El resumen de la guía básica de seguridad en la nube de Google
Google lanzó recientemente el nuevo Guía de fundamentos de seguridad en la nube. Vamos a desarmar la guía de Google y mostrarle lo que vale la pena investigar. Primero, una introducción.
«Esta guía completa lo ayuda a incorporar seguridad en sus implementaciones de Google Cloud». – Google
Qué está sucediendo: Los servicios de Google Cloud están disponibles, desplegados en la naturaleza, indómitos. Esta guía es la opinión «obstinada» autoproclamada de Google sobre cómo mantenerlos a salvo.
¿Es nueva esta guía? No, pero esta es la versión actualizada a partir de abril de 2021. El original fue publicado en agosto de 2020.
¿Qué cambió? Más orientación sobre gestión de redes y claves y nueva orientación sobre CICD (Integración Continua e Implementación Continua) seguros
¿Como funciona esto? Google tiene se asoció con la práctica cibernética de Delloitte para realizar todas las soluciones de seguridad recomendadas en esta guía.
¿Quién debería usarlo? Cualquiera que implemente soluciones de Google Cloud y quiera hacerlo de forma segura. Vamos a profundizar más en esto.
El panorama: El objetivo principal de esta guía es presentar la postura de seguridad recomendada por Google para la implementación de Google Cloud. Viene con ejemplos de planos completos de una empresa de muestra que implementa todas las soluciones recomendadas, que se pueden encontrar en su Repositorio de Terraformar para facilitar el seguimiento. En última instancia, esta guía manifiesta el primero de los tres inquilinos en el nuevo Google destino común modelo; despliegue, operaciones y transferencia de riesgos.
Vamos a profundizar en.
¿Qué puede esperar encontrar en esta guía?
La guía está organizada en los siguientes temas:
- modelo de seguridad de la fundación
- Diseño de cimientos
- El ejemplo de Google para la «estructura de organización obstinada»
- Despliegue de recursos
- Autorización y autenticación
- Redes
- Gestión de secretos
- Inicio sesión
- Controles de detectives
- Facturación
- Creación e implementación de aplicaciones seguras
- Guía general de seguridad
Junto con algunas actualizaciones específicas de la versión #1:
- Más información sobre la base, la infraestructura y las canalizaciones de implementación de aplicaciones
- Más orientación sobre seguridad de la red
- Arquitectura de red hub-and-spoke opcional con cortafuegos jerárquicos
- Nueva guía sobre gestión de claves y secretos
- Nuevo proceso de creación e implementación para aplicaciones seguras
Y opciones para un panel de cumplimiento genial:
Una vez que haya implementado su zona de aterrizaje utilizando esta guía y sus planos, puede ejecutar un diagnóstico de cumplimiento y obtener una vista del Panel de control de su posición en relación con el CIS 1.0, PCI-DSS 3.2.1, NIST-800-53 y ISO/CEI 27001 marcos Esta es una opción a través Centro de Comando de Seguridad Premium.
¿Cuáles son los mantras de seguridad subyacentes de Google Cloud?
La estrategia de seguridad principal de Google Cloud tiene tres vertientes y es transparente.
- Defensa en profundidad, a escala, por defecto
- Más allá de la producción Acercarse
- Destino común relación
Defensa en profundidad, a escala, por defecto
El principio rector de Google establece que nunca debe haber una sola línea de defensa para asegurar nada. Agregue a esto la creencia de que toda la seguridad debe ser escalable y automatizada («habilitada de forma predeterminada»).
Afirman que su guía se ejecuta y opera sobre estos principios:
“Los datos están protegidos de forma predeterminada a través de múltiples defensas en capas que utilizan políticas y controles que se configuran en los servicios de redes, cifrado, IAM, detección, registro y monitoreo”.
Enfoque BeyondProd
En una frase: segmentemos, comprendamos que no hay un perímetro y construyamos nuestros comandos de seguridad basados en hacer que los movimientos laterales de la red sean casi imposibles (o muy difíciles) de lograr.
