Esse princípio no pilar de segurança do Google Cloud Framework bem arquitetado ajuda a garantir a segurança abrangente em todas as cargas de trabalho na nuvem. O princípio da confiança zero enfatiza as seguintes práticas:
- Eliminar a confiança implícita
- Aplicar o princípio de privilégio mínimo ao controle de acesso
- Impor a validação explícita de todas as solicitações de acesso
- Adotar uma mentalidade de presunção de violação para ativar a verificação contínua e o monitoramento da postura de segurança
Visão geral do princípio
O modelo de confiança zero muda o foco da segurança do perímetro para uma abordagem em que nenhum usuário ou dispositivo é considerado inerentemente confiável. Em vez disso, cada solicitação de acesso precisa ser verificada, independente da origem. Essa abordagem envolve autenticar e autorizar cada usuário e dispositivo, validar o contexto (localização e postura do dispositivo) e conceder acesso com o privilégio mínimo apenas aos recursos necessários.
A implementação do modelo de confiança zero ajuda sua organização a melhorar a postura de segurança, minimizando o impacto de possíveis violações e protegendo dados e aplicativos sensíveis contra acesso não autorizado. O modelo de confiança zero ajuda a garantir a confidencialidade, a integridade e a disponibilidade de dados e recursos na nuvem.
Recomendações
Para implementar o modelo de confiança zero nas suas cargas de trabalho na nuvem, considere as recomendações nas seções a seguir:
Proteger a rede
Esta recomendação é relevante para a seguinte área de foco: segurança da infraestrutura.
A transição da segurança convencional baseada em perímetro para um modelo de confiança zero requer várias etapas. Sua organização já pode ter integrado determinados controles de zero trust à postura de segurança. No entanto, um modelo de confiança zero não é um produto ou uma solução única. Em vez disso, é uma integração holística de várias camadas de segurança e práticas recomendadas. Esta seção descreve recomendações e técnicas para implementar o zero trust na segurança de rede.
- Controle de acesso: aplique controles de acesso com base na identidade e no contexto do usuário usando soluções como o Chrome Enterprise Premium e o Identity-Aware Proxy (IAP). Ao fazer isso, você transfere a segurança do perímetro da rede para usuários e dispositivos individuais. Essa abordagem permite o controle de acesso granular e reduz a superfície de ataque.
- Segurança de rede: proteja as conexões de rede entre seus ambientes locais, Google Cloude multicloud.
- Use os métodos de conectividade particular do Cloud Interconnect e das VPNs IPsec.
- Para ajudar a proteger o acesso aos serviços e APIs do Google Cloud , use o Private Service Connect.
- Para ajudar a proteger o acesso de saída das cargas de trabalho implantadas no GKE Enterprise, use os gateways de saída do Cloud Service Mesh.
- Design de rede: evite possíveis riscos de segurança excluindo as redes padrão em projetos atuais e desativando a criação de redes padrão em novos projetos.
- Para evitar conflitos, planeje cuidadosamente sua rede e a alocação de endereços IP.
- Para aplicar um controle de acesso eficaz, limite o número de redes de nuvem privada virtual (VPC) por projeto.
- Segmentação: isole cargas de trabalho, mas mantenha o gerenciamento centralizado da rede.
- Para segmentar sua rede, use a VPC compartilhada.
- Defina políticas e regras de firewall nos níveis da organização, da pasta e da rede VPC.
- Para evitar a exfiltração de dados, estabeleça perímetros seguros em torno de dados e serviços sensíveis usando o VPC Service Controls.
- Segurança de perímetro: proteção contra ataques DDoS e ameaças a aplicativos da Web.
- Para se proteger contra ameaças, use o Google Cloud Armor.
- Configure políticas de segurança para permitir, negar ou redirecionar o tráfego na bordaGoogle Cloud .
- Automação: automatize o provisionamento de infraestrutura adotando princípios de infraestrutura como código (IaC) e usando ferramentas como Terraform, Jenkins e Cloud Build. A IaC ajuda a garantir configurações de segurança consistentes, implantações simplificadas e rollbacks rápidos em caso de problemas.
- Base segura: estabeleça um ambiente de aplicativo seguro usando o Blueprint de bases empresariais. Este blueprint fornece orientação prescritiva e scripts de automação para ajudar você a implementar práticas recomendadas de segurança e configurar seus recursos doGoogle Cloud de maneira segura.
