Well-Architected Framework의 보안 부문에서 이 원칙을 따르면 클라우드 워크로드 전반에서 포괄적인 보안을 보장할 수 있습니다.Google Cloud 제로 트러스트 원칙은 다음 관행을 강조합니다.
- 암시적 트러스트 삭제
- 액세스 제어에 최소 권한의 원칙 적용
- 모든 액세스 요청의 명시적 검증 적용
- 지속적인 검증 및 보안 상황 모니터링을 사용 설정하기 위해 보안 침해 가정 사고방식 채택
원칙 개요
제로 트러스트 모델은 보안 초점을 경계 기반 보안에서 사용자 또는 기기가 본질적으로 신뢰할 수 있다고 간주되지 않는 접근 방식으로 전환합니다. 대신 출처와 관계없이 모든 액세스 요청을 검증해야 합니다. 이 접근 방식에는 모든 사용자 및 기기 인증 및 승인, 컨텍스트 (위치 및 기기 상태) 검증, 필요한 리소스에만 최소 권한 액세스 권한 부여가 포함됩니다.
제로 트러스트 모델을 구현하면 잠재적인 보안 침해의 영향을 최소화하고 무단 액세스로부터 민감한 데이터와 애플리케이션을 보호하여 조직의 보안 상황을 개선할 수 있습니다. 제로 트러스트 모델을 사용하면 클라우드의 데이터와 리소스의 기밀성, 무결성, 가용성을 보장할 수 있습니다.
권장사항
클라우드 워크로드에 제로 트러스트 모델을 구현하려면 다음 섹션의 권장사항을 고려하세요.
네트워크 보호
이 권장사항은 다음 중점사항과 관련이 있습니다. 인프라 보안.
기존의 경계 기반 보안에서 제로 트러스트 모델로 전환하려면 여러 단계가 필요합니다. 조직에서 이미 특정 제로 트러스트 제어를 보안 상황에 통합했을 수 있습니다. 하지만 제로 트러스트 모델은 단일 제품 또는 솔루션이 아닙니다. 대신 여러 보안 계층과 권장사항을 전체적으로 통합한 것입니다. 이 섹션에서는 네트워크 보안에 제로 트러스트를 구현하기 위한 권장사항과 기법을 설명합니다.
- 액세스 제어: Chrome Enterprise Premium 및 Identity-Aware Proxy (IAP)와 같은 솔루션을 사용하여 사용자 ID 및 컨텍스트를 기반으로 액세스 제어를 적용합니다. 이렇게 하면 보안이 네트워크 경계에서 개별 사용자 및 기기로 전환됩니다. 이 접근 방식을 사용하면 세분화된 액세스 제어가 가능하고 공격 표면이 줄어듭니다.
- 네트워크 보안: 온프레미스, Google Cloud, 멀티 클라우드 환경 간의 네트워크 연결을 보호합니다.
- Cloud Interconnect 및 IPsec VPN의 비공개 연결 방법을 사용합니다.
- 서비스 및 API에 대한 액세스를 보호하려면 Private Service Connect를 사용합니다. Google Cloud
- Google Kubernetes Engine (GKE) 및 관련 제품에 배포된 워크로드의 아웃바운드 액세스를 보호하려면 Cloud Service Mesh 이그레스 게이트웨이를 사용합니다.
- 네트워크 설계: 기존 프로젝트에서 기본
네트워크를 삭제하고 새 프로젝트에서 기본
네트워크 생성을 사용 중지하여 잠재적인 보안 위험을 방지합니다.
- 충돌을 방지하려면 네트워크 및 IP 주소 할당을 신중하게 계획합니다.
- 효과적인 액세스 제어를 적용하려면 프로젝트당 Virtual Private Cloud (VPC) 네트워크 수를 제한합니다.
- 세분화: 워크로드를 격리하지만 중앙 집중식 네트워크
관리를 유지합니다.
- 네트워크를 세분화하려면 공유 VPC를 사용합니다.
- 조직, 폴더, VPC 네트워크 수준에서 방화벽 정책 및 규칙을 정의합니다.
- 데이터 무단 반출을 방지하려면 VPC 서비스 제어를 사용하여 민감한 데이터와 서비스 주변에 보안 경계를 설정합니다.
- 경계 보안: DDoS 공격 및 웹 애플리케이션
위협으로부터 보호합니다.
- 위협으로부터 보호하려면 Google Cloud Armor를 사용합니다.
- 에지에서 트래픽을 허용, 거부 또는 리디렉션하도록 보안 정책을 구성합니다. Google Cloud
- 자동화: 코드형 인프라 (IaC) 원칙을 채택하고 Terraform, Jenkins, 및 Cloud Build와 같은 도구를 사용하여 인프라 프로비저닝을 자동화합니다. IaC는 일관된 보안 구성, 간소화된 배포, 문제 발생 시 빠른 롤백을 보장하는 데 도움이 됩니다.
- 보안 기반: 엔터프라이즈 기반 청사진을 사용하여 보안 애플리케이션 환경을 설정합니다. 이 청사진은 보안 권장사항을 구현하고 리소스를 안전하게 구성하는 데 도움이 되는 규범적 안내와 자동화 스크립트를 제공합니다. 리소스Google Cloud 를 안전하게 구성하는 데 도움이 되는 규범적 안내와 자동화 스크립트를 제공합니다.
모든 액세스 시도를 명시적으로 확인
이 권장사항은 다음 중점사항과 관련이 있습니다.
