Best Practices für die Sicherheit einrichten

Auf dieser Seite finden Sie eine Übersicht über die empfohlenen Best Practices für die Sicherheit, um die Sicherheit und den Datenschutz Ihrer Cloud Workstations zu verbessern. Diese Liste ist keine vollständige Checkliste, die Sicherheitsgarantien bietet, und kein Ersatz für Ihre bestehenden Sicherheitsstatus.

Ziel ist es, Ihnen einen Leitfaden zu den Best Practices für die Sicherheit zu bieten, die mit Cloud Workstations möglich sind. Fügen Sie diese Empfehlungen gegebenenfalls Ihrem Portfolio an Sicherheitslösungen hinzu, um einen mehrstufigen Sicherheitsansatz zu entwickeln. Ein mehrstufiger Sicherheitsansatz ist eines der wichtigsten Sicherheitsprinzipien für die Ausführung sicherer und konformer Dienste in Google Cloud.

Hintergrund

Der Cloud Workstations-Dienst bietet vordefinierte Basis-Images für die Verwendung mit dem Dienst. Der Dienst erstellt diese Images wöchentlich neu und veröffentlicht sie, damit die gebündelte Software die neuesten Sicherheitspatches enthält. Außerdem verwendet der Dienst einen Standardwert für das Ausführungszeitlimit in Ihrer Workstation-Konfiguration, um sicherzustellen, dass Workstations automatisch aktualisiert werden und keine ungepatchten Images aktiv bleiben.

Google Cloud ist jedoch nicht der Inhaber aller in diesen Images enthaltenen Pakete. Paketmanager priorisieren Updates möglicherweise unterschiedlich, je nachdem, wie sich ein Fehler oder eine Common Vulnerabilities and Exposures (CVE) auf ihr Produkt auswirkt. Wenn ein Produkt nur einen Teil einer Bibliothek verwendet, ist es möglicherweise nicht von Entdeckungen in anderen Teilen der Bibliothek betroffen. Aus diesem Grund kann Cloud Workstations trotz CVE-Ergebnissen aus Scans auf Sicherheitslücken in unseren Images ein sicheres Produkt bereitstellen.

Cloud Workstations bietet ein Authentifizierungs- und Autorisierungssystem, mit dem nur der vorgesehene Entwickler auf seine Workstation zugreifen kann. Wie bei jeder Entwicklungsumgebung sollten Entwickler bei der Verwendung ihrer Workstation Best Practices anwenden. Führen Sie nur vertrauenswürdigen Code aus, arbeiten Sie nur mit vertrauenswürdigen Eingaben und greifen Sie nur auf vertrauenswürdige Domains zu, um die Sicherheit zu maximieren. Außerdem wird davon abgeraten, Workstations zum Hosten von Produktionsservern zu verwenden oder eine einzelne Workstation mit mehreren Entwicklern zu teilen.

Wenn Sie mehr Kontrolle über die Sicherheit der Workstation-Images Ihrer Organisation haben möchten, können Sie auch eigene benutzerdefinierte Container-Images erstellen.

Mit Secure Web Proxy den Internetzugriff steuern, um den Schutz vor Datenverlust (Data Loss Prevention, DLP) zu verbessern

Wenn Sie den gesamten Zugriff auf das öffentliche Internet blockieren möchten, z. B. zum Schutz vor Datenverlust (Data Loss Prevention, DLP), deaktivieren Sie öffentliche IP-Adressen in Ihren Workstation-Konfigurationen. Wenn Sie öffentliche IP-Adressen deaktivieren, müssen Sie in Ihrem Netzwerk den privaten Google-Zugriff oder Cloud NAT einrichten. Wenn Sie den privater Google-Zugriff und private.googleapis.com oder restricted.googleapis.com für Artifact Registry verwenden, müssen Sie DNS-Einträge für Domains *.pkg.dev einrichten.

