Pedoman infrastruktur

Panduan berikut untuk platform keamanan dengan kelayakan minimum selaras dengan pilar infrastruktur.

Panduan tingkat dasar

Terapkan panduan infrastruktur berikut terlebih dahulu.

Item	Menonaktifkan akses port serial VM
Deskripsi	Nonaktifkan akses port serial dengan menetapkan batasan kebijakan organisasi compute.disableSerialPortAccess. Nonaktifkan akses port serial di VM Compute Engine Anda untuk membantu menghilangkan saluran akses yang melewati aturan firewall dan kontrol keamanan jaringan lainnya. Konsol serial interaktif terutama ditujukan untuk pemecahan masalah darurat, tetapi, jika Anda membiarkannya diaktifkan, Anda dapat membuat pintu belakang persisten yang dapat ditargetkan oleh penyerang. Menonaktifkan akses port serial membantu menerapkan postur keamanan pertahanan mendalam dengan mewajibkan semua akses administratif melalui jalur standar yang diaudit seperti SSH, yang dapat Anda lindungi dengan mengaktifkan Identity and Access Management (IAM) dan Identity-Aware Proxy (IAP).
Informasi terkait	Menonaktifkan akses konsol serial interaktif melalui Layanan Kebijakan Organisasi
ID item	MVSP-CO-1.24
Pemetaan	Kontrol NIST-800-53 terkait: AC-3 Kontrol profil CRI terkait: PR.AC-3.1

Item	Nonaktifkan IPv6 kecuali jika diperlukan
Deskripsi	Nonaktifkan pembuatan subnet eksternal IPv6 kecuali jika diperlukan secara khusus. Untuk mengurangi permukaan serangan, pertimbangkan untuk menonaktifkan IPv6 pada sistem dan jaringan yang tidak dikelola atau diperlukan secara aktif. Banyak organisasi memiliki kontrol dan pemantauan keamanan yang matang untuk IPv4, tetapi alat dan kebijakan mereka mungkin tidak sepenuhnya mencakup IPv6, yang dapat menciptakan titik buta yang signifikan terhadap ancaman. Menjalankan jaringan dual-stack juga menimbulkan kompleksitas operasional, yang memerlukan konfigurasi dan keahlian khusus untuk mengelola dan memecahkan masalah secara efektif. Oleh karena itu, jika Anda tidak memiliki pendorong bisnis yang jelas untuk IPv6, menonaktifkannya dapat menyederhanakan lingkungan Anda dan memastikan semua traffic difilter secara konsisten melalui postur keamanan IPv4 yang telah ditetapkan.
Informasi terkait	Dukungan IPv6 di Google Cloud
ID item	MVSP-CO-1.25
Pemetaan	Kontrol NIST-800-53 terkait: CM-7 Kontrol profil CRI terkait: PR.PT-3.1 Kontrol Compliance Manager: Mengonfigurasi Kebijakan Organisasi Nonaktifkan Penggunaan IPv6 Eksternal VPC

Item	Mengaktifkan fitur Shielded VM
Deskripsi	Aktifkan atribut virtual trusted platform module (vTPM) dan pemantauan integritas Shielded VM untuk instance Anda. Atribut vTPM dan pemantauan integritas adalah bagian dari proses pembuatan instance VM default. Gunakan atribut vTPM dan pemantauan integritas Shielded VM untuk membantu memastikan bahwa VM Anda hanya melakukan booting dengan kode tepercaya yang tidak dimodifikasi. vTPM menyediakan kriptoprosesor virtual yang aman yang menghasilkan dan menyimpan pengukuran kriptografi dari seluruh urutan booting, mulai dari firmware UEFI hingga driver kernel. Pemantauan integritas kemudian terus membandingkan pengukuran runtime ini dengan dasar pengukuran baik yang diketahui yang ditetapkan saat VM pertama kali dibuat. Fitur ini menyediakan rantai kepercayaan yang dapat diverifikasi dan secara otomatis memberi tahu Anda atau mengambil tindakan jika mendeteksi modifikasi berbahaya, seperti yang berasal dari bootkit atau rootkit. Fitur Shielded VM membantu menjaga integritas beban kerja Anda sejak instance diaktifkan.
Informasi terkait	Ringkasan Shielded VM
ID item	MVSP-CO-1.28
Pemetaan	Kontrol NIST-800-53 terkait: SI-7 Kontrol profil CRI terkait: PR.DS-6.1 Kontrol Compliance Manager: Mengaktifkan Shielded VM untuk Instance Compute Engine

