最小限のセキュリティ プラットフォームに関する次のガイドラインは、ネットワーク セキュリティの柱に沿ったものです。
ベーシック レベルのガイドライン
まず、次のネットワーク セキュリティ ガイドラインを実装します。
| 項目 | デフォルト ネットワークの作成をブロックする |
|---|---|
| 説明 |
デフォルト ネットワークは、内部通信パスを許可する IPv4 ファイアウォール ルールが事前入力された自動モードの Virtual Private Cloud（VPC）ネットワークです。通常、この設定は本番環境で推奨されるセキュリティ対策ではありません。 |
| 関連情報 | |
| アイテム ID | MVSP-CO-1-47 |
| マッピング |
関連する NIST-800-53 コントロール:
関連する CRI プロファイル コントロール:
コンプライアンス マネージャーのコントロール: |
| 項目 | 限定公開の Google アクセスを有効にする |
|---|---|
| 説明 | すべてのサブネットでプライベート Google アクセスを有効にします。 プライベート Google アクセスを有効にすると、サービスは外部 IP アドレスを持たないサービスにアクセスできます。 Google Cloud デフォルトでは、限定公開の Google アクセスは新しいリソースで有効になっていません。明示的に有効にするには、追加の手順が必要です。 |
| 関連情報 | |
| アイテム ID | MVSP-CO-1.52 |
| マッピング |
関連する NIST-800-53 コントロール:
関連する CRI プロファイル コントロール:
コンプライアンス マネージャーのコントロール: |
中級レベルのガイドライン
基本ガイドラインを実装したら、次のネットワーク セキュリティ ガイドラインを実装します。
| 項目 | Cloud Armor ポリシーを使用する |
|---|---|
| 説明 | Cloud Load Balancing の背後で公開されているアプリケーションの場合は、Google Cloud Armor のデフォルト ポリシーを使用するか、独自のポリシーを構成して、外部公開しているアプリケーションまたはサービスにレイヤ 3 からレイヤ 7 までのネットワーク保護を追加します。Cloud Armor セキュリティ ポリシーは、レイヤ 7 フィルタリングを提供することでアプリケーションを保護します。これらのポリシーは、一般的なウェブ攻撃やトラフィックを妨げる可能性のある他のレイヤ 7 属性のリクエストも確認し、トラフィックがロード バランシングされたバックエンド サービスまたはバックエンド バケットに到達する前にブロックします。各セキュリティ ポリシーは、レイヤ 3 からレイヤ 7 の属性を含む一連のルールで構成されています。 |
| 関連情報 | |
| アイテム ID | MVSP-CO-1.49 |
| マッピング |
関連する NIST-800-53 コントロール:
関連する CRI プロファイル コントロール:
コンプライアンス マネージャーのコントロール: |
| 項目 | アウトバウンド トラフィックを制限する |
|---|---|
| 説明 | デフォルトではすべてのアクセスが許可されているため、外部ソースへのアクセスを制限します。下り（外向き）トラフィックが必要なパターンに合わせて、特定のファイアウォール ルールを設定します。 デフォルトでは、システムがインターネットへのアウトバウンド接続を行うことが許可されていることが多く、これはセキュリティ上のリスクと見なされる可能性があります。デフォルトで拒否ポリシーは、送信トラフィックをブロックし、既知の必要な宛先に対してのみ特定のルールを作成する必要があります。 |
| 関連情報 | |
| アイテム ID | MVSP-CO-1.50 |
| マッピング |
関連する NIST-800-53 コントロール:
関連する CRI プロファイル コントロール:
コンプライアンス マネージャーのコントロール: |
| 項目 | SSH ポートと RDP ポートへのインバウンド アクセスを制限する |
|---|---|
| 説明 | 可能な場合は、特定のリソースとリソース範囲へのインバウンド アクセスのみを制限します。Identity-Aware Proxy（IAP）が構成されている場合は、上り（内向き）の SSH とリモート デスクトップ プロトコル（RDP）のファイアウォール ルールで、送信元として IAP IP 範囲を設定します。 SSH と RDP のファイアウォール ルールが緩すぎると、ブルート フォース攻撃が可能になります。代わりに、SSH と RDP に Google Cloud Identity-Aware Proxy（IAP など）を使用します。 |
| 関連情報 | |
| アイテム ID | MVSP-CO-1.51 |
| マッピング |
関連する NIST-800-53 コントロール:
関連する CRI プロファイル コントロール:
コンプライアンス マネージャーのコントロール: |
上級レベルのガイドライン
中間のガイドラインを実装したら、次のネットワーク セキュリティ ガイドラインを実装します。
| 項目 | VPC Service Controls を有効にする |
|---|---|
| 説明 | VPC Service Controls を追加の保護レイヤとして有効にして、データ損失の可能性を防ぎます。 VPC Service Controls は、クラウド リソース、機密データ、ネットワークの周囲に隔離の境界を作成することで、データの引き出しを防ぐことができます。 |
| 関連情報 | |
| アイテム ID | MVSP-CO-1.48 |
| マッピング |
関連する NIST-800-53 コントロール:
関連する CRI プロファイル コントロール:
コンプライアンス マネージャーのコントロール: |