Wenn Ihre Entwickler jedoch von ihren Workstations aus Zugriff auf bestimmte externe Websites benötigen, verwenden Sie Secure Web Proxy, um einen prüfbaren Zugriff auf diese Websites zu ermöglichen, einschließlich DLP-Schutz.

Mit Secure Web Proxy können Organisationen einen detaillierten Internetzugriff erzwingen und ausgehenden Traffic basierend auf Quelle, Identität, Ziel und Anfragetyp steuern. Sie können diese Richtlinien in einem Google CloudIdentity and Access Management (IAM)-Kontext definieren und Dienstkonten und sichere Tags verwenden, um den Traffic beispielsweise auf ein bestimmtes Ziel zu beschränken.

Secure Web Proxy bietet außerdem einen skalierbaren TLS-Prüfdienst, mit dem Sie Richtlinien für abgefangenen verschlüsselten TLS-Traffic erzwingen können.

Secure Web Proxy ist in Cloud Logging eingebunden, um Messwerte und Transaktionslogs aufzuzeichnen. Wenn Sie die Quell-Workstation für einen bestimmten Logeintrag ermitteln möchten, suchen Sie die IP-Adresse der VM im Logeintrag und verwenden Sie dann die Workstation-Plattformlogs, um diese IP-Adresse mit der entsprechenden Workstation zu korrelieren.

Sie können ein benutzerdefiniertes Image verwenden, um https_proxy und http_proxy auf den Secure Web Proxy auf Ihren Workstations festzulegen.

Direkten SSH-Zugriff einschränken

Achten Sie darauf, den direkten SSH-Zugriff auf VMs in dem Projekt einzuschränken, in dem Ihre Cloud Workstations gehostet werden, sodass der Zugriff nur über das Cloud Workstations-Gateway möglich ist, wo IAM-Richtlinien (Identity and Access Management) erzwungen und VPC-Flusslogs aktiviert werden können.

Führen Sie den folgenden Google Cloud CLI-Befehl aus, um den direkten SSH-Zugriff auf die VM zu deaktivieren:

    gcloud workstations configs update CONFIG \
        --cluster=CLUSTER \
        --region=REGION \
        --project=PROJECT \
        --disable-ssh-to-vm

Zugriff auf vertrauliche Ressourcen einschränken

Richten Sie einen VPC Service Controls-Dienstperimeter ein, um den Zugriff auf sensible Ressourcen von Ihren Workstations aus einzuschränken und so die Exfiltration von Quellcode und Daten zu verhindern.

Folgen Sie dem Prinzip der geringsten Berechtigung.

Folgen Sie dem Prinzip der geringsten Berechtigung für Berechtigungen und Ressourcenzuweisung.

IAM-Berechtigungen

Verwenden Sie die Standardkonfiguration für Identity and Access Management, um den Zugriff auf die Workstation auf einen einzelnen Entwickler zu beschränken. So wird sichergestellt, dass jeder Entwickler eine eindeutige Workstation-Instanz mit einer eindeutigen zugrunde liegenden VM verwendet, was die Isolierung der Umgebung erhöht. Code-Editoren und Anwendungen von Cloud Workstations werden in einem Container ausgeführt, der im privilegierten Modus und mit Root-Zugriff ausgeführt wird, um die Flexibilität für Entwickler zu erhöhen. Dadurch erhält jeder Entwickler eine eigene Workstation. Selbst wenn ein Nutzer aus diesem Container ausbricht, befindet er sich immer noch in seiner VM und kann nicht auf zusätzliche externe Ressourcen zugreifen.

Richten Sie IAM-Berechtigungen ein, um den Zugriff von Nicht-Administratoren auf das Ändern von Workstation-Konfigurationen und Container-Images in Artifact Registry zu beschränken.

Außerdem empfiehlt Google, IAM-Berechtigungen einzurichten, die den Zugriff von Nicht-Administratoren auf die zugrunde liegenden Compute Engine-Ressourcen im Projekt einschränken, in dem Ihre Cloud Workstations gehostet werden.

