Implementa Zero Trust

Last reviewed 2025-02-05 UTC

Questo principio del pilastro della sicurezza del Google Cloud Well-Architected Framework ti aiuta a garantire una sicurezza completa per i tuoi carichi di lavoro cloud. Il principio Zero Trust enfatizza le seguenti pratiche:

  • Eliminazione del trust implicito
  • Applicazione del principio del privilegio minimo al controllo dell'accesso
  • Applicazione della convalida esplicita di tutte le richieste di accesso
  • Adozione di una mentalità assume-breach per consentire la verifica continua e il monitoraggio della configurazione di sicurezza

Panoramica del principio

Il modello Zero Trust sposta l'attenzione della sicurezza dalla sicurezza basata sul perimetro a un approccio in cui nessun utente o dispositivo è considerato intrinsecamente affidabile. Al contrario, ogni richiesta di accesso deve essere verificata, indipendentemente dalla sua origine. Questo approccio prevede l'autenticazione e l'autorizzazione di ogni utente e dispositivo, la convalida del relativo contesto (posizione e configurazione del dispositivo) e la concessione dell'accesso con privilegio minimo solo alle risorse necessarie.

L'implementazione del modello Zero Trust aiuta la tua organizzazione a migliorare la sua configurazione di sicurezza riducendo al minimo l'impatto di potenziali violazioni e proteggendo i dati sensibili e le applicazioni dall'accesso non autorizzato. Il modello Zero Trust ti aiuta a garantire la riservatezza, l'integrità e la disponibilità di dati e risorse nel cloud.

Consigli

Per implementare il modello Zero Trust per i tuoi carichi di lavoro cloud, prendi in considerazione i consigli nelle sezioni seguenti:

Protezione della rete

Questo consiglio è pertinente alla seguente area di interesse: sicurezza dell'infrastruttura.

La transizione dalla sicurezza convenzionale basata sul perimetro a un modello Zero Trust richiede più passaggi. La tua organizzazione potrebbe aver già integrato determinati controlli Zero Trust nella sua configurazione di sicurezza. Tuttavia, un modello Zero Trust non è un singolo prodotto o una singola soluzione. Si tratta invece di un'integrazione olistica di più livelli di sicurezza e best practice. Questa sezione descrive i consigli e le tecniche per implementare Zero Trust per la sicurezza della rete.

  • Controllo dell'accesso: applica i controlli dell'accesso in base all'identità e al contesto dell'utente utilizzando soluzioni come Chrome Enterprise Premium e Identity-Aware Proxy (IAP). In questo modo, sposti la sicurezza dal perimetro della rete ai singoli utenti e dispositivi. Questo approccio consente un controllo dell'accesso granulare e riduce la superficie di attacco.
  • Sicurezza della rete: proteggi le connessioni di rete tra gli ambienti on-premise Google Cloude multi-cloud.
  • Progettazione della rete: previeni potenziali rischi per la sicurezza eliminando le reti predefinite nei progetti esistenti e disabilitando la creazione di reti predefinite nei nuovi progetti.
    • Per evitare conflitti, pianifica attentamente la rete e l'allocazione degli indirizzi IP.
    • Per applicare un controllo dell'accesso efficace, limita il numero di reti virtual private cloud (VPC) per progetto.
  • Segmentazione: isola i carichi di lavoro, ma mantieni la gestione centralizzata della rete.
  • Sicurezza perimetrale: proteggiti dagli attacchi DDoS e dalle minacce alle applicazioni web.
    • Per proteggerti dalle minacce, utilizza Google Cloud Armor.
    • Configura le policy di sicurezza per consentire, negare o reindirizzare il traffico sul Google Cloud perimetro.
  • Automazione: automatizza il provisioning dell'infrastruttura adottando i principi dell'infrastruttura come codice (IaC) e utilizzando strumenti come Terraform, Jenkins e Cloud Build. L'IaC contribuisce a garantire configurazioni di sicurezza coerenti, deployment semplificati e rollback rapidi in caso di problemi.
  • Base sicura: crea un ambiente applicativo sicuro utilizzando il blueprint delle basi aziendali. Questo blueprint fornisce indicazioni prescrittive e script di automazione per aiutarti a implementare le best practice per la sicurezza e a configurare le Google Cloud risorse in modo sicuro.

Verifica esplicitamente ogni tentativo di accesso

Questo consiglio è pertinente alle seguenti aree di interesse:

  • Gestione di identità e accessi
  • Operazioni di sicurezza (SecOps)
  • Logging, controllo e monitoraggio

Implementa meccanismi di autenticazione e autorizzazione efficaci per qualsiasi utente, dispositivo o servizio che tenti di accedere alle tue risorse cloud. Non fare affidamento sulla posizione o sul perimetro della rete come controllo di sicurezza. Non considerare automaticamente attendibile alcun utente, dispositivo o servizio, anche se si trova già all'interno della rete. Al contrario, ogni tentativo di accesso alle risorse deve essere autenticato e autorizzato rigorosamente. Devi implementare misure di verifica dell'identità efficaci, come l'autenticazione a più fattori (MFA). Devi anche assicurarti che le decisioni sull'accesso si basino su policy granulari che tengano conto di vari fattori contestuali come il ruolo dell'utente, la configurazione del dispositivo e la posizione.