Verificar explicitamente todas as tentativas de acesso
Esta recomendação é relevante para as seguintes áreas de foco:
- Gerenciamento de identidade e acesso
- Operações de segurança (SecOps)
- Geração de registros, auditoria e monitoramento
Implemente mecanismos de autenticação e autorização fortes para qualquer usuário, dispositivo ou serviço que tente acessar seus recursos de nuvem. Não dependa do local ou do perímetro da rede como um controle de segurança. Não confie automaticamente em nenhum usuário, dispositivo ou serviço, mesmo que já estejam dentro da rede. Em vez disso, todas as tentativas de acesso a recursos precisam ser rigorosamente autenticadas e autorizadas. Implemente medidas de verificação de identidade avançadas, como a autenticação multifator (MFA). Também é necessário garantir que as decisões de acesso sejam baseadas em políticas detalhadas que considerem vários fatores contextuais, como função do usuário, posição do dispositivo e localização.
Para implementar essa recomendação, use os seguintes métodos, ferramentas e tecnologias:
- Gerenciamento unificado de identidades: garanta um gerenciamento consistente de identidades em toda a organização usando um único provedor de identidade (IdP).
- Google Cloud é compatível com a federação com a maioria dos IdPs, incluindo o Active Directory local. Com a federação, é possível estender sua infraestrutura de gerenciamento de identidade atual para Google Cloud e ativar o Logon único (SSO) para os usuários.
- Se você não tiver um IdP, considere usar o Cloud Identity Premium ou o Google Workspace.
- Permissões limitadas da conta de serviço: use contas de serviço com cuidado e siga o princípio de privilégio mínimo.
- Conceda apenas as permissões necessárias para que cada conta de serviço realize as tarefas designadas.
- Use a Federação de identidade da carga de trabalho para aplicativos executados no Google Kubernetes Engine (GKE) ou fora Google Cloud para acessar recursos com segurança.
- Processos robustos: atualize seus processos de identidade para se alinhar às práticas recomendadas de segurança na nuvem.
- Para garantir a conformidade com os requisitos regulamentares, implemente a governança de identidade para rastrear acesso, riscos e violações de políticas.
- Revise e atualize seus processos atuais para conceder e auditar papéis e permissões de controle de acesso.
- Autenticação forte: implemente o SSO para autenticação de usuários e a MFA para contas privilegiadas.
- OGoogle Cloud é compatível com vários métodos de MFA, incluindo as chaves de segurança Titan, para aumentar a segurança.
- Para autenticação de carga de trabalho, use o OAuth 2.0 ou JSON Web Tokens (JWTs) assinados.
- Privilégio mínimo: minimize o risco de acesso não autorizado e violações de dados aplicando os princípios de privilégio mínimo e separação de funções.
- Evite o provisionamento excessivo de acesso do usuário.
- Considere implementar o acesso privilegiado just-in-time para operações sensíveis.
- Logging: ative o registro de auditoria para atividades de administrador e de acesso a dados.
- Para análise e detecção de ameaças, faça a varredura dos registros usando o Security Command Center Enterprise ou as Operações de segurança do Google.
- Configure políticas de retenção de registros adequadas para equilibrar as necessidades de segurança com os custos de armazenamento.
Monitore e mantenha sua rede
Esta recomendação é relevante para as seguintes áreas de foco:
- Geração de registros, auditoria e monitoramento
- Segurança para aplicativos
- Operações de segurança (SecOps)
- Segurança da infraestrutura
Ao planejar e implementar medidas de segurança, suponha que um invasor já esteja no seu ambiente. Essa abordagem proativa envolve o uso das seguintes ferramentas e técnicas para dar visibilidade à sua rede:
Registro e monitoramento centralizados: colete e analise registros de segurança de todos os seus recursos de nuvem usando o registro e monitoramento centralizados.
- Estabeleça valores de referência para o comportamento normal da rede, detecte anomalias e identifique possíveis ameaças.
- Analise continuamente os fluxos de tráfego de rede para identificar padrões suspeitos e possíveis ataques.
Insights sobre desempenho e segurança da rede: use ferramentas como o Network Analyzer. Monitore o tráfego em busca de protocolos incomuns, conexões inesperadas ou picos repentinos na transferência de dados, que podem indicar atividade maliciosa.
Verificação e correção de vulnerabilidades: verifique regularmente sua rede e seus aplicativos em busca de vulnerabilidades.
- Use o Web Security Scanner, que pode identificar automaticamente vulnerabilidades nas instâncias, contêineres e clusters do GKE do Compute Engine.
- Priorize a correção com base na gravidade das vulnerabilidades e no impacto potencial delas nos seus sistemas.
Detecção de intrusões: monitore o tráfego de rede em busca de atividades maliciosas e bloqueie ou receba alertas automaticamente sobre eventos suspeitos usando o Cloud IDS e o serviço de prevenção contra invasões do Cloud NGFW.
Análise de segurança: considere implementar o Google SecOps para correlacionar eventos de segurança de várias fontes, fornecer análise em tempo real de alertas de segurança e facilitar a resposta a incidentes.
Configurações consistentes: use ferramentas de gerenciamento de configuração para garantir que você tenha configurações de segurança consistentes em toda a rede.