Zero Trust implementieren

Last reviewed 2025-02-05 UTC

Dieses Prinzip in der Säule „Sicherheit“ des Google Cloud Well-Architected Framework hilft Ihnen, umfassende Sicherheit für Ihre Cloud-Arbeitslasten zu gewährleisten. Das Prinzip der Zero-Trust-Sicherheit betont die folgenden Praktiken:

  • Implizites Vertrauen beseitigen
  • Das Prinzip der geringsten Berechtigung auf die Zugriffssteuerung anwenden
  • Explizite Validierung aller Zugriffsanfragen erzwingen
  • Eine Assume-Breach -Mentalität annehmen, um kontinuierliche Überprüfung und Überwachung des Sicherheitsstatus zu ermöglichen

Prinzipübersicht

Beim Zero-Trust -Modell wird der Fokus der Sicherheit von der perimeterbasierten Sicherheit auf einen Ansatz verlagert, bei dem kein Nutzer oder Gerät als von Natur aus vertrauenswürdig gilt. Stattdessen muss jede Zugriffsanfrage unabhängig von ihrer Herkunft überprüft werden. Dieser Ansatz umfasst die Authentifizierung und Autorisierung jedes Nutzers und Geräts, die Validierung des Kontexts (Standort und Gerätestatus) und die Gewährung des Zugriffs mit der geringsten Berechtigung nur auf die erforderlichen Ressourcen.

Durch die Implementierung des Zero-Trust-Modells kann Ihr Unternehmen seinen Sicherheitsstatus verbessern, indem die Auswirkungen potenzieller Sicherheitsverletzungen minimiert und sensible Daten und Anwendungen vor unbefugtem Zugriff geschützt werden. Das Zero-Trust-Modell trägt dazu bei, die Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Ressourcen in der Cloud zu gewährleisten.

Empfehlungen

Wenn Sie das Zero-Trust-Modell für Ihre Cloud-Arbeitslasten implementieren möchten, beachten Sie die Empfehlungen in den folgenden Abschnitten:

Netzwerk sichern

Diese Empfehlung ist für den folgenden Schwerpunktbereich: Infrastruktursicherheit relevant.

Die Umstellung von der herkömmlichen perimeterbasierten Sicherheit auf ein Zero-Trust-Modell erfordert mehrere Schritte. Ihr Unternehmen hat möglicherweise bereits bestimmte Zero-Trust-Kontrollen in seinen Sicherheitsstatus integriert. Ein Zero-Trust-Modell ist jedoch kein einzelnes Produkt oder eine einzelne Lösung. Stattdessen ist es eine ganzheitliche Integration mehrerer Sicherheitsebenen und Best Practices. In diesem Abschnitt werden Empfehlungen und Techniken zur Implementierung von Zero-Trust-Sicherheit für die Netzwerksicherheit beschrieben.

