Questo principio del pilastro della sicurezza del Google Cloud framework Well-Architected ti aiuta a garantire una sicurezza completa nei tuoi carichi di lavoro cloud. Il principio Zero Trust enfatizza le seguenti pratiche:
- Eliminazione dell'attendibilità implicita
- Applicare il principio del privilegio minimo al controllo dell'accesso
- Applicazione della convalida esplicita di tutte le richieste di accesso
- Adottare una mentalità assume-breach per consentire la verifica continua e il monitoraggio della strategia di sicurezza
Panoramica del principio
Il modello Zero Trust sposta l'attenzione della sicurezza dalla sicurezza basata sul perimetro a un approccio in cui nessun utente o dispositivo è considerato intrinsecamente affidabile. Invece, ogni richiesta di accesso deve essere verificata, indipendentemente dalla sua origine. Questo approccio prevede l'autenticazione e l'autorizzazione di ogni utente e dispositivo, la convalida del contesto (posizione e postura del dispositivo) e la concessione dell'accesso coprivilegio minimomi solo alle risorse necessarie.
L'implementazione del modello Zero Trust aiuta la tua organizzazione a migliorare la propria security posture riducendo al minimo l'impatto di potenziali violazioni e proteggendo dati e applicazioni sensibili da accessi non autorizzati. Il modello zero-trust ti aiuta a garantire la riservatezza, l'integrità e la disponibilità di dati e risorse nel cloud.
Consigli
Per implementare il modello zero-trust per i tuoi workload cloud, prendi in considerazione i suggerimenti nelle sezioni seguenti:
Protezione della rete
Questo consiglio è pertinente alla seguente area di interesse: Sicurezza dell'infrastruttura.
La transizione dalla sicurezza perimetrale convenzionale a un modello Zero Trust richiede più passaggi. La tua organizzazione potrebbe aver già integrato determinati controlli Zero Trust nella sua strategia di sicurezza. Tuttavia, un modello Zero Trust non è un prodotto o una soluzione singola. Si tratta invece di un'integrazione olistica di più livelli di sicurezza e best practice. Questa sezione descrive consigli e tecniche per implementare Zero Trust per la sicurezza di rete.
- Controllo dell'accesso: applica controlli dell'accesso basati sull'identità dell'utente e sul contesto utilizzando soluzioni come Chrome Enterprise Premium e Identity-Aware Proxy (IAP). In questo modo, la sicurezza passa dal perimetro della rete ai singoli utenti e dispositivi. Questo approccio consente controllo dell'accesso granulare e riduce la superficie di attacco.
- Sicurezza di rete: proteggi le connessioni di rete tra i tuoi ambienti on-premise, Google Cloude multi-cloud.
- Utilizza i metodi di connettività privata di Cloud Interconnect e VPN IPsec.
- Per proteggere l'accesso a servizi e API, utilizza Private Service Connect. Google Cloud
- Per proteggere l'accesso in uscita dai workload di cui è stato eseguito il deployment su GKE Enterprise, utilizza i gateway in uscita di Cloud Service Mesh.
- Progettazione della rete: previeni potenziali rischi per la sicurezza eliminando le reti predefinite
nei progetti esistenti e disattivando la creazione di reti predefinite
nei nuovi progetti.
- Per evitare conflitti, pianifica attentamente l'allocazione della rete e degli indirizzi IP.
- Per applicare controllo dell'accesso efficace, limita il numero di reti Virtual Private Cloud (VPC) per progetto.
- Segmentazione: isola i workload, ma mantieni la gestione centralizzata della rete.
- Per segmentare la rete, utilizza VPC condiviso.
- Definisci criteri e regole firewall a livello di organizzazione, cartella e rete VPC.
- Per impedire l'esfiltrazione di dati, stabilisci perimetri sicuri attorno a dati e servizi sensibili utilizzando i Controlli di servizio VPC.
- Sicurezza perimetrale: protezione da attacchi DDoS e minacce alle applicazioni web.
- Per proteggerti dalle minacce, utilizza Google Cloud Armor.
- Configura le policy di sicurezza per consentire, negare o reindirizzare il traffico all'edgeGoogle Cloud .
- Automazione: automatizza il provisioning dell'infrastruttura adottando i principi di Infrastructure as Code (IaC) e utilizzando strumenti come Terraform, Jenkins e Cloud Build. L'IaC contribuisce a garantire configurazioni di sicurezza coerenti, deployment semplificati e rollback rapidi in caso di problemi.
- Base sicura: crea un ambiente applicativo sicuro utilizzando il progetto di fondazione di un'azienda. Questo progetto fornisce indicazioni prescrittive e script di automazione per aiutarti a implementare le best practice per la sicurezza e configurare le tue risorseGoogle Cloud in modo sicuro.
