Diretrizes de infraestrutura

As diretrizes a seguir para a plataforma de segurança mínima viável estão alinhadas ao pilar de infraestrutura.

Diretrizes do nível básico

Primeiro, implemente as seguintes diretrizes de infraestrutura.

Item	Desativar acesso à porta serial da VM
Descrição	Desative o acesso à porta serial definindo a restrição de política da organização compute.disableSerialPortAccess. Desative o acesso à porta serial nas VMs do Compute Engine para eliminar um canal de acesso que ignora as regras de firewall e outros controles de segurança de rede. O console serial interativo é destinado principalmente à solução de problemas de emergência, mas, quando você o deixa ativado, é possível criar uma porta dos fundos persistente que pode ser alvo de invasores. Desativar o acesso à porta serial ajuda a reforçar uma postura de segurança de defesa em profundidade, forçando todo o acesso administrativo por caminhos padrão auditados, como o SSH, que pode ser protegido ativando o Identity and Access Management (IAM) e o Identity-Aware Proxy (IAP).
Informações relacionadas	Como desativar o acesso ao console serial interativo usando o Organization Policy Service
Código do item	MVSP-CO-1.24
Mapeamento	Controles relacionados do NIST-800-53: AC-3 Controles relacionados ao perfil da CRI: PR.AC-3.1

Item	Desative o IPv6, a menos que seja necessário
Descrição	Desative a criação de sub-redes externas IPv6, a menos que seja especificamente necessário. Para reduzir a superfície de ataque, desative o IPv6 em sistemas e redes em que ele não é gerenciado ou necessário. Muitas organizações têm controles de segurança e monitoramento avançados para IPv4, mas as ferramentas e políticas podem não se estender totalmente ao IPv6, o que pode criar um ponto cego significativo para ameaças. Executar uma rede de pilha dupla também introduz complexidade operacional, exigindo configurações e experiência específicas para gerenciar e solucionar problemas de maneira eficaz. Portanto, se você não tiver um direcionador de negócios claro para o IPv6, desativá-lo poderá simplificar seu ambiente e garantir que todo o tráfego seja filtrado de maneira consistente pela sua postura de segurança IPv4 estabelecida.
Informações relacionadas	Suporte a IPv6 no Google Cloud
Código do item	MVSP-CO-1.25
Mapeamento	Controles relacionados do NIST-800-53: CM-7 Controles relacionados ao perfil da CRI: PR.PT-3.1 Controle do Compliance Manager: Configurar a política da organização "Desativar o uso do IPv6 externo da VPC"

Item	Ativar recursos de VM protegida
Descrição	Ative o módulo de plataforma confiável virtual (vTPM) e os atributos de monitoramento de integridade da VM protegida para suas instâncias. O vTPM e os atributos de monitoramento de integridade fazem parte do processo padrão de criação de instâncias de VM. Use os atributos de vTPM e monitoramento de integridade da VM protegida para garantir que as VMs sejam inicializadas apenas com código confiável e não modificado. O vTPM fornece um criptoprocessador virtual seguro que gera e armazena medições criptográficas de toda a sequência de inicialização, desde o firmware UEFI até os drivers de kernel. Em seguida, o monitoramento de integridade compara continuamente essas medições de tempo de execução com um valor de referência conhecido e válido estabelecido quando a VM foi criada. Esses recursos oferecem uma cadeia de confiança verificável e alertam você ou tomam medidas automaticamente se detectarem modificações maliciosas, como as de um bootkit ou rootkit. Os recursos de VM protegida ajudam a manter a integridade da sua carga de trabalho desde o momento em que a instância é ligada.
Informações relacionadas	Visão geral das VMs protegidas
Código do item	MVSP-CO-1.28
Mapeamento	Controles relacionados do NIST-800-53: SI-7 Controles relacionados do perfil de CRI: PR.DS-6.1 Controle do Compliance Manager: Ativar a VM protegida para instâncias do Compute Engine

Item	Usar o Autopilot do GKE
Descrição	Use clusters do Google Kubernetes Engine (GKE) Autopilot. Eles oferecem medidas de segurança robustas, com muitas práticas recomendadas de segurança para contêineres ou GKE ativadas por padrão.
Informações relacionadas	Visão geral do Autopilot do GKE
Código do item	MVSP-CO-1.29
Mapeamento	Controles relacionados do NIST-800-53: CM-2 Controles relacionados ao perfil da CRI: PR.IP-1.1

