Ce principe du pilier de sécurité du Google Cloud Framework Well-Architected vous aide à garantir une sécurité complète pour vos charges de travail cloud. Le principe de "zéro confiance" met l'accent sur les pratiques suivantes :
- Éliminer la confiance implicite
- Appliquer le principe du moindre privilège au contrôle des accès
- Appliquer la validation explicite de toutes les demandes d'accès
- Adopter un état d'esprit "assume-breach" pour permettre la vérification continue et la surveillance de la posture de sécurité
Présentation des principes
Le modèle zéro confiance déplace l'accent de la sécurité périmétrique vers une approche où aucun utilisateur ni appareil n'est considéré comme intrinsèquement fiable. Chaque demande d'accès doit être vérifiée, quelle que soit son origine. Cette approche consiste à authentifier et autoriser chaque utilisateur et appareil, à valider leur contexte (emplacement et posture de l'appareil), et à accorder un accès moindre privilège uniquement aux ressources nécessaires.
L'implémentation du modèle zéro confiance aide votre organisation à améliorer sa stratégie de sécurité en minimisant l'impact des potentielles violations et en protégeant les données et applications sensibles contre les accès non autorisés. Le modèle Zero Trust vous aide à garantir la confidentialité, l'intégrité et la disponibilité des données et des ressources dans le cloud.
Recommandations
Pour implémenter le modèle Zero Trust pour vos charges de travail cloud, tenez compte des recommandations des sections suivantes :
- Sécuriser votre réseau
- Validez explicitement chaque tentative d'accès.
- Surveiller et gérer votre réseau
Sécuriser votre réseau
Cette recommandation concerne le domaine d'intérêt suivant : sécurité de l'infrastructure.
La transition d'une sécurité périmétrique conventionnelle vers un modèle zéro confiance nécessite plusieurs étapes. Il est possible que votre organisation ait déjà intégré certaines commandes zéro confiance à sa stratégie de sécurité. Toutefois, un modèle zéro confiance n'est pas un produit ni une solution unique. Il s'agit plutôt d'une intégration holistique de plusieurs couches de sécurité et bonnes pratiques. Cette section décrit les recommandations et les techniques permettant d'implémenter le modèle Zéro Trust pour la sécurité du réseau.
- Contrôle des accès : appliquez des contrôles des accès basés sur l'identité et le contexte des utilisateurs à l'aide de solutions telles que Chrome Enterprise Premium et Identity-Aware Proxy (IAP). Vous déplacez ainsi la sécurité du périmètre réseau vers les utilisateurs et appareils individuels. Cette approche permet un contrôle d'accès précis et réduit la surface d'attaque.
- Sécurité du réseau : sécurisez les connexions réseau entre vos environnements sur site, Google Cloudet multicloud.
- Utilisez les méthodes de connectivité privée de Cloud Interconnect et des VPN IPsec.
- Pour sécuriser l'accès aux services et aux API Google Cloud , utilisez Private Service Connect.
- Pour sécuriser l'accès sortant des charges de travail déployées sur GKE Enterprise, utilisez les passerelles de sortie Cloud Service Mesh.
- Conception du réseau : évitez les risques de sécurité potentiels en supprimant les réseaux par défaut dans les projets existants et en désactivant la création de réseaux par défaut dans les nouveaux projets.
- Pour éviter les conflits, planifiez soigneusement votre réseau et l'allocation d'adresses IP.
- Pour appliquer un contrôle des accès efficace, limitez le nombre de réseaux de cloud privé virtuel (VPC) par projet.
- Segmentation : isolez les charges de travail tout en conservant une gestion centralisée du réseau.
- Pour segmenter votre réseau, utilisez le VPC partagé.
- Définissez des stratégies et des règles de pare-feu au niveau de l'organisation, du dossier et du réseau VPC.
- Pour éviter l'exfiltration de données, établissez des périmètres sécurisés autour des données et services sensibles à l'aide de VPC Service Controls.
- Sécurité du périmètre : protégez-vous contre les attaques DDoS et les menaces liées aux applications Web.
- Pour vous protéger contre les menaces, utilisez Google Cloud Armor.
- Configurez des stratégies de sécurité pour autoriser, refuser ou rediriger le trafic à la périphérieGoogle Cloud .
- Automatisation : automatisez le provisionnement de l'infrastructure en adoptant les principes de l'infrastructure en tant que code (IaC) et en utilisant des outils tels que Terraform, Jenkins et Cloud Build. L'IaC permet d'assurer des configurations de sécurité cohérentes, de simplifier les déploiements et d'effectuer des rollbacks rapides en cas de problème.
- Base sécurisée : établissez un environnement d'application sécurisé à l'aide du plan de base d'entreprise. Ce plan fournit des conseils prescriptifs et des scripts d'automatisation pour vous aider à mettre en œuvre les bonnes pratiques de sécurité et à configurer vos ressourcesGoogle Cloud de manière sécurisée.
