder signierte JSON Web Tokens (JWTs).
  • Geringste Berechtigung: Minimieren Sie das Risiko unbefugter Zugriffe und Datenpannen, indem Sie die Grundsätze der geringsten Berechtigung und der Aufgabentrennung durchsetzen.
    • Vermeiden Sie es, Nutzern zu viel Zugriff zu gewähren.
    • Erwägen Sie die Implementierung von privilegiertem Just-in-Time-Zugriff für sensible Vorgänge.
  • Logging: Aktivieren Sie das Audit-Logging für Administrator- und Datenzugriffsaktivitäten.

Netzwerk überwachen und warten

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

  • Logging, Prüfung und Monitoring
  • Anwendungssicherheit
  • Security Operations (SecOps)
  • Sichere Infrastruktur

Gehen Sie bei der Planung und Implementierung von Sicherheitsmaßnahmen davon aus, dass sich ein Angreifer bereits in Ihrer Umgebung befindet. Bei diesem proaktiven Ansatz werden die folgenden Tools und Techniken verwendet, um Einblicke in Ihr Netzwerk zu erhalten:

  • Zentralisiertes Logging und Monitoring: Mit zentralisiertem Logging und Monitoring können Sie Sicherheitslogs aus allen Ihren Cloud-Ressourcen erfassen und analysieren.

    • Baselines für normales Netzwerkverhalten erstellen, Anomalien erkennen und potenzielle Bedrohungen identifizieren.
    • Netzwerktraffic-Flüsse kontinuierlich analysieren, um verdächtige Muster und potenzielle Angriffe zu erkennen.

  • Statistiken zur Netzwerkleistung und ‑sicherheit: Verwenden Sie Tools wie Network Analyzer. Überwachen Sie den Traffic auf ungewöhnliche Protokolle, unerwartete Verbindungen oder plötzliche Spitzen bei der Datenübertragung, die auf schädliche Aktivitäten hindeuten könnten.

  • Scannen auf Sicherheitslücken und Bereinigung: Scannen Sie Ihr Netzwerk und Ihre Anwendungen regelmäßig auf Sicherheitslücken.

    • Verwenden Sie den Web Security Scanner, der automatisch Sicherheitslücken in Ihren Compute Engine-Instanzen, Containern und GKE-Clustern erkennen kann.
    • Priorisieren Sie die Behebung von Sicherheitslücken nach ihrem Schweregrad und ihren potenziellen Auswirkungen auf Ihre Systeme.

  • Einbruchserkennung: Überwachen Sie den Netzwerkverkehr auf schädliche Aktivitäten und blockieren Sie verdächtige Ereignisse automatisch oder lassen Sie sich benachrichtigen, indem Sie Cloud IDS und den Cloud NGFW-Dienst zur Einbruchsprävention verwenden.

  • Sicherheitsanalyse: Erwägen Sie die Implementierung von Google SecOps, um Sicherheitsereignisse aus verschiedenen Quellen zu korrelieren, Sicherheitswarnungen in Echtzeit zu analysieren und die Reaktion auf Vorfälle zu erleichtern.

  • Einheitliche Konfigurationen: Verwenden Sie Tools zur Konfigurationsverwaltung, um einheitliche Sicherheitskonfigurationen in Ihrem Netzwerk zu gewährleisten.

Zurück
Sicherheit von Anfang an implementieren
Weiter
Shift-Left-Sicherheit implementieren