Item	Menggunakan Autopilot GKE
Deskripsi	Menggunakan cluster Autopilot Google Kubernetes Engine (GKE). Cluster Autopilot menawarkan langkah-langkah keamanan yang kuat, dengan banyak praktik terbaik keamanan untuk container atau GKE yang diaktifkan secara default.
Informasi terkait	Ringkasan GKE Autopilot
ID item	MVSP-CO-1.29
Pemetaan	Kontrol NIST-800-53 terkait: CM-2 Kontrol profil CRI terkait: PR.IP-1.1

Item	Menggunakan akun dengan hak istimewa terendah untuk cluster dan node GKE
Deskripsi	Gunakan akun layanan Identity and Access Management (IAM) dengan hak istimewa terendah untuk cluster dan node Google Kubernetes Engine (GKE). Akses ke bidang kontrol GKE dibatasi ke satu endpoint berbasis DNS. Menerapkan hak istimewa terendah akan mengurangi permukaan serangan secara signifikan tanpa memerlukan aturan firewall tambahan atau host bastion.
Informasi terkait	Meningkatkan keamanan cluster
ID item	MVSP-CO-1.30
Pemetaan	Kontrol NIST-800-53 terkait: AC-6 Kontrol profil CRI terkait: PR.AC-4.1 Kontrol Compliance Manager: Menggunakan Akun Layanan dengan Hak Istimewa Terendah untuk Cluster GKE

Item	Membatasi akses bidang kontrol
Deskripsi	Membatasi akses jaringan ke bidang kontrol menggunakan endpoint berbasis DNS. Bidang kontrol adalah pusat pengelolaan untuk cluster Kubernetes, dan mengeksposnya ke internet menjadikannya target utama bagi penyerang. Setelan ini membuat bidang kontrol menjadi pribadi dan menghapusnya dari internet. Membatasi akses bidang kontrol membantu memastikan bahwa hanya perangkat tepercaya dalam jaringan pribadi organisasi Anda yang dapat mengelola cluster, sehingga secara drastis mengurangi risiko serangan eksternal.
Informasi terkait	Cara kerja jaringan yang diizinkan
ID item	MVSP-CO-1.31
Pemetaan	Kontrol NIST-800-53 terkait: SC-7 Kontrol profil CRI terkait: PR.AC-3.1

Item	Menggunakan Container-Optimized OS
Deskripsi	Gunakan Container-Optimized OS untuk menerapkan OS container yang telah melalui proses hardening dan dikelola. Sistem operasi serbaguna mencakup banyak program tambahan yang tidak diperlukan untuk menjalankan container dan oleh karena itu menciptakan target yang lebih besar dan tidak perlu bagi penyerang. Container-Optimized OS adalah sistem operasi minimalis dan terkunci yang secara signifikan mengurangi permukaan serangan ini dengan hanya menyertakan apa yang diperlukan. Sebagai OS terkelola, Container-Optimized OS juga memiliki patch keamanan yang diterapkan secara otomatis oleh Google, yang membantu memastikan kerentanan penting diperbaiki dan mengurangi beban kerja operasional Anda.
Informasi terkait	Ringkasan Container-Optimized OS
ID item	MVSP-CO-1.41
Pemetaan	Kontrol NIST-800-53 terkait: CM-7 Kontrol profil CRI terkait: PR.PT-3.1 Kontrol Compliance Manager: Mewajibkan Container-Optimized OS untuk Cluster GKE

Panduan tingkat menengah

Setelah Anda menerapkan panduan dasar, terapkan panduan infrastruktur berikut.

Item	Menerapkan Login OS untuk VM
Deskripsi	Jika Anda mengizinkan developer mengakses resource Compute Engine menggunakan SSH, konfigurasi Login OS dengan verifikasi 2 langkah. Gunakan Login OS untuk mengelola kunci SSH dengan kebijakan Identity and Access Management (IAM) dengan menetapkan batasan kebijakan organisasi compute.requireOsLogin. Login OS memusatkan akses VM dengan mengikat izin SSH ke identitas Google dan peran IAM pengguna, sehingga tidak perlu mengelola kunci SSH satu per satu di setiap mesin. Mengaitkan izin SSH dengan identitas pengguna sangat penting untuk keamanan karena menghapus peran IAM pengguna akan langsung mencabut aksesnya di semua instance, sehingga melindungi dari entri tidak sah dari akun yang tidak aktif. Sistem ini menyederhanakan pengelolaan kunci untuk membantu mencegah penumpukan kunci dan menyediakan jejak audit yang jelas dan terpusat untuk semua peristiwa login di Cloud Audit Logs. Login OS juga memungkinkan Anda menerapkan autentikasi 2 langkah, yang menambahkan lapisan perlindungan penting terhadap kredensial dan kunci SSH yang dicuri. Penyerang yang memiliki token OAuth yang telah disusupi tetapi tidak memiliki sandi atau kunci keamanan akan diblokir oleh fitur ini.
Informasi terkait	Menyiapkan Login OS
ID item	MVSP-CO-1.26
Pemetaan	Kontrol NIST-800-53 terkait: AC-2 Kontrol profil CRI terkait: PR.AC-1.1 Kontrol Compliance Manager: Mengaktifkan Login OS

