Richtlinien für die Infrastruktur

Die folgenden Richtlinien für die minimale funktionsfähige Sicherheitsplattform stimmen mit der Infrastruktursäule überein.

Richtlinien für die grundlegende Stufe

Implementieren Sie zuerst die folgenden Infrastrukturrichtlinien.

Element

Zugriff auf serielle Ports der VM deaktivieren
Beschreibung

Deaktivieren Sie den Zugriff auf den seriellen Port, indem Sie die Einschränkung der Organisationsrichtlinie compute.disableSerialPortAccess festlegen. Deaktivieren Sie den Zugriff auf den seriellen Port auf Ihren Compute Engine-VMs, um einen Zugriffskanal zu eliminieren, der Ihre Firewallregeln und andere Netzwerksicherheitskontrollen umgeht. Die interaktive serielle Konsole ist in erster Linie für die Notfall-Fehlerbehebung vorgesehen. Wenn Sie sie jedoch aktiviert lassen, können Sie eine dauerhafte Hintertür schaffen, die von Angreifern genutzt werden kann.

Durch das Deaktivieren des seriellen Portzugriffs wird eine umfassende Sicherheitsstrategie erzwungen, da der gesamte administrative Zugriff über standardmäßige, geprüfte Pfade wie SSH erfolgt. Diese können Sie schützen, indem Sie IAM (Identity and Access Management) und IAP (Identity-Aware Proxy) aktivieren.
Weitere Informationen
Artikel-ID MVSP-CO-1.24
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • AC-3

Zugehörige CRI-Profileinstellungen:

  • PR.AC-3.1
Element

IPv6 deaktivieren, sofern nicht erforderlich
Beschreibung

Deaktivieren Sie das Erstellen externer IPv6-Subnetze, sofern dies nicht ausdrücklich erforderlich ist. Um die Angriffsfläche zu verringern, sollten Sie IPv6 auf Systemen und in Netzwerken deaktivieren, in denen es nicht aktiv verwaltet wird oder nicht erforderlich ist. Viele Organisationen haben ausgereifte Sicherheitskontrollen und Monitoring für IPv4, aber ihre Tools und Richtlinien erstrecken sich möglicherweise nicht vollständig auf IPv6, was zu einem erheblichen blinden Fleck für Bedrohungen führen kann. Der Betrieb eines Dual-Stack-Netzwerks führt auch zu einer erhöhten Komplexität, da für die effektive Verwaltung und Fehlerbehebung spezielle Konfigurationen und Fachkenntnisse erforderlich sind. Wenn Sie also keinen klaren geschäftlichen Grund für IPv6 haben, kann das Deaktivieren die Umgebung vereinfachen und dafür sorgen, dass der gesamte Traffic einheitlich über Ihre etablierte IPv4-Sicherheitskonfiguration gefiltert wird.
Weitere Informationen
Artikel-ID MVSP-CO-1.25
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • CM-7

Zugehörige CRI-Profileinstellungen:

  • PR.PT-3.1

Compliance Manager-Kontrolle:
Element

Shielded VM-Funktionen aktivieren
Beschreibung

Aktivieren Sie die Attribute „Virtual Trusted Platform Module“ (vTPM) und „Integritätsüberwachung“ von Shielded VM für Ihre Instanzen. vTPM- und Integritätsüberwachungsattribute sind Teil des standardmäßigen Prozesses zum Erstellen von VM-Instanzen. Mit den vTPM- und Integritätsüberwachungsattributen von Shielded VM können Sie dafür sorgen, dass Ihre VMs nur mit vertrauenswürdigem, unverändertem Code gebootet werden.

Das vTPM bietet einen sicheren, virtuellen Kryptoprozessor, der kryptografische Messungen der gesamten Bootsequenz von der UEFI-Firmware bis zu den Kerneltreibern generiert und speichert. Die Integritätsüberwachung vergleicht diese Laufzeitmessungen dann kontinuierlich mit einer bekannten Referenz, die beim ersten Erstellen der VM festgelegt wurde.