Item	Usar contas privilégio mínimo para clusters e nós do GKE
Descrição	Use contas de serviço do Identity and Access Management (IAM) com privilégios mínimos para clusters e nós do Google Kubernetes Engine (GKE). O acesso ao plano de controle do GKE é restrito a um único endpoint baseado em DNS. A implementação do princípio de privilégio mínimo reduz significativamente a superfície de ataque sem a necessidade de regras de firewall ou hosts bastion adicionais.
Informações relacionadas	Aumentar a segurança do cluster
Código do item	MVSP-CO-1.30
Mapeamento	Controles relacionados do NIST-800-53: AC-6 Controles relacionados ao perfil da CRI: PR.AC-4.1 Controle do Compliance Manager: Usar contas de serviço com privilégios mínimos para clusters do GKE

Item	Restringir o acesso ao plano de controle
Descrição	Por padrão, os nós e o plano de controle do cluster do Google Kubernetes Engine (GKE) têm endereços de Internet roteáveis que podem ser acessados de qualquer endereço IP. Restrinja o acesso à rede ao plano de controle usando um endpoint baseado em DNS e criando clusters particulares. O plano de controle é o centro de gerenciamento de um cluster do Kubernetes, e expô-lo à Internet o torna um alvo principal para invasores. Essa configuração torna o plano de controle particular e o remove da Internet. Restringir o acesso ao plano de controle ajuda a garantir que apenas dispositivos de confiança na rede particular da organização possam gerenciar o cluster, reduzindo drasticamente o risco de um ataque externo.
Informações relacionadas	Como funcionam as redes autorizadas Personalizar o isolamento de rede no GKE Como criar um cluster particular
Código do item	MVSP-CO-1.31
Mapeamento	Controles relacionados do NIST-800-53: SC-7 Controles relacionados do perfil de CRI: PR.AC-3.1

Item	Usar o Container-Optimized OS com o ambiente de execução do containerd
Descrição	Use o Container-Optimized OS para implementar um sistema operacional de contêiner reforçado e gerenciado. Os sistemas operacionais de uso geral incluem muitos programas extras que não são necessários para executar contêineres e, portanto, criam um alvo maior e desnecessário para invasores. O Container-Optimized OS é um sistema operacional minimalista e bloqueado que reduz significativamente essa superfície de ataque, incluindo apenas o necessário. Como um SO gerenciado, o Container-Optimized OS também tem patches de segurança aplicados automaticamente pelo Google, o que ajuda a garantir que as vulnerabilidades críticas sejam corrigidas e reduz sua carga de trabalho operacional. Uma imagem que inclui o Container-Optimized OS com containerd (cos_containerd) tem o containerd como o ambiente de execução principal do contêiner diretamente integrado ao Kubernetes. O containerd é o componente principal de execução do Docker e foi projetado para oferecer funcionalidade básica de contêiner para a interface de ambiente de execução de contêineres (CRI, na sigla em inglês) do Kubernetes. Ele é significativamente menos complexo que o daemon Docker completo e, por isso, tem uma superfície de ataque menor.
Informações relacionadas	Visão geral do Container-Optimized OS
Código do item	MVSP-CO-1.41
Mapeamento	Controles relacionados do NIST-800-53: CM-7 SC-7 SC-38 SI-2 SI-7 Controles relacionados ao perfil da CRI: PR.PT-3.1 Controle do Compliance Manager: Exigir o Container-Optimized OS para um cluster do GKE

Diretrizes de nível intermediário

Depois de implementar as diretrizes básicas, implemente as seguintes diretrizes de infraestrutura.

