Dieses Prinzip im Sicherheitsbereich des Google Cloud Well-Architected Framework hilft Ihnen, umfassende Sicherheit für Ihre Cloud-Arbeitslasten zu gewährleisten. Das Zero-Trust-Prinzip basiert auf den folgenden Praktiken:
- Implizites Vertrauen beseitigen
- Prinzip der geringsten Berechtigung auf die Zugriffssteuerung anwenden
- Erzwingen der expliziten Validierung aller Zugriffsanfragen
- Assume-Breach-Ansatz für kontinuierliche Überprüfung und Überwachung des Sicherheitsstatus
Übersicht über die Grundsätze
Beim Zero-Trust-Modell wird der Sicherheitsfokus von der perimeterbasierten Sicherheit auf einen Ansatz verlagert, bei dem kein Nutzer und kein Gerät als von Natur aus vertrauenswürdig gilt. Stattdessen muss jede Zugriffsanfrage unabhängig von ihrem Ursprung überprüft werden. Bei diesem Ansatz werden alle Nutzer und Geräte authentifiziert und autorisiert, ihr Kontext (Standort und Gerätestatus) wird validiert und der Zugriff mit den geringsten Berechtigungen wird nur auf die erforderlichen Ressourcen gewährt.
Durch die Implementierung des Zero-Trust-Modells kann Ihr Unternehmen seinen Sicherheitsstatus verbessern, indem es die Auswirkungen potenzieller Sicherheitsverletzungen minimiert und sensible Daten und Anwendungen vor unbefugtem Zugriff schützt. Mit dem Zero-Trust-Modell können Sie die Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Ressourcen in der Cloud sicherstellen.
Empfehlungen
Wenn Sie das Zero-Trust-Modell für Ihre Cloud-Arbeitslasten implementieren möchten, sollten Sie die Empfehlungen in den folgenden Abschnitten berücksichtigen:
Netzwerk sichern
Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Infrastruktursicherheit.
Die Umstellung von der herkömmlichen perimeterbasierten Sicherheit auf ein Zero-Trust-Modell erfordert mehrere Schritte. Ihre Organisation hat möglicherweise bereits bestimmte Zero-Trust-Kontrollen in ihre Sicherheitsstrategie integriert. Ein Zero-Trust-Modell ist jedoch kein einzelnes Produkt oder eine einzelne Lösung. Stattdessen handelt es sich um eine ganzheitliche Integration mehrerer Sicherheitsebenen und Best Practices. In diesem Abschnitt werden Empfehlungen und Techniken zur Implementierung von Zero Trust für die Netzwerksicherheit beschrieben.
- Zugriffssteuerung: Erzwingen Sie die Zugriffssteuerung basierend auf Nutzeridentität und Kontext mit Lösungen wie Chrome Enterprise Premium und Identity-Aware Proxy (IAP). Dadurch wird die Sicherheit vom Netzwerkperimeter auf einzelne Nutzer und Geräte verlagert. Dieser Ansatz ermöglicht eine detaillierte Zugriffssteuerung und verringert die Angriffsfläche.
- Netzwerksicherheit: Sichern Sie Netzwerkverbindungen zwischen Ihren lokalen, Google Cloud- und Multi-Cloud-Umgebungen.
- Verwenden Sie die Methoden für private Verbindungen von Cloud Interconnect und IPsec-VPNs.
- Um den Zugriff auf Google Cloud Dienste und APIs zu schützen, verwenden Sie Private Service Connect.
- Um den ausgehenden Zugriff von Arbeitslasten zu schützen, die in GKE Enterprise bereitgestellt werden, verwenden Sie Egress-Gateways von Cloud Service Mesh.
- Netzwerkdesign: Sie können potenzielle Sicherheitsrisiken verhindern, indem Sie Standardnetzwerke in vorhandenen Projekten löschen und die Erstellung von Standardnetzwerken in neuen Projekten deaktivieren.
- Planen Sie Ihr Netzwerk und die Zuweisung von IP-Adressen sorgfältig, um Konflikte zu vermeiden.
- Um eine effektive Zugriffssteuerung zu erzwingen, sollten Sie die Anzahl der VPC-Netzwerke (Virtual Private Cloud) pro Projekt begrenzen.
- Segmentierung: Arbeitslasten isolieren, aber die zentrale Netzwerkverwaltung beibehalten.
