Google Cloud Well-Architected Framework のセキュリティの柱におけるこの原則は、クラウド ワークロード全体で包括的なセキュリティを確保するうえで役立ちます。ゼロトラストの原則では、次のプラクティスが重視されます。
- 暗黙的な信頼の排除
- アクセス制御に最小権限の原則を適用する
- すべてのアクセス リクエストの明示的な検証を適用する
- 継続的な検証とセキュリティ体制のモニタリングを可能にするために、侵害を想定した考え方を採用する
原則の概要
ゼロトラスト モデルでは、セキュリティの焦点が境界ベースのセキュリティから、ユーザーやデバイスは本質的に信頼できるとは見なされないアプローチに移行します。代わりに、アクセス リクエストは発信元に関係なく検証する必要があります。このアプローチでは、すべてのユーザーとデバイスを認証して認可し、コンテキスト（場所とデバイスのポスチャー）を検証し、必要なリソースにのみ最小権限のアクセス権を付与します。
ゼロトラスト モデルを実装すると、潜在的な侵害の影響を最小限に抑え、機密データとアプリケーションを不正アクセスから保護することで、組織のセキュリティ体制を強化できます。ゼロトラスト モデルは、クラウド内のデータとリソースの機密性、完全性、可用性を確保するのに役立ちます。
推奨事項
クラウド ワークロードにゼロトラスト モデルを実装するには、次のセクションの推奨事項を検討してください。
ネットワークを保護する
この推奨事項は、インフラストラクチャ セキュリティという重点分野に関連しています。
従来の境界ベースのセキュリティからゼロトラスト モデルへの移行には、複数の手順が必要です。組織によっては、すでに特定のゼロトラスト制御をセキュリティ体制に統合している場合があります。ただし、ゼロトラスト モデルは単一のプロダクトやソリューションではありません。複数のセキュリティ レイヤとベスト プラクティスを統合したものです。このセクションでは、ネットワーク セキュリティにゼロトラストを実装するためのおすすめの方法と手法について説明します。
- アクセス制御: Chrome Enterprise Premium や Identity-Aware Proxy（IAP）などのソリューションを使用して、ユーザー ID とコンテキストに基づいてアクセス制御を適用します。これにより、セキュリティがネットワーク境界から個々のユーザーやデバイスに移行します。このアプローチにより、きめ細かいアクセス制御が可能になり、攻撃対象領域が縮小されます。
- ネットワーク セキュリティ: オンプレミス環境、 Google Cloud環境、マルチクラウド環境間のネットワーク接続を保護します。
- Cloud Interconnect と IPsec VPN のプライベート接続方法を使用します。
- Google Cloud サービスと API へのアクセスを保護するには、Private Service Connect を使用します。
- GKE Enterprise にデプロイされたワークロードからのアウトバウンド アクセスを保護するには、Cloud Service Mesh の下り（外向き）ゲートウェイを使用します。
- ネットワーク設計: 既存のプロジェクトでデフォルト ネットワークを削除し、新しいプロジェクトでデフォルト ネットワークの作成を無効にすることで、潜在的なセキュリティ リスクを防ぎます。
- 競合を回避するには、ネットワークと IP アドレスの割り振りを慎重に計画してください。
- アクセス制御を効果的に実施するには、プロジェクトあたりの Virtual Private Cloud（VPC）ネットワークの数を制限します。
- セグメンテーション: ワークロードを分離しますが、ネットワーク管理は一元化されたままです。
- ネットワークをセグメント化するには、共有 VPC を使用します。
- 組織、フォルダ、VPC ネットワークのレベルでファイアウォール ポリシーとルールを定義します。
- データの引き出しを防ぐには、VPC Service Controls を使用して、機密データとサービスの周囲に安全な境界を確立します。
- 境界セキュリティ: DDoS 攻撃とウェブ アプリケーションの脅威から保護します。
- 脅威から保護するには、Google Cloud Armor を使用します。
- Google Cloud エッジでトラフィックを許可、拒否、またはリダイレクトするようにセキュリティ ポリシーを構成します。
- 自動化: Infrastructure as Code（IaC）の原則を採用し、Terraform、Jenkins、Cloud Build などのツールを使用して、インフラストラクチャのプロビジョニングを自動化します。IaC は、一貫したセキュリティ構成、デプロイの簡素化、問題発生時の迅速なロールバックを保証するのに役立ちます。
- 安全な基盤: エンタープライズ基盤ブループリントを使用して、安全なアプリケーション環境を確立します。このブループリントでは、セキュリティのベスト プラクティスを実装し、Google Cloud リソースを安全に構成するための規範的なガイダンスと自動化スクリプトを提供します。
すべてのアクセス試行を明示的に検証する
この推奨事項は、次の重点分野に関連しています。
- ID とアクセスの管理
- セキュリティ運用（SecOps）
- ロギング、監査、モニタリング