Item	Aplicar o Login do SO para VMs
Descrição	Se você permitir que os desenvolvedores acessem os recursos do Compute Engine usando SSH, configure o Login do SO com a verificação em duas etapas. Use o Login do SO para gerenciar chaves SSH com políticas do Identity and Access Management (IAM) definindo a restrição de política da organização compute.requireOsLogin. O Login do SO centraliza o acesso à VM vinculando as permissões SSH à identidade do Google e aos papéis do IAM de um usuário, eliminando a necessidade de gerenciar chaves SSH individuais em cada máquina. Vincular permissões SSH à identidade de um usuário é crucial para a segurança, porque a remoção da função do IAM de um usuário revoga instantaneamente o acesso dele em todas as instâncias, protegendo contra entradas não autorizadas de contas inativas. O sistema simplifica o gerenciamento de chaves para ajudar a evitar a proliferação de chaves e fornece um rastreamento de auditoria claro e centralizado para todos os eventos de login nos registros de auditoria do Cloud. O login do SO também permite aplicar a autenticação de dois fatores, adicionando uma camada crítica de proteção contra chaves e credenciais SSH roubadas. Um invasor com tokens OAuth comprometidos, mas sem senha ou chave de segurança, é bloqueado por esse recurso.
Informações relacionadas	Configurar o Login do SO
Código do item	MVSP-CO-1.26
Mapeamento	Controles relacionados do NIST-800-53: AC-2 Controles relacionados ao perfil da CRI: PR.AC-1.1 Controle do Compliance Manager: Ativar o Login do SO

Item	Restringir endereços IP externo em VMs
Descrição	A menos que seja necessário, evite a criação de instâncias do Compute Engine com endereços IP públicos. A restrição de lista compute.vmExternalIpAccess define o conjunto de instâncias de VM do Compute Engine que podem ter endereços IP externo. Impeça que as instâncias do Compute Engine tenham endereços IP externo para reduzir drasticamente a exposição delas à Internet. Qualquer instância com um endereço IP externo é imediatamente detectável e se torna um alvo direto para verificações automatizadas, ataques de força bruta e tentativas de exploração de vulnerabilidades. Em vez disso, exija que as instâncias usem endereços IP particulares e gerencie o acesso por caminhos controlados, autenticados e registrados, como o túnel do Identity-Aware Proxy (IAP) ou um Bastion Host. Adotar essa postura de negação por padrão é uma prática recomendada de segurança fundamental que ajuda a minimizar a superfície de ataque e impõe uma abordagem de confiança zero à sua rede. Essa restrição não é retroativa.
Informações relacionadas	Restringir endereços IP externo a instâncias específicas
Código do item	MVSP-CO-1.27
Mapeamento	Controles relacionados do NIST-800-53: SC-7 SC-8 Controles relacionados ao perfil da CRI: PR.AC-5.1 PR.AC-5.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1 PR.PT-4.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4 Controle do Compliance Manager: Restringir endereços IP externos a instâncias de VMs específicas

Item	Usar a federação de identidade da carga de trabalho para GKE
Descrição	Use a federação de identidade da carga de trabalho para GKE para autenticar com segurança as APIs do Google Cloud em cargas de trabalho do Google Kubernetes Engine (GKE). A federação de identidade da carga de trabalho para GKE oferece uma alternativa mais simples e segura ao uso de chaves de conta de serviço.
Informações relacionadas	Autenticar as APIs do Google Cloud nas cargas de trabalho do GKE
Código do item	MVSP-CO-1.32
Mapeamento	Controles relacionados do NIST-800-53: IA-2 Controles relacionados ao perfil da CRI: PR.AC-1.1 Controle do Compliance Manager: Ativar a Federação de Identidade da Carga de Trabalho para GKE em clusters

Item	Usar nós particulares do GKE
Descrição	Crie nós particulares para reduzir a exposição à Internet. Os nós particulares do Google Kubernetes Engine (GKE) ajudam a reduzir a exposição à Internet, garantindo que os nós do GKE não tenham um endereço IP público.
Informações relacionadas	Personalizar o isolamento de rede no GKE
Código do item	MVSP-CO-1.33
Mapeamento	Controles relacionados do NIST-800-53: SC-7 Controles relacionados do perfil de CRI: PR.AC-3.1 Controle do Compliance Manager: Ativar clusters particulares para o GKE

Item	Usar os Grupos do Google para RBAC
Descrição	Use os Grupos do Google para controle de acesso baseado em papéis (RBAC), que também permite a integração com suas práticas de gerenciamento de contas de usuário atuais, como revogar o acesso quando alguém sai da sua organização. Os Grupos do Google para RBAC ajudam a gerenciar o acesso ao cluster de maneira eficiente usando o Identity and Access Management (IAM) e os Grupos do Google, o que é adequado para a maioria das organizações que usam os Grupos do Google.
Informações relacionadas	Configurar os Grupos do Google para RBAC
Código do item	MVSP-CO-1.34
Mapeamento	Controles relacionados do NIST-800-53: AC-2 Controles relacionados ao perfil da CRI: PR.AC-1.1 Controle do Compliance Manager: Usar os Grupos do Google para RBAC do Kubernetes

Diretrizes de nível avançado

Depois de implementar as diretrizes intermediárias, implemente as seguintes diretrizes de infraestrutura.

