En este tema, se proporciona una descripción general de los Controles del servicio de VPC y se describen sus ventajas. y capacidades.
Quiénes deben usar los Controles del servicio de VPC
Es posible que tu organización posea propiedad intelectual en forma de datos sensibles o que tu organización maneje datos sensibles que estén sujetos a reglamentaciones adicionales de protección de datos, como PCI DSS. Pérdida involuntaria o la divulgación de datos sensibles puede dar lugar a resultados comerciales negativos implicancias.
Si estás migrando de un entorno local a la nube, uno de tus objetivos podría ser para replicar su arquitectura de seguridad basada en la red local a medida que avanza tus datos a Google Cloud. Para proteger los datos altamente sensibles, para garantizar que solo se pueda acceder a tus recursos desde redes de confianza. Algunos las organizaciones pueden permitir el acceso público a los recursos, siempre y cuando la solicitud Se origina en una red de confianza, que puede identificarse según la dirección IP dirección de la solicitud.
Para mitigar los riesgos de robo de datos, es posible que tu organización también desee garantizar intercambio de datos seguro más allá de los límites organizacionales con controles de seguridad. Como administrador, recomendamos que te asegures de lo siguiente:
- Los clientes con acceso con privilegios no tienen acceso a los recursos de los socios.
- Los clientes con acceso a datos sensibles solo pueden leer conjuntos de datos públicos, escribirles.
Cómo los Controles del servicio de VPC reducen los riesgos de robo de datos
Los Controles del servicio de VPC te protegen contra acciones accidentales o orientadas por entidades externas o internas, lo que ayuda a minimizar riesgos de robo de datos desde servicios de Google Cloud como Cloud Storage y en BigQuery. Puedes usar Controles del servicio de VPC para crear perímetros que protejan los recursos y datos de los servicios que especifiques de forma explícita.
Los Controles del servicio de VPC protegen tus servicios de Google Cloud definiendo los siguientes controles:
Los clientes dentro de un perímetro que tienen acceso privado a los recursos no tienen acceso a recursos no autorizados (es posible que sean públicos) fuera del perímetro.
No se pueden copiar los datos en recursos no autorizados fuera del perímetro mediante operaciones de servicio como
gcloud storage cp
obq mk
.Intercambio de datos entre clientes y recursos separados por perímetros está asegurado mediante las reglas de entrada y salida.
El acceso adaptado al contexto de los recursos se basa en atributos del cliente, como el tipo de identidad (cuenta de servicio o usuario), identidad, datos del dispositivo y origen de red (dirección IP o red de VPC). Los siguientes son ejemplos de acceso adaptado al contexto:
Los clientes fuera del perímetro que están en Google Cloud o locales se encuentran dentro de los recursos de VPC autorizados y usan Acceso privado a Google para acceder a los recursos dentro de un perímetro.
El acceso a Internet a los recursos dentro de un perímetro está restringido a un rango de direcciones IPv4 y de IPv6.
Para obtener más información, consulta Acceso adaptado al contexto mediante reglas de entrada.
Los Controles del servicio de VPC proporcionan una capa extra de defensa de seguridad para los servicios de Google Cloud, que es independiente de la administración de identidades y accesos (IAM). Si bien IAM habilita un control de acceso basado en la identidad detallado, los Controles del servicio de VPC permiten una seguridad perimetral basada en el contexto más amplia, que incluye el control de salida de datos en todo el perímetro. Recomendamos usar IAM y los Controles del servicio de VPC para una defensa en profundidad.
Los Controles del servicio de VPC permiten supervisar los patrones de acceso a los recursos en tus perímetros de servicio con los Registros de auditoría de Cloud. Para obtener más información, consulta Registro de auditoría de los Controles del servicio de VPC.
Beneficios de seguridad de los Controles del servicio de VPC
Los Controles del servicio de VPC ayudan a mitigar los siguientes riesgos de seguridad sin perder las ventajas de rendimiento del acceso privado directo a los recursos de Google Cloud:
Acceso desde redes no autorizadas con credenciales robadas: Mediante lo que permite el acceso privado únicamente desde redes de VPC autorizadas Los Controles del servicio de VPC te protegen contra el riesgo de robo de datos que presentan los clientes mediante el robo de credenciales de cuentas de servicio o OAuth.
Robo de datos debido a usuarios maliciosos con información privilegiada o un código vulnerado: los Controles del servicio de VPC complementan los controles de salida de red, ya que evitan que los clientes dentro de esas redes accedan a los recursos de servicios administrados por Google fuera del perímetro.