Verifica esplicitamente ogni tentativo di accesso
Questo consiglio è pertinente alle seguenti aree di interesse:
- Gestione di identità e accessi
- Operazioni di sicurezza (SecOps)
- Logging, controllo e monitoraggio
Implementa meccanismi di autenticazione e autorizzazione efficaci per qualsiasi utente, dispositivo o servizio che tenti di accedere alle tue risorse cloud. Non fare affidamento sul perimetro di rete o sulla posizione come controllo di sicurezza. Non considerare attendibile automaticamente nessun utente, dispositivo o servizio, anche se si trova già all'interno della rete. Al contrario, ogni tentativo di accesso alle risorse deve essere rigorosamente autenticato e autorizzato. Devi implementare misure di verifica dell'identità efficaci, come l'autenticazione a più fattori (MFA). Devi anche assicurarti che le decisioni sull'accesso si basino su criteri granulari che tengano conto di vari fattori contestuali come il ruolo dell'utente, la postura del dispositivo e la posizione.
Per implementare questo consiglio, utilizza i seguenti metodi, strumenti e tecnologie:
- Gestione unificata delle identità: garantisci una gestione coerente delle identità
in tutta l'organizzazione utilizzando un unico provider di identità (IdP).
- Google Cloud supporta la federazione con la maggior parte degli IdP, tra cui Active Directory on-premise. La federazione ti consente di estendere l'infrastruttura di gestione delle identità esistente a Google Cloud e di attivare il Single Sign-On (SSO) per gli utenti.
- Se non hai un IdP esistente, valuta la possibilità di utilizzare Cloud Identity Premium o Google Workspace.
- Autorizzazioni account di servizio account: utilizza i
service account
con attenzione e rispetta il principio del privilegio minimo.
- Concedi solo le autorizzazioni necessarie per consentire a ogni account di servizio di svolgere le attività designate.
- Utilizza la federazione delle identità per i carichi di lavoro per le applicazioni eseguite su Google Kubernetes Engine (GKE) o all'esterno diGoogle Cloud per accedere alle risorse in modo sicuro.
- Procedure solide: aggiorna le procedure di identità in modo che siano in linea con le best practice per la sicurezza del cloud.
- Per garantire la conformità ai requisiti normativi, implementa la governance delle identità per monitorare l'accesso, i rischi e le violazioni delle norme.
- Rivedi e aggiorna i processi esistenti per la concessione e il controllo di ruoli e autorizzazioni di controllo dell'accesso.
- Autenticazione forte: implementa SSO per l'autenticazione utente e
MFA per gli account privilegiati.
- Google Cloud supporta vari metodi MFA, tra cui i token di sicurezza Titan, per una maggiore sicurezza.
- Per l'autenticazione dei carichi di lavoro, utilizza OAuth 2.0 o JWT (JSON Web Token) firmati.
- Privilegio minimo: riduci al minimo il rischio di accesso non autorizzato e violazioni dei dati applicando i principi del privilegio minimo e della separazione dei compiti.
- Evita il provisioning eccessivo dell'accesso utente.
- Valuta la possibilità di implementare l'accesso privilegiato just-in-time per le operazioni sensibili.
- Logging: abilita l'audit logging per le attività di amministratore e di accesso ai dati.
- Per l'analisi e il rilevamento delle minacce, scansiona i log utilizzando Security Command Center Enterprise o Google Security Operations.
- Configura criteri di conservazione dei log appropriati per bilanciare le esigenze di sicurezza con i costi di archiviazione.
Monitorare e gestire la rete
Questo consiglio è pertinente alle seguenti aree di interesse:
- Logging, controllo e monitoraggio
- Sicurezza delle applicazioni
- Operazioni di sicurezza (SecOps)
- Sicurezza dell'infrastruttura
Quando pianifichi e implementi misure di sicurezza, presupponi che un autore di un attacco si trovi già all'interno del tuo ambiente. Questo approccio proattivo prevede l'utilizzo dei seguenti strumenti e tecniche multipli per fornire visibilità sulla tua rete:
Logging e monitoraggio centralizzati: raccogli e analizza i log di sicurezza di tutte le tue risorse cloud tramite logging e monitoraggio centralizzati.
- Stabilisci baseline per il comportamento normale della rete, rileva anomalie e identifica potenziali minacce.
- Analizza continuamente i flussi di traffico di rete per identificare pattern sospetti e potenziali attacchi.
Approfondimenti su prestazioni e sicurezza della rete: utilizza strumenti come Network Analyzer. Monitora il traffico per rilevare protocolli insoliti, connessioni impreviste o picchi improvvisi nel trasferimento di dati, che potrebbero indicare attività dannose.
Scansione e correzione delle vulnerabilità: esegui regolarmente la scansione della rete e delle applicazioni per rilevare le vulnerabilità.
- Utilizza Web Security Scanner, che può identificare automaticamente le vulnerabilità nelle istanze, nei container e nei cluster GKE di Compute Engine.
- Dai la priorità alla correzione in base alla gravità delle vulnerabilità e al loro potenziale impatto sui tuoi sistemi.
Rilevamento delle intrusioni: monitora il traffico di rete per rilevare attività dannose e blocca automaticamente o ricevi avvisi per eventi sospetti utilizzando Cloud IDS e il servizio di prevenzione delle intrusioni Cloud NGFW.
Analisi della sicurezza: valuta l'implementazione di Google SecOps per correlare gli eventi di sicurezza provenienti da varie origini, fornire analisi in tempo reale degli avvisi di sicurezza e facilitare la risposta agli incidenti.
Configurazioni coerenti: assicurati di avere configurazioni di sicurezza coerenti nella rete utilizzando strumenti di gestione della configurazione.