Vérifier explicitement chaque tentative d'accès
Cette recommandation concerne les domaines d'intérêt suivants :
- Gestion de l'authentification et des accès
- Opérations de sécurité (SecOps)
- Journalisation, audit et surveillance
Mettez en œuvre des mécanismes d'authentification et d'autorisation stricts pour tout utilisateur, appareil ou service qui tente d'accéder à vos ressources cloud. Ne vous fiez pas au périmètre géographique ou réseau comme contrôle de sécurité. N'accordez pas automatiquement votre confiance à un utilisateur, un appareil ou un service, même s'ils se trouvent déjà dans le réseau. Au lieu de cela, chaque tentative d'accès aux ressources doit être rigoureusement authentifiée et autorisée. Vous devez mettre en œuvre des mesures d'authentification forte de l'identité, comme l'authentification multifacteur (MFA). Vous devez également vous assurer que les décisions d'accès sont basées sur des règles précises qui tiennent compte de divers facteurs contextuels tels que le rôle de l'utilisateur, la posture de l'appareil et l'emplacement.
Pour mettre en œuvre cette recommandation, utilisez les méthodes, outils et technologies suivants :
- Gestion unifiée des identités : assurez une gestion cohérente des identités dans toute votre organisation en utilisant un seul fournisseur d'identité (IdP).
- Google Cloud est compatible avec la fédération avec la plupart des IdP, y compris Active Directory sur site. La fédération vous permet d'étendre votre infrastructure de gestion des identités existante à Google Cloud et d'activer l'authentification unique (SSO) pour les utilisateurs.
- Si vous ne disposez d'aucun fournisseur d'identité, envisagez d'utiliser Cloud Identity Premium ou Google Workspace.
- Autorisations limitées des comptes de service : utilisez les comptes de service avec précaution et respectez le principe du moindre privilège.
- N'accordez à chaque compte de service que les autorisations nécessaires pour effectuer les tâches qui lui sont attribuées.
- Utilisez la fédération d'identité de charge de travail pour les applications qui s'exécutent sur Google Kubernetes Engine (GKE) ou en dehors deGoogle Cloud afin d'accéder aux ressources de manière sécurisée.
- Processus robustes : mettez à jour vos processus d'identité pour les aligner sur les bonnes pratiques de sécurité du cloud.
- Pour vous assurer de respecter les exigences réglementaires, implémentez la gouvernance des identités afin de suivre les accès, les risques et les cas de non-respect des règles.
- Examinez et mettez à jour vos processus existants pour accorder et auditer les rôles et autorisations de contrôle des accès.
- Authentification forte : implémentez l'authentification unique pour l'authentification des utilisateurs et l'authentification MFA pour les comptes privilégiés.
- Google Cloud est compatible avec différentes méthodes MFA, y compris les clés de sécurité Titan, pour une sécurité renforcée.
- Pour l'authentification des charges de travail, utilisez OAuth 2.0 ou des jetons Web JSON (JWT) signés.
- Moindre privilège : minimisez le risque d'accès non autorisé et de violations de données en appliquant les principes du moindre privilège et de la séparation des tâches.
- Évitez de surprovisionner l'accès des utilisateurs.
- Envisagez d'implémenter un accès privilégié avec le juste-à-temps pour les opérations sensibles.
- Journalisation : activez la journalisation des activités d'administration et d'accès aux données.
- Pour l'analyse et la détection des menaces, analysez les journaux à l'aide de Security Command Center Enterprise ou de Google Security Operations.
- Configurez des règles de conservation des journaux appropriées pour équilibrer les besoins de sécurité et les coûts de stockage.
Surveiller et gérer votre réseau
Cette recommandation concerne les domaines d'intérêt suivants :
- Journalisation, audit et surveillance
- Sécurité des applications
- Opérations de sécurité (SecOps)
- Sécurité de l'infrastructure
Lorsque vous planifiez et mettez en œuvre des mesures de sécurité, partez du principe qu'un pirate informatique se trouve déjà dans votre environnement. Cette approche proactive implique l'utilisation de plusieurs outils et techniques pour vous donner de la visibilité sur votre réseau :
Journalisation et surveillance centralisées : collectez et analysez les journaux de sécurité de toutes vos ressources cloud grâce à la journalisation et à la surveillance centralisées.
- Établissez des références pour le comportement normal du réseau, détectez les anomalies et identifiez les menaces potentielles.
- Analysez en continu les flux de trafic réseau pour identifier les schémas suspects et les attaques potentielles.
Obtenez des insights sur les performances et la sécurité du réseau : utilisez des outils tels que Network Analyzer. Surveillez le trafic pour détecter les protocoles inhabituels, les connexions inattendues ou les pics soudains de transfert de données, qui peuvent indiquer une activité malveillante.
Analyse et correction des failles : analysez régulièrement votre réseau et vos applications pour détecter les failles.
- Utilisez Web Security Scanner, qui peut identifier automatiquement les failles dans vos instances Compute Engine, vos conteneurs et vos clusters GKE.
- Hiérarchisez les mesures correctives en fonction de la gravité des failles et de leur impact potentiel sur vos systèmes.
Détection des intrusions : surveillez le trafic réseau pour détecter les activités malveillantes, et bloquez automatiquement les événements suspects ou recevez des alertes à leur sujet à l'aide de Cloud IDS et du service de prévention des intrusions Cloud NGFW.
Analyse de la sécurité : envisagez d'implémenter Google SecOps pour corréler les événements de sécurité provenant de différentes sources, fournir une analyse en temps réel des alertes de sécurité et faciliter la réponse aux incidents.
Configurations cohérentes : assurez-vous d'avoir des configurations de sécurité cohérentes sur l'ensemble de votre réseau en utilisant des outils de gestion de la configuration.