Controles del servicio de VPC también evita que se lean datos desde un recurso fuera del perímetro o se copien datos en él. Controles del servicio de VPC evita que las operaciones de servicio, como un comando
gcloud storage cp
en un bucket público de Cloud Storage o un comandobq mk
en una tabla externa de BigQuery permanente.Google Cloud también proporciona una IP virtual restringida que se integra en los Controles del servicio de VPC. La VIP restringida también permite solicitudes se realizará a los servicios compatibles con los Controles del servicio de VPC sin exponer esas solicitudes a Internet.
Exposición pública de datos privados debido a políticas de IAM mal configuradas: los Controles del servicio de VPC proporcionan una capa extra de seguridad mediante la denegación del acceso desde redes no autorizadas, incluso si los datos están expuestos por políticas de IAM mal configuradas.
Supervisión del acceso a los servicios: Usa los Controles del servicio de VPC en la ejecución de prueba. para supervisar las solicitudes a servicios protegidos sin impedir el acceso y comprender el tráfico solicitudes a tus proyectos. También puedes crear perímetros honeypot para identificar intentos inesperados o maliciosos de sondear los servicios accesibles.
Puedes usar una política de acceso de la organización y configurar los Controles del servicio de VPC para toda tu organización de Google Cloud o usar permisos políticas y configurar Los Controles del servicio de VPC de una carpeta o un proyecto de la organización Usted conserva las y flexibilidad para procesar, transformar y copiar datos dentro del perímetro.
Los parámetros de configuración de los Controles del servicio de VPC se administran a nivel de la organización predeterminadas, pero las políticas de acceso con permiso para carpetas o proyectos se pueden usar para y delegar la administración de perímetros de servicio más abajo en el recurso en la nube.
Controles del servicio de VPC y metadatos
Los Controles del servicio de VPC no están diseñados para aplicar controles integrales sobre el movimiento de los metadatos.
En este contexto, los datos se definen como el contenido almacenado en un recurso de Google Cloud. Por ejemplo, el contenido de un objeto de Cloud Storage. Los metadatos se definen como los atributos de la recurso o su superior. Por ejemplo, los nombres de depósitos de Cloud Storage.
El objetivo principal de Controles del servicio de VPC es controlar el movimiento de datos, en lugar de metadatos, a través de un perímetro de servicio a través de servicios compatibles. Controles del servicio de VPC también administra el acceso a los metadatos, pero es posible que se puedan copiar y acceder a metadatos sin las verificaciones de política de Controles del servicio de VPC.
Te recomendamos que te bases en IAM, incluido el uso de roles personalizados para garantizar un control adecuado sobre el acceso a los metadatos.
Funciones
Los Controles del servicio de VPC te permiten definir políticas de seguridad a los servicios administrados por Google fuera de un perímetro de confianza, bloquear el acceso desde ubicaciones no confiables y mitigar los riesgos de robo de datos.
Puedes usar Controles del servicio de VPC para los siguientes casos de uso:
Aislar los recursos de Google Cloud y las redes de VPC en perímetros de servicio
Extender perímetros a redes locales mediante VPN o redes de VPC de zona de destino de Cloud Interconnect.
Controlar el acceso a los recursos de Google Cloud desde Internet
Proteger el intercambio de datos en perímetros y organizaciones mediante las reglas de entrada y salida
Permitir el acceso adaptado al contexto de los recursos según los atributos del cliente mediante reglas de entrada
Aislar los recursos de Google Cloud en perímetros de servicio
Un perímetro de servicio crea un límite de seguridad en torno a los recursos de Google Cloud. Un perímetro de servicio permite una comunicación libre dentro del perímetro pero, de forma predeterminada, bloquea la comunicación con los servicios de Google Cloud en perímetro de servicio.
El perímetro funciona en particular con los servicios administrados de Google Cloud. El perímetro no bloquea el acceso a las APIs o servicios de terceros a Internet.
Puedes configurar un perímetro para controlar los siguientes tipos de comunicaciones:
- Desde la Internet pública hasta los recursos del cliente en los servicios administrados
- De máquinas virtuales (VMs) a un servicio de Google Cloud (API)
- Entre servicios de Google Cloud
Los Controles del servicio de VPC no requieren (VPC). Para usar los Controles del servicio de VPC sin tener ningún recurso en una VPC puedes permitir el tráfico de rangos de IP externas o ciertos IAM. Para obtener más información, consulta Crea y administra los niveles de acceso.
