Menyiapkan praktik keamanan terbaik

Halaman ini memberikan ringkasan praktik terbaik keamanan yang direkomendasikan untuk meningkatkan postur keamanan dan perlindungan data di sekitar Cloud Workstation Anda. Daftar ini bukan checklist komprehensif yang memastikan jaminan keamanan, atau pengganti postur keamanan yang ada.

Tujuannya adalah untuk memberi Anda panduan tentang praktik terbaik keamanan yang dimungkinkan oleh Cloud Workstations. Tambahkan rekomendasi ini ke portofolio solusi keamanan Anda jika berlaku, sebagai bagian dari upaya untuk membangun pendekatan keamanan berlapis. Pendekatan keamanan berlapis adalah salah satu prinsip keamanan inti untuk menjalankan layanan yang aman dan sesuai standar di Google Cloud.

Latar belakang

Layanan Cloud Workstations menyediakan image dasar yang telah ditetapkan untuk digunakan dengan layanan ini. Layanan ini membangun ulang dan memublikasikan ulang image ini setiap minggu untuk membantu memastikan bahwa software yang dipaketkan menyertakan patch keamanan terbaru. Selain itu, layanan ini menggunakan nilai waktu tunggu berjalan default pada konfigurasi workstation Anda untuk membantu memastikan workstation diupdate secara otomatis dan image yang belum di-patch tidak tetap aktif.

Namun, Google Cloud tidak memiliki semua paket yang dipaketkan ke dalam image ini. Pengelola paket mungkin memprioritaskan update secara berbeda, bergantung pada dampak bug atau kerentanan dan eksposur umum (CVE) terhadap produk mereka. Jika suatu produk hanya menggunakan sebagian library, produk tersebut mungkin tidak akan terpengaruh oleh penemuan di bagian lain library. Oleh karena itu, meskipun ada temuan CVE dari pemindaian kerentanan image kami, Cloud Workstations masih dapat menyediakan produk yang aman.

Cloud Workstations dapat melakukannya karena menyediakan sistem autentikasi dan otorisasi yang membantu memastikan bahwa hanya developer yang ditunjuk yang dapat mengakses workstation mereka. Seperti halnya lingkungan pengembangan, developer harus menerapkan praktik terbaik saat menggunakan workstation mereka. Agar seaman mungkin, hanya jalankan kode tepercaya, operasikan hanya pada input tepercaya, dan akses hanya domain tepercaya. Selain itu, Anda tidak disarankan menggunakan workstation untuk menghosting server produksi, atau berbagi satu workstation dengan beberapa developer.

Jika ingin memiliki kontrol lebih besar atas keamanan image workstation organisasi, Anda juga dapat membuat image container yang disesuaikan sendiri.

Menggunakan Secure Web Proxy untuk mengontrol akses internet guna meningkatkan pencegahan kebocoran data (DLP)

Untuk memblokir semua akses ke internet publik–misalnya, untuk pencegahan kebocoran data (DLP)–nonaktifkan alamat IP publik pada konfigurasi workstation Anda. Jika Anda menonaktifkan alamat IP publik, Anda harus menyiapkan Akses Google Pribadi atau Cloud NAT di jaringan Anda. Jika Anda menggunakan Akses Google Pribadi dan menggunakan private.googleapis.com atau restricted.googleapis.com untuk Artifact Registry, pastikan Anda menyiapkan data DNS untuk domain *.pkg.dev.

Namun, jika developer Anda memerlukan akses ke situs eksternal tertentu dari workstation mereka, gunakan Secure Web Proxy untuk memberikan akses yang dapat diaudit ke situs tersebut, yang mencakup perlindungan DLP.

Secure Web Proxy membantu organisasi menerapkan akses internet terperinci, mengontrol traffic keluar berdasarkan sumber, identitas, tujuan, dan jenis permintaan. Anda dapat menentukan kebijakan ini dalam konteks Google Cloud Identity and Access Management (IAM), menggunakan akun layanan dan tag aman untuk membatasi traffic, misalnya, ke tujuan tertentu.

Secure Web Proxy juga menawarkan layanan pemeriksaan TLS skalabel yang memungkinkan Anda menerapkan kebijakan pada traffic TLS terenkripsi yang dicegat.

Secure Web Proxy terintegrasi dengan Cloud Logging untuk mencatat metrik dan log transaksi. Untuk mengidentifikasi workstation sumber untuk entri log tertentu, temukan alamat IP VM di entri log, lalu gunakan log platform workstation untuk menghubungkan alamat IP tersebut dengan workstation yang sesuai.

Anda dapat menggunakan image kustom untuk menetapkan https_proxy dan http_proxy ke Secure Web Proxy di workstation Anda.

Membatasi akses SSH langsung

Pastikan Anda membatasi akses SSH langsung ke VM dalam project yang menghosting Cloud Workstations, sehingga akses hanya dapat dilakukan melalui gateway Cloud Workstations, tempat kebijakan Identity and Access Management (IAM)) diterapkan dan Log Aliran VPC dapat diaktifkan.