Diese Funktionen bieten eine überprüfbare Vertrauenskette und benachrichtigen Sie automatisch oder ergreifen Maßnahmen, wenn sie schädliche Änderungen erkennen, z. B. durch ein Bootkit oder Rootkit. Shielded VM-Funktionen tragen dazu bei, die Integrität Ihrer Arbeitslast ab dem Moment des Einschaltens der Instanz aufrechtzuerhalten.
Weitere Informationen
Artikel-ID MVSP-CO-1.28
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • SI-7

Zugehörige CRI-Profileinstellungen:

  • PR.DS-6.1

Compliance Manager-Kontrolle:
Element

GKE Autopilot verwenden
Beschreibung

Google Kubernetes Engine (GKE) Autopilot-Cluster verwenden Autopilot-Cluster bieten robuste Sicherheitsmaßnahmen, wobei viele Best Practices für die Sicherheit von Containern oder GKE standardmäßig aktiviert sind.
Weitere Informationen
Artikel-ID MVSP-CO-1.29
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • CM-2

Zugehörige CRI-Profileinstellungen:

  • PR.IP-1.1
Element

Konten mit geringster Berechtigung für GKE-Cluster und -Knoten verwenden
Beschreibung

Verwenden Sie IAM-Dienstkonten (Identity and Access Management) mit minimalen Berechtigungen für Google Kubernetes Engine-Cluster (GKE) und -Knoten. Der Zugriff auf die GKE-Steuerungsebene ist auf einen einzelnen DNS-basierten Endpunkt beschränkt. Durch die Implementierung des Prinzips der geringsten Berechtigung wird die Angriffsfläche erheblich reduziert, ohne dass zusätzliche Firewallregeln oder Bastion-Hosts erforderlich sind.
Weitere Informationen
Artikel-ID MVSP-CO-1.30
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • AC-6

Zugehörige CRI-Profileinstellungen:

  • PR.AC-4.1

Compliance Manager-Kontrolle:
Element

Zugriff auf die Steuerungsebene einschränken
Beschreibung

Standardmäßig haben die Steuerungsebene und Knoten des Google Kubernetes Engine-Clusters routingfähige Internetadressen, auf die von jeder IP-Adresse aus zugegriffen werden kann. Beschränken Sie den Netzwerkzugriff auf die Steuerungsebene, indem Sie einen DNS-basierten Endpunkt verwenden und private Cluster erstellen. Die Steuerungsebene ist das Verwaltungszentrum für einen Kubernetes-Cluster. Wenn sie dem Internet ausgesetzt ist, ist sie ein ideales Ziel für Angreifer. In dieser Konfiguration ist die Steuerungsebene privat und nicht über das Internet erreichbar.

Durch die Einschränkung des Zugriffs auf die Steuerungsebene wird sichergestellt, dass nur vertrauenswürdige Geräte im privaten Netzwerk Ihrer Organisation den Cluster verwalten können. Dadurch wird das Risiko eines externen Angriffs erheblich verringert.
Weitere Informationen
Artikel-ID MVSP-CO-1.31
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • SC-7

Zugehörige CRI-Profileinstellungen:

  • PR.AC-3.1
Element

Container-Optimized OS mit containerd-Laufzeit verwenden
Beschreibung

Verwenden Sie Container-Optimized OS, um ein gehärtetes und verwaltetes Container-Betriebssystem zu implementieren. Betriebssysteme für allgemeine Zwecke enthalten viele zusätzliche Programme, die für die Ausführung von Containern nicht erforderlich sind. Dadurch entsteht ein größeres, unnötiges Ziel für Angreifer. Container-Optimized OS ist ein minimales, gesperrtes Betriebssystem, das diese Angriffsfläche erheblich reduziert, da es nur die erforderlichen Komponenten enthält. Als verwaltetes Betriebssystem verfügt Container-Optimized OS auch über Sicherheitspatches, die automatisch von Google angewendet werden. So werden kritische Sicherheitslücken geschlossen und Ihr Betriebsaufwand reduziert.

Ein Image, das Container-Optimized OS mit containerd (cos_containerd) enthält, hat containerd als Haupt-Containerlaufzeit, die direkt in Kubernetes eingebunden ist. containerd ist die zentrale Laufzeitkomponente von Docker und wurde entwickelt, um Kerncontainerfunktionen für das Container Runtime Interface (CRI) von Kubernetes bereitzustellen. Sie ist wesentlich weniger komplex als der vollständige Docker-Daemon und bietet so nur eine reduzierte Angriffsfläche.
Weitere Informationen
Artikel-ID MVSP-CO-1.41
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • CM-7
  • SC-7
  • SC-38
  • SI-2
  • SI-7

Zugehörige CRI-Profileinstellungen:

  • PR.PT-3.1

Compliance Manager-Kontrolle:

Richtlinien für die Mittelstufe

Nachdem Sie die grundlegenden Richtlinien implementiert haben, implementieren Sie die folgenden Infrastrukturrichtlinien.