- ID 및 액세스 관리
- 보안 운영 (SecOps)
- 로깅, 감사, 모니터링
클라우드 리소스에 액세스하려는 모든 사용자, 기기 또는 서비스에 강력한 인증 및 승인 메커니즘을 구현합니다. 위치 또는 네트워크 경계를 보안 제어로 사용하지 마세요. 이미 네트워크 내부에 있더라도 사용자, 기기 또는 서비스를 자동으로 신뢰하지 마세요. 대신 리소스에 액세스하려는 모든 시도는 엄격하게 인증되고 승인되어야 합니다. 다중 인증 (MFA)과 같은 강력한 본인 인증 조치를 구현해야 합니다. 또한 액세스 결정이 사용자 역할, 기기 상태, 위치와 같은 다양한 컨텍스트 요인을 고려하는 세분화된 정책을 기반으로 해야 합니다.
이 권장사항을 구현하려면 다음 방법, 도구, 기술을 사용하세요.
- 통합 ID 관리: 단일 ID 공급업체 (IdP)를 사용하여 조직 전반에서 일관된 ID 관리를 보장합니다.
- Google Cloud 는 온프레미스 Active Directory를 비롯한 대부분의 IdP와의 제휴를 지원합니다. 제휴를 통해 기존 ID 관리 인프라를 로 Google Cloud 확장하고 사용자에게 싱글 사인온 (SSO)을 사용 설정할 수 있습니다.
- 기존 IdP가 없는 경우 Cloud ID Premium 또는 Google Workspace를 사용하는 것이 좋습니다.
- 제한된 서비스 계정 권한: 서비스 계정을
신중하게 사용하고 최소 권한의 원칙을 준수합니다.
- 각 서비스 계정이 지정된 작업을 수행하는 데 필요한 권한만 부여합니다.
- 워크로드 아이덴티티 제휴를 사용하여 Google Kubernetes Engine (GKE)에서 실행되거나 외부에서 실행되는 애플리케이션이 리소스에 안전하게 액세스하도록 합니다. Google Cloud
- 강력한 프로세스: 클라우드
보안 권장사항에 맞게 ID 프로세스를 업데이트합니다.
- 규제 요구사항을 준수하려면 ID 거버넌스를 구현하여 액세스, 위험, 정책 위반을 추적합니다.
- 액세스 제어 역할 및 권한을 부여하고 감사하기 위한 기존 프로세스를 검토하고 업데이트합니다.
- 강력한 인증: 사용자 인증에 SSO를 구현하고
권한 있는 계정에 MFA를 구현합니다.
- Google Cloud 는 보안 강화를 위해 Titan 보안 키를 비롯한 다양한 MFA 방법을 지원합니다.
- 워크로드 인증에는 OAuth 2.0 또는 서명된 JSON 웹 토큰 (JWT)을 사용합니다.
- 최소 권한: 최소 권한 및 직무 분리의 원칙을 적용하여 무단 액세스 및 데이터
유출 위험을 최소화합니다.
- 사용자 액세스를 과도하게 프로비저닝하지 마세요.
- 민감한 작업에 Just-In-Time 권한 있는 액세스를 구현하는 것이 좋습니다.
- 로깅: 관리자 및 데이터 액세스
활동에 감사 로깅을 사용 설정합니다.
- 분석 및 위협 감지를 위해 Security Command Center Enterprise 또는 Google Security Operations를 사용하여 로그를 검사합니다.
- 보안 요구사항과 스토리지 비용의 균형을 맞추도록 적절한 로그 보관 정책을 구성합니다.
네트워크 모니터링 및 유지관리
이 권장사항은 다음 중점사항과 관련이 있습니다.
- 로깅, 감사, 모니터링
- 애플리케이션 보안
- 보안 운영 (SecOps)
- 인프라 보안
보안 조치를 계획하고 구현할 때는 공격자가 이미 환경 내부에 있다고 가정합니다. 이 사전 예방적 접근 방식에는 다음 여러 도구와 기법을 사용하여 네트워크에 대한 가시성을 제공하는 것이 포함됩니다.
중앙 집중식 로깅 및 모니터링: 중앙 집중식 로깅 및 모니터링을 통해 모든 클라우드 리소스에서 보안 로그를 수집하고 분석합니다.
- 정상적인 네트워크 동작의 기준을 설정하고, 이상을 감지하고, 잠재적인 위협을 식별합니다.
- 네트워크 트래픽 흐름을 지속적으로 분석하여 의심스러운 패턴과 잠재적인 공격을 식별합니다.
네트워크 성능 및 보안에 대한 통계: 네트워크 분석기와 같은 도구를 사용합니다. 악의적인 활동을 나타낼 수 있는 비정상적인 프로토콜, 예기치 않은 연결, 데이터 전송의 급증과 같은 트래픽을 모니터링합니다.
취약점 검사 및 해결: 네트워크와 애플리케이션에서 취약점을 정기적으로 검사합니다.
- Compute Engine 인스턴스, 컨테이너, GKE 클러스터의 취약점을 자동으로 식별할 수 있는 Web Security Scanner를 사용합니다.
- 취약점의 심각도와 시스템에 미치는 잠재적인 영향을 기준으로 해결의 우선순위를 지정합니다.
침입 감지: 네트워크 트래픽에서 악의적인 활동을 모니터링하고 Cloud IDS 및 Cloud NGFW 침입 방지 서비스를 사용하여 의심스러운 이벤트를 자동으로 차단하거나 알림을 받습니다.
보안 분석: Google SecOps를 구현하여 다양한 소스의 보안 이벤트를 상호 연결하고, 보안 알림을 실시간으로 분석하고, 사고 대응을 촉진하는 것이 좋습니다.
일관된 구성: 구성 관리 도구를 사용하여 네트워크 전반에서 일관된 보안 구성을 보장합니다.