El enfoque de BeyondProd (2019) es un desarrollo del enfoque de BeyondCorp (2014) que básicamente reconoció la ausencia de cualquier perímetro práctico y cambió la seguridad en consecuencia. BeyondProd hizo “por las cargas de trabajo y las identidades de servicio lo que BeyondCorp hizo por las estaciones de trabajo y los usuarios”. Utiliza un modelo de confianza cero y segmenta grandes aplicaciones en microservicios para aislar, proporcionar escalabilidad y aumentar la eficiencia; hacer de la «viaje libre» en el interior de un «perímetro» un sueño de Black Hat del pasado.
Enfoque de destino compartido
En lugar de decir «todos compartimos la responsabilidad» y delinear dónde termina Google y comienza el tuyo, Google ahora dice «todos para uno y uno para todos». Como parte de su enfoque de destino compartido, está dando un paso adelante de manera proactiva para proporcionar las herramientas y los recursos (es decir, esta guía) para adelantarse a los problemas de seguridad y convertirlo en una situación de hundimiento o nado para ambas partes.
Esto incluye «proporcionar capacidades holísticas a lo largo de su viaje del día 0 al día N» durante:
- Tiempo de construcción – Proporcionar bases de seguridad y planos con las mejores prácticas predeterminadas codificadas
- Tiempo de implementación – cargas de trabajo aseguradas y las políticas tendrán «barandillas» para asegurarse de que se sigan sus controles de seguridad
- tiempo de ejecución – Las características proactivas como visibilidad, monitoreo, alerta y acción correctiva estarán disponibles a través de Centro de Comando de Seguridad Premium
¿Quién en su organización utilizará esto y cómo?
Depende de quién sea, pero los siguientes roles pueden utilizar la guía y los planos de Terraform:
- Oficial de Riesgos y Cumplimiento
Implemente automáticamente los controles disponibles en Google Cloud y comprenda cuáles son. También brinda visibilidad de las áreas de desviación de control y zona roja en el cumplimiento normativo.
- Líder de negocios
Identifique las habilidades que necesitarán sus equipos para mitigar el riesgo en Google Cloud. Comparta la documentación de referencia de seguridad de Google con sus equipos de cumplimiento y riesgo.
- Ingeniero de Seguridad
Descubra cómo operar e integrar múltiples controles de seguridad
- Practicante de seguridad
Obtenga instrucciones detalladas sobre cómo implementar las prácticas recomendadas de seguridad para configurar, implementar y ejecutar una zona de aterrizaje centrada en la seguridad para las ofertas de Google Cloud
- Líder de seguridad
Comprender los principios rectores de seguridad de Google y cómo implementarlos mejor para asegurar la implementación.
La línea de fondo
La Guía de fundamentos de seguridad de Google Cloud es su opción patrocinada para proteger las ofertas de servicios de Google Cloud. Puede tomarse tal cual o personalizarse según las distinciones de la empresa, pero lista para usar, es una solución viable para las empresas que migran a los servicios de Google Cloud. La forma en que lo use dependerá de quién es usted, las necesidades de su empresa específica y los intereses de seguridad finales de su empresa y su participación en la plataforma Google Cloud.
Dado que la mayoría de las empresas operan en entornos de múltiples nubes, deben optar por soluciones de seguridad en la nube que puedan ayudarlos a proteger sus aplicaciones y datos en todas las plataformas en la nube de manera simplificada. El Administrador de configuración de HCiberSegurityofrece este nivel de simplicidad y le permite automatizar la aplicación de políticas y solucionar primero los riesgos más altos utilizando la puntuación de riesgo priorizada para todas las configuraciones incorrectas no resueltas. El Administrador de configuración elimina toda la niebla y la fricción, ya que le brinda la capacidad de ver la configuración y el estado de cumplimiento de todos sus activos en un solo entorno de informes.
Puede obtener más información descargando la hoja de datos de Configuration Manager.