Item	Membatasi alamat IP eksternal pada VM
Deskripsi	Kecuali jika diperlukan, cegah pembuatan instance Compute Engine dengan alamat IP publik. Batasan daftar compute.vmExternalIpAccess menentukan kumpulan instance VM Compute Engine yang dapat memiliki alamat IP eksternal. Mencegah instance Compute Engine memiliki alamat IP eksternal untuk mengurangi eksposurnya ke internet secara drastis. Setiap instance dengan alamat IP eksternal dapat langsung ditemukan dan menjadi target langsung untuk pemindaian otomatis, serangan brute force, dan upaya untuk mengeksploitasi kerentanan. Sebagai gantinya, mewajibkan instance menggunakan alamat IP pribadi dan mengelola akses melalui jalur yang terkontrol, diautentikasi, dan dicatat seperti tunnel Identity-Aware Proxy (IAP) atau host bastion. Mengadopsi postur tolak secara default ini adalah praktik terbaik keamanan mendasar yang membantu meminimalkan permukaan serangan dan menerapkan pendekatan zero-trust ke jaringan Anda. Batasan ini tidak berlaku surut.
Informasi terkait	Membatasi alamat IP eksternal ke instance tertentu
ID item	MVSP-CO-1.27
Pemetaan	Kontrol NIST-800-53 terkait: SC-7 SC-8 Kontrol profil CRI terkait: PR.AC-5.1 PR.AC-5.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1 PR.PT-4.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4 Kontrol Compliance Manager: Membatasi Alamat IP Eksternal ke Instance VM Tertentu

Item	Menggunakan Workload Identity Federation for GKE
Deskripsi	Gunakan Workload Identity Federation for GKE untuk melakukan autentikasi ke Google Cloud API dari beban kerja Google Kubernetes Engine (GKE). Workload Identity Federation for GKE menyediakan cara yang lebih sederhana dan aman untuk mendapatkan identitas guna memanggil API Google Cloud daripada kunci akun layanan.
Informasi terkait	Mengautentikasi ke Google Cloud API dari workload GKE
ID item	MVSP-CO-1.32
Pemetaan	Kontrol NIST-800-53 terkait: IA-2 Kontrol profil CRI terkait: PR.AC-1.1 Kontrol Compliance Manager: Mengaktifkan Workload Identity Federation for GKE di cluster

Item	Menggunakan node GKE pribadi
Deskripsi	Buat node pribadi untuk mengurangi eksposur internet. Node Google Kubernetes Engine (GKE) pribadi membantu mengurangi eksposur internet dengan memastikan node GKE tidak memiliki alamat IP publik.
Informasi terkait	Menyesuaikan isolasi jaringan di GKE
ID item	MVSP-CO-1.33
Pemetaan	Kontrol NIST-800-53 terkait: SC-7 Kontrol profil CRI terkait: PR.AC-3.1 Kontrol Compliance Manager: Mengaktifkan Cluster Pribadi untuk GKE

Item	Menggunakan Google Grup untuk RBAC
Deskripsi	Gunakan Google Grup untuk kontrol akses berbasis peran (RBAC), yang juga memungkinkan Anda mengintegrasikan praktik pengelolaan akun pengguna yang ada, seperti mencabut akses saat seseorang keluar dari organisasi. Google Grup untuk RBAC membantu memberikan pengelolaan akses cluster yang efisien menggunakan Identity and Access Management (IAM) dan Google Grup, yang cocok untuk sebagian besar organisasi yang menggunakan Google Grup.
Informasi terkait	Mengonfigurasi Google Grup untuk RBAC
ID item	MVSP-CO-1.34
Pemetaan	Kontrol NIST-800-53 terkait: AC-2 Kontrol profil CRI terkait: PR.AC-1.1 Kontrol Compliance Manager: Menggunakan Google Grup untuk RBAC Kubernetes

Panduan tingkat lanjutan

Setelah Anda menerapkan panduan menengah, terapkan panduan infrastruktur berikut.