- Verwenden Sie freigegebene VPCs, um Ihr Netzwerk zu segmentieren.
- Definieren Sie Firewallrichtlinien und ‑regeln auf Organisations-, Ordner- und VPC-Netzwerkebene.
- Um Daten-Exfiltration zu verhindern, können Sie mit VPC Service Controls sichere Perimeter für sensible Daten und Dienste einrichten.
- Perimetersicherheit: Schutz vor DDoS-Angriffen und Bedrohungen für Webanwendungen.
- Verwenden Sie Google Cloud Armor, um sich vor Bedrohungen zu schützen.
- Konfigurieren Sie Sicherheitsrichtlinien, um Traffic amGoogle Cloud -Edge zuzulassen, abzulehnen oder weiterzuleiten.
- Automatisierung: Automatisieren Sie die Bereitstellung der Infrastruktur, indem Sie die Prinzipien von Infrastructure as Code (IaC) anwenden und Tools wie Terraform, Jenkins und Cloud Build verwenden. Iac trägt zu einheitlichen Sicherheitskonfigurationen, vereinfachten Bereitstellungen und schnellen Rollbacks bei Problemen bei.
- Sichere Grundlage: Richten Sie eine sichere Anwendungsumgebung mit dem Blueprint zu Unternehmensgrundlagen ein. Dieser Blueprint enthält präskriptive Anleitungen und Automatisierungsskripts, mit denen Sie Best Practices für die Sicherheit implementieren und IhreGoogle Cloud -Ressourcen sicher konfigurieren können.
Jeden Zugriffsversuch explizit bestätigen
Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:
- Identitäts- und Zugriffsverwaltung
- Security Operations (SecOps)
- Logging, Auditing und Monitoring
Implementieren Sie strenge Authentifizierungs- und Autorisierungsmechanismen für jeden Nutzer, jedes Gerät und jeden Dienst, der versucht, auf Ihre Cloud-Ressourcen zuzugreifen. Verlassen Sie sich nicht auf den Standort oder den Netzwerkperimeter als Sicherheitskontrolle. Vertrauen Sie keinem Nutzer, Gerät oder Dienst automatisch, auch wenn er sich bereits im Netzwerk befindet. Stattdessen muss jeder Versuch, auf Ressourcen zuzugreifen, streng authentifiziert und autorisiert werden. Sie müssen starke Maßnahmen zur Identitätsbestätigung implementieren, z. B. die Multi-Faktor-Authentifizierung (MFA). Außerdem müssen Sie dafür sorgen, dass Zugriffsentscheidungen auf detaillierten Richtlinien basieren, die verschiedene Kontextfaktoren wie Nutzerrolle, Gerätestatus und Standort berücksichtigen.
Verwenden Sie die folgenden Methoden, Tools und Technologien, um diese Empfehlung zu implementieren:
- Einheitliche Identitätsverwaltung: Sorgen Sie für eine einheitliche Identitätsverwaltung in Ihrer gesamten Organisation, indem Sie einen einzigen Identitätsanbieter (IdP) verwenden.
- Google Cloud unterstützt die Föderation mit den meisten IdPs, einschließlich des lokalen Active Directory. Mit der Föderation können Sie Ihre vorhandene Identitätsverwaltungsstruktur auf Google Cloud erweitern und die Einmalanmeldung (SSO) für Nutzer aktivieren.
- Wenn Sie noch keinen IdP haben, sollten Sie die Cloud Identity Premiumversion oder Google Workspace verwenden.
- Eingeschränkte Dienstkontoberechtigungen: Verwenden Sie Dienstkonten mit Bedacht und halten Sie sich an den Grundsatz der geringsten Berechtigung.
- Erteilen Sie jedem Dienstkonto nur die Berechtigungen, die für die Ausführung der zugewiesenen Aufgaben erforderlich sind.
- Verwenden Sie die Workload Identity-Föderation für Anwendungen, die in Google Kubernetes Engine (GKE) oder außerhalb vonGoogle Cloud ausgeführt werden, um sicher auf Ressourcen zuzugreifen.
- Robuste Prozesse: Aktualisieren Sie Ihre Identitätsprozesse, um sie an die Best Practices für die Cloud-Sicherheit anzupassen.