Untuk menonaktifkan akses SSH langsung ke VM, jalankan perintah Google Cloud CLI berikut:

    gcloud workstations configs update CONFIG \
        --cluster=CLUSTER \
        --region=REGION \
        --project=PROJECT \
        --disable-ssh-to-vm

Membatasi akses ke resource sensitif

Siapkan perimeter layanan Kontrol Layanan VPC untuk membatasi akses ke resource sensitif dari workstation Anda, sehingga mencegah pemindahan data yang tidak sah pada kode sumber dan data.

Mengikuti prinsip hak istimewa terendah

Ikuti prinsip hak istimewa terendah untuk izin dan alokasi resource.

Izin IAM

Gunakan konfigurasi Identity and Access Management default, yang membatasi akses workstation ke satu developer. Hal ini membantu memastikan bahwa setiap developer menggunakan instance workstation yang unik dengan VM dasar yang berbeda, sehingga meningkatkan isolasi lingkungan. Editor kode dan aplikasi Cloud Workstations berjalan di dalam container yang berjalan dalam mode dengan hak istimewa dan dengan akses root, untuk meningkatkan fleksibilitas developer. Hal ini menyediakan workstation unik per developer dan membantu memastikan bahwa meskipun pengguna keluar dari container ini, mereka akan tetap berada di dalam VM, sehingga tidak dapat memperoleh akses ke resource eksternal tambahan apa pun.

Siapkan izin IAM yang membatasi akses non-admin untuk mengubah konfigurasi workstation dan image container di Artifact Registry.

Selain itu, Google merekomendasikan agar Anda menyiapkan izin IAM yang membatasi akses non-admin ke resource Compute Engine yang mendasari dalam project yang menghosting Cloud Workstations Anda.

Untuk mengetahui informasi selengkapnya, lihat menggunakan IAM dengan aman.

Izin Cloud KMS

Untuk mendukung prinsip hak istimewa terendah dengan lebih baik, sebaiknya Anda menyimpan resource Cloud KMS dan resource Cloud Workstations di project Google Cloud yang terpisah. Buat project kunci Cloud KMS Anda tanpa owner di level project, dan tetapkan Organization Admin yang diberikan di level organisasi. Tidak seperti owner, Organization Admin tidak dapat mengelola atau menggunakan kunci secara langsung. Mereka dibatasi untuk menetapkan kebijakan IAM, yang membatasi siapa yang dapat mengelola dan menggunakan kunci.

Hal ini juga disebut sebagai pemisahan tugas, yang merupakan konsep untuk memastikan bahwa satu individu tidak memiliki semua izin yang diperlukan untuk dapat menyelesaikan tindakan berbahaya. Untuk mengetahui informasi selengkapnya, lihat pemisahan tugas.

Menerapkan update dan patch image otomatis

Pastikan workstation Anda menggunakan versi terbaru image dasar Cloud Workstations, yang berisi patch dan perbaikan keamanan terbaru. Nilai waktu tunggu berjalan pada konfigurasi workstation membantu memastikan bahwa workstation yang dibuat dengan konfigurasi ini otomatis diupdate pada sesi berikutnya, agar sesuai dengan versi terbaru image container yang ditentukan dalam konfigurasi workstation.

  • Jika organisasi Anda menggunakan salah satu image dasar Cloud Workstations, workstation akan otomatis mengambil update apa pun pada konfigurasi workstation saat workstation dimatikan dan dimulai ulang pada waktu berikutnya. Menyetel runningTimeout, atau menggunakan setelan default, membantu memastikan bahwa workstation ini dinonaktifkan.
  • Jika organisasi Anda menggunakan image kustom, pastikan Anda membuat ulang image secara rutin.

Memelihara image kustom

Anda bertanggung jawab untuk mengelola dan mengupdate paket kustom dan dependensi yang ditambahkan pada image kustom.

Jika Anda membuat image kustom, sebaiknya lakukan hal berikut:

Menyiapkan Log Aliran VPC

Saat Anda membuat cluster workstation, Cloud Workstations mengaitkan cluster dengan subnet tertentu dan semua workstation ditempatkan di subnet tersebut. Untuk mengaktifkan Log Aliran VPC, pastikan Anda mengaktifkan logging untuk subnet tersebut. Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan Log Aliran VPC untuk subnet yang ada.

Mengaktifkan VM Threat Detection di Security Command Center

Security Command Center adalah solusi pengelolaan risiko berbasis cloud yang membantu profesional keamanan mencegah, mendeteksi, dan merespons masalah keamanan. Karena workstation berjalan di VM khusus per workstation, Virtual Machine Threat Detection dapat digunakan untuk mendeteksi aplikasi yang berpotensi berbahaya, seperti software penambangan cryptocurrency, rootkit mode kernel, dan malware yang berjalan di workstation.

Saat mengevaluasi temuan untuk VM, Anda dapat menemukan workstation yang ditetapkan ke VM dengan memeriksa label workstation di VM, atau dengan menggunakan log platform workstation untuk mencari penetapan historis.