Per implementare questo consiglio, utilizza i seguenti metodi, strumenti e tecnologie:

  • Gestione unificata delle identità: garantisci una gestione coerente delle identità nella tua organizzazione utilizzando un unico provider di identità (IdP).
    • Google Cloud supporta la federazione con la maggior parte degli IdP, inclusa Active Directory on-premise. La federazione ti consente di estendere l'infrastruttura di gestione delle identità esistente a Google Cloud e di abilitare il Single Sign-On (SSO) per gli utenti.
    • Se non hai un IdP esistente, valuta la possibilità di utilizzare Cloud Identity Premium o Google Workspace.
  • Autorizzazioni account di servizio account: utilizza i service account con attenzione e rispetta il principio del privilegio minimo.
    • Concedi solo le autorizzazioni necessarie a ogni account di servizio per eseguire le attività designate.
    • Utilizza la federazione delle identità per i workload per le applicazioni che vengono eseguite su Google Kubernetes Engine (GKE) o all'esterno Google Cloud per accedere alle risorse in modo sicuro.
  • Processi solidi: aggiorna i processi di identità in modo che siano in linea con le best practice per la sicurezza del cloud.
    • Per garantire la conformità ai requisiti normativi, implementa la governance delle identità per monitorare l'accesso, i rischi e le violazioni delle policy.
    • Esamina e aggiorna i processi esistenti per la concessione e il controllo di ruoli e autorizzazioni di controllo dell'accesso.
  • Autenticazione efficace: implementa l'SSO per l'autenticazione degli utenti e l'MFA per gli account privilegiati.
    • Google Cloud supporta vari metodi MFA, inclusi i token di sicurezza Titan, per una maggiore sicurezza.
    • Per l'autenticazione dei carichi di lavoro, utilizza OAuth 2.0 o i token web JSON (JWT) firmati.
  • Privilegio minimo: riduci al minimo il rischio di accesso non autorizzato e violazioni dei dati applicando i principi del privilegio minimo e della separazione dei compiti.
    • Evita il provisioning eccessivo dell'accesso degli utenti.
    • Valuta la possibilità di implementare l'accesso privilegiato just-in-time per le operazioni sensibili.
  • Logging: abilita gli audit log per le attività di amministrazione e di accesso ai dati.

Monitoraggio e manutenzione della rete

Questo consiglio è pertinente alle seguenti aree di interesse:

  • Logging, controllo e monitoraggio
  • Sicurezza delle applicazioni
  • Operazioni di sicurezza (SecOps)
  • Sicurezza dell'infrastruttura

Quando pianifichi e implementi misure di sicurezza, presupponi che un utente malintenzionato sia già all'interno del tuo ambiente. Questo approccio proattivo prevede l'utilizzo dei seguenti strumenti e tecniche per fornire visibilità sulla rete:

  • Logging e monitoraggio centralizzati: raccogli e analizza i log di sicurezza di tutte le tue risorse cloud tramite il logging e il monitoraggio centralizzati.

    • Stabilisci le baseline per il comportamento normale della rete, rileva le anomalie e identifica le potenziali minacce.
    • Analizza continuamente i flussi di traffico di rete per identificare pattern sospetti e potenziali attacchi.

  • Approfondimenti sulle prestazioni e sulla sicurezza della rete: utilizza strumenti come Network Analyzer. Monitora il traffico per rilevare protocolli insoliti, connessioni impreviste o picchi improvvisi nel trasferimento di dati, che potrebbero indicare attività dannose.

  • Scansione e correzione delle vulnerabilità: esegui regolarmente la scansione della rete e delle applicazioni per rilevare le vulnerabilità.

    • Utilizza Web Security Scanner, che può identificare automaticamente le vulnerabilità nelle istanze di Compute Engine , nei container e nei cluster GKE.
    • Dai la priorità alla correzione in base alla gravità delle vulnerabilità e al loro potenziale impatto sui tuoi sistemi.

  • Rilevamento delle intrusioni: monitora il traffico di rete per rilevare attività dannose e blocca automaticamente o ricevi avvisi per eventi sospetti utilizzando Cloud IDS e il servizio di prevenzione delle intrusioni di Cloud NGFW.

  • Analisi della sicurezza: valuta la possibilità di implementare Google SecOps per correlare gli eventi di sicurezza provenienti da varie fonti, fornire analisi in tempo reale degli avvisi di sicurezza e facilitare la risposta agli incidenti.

  • Configurazioni coerenti: assicurati di avere configurazioni di sicurezza coerenti nella rete utilizzando gli strumenti di gestione della configurazione.

Indietro
Implementare la sicurezza by design
Avanti
Implementare la sicurezza shift left