  • Zugriffssteuerung: Erzwingen Sie die Zugriffssteuerung basierend auf der Nutzeridentität und dem Kontext mit Lösungen wie Chrome Enterprise Premium und Identity-Aware Proxy (IAP). Dadurch verlagern Sie die Sicherheit vom Netzwerkperimeter auf einzelne Nutzer und Geräte. Dieser Ansatz ermöglicht eine detaillierte Zugriffssteuerung und verringert die Angriffsfläche.
  • Netzwerksicherheit: Sichern Sie Netzwerkverbindungen zwischen Ihren lokalen Google Cloudund Multi-Cloud-Umgebungen.
  • Netzwerkdesign: Vermeiden Sie potenzielle Sicherheitsrisiken, indem Sie Standard netzwerke in vorhandenen Projekten löschen und das Erstellen von Standard netzwerken in neuen Projekten deaktivieren.
    • Planen Sie Ihre Netzwerk- und IP-Adresszuweisung sorgfältig, um Konflikte zu vermeiden.
    • Beschränken Sie die Anzahl der VPC-Netzwerke (Virtual Private Cloud) pro Projekt, um eine effektive Zugriffssteuerung zu erzwingen.
  • Segmentierung: Isolieren Sie Arbeitslasten, behalten Sie aber die zentrale Netzwerk verwaltung bei.
    • Verwenden Sie freigegebene VPC, um Ihr Netzwerk zu segmentieren.
    • Definieren Sie Firewallrichtlinien und ‑regeln auf Organisations-, Ordner- und VPC-Netzwerkebene.
    • Verwenden Sie VPC Service Controls, um Datenexfiltration zu verhindern und sichere Perimeter um sensible Daten und Dienste einzurichten.
  • Perimetersicherheit: Schützen Sie sich vor DDoS-Angriffen und Bedrohungen für Webanwendungen.
    • Verwenden Sie Google Cloud Armor, um sich vor Bedrohungen zu schützen.
    • Konfigurieren Sie Sicherheitsrichtlinien, um Traffic am Google Cloud Edge zuzulassen, abzulehnen oder weiterzuleiten.
  • Automatisierung: Automatisieren Sie die Bereitstellung der Infrastruktur, indem Sie die Prinzipien von Infrastructure as Code (IaC) anwenden und Tools wie Terraform, Jenkins und Cloud Build verwenden. IaC trägt zu konsistenten Sicherheitskonfigurationen, vereinfachten Bereitstellungen und schnellen Rollbacks bei Problemen bei.
  • Sichere Grundlage: Richten Sie mit dem Blueprint zu Unternehmensgrundlagen eine sichere Anwendungsumgebung ein. Dieser Blueprint enthält präskriptive Anleitungen und Automatisierungsskripts, mit denen Sie Best Practices für die Sicherheit implementieren und Ihre Google Cloud Ressourcen sicher konfigurieren können.

Jeden Zugriffsversuch explizit überprüfen

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

  • Identitäts- und Zugriffsverwaltung
  • Security Operations (SecOps)
  • Logging, Auditing und Monitoring

Implementieren Sie starke Authentifizierungs- und Autorisierungsmechanismen für jeden Nutzer, jedes Gerät oder jeden Dienst, der versucht, auf Ihre Cloud-Ressourcen zuzugreifen. Verlassen Sie sich nicht auf den Standort oder den Netzwerkperimeter als Sicherheitskontrolle. Vertrauen Sie keinem Nutzer, Gerät oder Dienst automatisch, auch wenn er sich bereits innerhalb des Netzwerks befindet. Stattdessen muss jeder Versuch, auf Ressourcen zuzugreifen, streng authentifiziert und autorisiert werden. Sie müssen strenge Maßnahmen zur Identitätsüberprüfung implementieren, z. B. die Multi-Faktor-Authentifizierung (MFA). Außerdem müssen Sie dafür sorgen, dass Zugriffsentscheidungen auf detaillierten Richtlinien basieren, die verschiedene Kontextfaktoren wie Nutzerrolle, Gerätestatus und Standort berücksichtigen.

Verwenden Sie die folgenden Methoden, Tools und Technologien, um diese Empfehlung zu implementieren:

  • Einheitliche Identitätsverwaltung: Sorgen Sie mit einem einzigen Identitätsanbieter (IdP) für eine konsistente Identitätsverwaltung in Ihrem Unternehmen.
    • Google Cloud unterstützt die Föderation mit den meisten IdPs, einschließlich des lokalen Active Directory. Mit der Föderation können Sie Ihre vorhandene Infrastruktur für die Identitätsverwaltung auf erweitern und die Einmalanmeldung (SSO) für Nutzer aktivieren. Google Cloud
    • Wenn Sie noch keinen IdP haben, können Sie Cloud Identity Premium oder Google Workspace verwenden.
  • Beschränkte Berechtigungen für Dienstkonten: Verwenden Sie Dienstkonten sorgfältig und halten Sie sich an das Prinzip der geringsten Berechtigung.
    • Gewähren Sie jedem Dienstkonto nur die Berechtigungen, die für die Ausführung der zugewiesenen Aufgaben erforderlich sind.
    • Verwenden Sie die Workload Identity-Föderation für Anwendungen, die in Google Kubernetes Engine (GKE) ausgeführt werden oder außerhalb ausgeführt werden, Google Cloud um sicher auf Ressourcen zuzugreifen.
  • Robuste Prozesse: Aktualisieren Sie Ihre Identitätsprozesse, um sie an die Best Practices für die Cloud Sicherheit anzupassen.
    • Implementieren Sie Identity Governance, um den Zugriff, die Risiken und Richtlinienverstöße zu verfolgen und so die Einhaltung gesetzlicher Anforderungen zu gewährleisten.
    • Überprüfen und aktualisieren Sie Ihre vorhandenen Prozesse zum Gewähren und Prüfen von Zugriffssteuerungsrollen und ‑berechtigungen.
  • Starke Authentifizierung: Implementieren Sie SSO für die Nutzerauthentifizierung und MFA für privilegierte Konten.
    • Google Cloud unterstützt verschiedene MFA-Methoden, einschließlich Titan-Sicherheitsschlüssel, für mehr Sicherheit.
    • Verwenden Sie für die Authentifizierung von Arbeitslasten OAuth 2.0 oder signierte JSON Web Tokens (JWTs).
  • Geringste Berechtigung: Minimieren Sie das Risiko von unbefugtem Zugriff und Daten pannen, indem Sie die Prinzipien der geringsten Berechtigung und der Aufgabentrennung erzwingen.
    • Vermeiden Sie eine Überbereitstellung des Nutzerzugriffs.
    • Erwägen Sie die Implementierung eines Just-in-Time-privilegierten Zugriffs für sensible Vorgänge.
  • Logging: Aktivieren Sie die Audit-Logs für Administrator- und Datenzugriffs aktivitäten.