クラウド リソースにアクセスしようとするユーザー、デバイス、サービスに対して、厳格な認証メカニズムと認可メカニズムを実装します。セキュリティ制御として、ロケーションやネットワーク境界に依存しないでください。ネットワーク内にすでに存在する場合でも、ユーザー、デバイス、サービスを自動的に信頼しないでください。代わりに、リソースへのアクセス試行はすべて厳密に認証され、認可される必要があります。多要素認証（MFA）などの強力な本人確認対策を実装する必要があります。また、アクセス権判定が、ユーザーの役割、デバイスのポスチャー、場所などのさまざまなコンテキスト要素を考慮したきめ細かいポリシーに基づいて行われるようにする必要があります。
この推奨事項を実装するには、次の方法、ツール、テクノロジーを使用します。
- 統合 ID 管理: 単一の ID プロバイダ（IdP）を使用して、組織全体で一貫した ID 管理を実現します。
- Google Cloud は、オンプレミスの Active Directory など、ほとんどの IdP との連携をサポートしています。連携を使用すると、既存の ID 管理インフラストラクチャを Google Cloud に拡張し、ユーザーのシングル サインオン（SSO）を有効にできます。
- 既存の IdP がない場合は、Cloud Identity Premium または Google Workspace の使用を検討してください。
- サービス アカウントの権限を制限する: サービス アカウントを慎重に使用し、最小権限の原則を遵守します。
- 各サービス アカウントが指定されたタスクを実行するために必要な権限のみを付与します。
- Google Kubernetes Engine（GKE）で実行されるアプリケーション、またはGoogle Cloud の外部で実行されるアプリケーションがリソースに安全にアクセスするには、Workload Identity 連携を使用します。
- 堅牢なプロセス: クラウド セキュリティのベスト プラクティスに沿って ID プロセスを更新します。
- 規制要件の遵守を確実にするため、ID ガバナンスを実装して、アクセス、リスク、ポリシー違反を追跡します。
- アクセス制御のロールと権限の付与と監査に関する既存のプロセスを確認して更新します。
- 強力な認証: ユーザー認証に SSO を実装し、特権アカウントに MFA を実装します。
- Google Cloud は、セキュリティ強化のために Titan セキュリティ キーなど、さまざまな MFA 手法をサポートしています。
- ワークロード認証には、OAuth 2.0 または署名付き JSON ウェブトークン（JWT）を使用します。
- 最小権限: 最小権限の原則と職務分離の原則を適用することで、不正アクセスとデータ侵害のリスクを最小限に抑えます。
- ユーザー アクセスのオーバープロビジョニングを回避します。
- 機密性の高いオペレーションにジャストインタイム特権アクセスを実装することを検討します。
- ロギング: 管理者とデータアクセス アクティビティの監査ロギングを有効にします。
- 分析と脅威の検出を行うには、Security Command Center Enterprise または Google Security Operations を使用してログをスキャンします。
- セキュリティ ニーズとストレージ費用とのバランスを取るように、適切なログ保持ポリシーを構成します。
ネットワークのモニタリングとメンテナンス
この推奨事項は、次の重点分野に関連しています。
- ロギング、監査、モニタリング
- アプリケーションのセキュリティ
- セキュリティ運用（SecOps）
- インフラストラクチャのセキュリティ
セキュリティ対策を計画して実装する際は、攻撃者がすでに環境内に侵入していることを前提としてください。この事前対応型のアプローチでは、次の複数のツールと手法を使用して、ネットワークの可視性を高めます。
ロギングとモニタリングの一元化: 一元化されたロギングとモニタリングを通じて、すべてのクラウド リソースからセキュリティ ログを収集して分析します。
- 通常のネットワーク動作のベースラインを確立し、異常を検出し、潜在的な脅威を特定します。
- ネットワーク トラフィック フローを継続的に分析して、疑わしいパターンと潜在的な攻撃を特定します。
ネットワーク パフォーマンスとセキュリティに関する分析情報: ネットワーク アナライザなどのツールを使用します。トラフィックをモニタリングして、悪意のあるアクティビティを示す可能性のある異常なプロトコル、予期しない接続、データ転送の急増がないか確認します。
脆弱性のスキャンと修復: ネットワークとアプリケーションの脆弱性を定期的にスキャンします。
- Web Security Scanner を使用します。これは、Compute Engine インスタンス、コンテナ、GKE クラスタの脆弱性を自動的に特定できます。
- 脆弱性の重大度とシステムに対する潜在的な影響に基づいて、修復の優先順位を付けます。
侵入検知: Cloud IDS と Cloud NGFW 侵入防止サービスを使用して、ネットワーク トラフィックで悪意のあるアクティビティをモニタリングし、不審なイベントを自動的にブロックするか、アラートを取得します。
セキュリティ分析: Google SecOps の実装を検討して、さまざまなソースからのセキュリティ イベントを関連付け、セキュリティ アラートのリアルタイム分析を提供し、インシデント対応を容易にします。
一貫性のある構成: 構成管理ツールを使用して、ネットワーク全体で一貫性のあるセキュリティ構成を確保します。