Item	Ativar o GKE Sandbox
Descrição	Use o GKE Sandbox para fornecer uma camada extra de segurança e evitar que códigos não confiáveis afetem o kernel do host nos nós do cluster do Google Kubernetes Engine (GKE). O GKE Sandbox aumenta o isolamento de cargas de trabalho não confiáveis ou sensíveis, fornecendo uma camada extra de proteção contra ataques de escape de contêiner.
Informações relacionadas	GKE Sandbox
Código do item	MVSP-CO-1.35
Mapeamento	Controles relacionados do NIST-800-53: SC-39 Controles relacionados do perfil de CRI: PR.DS-1.1 Controle do Compliance Manager: Exigir o GKE Sandbox para clusters do GKE

Item	Aplicar a autorização binária
Descrição	Use a autorização binária para garantir que imagens confiáveis sejam implantadas no Google Kubernetes Engine (GKE) e no Cloud Run. A autorização binária ajuda a garantir que apenas imagens de contêiner verificadas e confiáveis possam ser implantadas nos seus clusters, reforçando a segurança da cadeia de suprimentos de software.
Informações relacionadas	Visão geral da autorização binária
Código do item	MVSP-CO-1.36
Mapeamento	Controles relacionados do NIST-800-53: SI-7 Controles relacionados do perfil de CRI: PR.DS-6.1 Controle do Compliance Manager: Exigir autorização binária em um cluster

Item	Usar nós confidenciais do Google Kubernetes Engine
Descrição	Use os nós confidenciais do GKE para aplicar a criptografia de dados em uso nos seus nós e cargas de trabalho. Os nós confidenciais do GKE ajudam a proteger cargas de trabalho altamente sensíveis criptografando dados em uso com a computação confidencial.
Informações relacionadas	Criptografar dados da carga de trabalho em uso com Confidential GKE Nodes
Código do item	MVSP-CO-1.37
Mapeamento	Controles relacionados do NIST-800-53: SC-28 Controles relacionados ao perfil da CRI: PR.DS-1.1

Item	Executar uma autoridade certificadora personalizada no GKE
Descrição	Execute suas próprias autoridades certificadoras para gerenciar chaves no Google Kubernetes Engine (GKE). Usar suas próprias autoridades certificadoras oferece mais controle sobre as operações criptográficas. Para solicitar acesso a esse recurso, entre em contato com a sua equipe de conta Google Cloud .
Informações relacionadas	Executar suas próprias autoridades de certificação e chaves no GKE
Código do item	MVSP-CO-1.38
Mapeamento	Controles relacionados do NIST-800-53: SC-12 Controles relacionados ao perfil da CRI: PR.DS-1.1

Item	Criptografar secrets do Kubernetes usando o Cloud KMS
Descrição	Criptografe os secrets do Kubernetes em repouso usando chaves gerenciadas do Cloud Key Management Service (Cloud KMS). O Cloud KMS oferece uma camada extra de segurança para dados do etcd, permitindo que você criptografe os secrets do Kubernetes com uma chave que você tem e gerencia.
Informações relacionadas	Criptografar secrets na camada do aplicativo
Código do item	MVSP-CO-1.39
Mapeamento	Controles relacionados do NIST-800-53: SC-28 Controles relacionados ao perfil da CRI: PR.DS-1.1 Controle do Compliance Manager: Ativar a criptografia em clusters do GKE

Item	Usar CMEK em discos de inicialização de nós
Descrição	Use chaves de criptografia gerenciadas pelo cliente (CMEK) para criptografia de disco de inicialização do nó. Com a CMEK, é possível criptografar o disco de inicialização de um nó do Kubernetes com uma chave que você possui e gerencia.
Informações relacionadas	Usar discos de inicialização de nó protegidos por CMEK
Código do item	MVSP-CO-1.40
Mapeamento	Controles relacionados do NIST-800-53: SC-28 Controles relacionados ao perfil da CRI: PR.DS-1.1 Controle do Compliance Manager: Ativar a CMEK em discos de inicialização do pool de nós do GKE

A seguir

• Diretrizes de proteção de dados
• Visão geral da plataforma segura mínima viável