Weitere Informationen finden Sie unter IAM sicher verwenden.

Cloud KMS-Berechtigungen

Zur besseren Unterstützung des Prinzips der geringsten Berechtigung empfehlen wir, Cloud KMS-Ressourcen und Cloud Workstations-Ressourcen in separaten Google Cloud -Projekten zu speichern. Erstellen Sie Ihr Cloud KMS-Schlüsselprojekt ohne owner auf Projektebene und weisen Sie einen Organization Admin auf Organisationsebene zu. Im Gegensatz zu einem owner kann ein Organisationsadministrator Schlüssel nicht direkt verwalten oder verwenden. Sie sind auf das Festlegen von IAM-Richtlinien beschränkt, die einschränken, wer Schlüssel verwalten und verwenden darf.

Dies wird auch als Aufgabentrennung bezeichnet. Damit soll sichergestellt werden, dass eine einzelne Person nicht alle erforderlichen Berechtigungen hat, um eine böswillige Aktion auszuführen. Weitere Informationen finden Sie unter Aufgabentrennung.

Automatische Image-Updates und Patches erzwingen

Achten Sie darauf, dass auf Ihren Workstations die aktuelle Version der Basis-Images von Cloud Workstations verwendet wird, die die neuesten Sicherheitspatches und -korrekturen enthält. Der Wert für das Zeitlimit für die Ausführung in Ihrer Workstation-Konfiguration sorgt dafür, dass Workstations, die mit dieser Konfiguration erstellt wurden, bei der nächsten Sitzung automatisch aktualisiert werden, um der aktuellen Version des in der Workstation-Konfiguration definierten Container-Images zu entsprechen.

  • Wenn Ihre Organisation eines der Cloud Workstations-Basis-Images verwendet, übernimmt die Workstation automatisch alle Aktualisierungen der Workstation-Konfiguration, wenn die Workstation das nächste Mal heruntergefahren und neu gestartet wird. Wenn Sie runningTimeout festlegen oder den Standardwert verwenden, werden diese Workstations heruntergefahren.
  • Wenn Ihre Organisation ein benutzerdefiniertes Image verwendet, sollten Sie das Image regelmäßig neu erstellen.

Benutzerdefinierte Images verwalten

Sie sind für die Verwaltung und Aktualisierung von benutzerdefinierten Paketen und Abhängigkeiten verantwortlich, die benutzerdefinierten Images hinzugefügt wurden.

Wenn Sie benutzerdefinierte Images erstellen, empfehlen wir Folgendes:

VPC-Flusslogs einrichten

Wenn Sie einen Workstation-Cluster erstellen, verknüpft Cloud Workstations den Cluster mit einem bestimmten Subnetz und alle Workstations werden in diesem Subnetz platziert. Wenn Sie VPC-Flusslogs aktivieren möchten, müssen Sie das Logging für dieses Subnetz aktivieren. Weitere Informationen finden Sie unter VPC-Flusslogs für ein vorhandenes Subnetz aktivieren.

VM Threat Detection im Security Command Center aktivieren

Das Security Command Center ist eine cloudbasierte Risikomanagementlösung, mit der Sicherheitsexperten Sicherheitsprobleme verhindern, erkennen und darauf reagieren können. Da Workstations auf einer dedizierten VM pro Workstation ausgeführt werden, kann Virtual Machine Threat Detection verwendet werden, um potenziell schädliche Anwendungen wie Kryptowährung-Mining-Software, Kernel-Modus-Rootkits und Malware zu erkennen, die auf der Workstation ausgeführt werden.

Wenn Sie die Ergebnisse für VMs auswerten, können Sie die der VM zugewiesene Workstation ermitteln, indem Sie die Workstation-Labels auf der VM prüfen oder die Workstations-Plattformlogs verwenden, um nach früheren Zuweisungen zu suchen.