- Um die Einhaltung gesetzlicher Vorschriften zu gewährleisten, sollten Sie Identity Governance implementieren, um den Zugriff, die Risiken und Richtlinienverstöße zu verfolgen.
- Überprüfen und aktualisieren Sie Ihre bestehenden Prozesse zum Gewähren und Prüfen von Rollen und Berechtigungen für die Zugriffssteuerung.
- Starke Authentifizierung: Implementieren Sie SSO für die Nutzerauthentifizierung und MFA für privilegierte Konten.
- Google Cloud unterstützt verschiedene MFA-Methoden, darunter Titan-Sicherheitsschlüssel, für mehr Sicherheit.
- Verwenden Sie für die Arbeitslastauthentifizierung OAuth 2.0 oder signierte JSON Web Tokens (JWTs).
- Geringste Berechtigung: Minimieren Sie das Risiko unbefugter Zugriffe und Datenpannen, indem Sie die Grundsätze der geringsten Berechtigung und der Aufgabentrennung durchsetzen.
- Vermeiden Sie es, Nutzern zu viel Zugriff zu gewähren.
- Erwägen Sie die Implementierung von privilegiertem Just-in-Time-Zugriff für sensible Vorgänge.
- Logging: Aktivieren Sie das Audit-Logging für Administrator- und Datenzugriffsaktivitäten.
- Scannen Sie die Logs mit Security Command Center Enterprise oder Google Security Operations, um sie zu analysieren und Bedrohungen zu erkennen.
- Konfigurieren Sie geeignete Richtlinien zur Logaufbewahrung, um Sicherheitsanforderungen und Speicherkosten in Einklang zu bringen.
Netzwerk überwachen und warten
Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:
- Logging, Auditing und Monitoring
- Anwendungssicherheit
- Security Operations (SecOps)
- Sichere Infrastruktur
Gehen Sie bei der Planung und Implementierung von Sicherheitsmaßnahmen davon aus, dass sich ein Angreifer bereits in Ihrer Umgebung befindet. Bei diesem proaktiven Ansatz werden die folgenden Tools und Techniken verwendet, um Einblicke in Ihr Netzwerk zu erhalten:
Zentralisiertes Logging und Monitoring: Erfassen und analysieren Sie Sicherheitslogs aus allen Ihren Cloud-Ressourcen über zentralisiertes Logging und Monitoring.
- Referenzwerte für normales Netzwerkverhalten festlegen, Anomalien erkennen und potenzielle Bedrohungen identifizieren.
- Netzwerkverkehrsflüsse kontinuierlich analysieren, um verdächtige Muster und potenzielle Angriffe zu erkennen.
Statistiken zur Netzwerkleistung und ‑sicherheit: Verwenden Sie Tools wie Network Analyzer. Überwachen Sie den Traffic auf ungewöhnliche Protokolle, unerwartete Verbindungen oder plötzliche Spitzen bei der Datenübertragung, die auf schädliche Aktivitäten hinweisen könnten.
Sicherheitslücken-Scans und ‑Bereinigung: Scannen Sie Ihr Netzwerk und Ihre Anwendungen regelmäßig auf Sicherheitslücken.
- Verwenden Sie den Web Security Scanner, der automatisch Sicherheitslücken in Ihren Compute Engine-Instanzen, Containern und GKE-Clustern identifizieren kann.
- Priorisieren Sie die Behebung anhand des Schweregrads von Sicherheitslücken und ihrer potenziellen Auswirkungen auf Ihre Systeme.
Einbruchserkennung: Überwachen Sie den Netzwerkverkehr auf schädliche Aktivitäten und blockieren Sie verdächtige Ereignisse automatisch oder lassen Sie sich benachrichtigen. Verwenden Sie dazu Cloud IDS und den Cloud NGFW-Dienst zur Einbruchsprävention.
Sicherheitsanalyse: Erwägen Sie die Implementierung von Google SecOps, um Sicherheitsereignisse aus verschiedenen Quellen zu korrelieren, Sicherheitswarnungen in Echtzeit zu analysieren und die Reaktion auf Vorfälle zu erleichtern.
Einheitliche Konfigurationen: Verwenden Sie Tools zur Konfigurationsverwaltung, um einheitliche Sicherheitskonfigurationen in Ihrem Netzwerk zu gewährleisten.