Element

OS Login für VMs erzwingen
Beschreibung

Wenn Sie Entwicklern den Zugriff auf Compute Engine-Ressourcen über SSH gewähren, konfigurieren Sie OS Login mit Bestätigung in zwei Schritten. Mit OS Login können Sie SSH-Schlüssel mit IAM-Richtlinien (Identity and Access Management) verwalten, indem Sie die Organisationsrichtlinieneinschränkung compute.requireOsLogin festlegen. OS Login zentralisiert den VM-Zugriff, indem SSH-Berechtigungen an die Google-Identität und IAM-Rollen eines Nutzers gebunden werden. So müssen nicht auf jeder Maschine einzelne SSH-Schlüssel verwaltet werden.

Die Verknüpfung von SSH-Berechtigungen mit der Identität eines Nutzers ist aus Sicherheitsgründen von entscheidender Bedeutung, da durch das Entfernen der IAM-Rolle eines Nutzers der Zugriff auf alle Instanzen sofort widerrufen wird. So wird unbefugter Zugriff über inaktive Konten verhindert. Das System vereinfacht die Schlüsselverwaltung, um die Schlüsselvermehrung zu verhindern, und bietet einen klaren, zentralen Audit-Trail für alle Anmeldeereignisse in Cloud-Audit-Logs. Mit OS Login können Sie auch die 2‑Faktor-Authentifizierung erzwingen und so eine wichtige Schutzebene gegen gestohlene SSH-Schlüssel und Anmeldedaten hinzufügen. Ein Angreifer, der manipulierte OAuth-Tokens, aber kein Passwort oder Sicherheitsschlüssel verwendet, wird durch diese Funktion blockiert.
Weitere Informationen
Artikel-ID MVSP-CO-1.26
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • AC-2

Zugehörige CRI-Profileinstellungen:

  • PR.AC-1.1

Compliance Manager-Kontrolle:
Element

Externe IP-Adressen auf VMs einschränken
Beschreibung

Verhindern Sie, sofern nicht erforderlich, das Erstellen von Compute Engine-Instanzen mit öffentlichen IP-Adressen. Die Listeneinschränkung compute.vmExternalIpAccess definiert die Compute Engine-VM-Instanzen, die externe IP-Adressen haben können.

Verhindern Sie, dass Compute Engine-Instanzen externe IP-Adressen haben, um ihre Gefährdung durch das Internet drastisch zu reduzieren. Jede Instanz mit einer externen IP-Adresse ist sofort auffindbar und wird zu einem direkten Ziel für automatisierte Scans, Brute-Force-Angriffe und Versuche, Sicherheitslücken auszunutzen. Stattdessen sollten Sie festlegen, dass Instanzen private IP-Adressen verwenden müssen, und den Zugriff über kontrollierte, authentifizierte und protokollierte Pfade wie den Identity-Aware Proxy (IAP)-Tunnel oder einen Bastion-Host verwalten.

Diese Standardeinstellung ist eine grundlegende Best Practice für die Sicherheit, mit der Sie die Angriffsfläche minimieren und einen Zero-Trust-Ansatz für Ihr Netzwerk erzwingen können. Diese Einschränkung ist nicht rückwirkend.
Weitere Informationen
Artikel-ID MVSP-CO-1.27
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • SC-7
  • SC-8

Zugehörige CRI-Profileinstellungen:

  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4

Compliance Manager-Kontrolle:
Element

Workload Identity Federation für GKE verwenden
Beschreibung

Mit Workload Identity Federation for GKE können Sie sich sicher bei Google Cloud APIs über Google Kubernetes Engine-Arbeitslasten (GKE) authentifizieren. Die Workload Identity-Föderation für GKE bietet eine einfachere und sicherere Alternative zur Verwendung von Dienstkontoschlüsseln.
Weitere Informationen
Artikel-ID MVSP-CO-1.32
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • IA-2

Zugehörige CRI-Profileinstellungen:

  • PR.AC-1.1

Compliance Manager-Kontrolle:
Element

Private GKE-Knoten verwenden
Beschreibung

Erstellen Sie private Knoten, um die Angriffsfläche im Internet zu verringern. Private Google Kubernetes Engine-Knoten (GKE) tragen dazu bei, die Internetpräsenz zu verringern, da GKE-Knoten keine öffentliche IP-Adresse haben.
Weitere Informationen
Artikel-ID MVSP-CO-1.33
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • SC-7

Zugehörige CRI-Profileinstellungen:

  • PR.AC-3.1

Compliance Manager-Kontrolle:
Element

Google Groups for RBAC verwenden
Beschreibung

Verwenden Sie Google Groups für die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC). So können Sie auch Ihre bestehenden Methoden zur Verwaltung von Nutzerkonten einbinden, z. B. zum Sperren des Zugriffs für Personen, die Ihre Organisation verlassen. Google Groups for RBAC ermöglicht eine effiziente Verwaltung des Clusterzugriffs mit Identity and Access Management (IAM) und Google Groups. Das ist für die meisten Organisationen, die Google Groups verwenden, geeignet.
Weitere Informationen
Artikel-ID MVSP-CO-1.34
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • AC-2

Zugehörige CRI-Profileinstellungen:

  • PR.AC-1.1

Compliance Manager-Kontrolle:

Richtlinien für das erweiterte Niveau

Nachdem Sie die Zwischenrichtlinien implementiert haben, implementieren Sie die folgenden Infrastrukturrichtlinien.