Item	Mengaktifkan GKE Sandbox
Deskripsi	Gunakan GKE Sandbox untuk memberikan lapisan keamanan tambahan guna membantu mencegah kode yang tidak tepercaya memengaruhi kernel host di node cluster Google Kubernetes Engine (GKE) Anda. GKE Sandbox meningkatkan isolasi workload untuk workload yang tidak tepercaya atau sensitif, sehingga memberikan lapisan perlindungan tambahan terhadap serangan keluar dari container.
Informasi terkait	GKE Sandbox
ID item	MVSP-CO-1.35
Pemetaan	Kontrol NIST-800-53 terkait: SC-39 Kontrol profil CRI terkait: PR.DS-1.1 Kontrol Compliance Manager: Mewajibkan GKE Sandbox untuk cluster GKE

Item	Menerapkan Otorisasi Biner
Deskripsi	Gunakan Otorisasi Biner untuk memastikan image tepercaya di-deploy ke Google Kubernetes Engine (GKE). Otorisasi Biner membantu memastikan bahwa hanya image container terverifikasi dan tepercaya yang dapat di-deploy di cluster Anda, sehingga memperkuat keamanan supply chain software.
Informasi terkait	Ringkasan Otorisasi Biner
ID item	MVSP-CO-1.36
Pemetaan	Kontrol NIST-800-53 terkait: SI-7 Kontrol profil CRI terkait: PR.DS-6.1 Kontrol Compliance Manager: Mewajibkan Otorisasi Biner di Cluster

Item	Menggunakan Confidential Google Kubernetes Engine Nodes
Deskripsi	Gunakan Confidential GKE Node untuk menerapkan enkripsi data aktif di node dan workload Anda. Confidential GKE Node membantu mengamankan beban kerja yang sangat sensitif dengan mengenkripsi data yang sedang digunakan melalui confidential computing.
Informasi terkait	Mengenkripsi data workload aktif dengan Confidential GKE Node
ID item	MVSP-CO-1.37
Pemetaan	Kontrol NIST-800-53 terkait: SC-28 Kontrol profil CRI terkait: PR.DS-1.1

Item	Menjalankan certificate authority kustom di GKE
Deskripsi	Jalankan otoritas sertifikat Anda sendiri untuk mengelola kunci dalam Google Kubernetes Engine (GKE). Menggunakan otoritas sertifikat Anda sendiri memberikan kontrol yang lebih besar atas operasi kriptografi. Untuk meminta akses ke fitur ini, hubungi Google Cloud tim akun Anda.
Informasi terkait	Menjalankan otoritas sertifikat dan kunci Anda sendiri di GKE
ID item	MVSP-CO-1.38
Pemetaan	Kontrol NIST-800-53 terkait: SC-12 Kontrol profil CRI terkait: PR.DS-1.1

Item	Enkripsi Secret Kubernetes menggunakan Cloud KMS
Deskripsi	Enkripsi Secret Kubernetes dalam penyimpanan menggunakan kunci yang dikelola Cloud Key Management Service (Cloud KMS). Cloud KMS memberikan lapisan keamanan tambahan untuk data etcd dengan memungkinkan Anda mengenkripsi Secret Kubernetes dengan kunci yang Anda miliki dan kelola.
Informasi terkait	Mengenkripsi secret pada lapisan aplikasi
ID item	MVSP-CO-1.39
Pemetaan	Kontrol NIST-800-53 terkait: SC-28 Kontrol profil CRI terkait: PR.DS-1.1 Kontrol Compliance Manager: Mengaktifkan Enkripsi di Cluster GKE

Item	Menggunakan CMEK untuk boot disk node
Deskripsi	Gunakan kunci enkripsi yang dikelola pelanggan (CMEK) untuk enkripsi boot disk node. CMEK memungkinkan Anda mengenkripsi boot disk node Kubernetes dengan kunci yang Anda miliki dan kelola.
Informasi terkait	Menggunakan boot disk node yang dilindungi CMEK
ID item	MVSP-CO-1.40
Pemetaan	Kontrol NIST-800-53 terkait: SC-28 Kontrol profil CRI terkait: PR.DS-1.1 Kontrol Compliance Manager: Mengaktifkan CMEK di Disk Boot Node Pool GKE

Langkah berikutnya

• Panduan perlindungan data
• Ringkasan platform aman dengan kelayakan minimum