Estos son algunos ejemplos de los Controles del servicio de VPC que crean un límite de seguridad:
Una VM dentro de una red de VPC que es parte de un perímetro de servicio pueden leer o escribir en un bucket en el mismo perímetro. Sin embargo, los Controles del servicio de VPC no permiten que las VM dentro de redes de VPC que están fuera del perímetro accedan a depósitos de Cloud Storage que están dentro del perímetro. Debes especificar una política de entrada para permitir las VMs dentro de redes de VPC que están fuera perímetro para acceder a los buckets de Cloud Storage que están dentro de él.
Un proyecto host con varias redes de VPC tiene un perímetro diferente política para cada red de VPC en el proyecto host.
Una operación de copia entre dos buckets de Cloud Storage se realiza de forma correcta si ambos buckets están en el mismo perímetro de servicio, pero si uno de los buckets está fuera del perímetro, la operación de copia falla.
Los Controles del servicio de VPC no permiten que una VM dentro de una red de VPC que se encuentra dentro de un perímetro de servicio acceda a los depósitos de Cloud Storage que están fuera del perímetro.
En el siguiente diagrama, se muestra un perímetro de servicio que permite la comunicación entre un proyecto de VPC y un bucket de Cloud Storage dentro del perímetro, pero bloquea toda la comunicación fuera de este:
Extiende los perímetros a una VPN autorizada o a Cloud Interconnect
Puedes configurar la comunicación privada con los recursos de Google Cloud desde las redes de VPC que abarcan entornos híbridos con extensiones locales del Acceso privado a Google. Acceso privado recursos de Google Cloud dentro de un perímetro, la red de VPC que contiene la zona de destino local debe ser parte del perímetro para recursos en la red local.
Las VMs con direcciones IP privadas en una red de VPC protegida por una desde el perímetro de servicio no puede acceder a los recursos administrados fuera de él. Si es necesario, puedes seguir habilitando el acceso inspeccionado y auditado a todos Las APIs de Google (por ejemplo, Gmail) a través de Internet
En el siguiente diagrama, se muestra un perímetro de servicio que se extiende a entornos híbridos con el Acceso privado a Google:
Controla el acceso a los recursos de Google Cloud desde Internet
El acceso desde Internet a los recursos administrados dentro de un perímetro de servicio se rechaza de forma predeterminada. De manera opcional, puedes habilitar el acceso según el contexto de la solicitud. Para hacerlo, puedes crear reglas de entrada o niveles de acceso que permitan en función de diversos atributos, como la dirección IP de origen, la identidad proyecto de origen de Google Cloud. Si las solicitudes realizadas desde Internet no cumplen con los definidos en la regla de entrada o el nivel de acceso, se rechazan las solicitudes.
Para usar la consola de Google Cloud con el fin de acceder a los recursos dentro de un perímetro, debes configurar un nivel de acceso que permita el acceso desde uno o más rangos de IPv4 y de IPv6 o a cuentas de usuario específicas.
En el siguiente diagrama, se muestra un perímetro de servicio que permite el acceso desde Internet a los recursos protegidos en función de los niveles de acceso configurados, como la dirección IP o la política de dispositivo:
Otros controles para mitigar los riesgos de robo de datos
Uso compartido restringido al dominio: Puedes considerar establecer una configuración política para limitar el uso compartido de recursos a identidades que pertenecen a un recurso de la organización. Para obtener más información, consulta Restringe identidades dominio.
Acceso uniforme a nivel de bucket: permite controlar de manera uniforme el acceso a tus buckets de Cloud Storage, te recomendamos configurar bucket a nivel permisos de IAM. El uso del acceso uniforme a nivel de bucket te permite usar otras funciones de seguridad de Google Cloud, como el uso compartido restringido del dominio, federación de identidades de personal e IAM y condiciones.
Autenticación de varios factores: Te recomendamos que uses varios factores. autenticación para acceder a tus recursos de Google Cloud.
Automatización con herramientas de infraestructura como código: Te recomendamos lo siguiente: implementar buckets de Cloud Storage con una herramienta de automatización para controlar el acceso a los buckets. Pasa la infraestructura como código de forma manual o automatizada. revisiones antes de la implementación.
Análisis posteriores a la implementación: considera usar los siguientes de análisis posteriores a la implementación para buscar buckets abiertos de Cloud Storage:
- Security Command Center
- Cloud Asset Inventory, para hacer búsquedas en el historial de metadatos de activos y analizarlos Política de IAM para comprender quién tiene acceso a qué.