Netzwerk überwachen und verwalten

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

  • Logging, Auditing und Monitoring
  • Anwendungssicherheit
  • Security Operations (SecOps)
  • Infrastruktursicherheit

Wenn Sie Sicherheitsmaßnahmen planen und implementieren, gehen Sie davon aus, dass sich ein Angreifer bereits in Ihrer Umgebung befindet. Dieser proaktive Ansatz umfasst die Verwendung mehrerer Tools und Techniken, um Einblicke in Ihr Netzwerk zu erhalten:

  • Zentrales Logging und Monitoring: Erfassen und analysieren Sie Sicherheitslogs von allen Ihren Cloud-Ressourcen über zentrales Logging und Monitoring.

    • Erstellen Sie Baselines für das normale Netzwerkverhalten, erkennen Sie Anomalien und identifizieren Sie potenzielle Bedrohungen.
    • Analysieren Sie kontinuierlich die Netzwerkverkehrsflüsse, um verdächtige Muster und potenzielle Angriffe zu erkennen.

  • Einblicke in die Netzwerkleistung und ‑sicherheit: Verwenden Sie Tools wie Network Analyzer. Überwachen Sie den Traffic auf ungewöhnliche Protokolle, unerwartete Verbindungen oder plötzliche Spitzen bei der Datenübertragung, die auf böswillige Aktivitäten hindeuten könnten.

  • Überprüfung und Behebung von Sicherheitslücken: Überprüfen Sie Ihr Netzwerk und Ihre Anwendungen regelmäßig auf Sicherheitslücken.

    • Verwenden Sie Web Security Scanner, mit dem Sicherheitslücken in Ihren Compute Engine Instanzen, Containern und GKE-Clustern automatisch erkannt werden können.
    • Priorisieren Sie die Behebung von Sicherheitslücken nach Schweregrad und potenziellen Auswirkungen auf Ihre Systeme.

  • Einbruchserkennung: Überwachen Sie den Netzwerkverkehr auf böswillige Aktivitäten und blockieren Sie verdächtige Ereignisse automatisch oder lassen Sie sich benachrichtigen. Verwenden Sie dazu Cloud IDS und den Cloud NGFW-Dienst zur Einbruchsprävention.

  • Sicherheitsanalyse: Erwägen Sie die Implementierung von Google SecOps um Sicherheitsereignisse aus verschiedenen Quellen zu korrelieren, Sicherheitsbenachrichtigungen in Echtzeit zu analysieren und die Reaktion auf Vorfälle zu erleichtern.

  • Konsistente Konfigurationen: Sorgen Sie mit Tools zur Konfigurationsverwaltung für konsistente Sicherheits konfigurationen in Ihrem gesamten Netzwerk.

Zurück
Sicherheit von Anfang an implementieren
Weiter
Shift-Left-Sicherheit implementieren