Element

GKE Sandbox aktivieren
Beschreibung

Verwenden Sie GKE Sandbox, um eine zusätzliche Sicherheitsebene bereitzustellen, die nicht vertrauenswürdigen Code daran hindert, den Hostkernel auf Ihren Google Kubernetes Engine-Clusterknoten (GKE) zu beeinträchtigen. GKE Sandbox verbessert die Isolierung von Arbeitslasten für nicht vertrauenswürdige oder sensible Arbeitslasten und bietet eine zusätzliche Schutzschicht gegen Container-Escape-Angriffe.
Weitere Informationen
Artikel-ID MVSP-CO-1.35
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • SC-39

Zugehörige CRI-Profileinstellungen:

  • PR.DS-1.1

Compliance Manager-Kontrolle:
Element

Binärautorisierung erzwingen
Beschreibung

Mit der Binärautorisierung können Sie dafür sorgen, dass vertrauenswürdige Images in Google Kubernetes Engine (GKE) und Cloud Run bereitgestellt werden. Die Binärautorisierung trägt dazu bei, dass nur verifizierte und vertrauenswürdige Container-Images in Ihren Clustern bereitgestellt werden können, wodurch die Sicherheit der Softwarelieferkette erhöht wird.
Weitere Informationen
Artikel-ID MVSP-CO-1.36
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • SI-7

Zugehörige CRI-Profileinstellungen:

  • PR.DS-6.1

Compliance Manager-Kontrolle:
Element

Confidential Google Kubernetes Engine-Knoten verwenden
Beschreibung

Mit Confidential GKE Nodes können Sie die Verschlüsselung aktiver Daten in Ihren Knoten und Arbeitslasten erzwingen. Confidential GKE Nodes tragen dazu bei, hochsensible Arbeitslasten zu schützen, indem sie aktive Daten durch Confidential Computing verschlüsseln.
Weitere Informationen
Artikel-ID MVSP-CO-1.37
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • SC-28

Zugehörige CRI-Profileinstellungen:

  • PR.DS-1.1
Element

Benutzerdefinierte Zertifizierungsstelle in GKE ausführen
Beschreibung

Sie können Ihre eigenen Zertifizierungsstellen verwenden, um Schlüssel in Google Kubernetes Engine (GKE) zu verwalten. Die Verwendung eigener Zertifizierungsstellen bietet mehr Kontrolle über kryptografische Vorgänge. Wenn Sie Zugriff auf diese Funktion anfordern möchten, wenden Sie sich an Ihr Google Cloud Account-Management-Team.
Weitere Informationen
Artikel-ID MVSP-CO-1.38
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • SC-12

Zugehörige CRI-Profileinstellungen:

  • PR.DS-1.1
Element

Kubernetes-Secrets mit Cloud KMS verschlüsseln
Beschreibung

Kubernetes-Secrets im Ruhezustand mit von Cloud Key Management Service (Cloud KMS) verwalteten Schlüsseln verschlüsseln. Cloud KMS bietet eine zusätzliche Sicherheitsebene für etcd-Daten, da Sie Kubernetes-Secrets mit einem Schlüssel verschlüsseln können, der Ihnen gehört und den Sie verwalten.
Weitere Informationen
Artikel-ID MVSP-CO-1.39
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • SC-28

Zugehörige CRI-Profileinstellungen:

  • PR.DS-1.1

Compliance Manager-Kontrolle:
Element

CMEK für Bootlaufwerke von Knoten verwenden
Beschreibung

Verwenden Sie kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) für die Verschlüsselung von Knoten-Bootlaufwerken. Mit CMEK können Sie das Bootlaufwerk eines Kubernetes-Knotens mit einem Schlüssel verschlüsseln, den Sie besitzen und verwalten.
Weitere Informationen
Artikel-ID MVSP-CO-1.40
Zuordnung

Zugehörige NIST-800-53-Kontrollen:

  • SC-28

Zugehörige CRI-Profileinstellungen:

  • PR.DS-1.1

Compliance Manager-Kontrolle:

Nächste Schritte