- Herramientas de terceros, como Palo Alto PrismaCloud
Desidentificación de datos sensibles: Considera usar Sensitive Data Protection para descubrir, clasificar y desidentificar sensibles dentro y fuera de Google Cloud. Desidentificación de datos sensibles los datos se pueden hacer mediante ocultamiento, asignación de token o encriptación.
Servicios no compatibles
Para obtener más información sobre los productos y servicios compatibles con los Controles del servicio de VPC, consulta la página Productos compatibles.
Intentar restringir un servicio no compatible mediante la herramienta de línea de comandos de gcloud
o la API de Access Context Manager generará un error.
Los Controles del servicio de VPC bloquearán el acceso entre proyectos a los datos de los servicios compatibles. Además, la VIP restringida se puede usar para bloquear la capacidad de las cargas de trabajo de llamar a servicios no compatibles.
Limitaciones conocidas
Hay algunas limitaciones conocidas con ciertos servicios de Google Cloud, los productos y las interfaces cuando usas los Controles del servicio de VPC. Por ejemplo: Los Controles del servicio de VPC no son compatibles con todos los servicios de Google Cloud. Por lo tanto, no habilites los servicios de Google Cloud no compatibles en el perímetro. Para obtener más información, consulta la lista de productos compatibles con los Controles del servicio de VPC. Si necesitas usar un servicio que no es compatible con los Controles del servicio de VPC, habilitar el servicio en un proyecto que esté fuera del perímetro.
Te recomendamos que revises las limitaciones conocidas antes de incluir los servicios de Google Cloud alojados en el perímetro. Para obtener más información, consulta las limitaciones del servicio de Controles del servicio de VPC.
Glosario
En este tema, aprendiste sobre varios conceptos nuevos que presentan los Controles del servicio de VPC:
- Controles del servicio de VPC
- Una tecnología que te permite definir un perímetro de servicio. sobre los recursos de los servicios administrados por Google para controlar entre esos servicios.
- perímetro de servicio
- Un perímetro de servicio en torno a los recursos administrados por Google. Permite la comunicación libre dentro del perímetro, pero, de forma predeterminada, bloquea toda la comunicación fuera de este.
- regla de entrada
- Una regla que permite que un cliente de API que está fuera del perímetro acceda a recursos dentro de un perímetro. Para obtener más información, consulta Reglas de entrada y salida.
- regla de salida
- Una regla que permite que un cliente o recurso de API que está dentro del perímetro acceda a recursos de Google Cloud fuera del perímetro. El perímetro No bloquea el acceso a ninguna API o servicio de terceros en Internet.
- Puente perimetral de servicio
Un puente perimetral permite que se comuniquen los proyectos en diferentes perímetros de servicio. Los puentes perimetrales son bidireccionales, lo que permite que los proyectos de cada perímetro de servicio tengan acceso por igual al alcance del puente.
- Access Context Manager
Un servicio de clasificación de solicitudes adaptada al contexto que puede asignar una solicitud a un nivel de acceso basado en atributos específicos del cliente, como el dirección IP de origen. Para obtener más información, consulta Descripción general de Access Context Manager.
- nivel de acceso
Una clasificación de solicitudes a través de Internet basada en varios atributos, como rango de IP de origen, dispositivo cliente, ubicación geográfica y otros. Tal como una regla de entrada, puedes usar un nivel de acceso para configurar una cuenta perímetro para otorgar acceso desde Internet según el nivel de acceso asociados con una solicitud. Puedes crear un nivel de acceso con Access Context Manager.
- política de acceso
Un objeto de recurso de Google Cloud que define perímetros de servicio. Tú puede crear políticas de acceso con permiso para carpetas o proyectos específicos junto con una política de acceso que se puede aplicar a toda la organización. Los la organización solo puede tener una política de acceso a nivel de la organización.
- política con alcance
Una política con alcance es una política de acceso que se limita a carpetas o proyectos junto con una política de acceso que se aplica a toda la organización. Para obtener más información, consulta Descripción general de las políticas con alcance.
- VIP restringida
La VIP restringida proporciona una ruta de red privada para productos y APIs. compatibles con los Controles del servicio de VPC para que que esos productos sean inaccesibles desde Internet.
restricted.googleapis.com
se resuelve en199.36.153.4/30
. Este rango de direcciones IP no se anuncia a Internet.
¿Qué sigue?
- Obtén más información sobre la configuración del perímetro de servicio.
- Comprende cómo administrar redes de VPC en perímetros de servicio
- Revisa las limitaciones del servicio conocidas.