Práticas recomendadas para tags seguras no Cloud NGFW

Este documento fornece práticas recomendadas de arquitetura para projetar, gerenciar e aplicar tags seguras no Cloud Next Generation Firewall (Cloud NGFW). As tags seguras oferecem uma abordagem de segurança de rede com reconhecimento de identidade, vinculando a avaliação de regras de firewall às identidades de carga de trabalho de máquina virtual (VMs) em vez de endereços IP dinâmicos. As tags seguras são um recurso fundamental incluído em nível do Cloud Next Generation Firewall Essentials e são compatíveis com todos os níveis do Cloud NGFW. Este guia é destinado a arquitetos de rede, administradores de segurança e engenheiros de DevOps que projetam e mantêm políticas de segurança de rede na nuvem.

Este documento organiza as práticas recomendadas em quatro etapas principais do ciclo de vida da tag segura:

1. Projete seu esquema de tags: alinhe as tags com as identidades de carga de trabalho, configure a microssegmentação e mantenha as tags de forma genérica para evitar exceder os limites de cota de tags seguras.
2. Configure o controle de acesso e a governança: estabeleça a segregação de funções do Identity and Access Management (IAM), escolha os escopos adequados e aplique tags durante o provisionamento da VM.
3. Projete políticas de firewall e lógica de regras: otimize a avaliação de regras, configure políticas hierárquicas e implemente regras de negação padrão seguras.
4. Proteja, monitore e audite: evite a exclusão acidental com bloqueios de tags, ative a geração de registros de firewall e realize auditorias de acesso regulares.

Antes de usar este guia, familiarize-se com a visão geral das tags seguras para firewalls e a visão geral do Cloud NGFW.

Resumo das práticas recomendadas

A tabela a seguir resume as principais práticas recomendadas em todo o ciclo de vida da tag segura:

Projete seu esquema de tags

Um esquema de tags bem estruturado simplifica as regras de firewall, agiliza as auditorias de segurança e evita políticas conflitantes.

Alinhe as tags com a identidade da carga de trabalho

Projete chaves de tags seguras em torno de funções de carga de trabalho distintas, camadas de aplicativos ou classificações regulatórias:

• Camada de ambiente: env/prod, env/staging, env/dev
• Camada de aplicativo: tier/frontend, tier/backend, tier/database
• Status de conformidade: scope/pci-dss, scope/hipaa

Exemplo: microssegmentação de aplicativos de três camadas

Um aplicativo da Web típico de três camadas consiste em um front-end da Web, um back-end de aplicativo e um banco de dados. Para proteger seu banco de dados contra acesso não autorizado, use tags seguras para aplicar a microssegmentação de rede para que cada camada possa se comunicar apenas com a camada adjacente:

[ Web Tier (tag: tier/frontend) ]
              |
              |  Allow port 8080 (Web can communicate with App)
              v
[ App Tier (tag: tier/backend) ]
              |
              |  Allow port 5432 (App can communicate with DB)
              v
[ Database Tier (tag: tier/database) ]

Para aplicar esse fluxo, configure duas regras de política de firewall:

1. Regra 1 (Web para app): permitir a entrada na porta 8080 em que a tag de origem é tier/frontend e a tag de destino é tier/backend.
2. Regra 2 (app para banco de dados): permitir a entrada na porta 5432 em que a tag de origem é tier/backend e a tag de destino é tier/database.

Resultado: O front-end da Web não pode se comunicar diretamente com a camada de banco de dados porque nenhuma regra de firewall permite o tráfego entre tier/frontend e tier/database. O Cloud NGFW aplica esse limite automaticamente, mesmo que as instâncias de VM compartilhem a mesma sub-rede IP.

Migração de tags de rede para tags seguras

Ao fazer upgrade de tags de rede VPC para tags seguras de firewall, observe as seguintes diferenças de arquitetura:

Aplique valores de tag mutuamente exclusivos

Garanta que os recursos recebam exatamente um valor por chave de tag. Por exemplo, uma instância de VM precisa receber env/prod ou env/dev, mas nunca os dois:

• Faça o seguinte: atribua uma única tag de ambiente (env/prod) e permita o acesso a serviços compartilhados por regras de firewall explícitas que referenciam tags de destino (como env/shared-logging).

• Não faça o seguinte: empilhe várias tags de ambiente (env/prod e env/dev) na mesma VM. Isso permite que a VM corresponda às regras de firewall de desenvolvimento, expondo recursos de produção ao tráfego de desenvolvedores.

Mantenha as tags genéricas para permanecer dentro das cotas

Agrupe instâncias de VM semelhantes em valores de tag compartilhados em vez de criar tags exclusivas e específicas da instância. A marcação genérica mantém sua postura de segurança gerenciável e impede que sua organização exceda os limites de cota de tags seguras.

Ao planejar o esquema de tags, revise os seguintes limites:

• Número máximo de chaves de tags seguras por organização
• Número máximo de valores de tags seguras por chave de tag
• Número máximo de valores de tags seguras por interface de rede

Use tags em vez de contas de serviço para VMs com várias NICs

Recomendamos tags seguras em vez de contas de serviço como origens ou destinos em políticas de firewall. Ao contrário das contas de serviço, é possível vincular tags seguras diretamente a interfaces de rede individuais (vNICs) de uma VM multihomed. Essa abordagem permite aplicar políticas de rede diferentes em cada interface de rede.

Configure o controle de acesso e a governança

O IAM rege tags seguras para fornecer controle de acesso rigoroso e segregação de funções clara.

Separe as funções com papéis do IAM

Estabeleça um limite operacional entre os administradores que criam tags e as equipes que provisionam cargas de trabalho:

• Administrador de tags (roles/resourcemanager.tagAdmin): conceda exclusivamente aos administradores centrais de rede e segurança para criar, editar e excluir chaves e valores de tags.
• Usuário de tags (roles/resourcemanager.tagUser): conceda a pipelines de implantação de CI/CD automatizados ou contas de serviço de provisionamento em escopos específicos de projeto ou recurso para vincular tags a interfaces de rede de VM.
• Leitor de tags (roles/resourcemanager.tagViewer): conceda às equipes de operações e auditoria que precisam de visibilidade somente leitura nas configurações de tags.

Evite a autotagging e o escalonamento de privilégios

• Faça o seguinte: conceda roles/resourcemanager.tagUser exclusivamente a pipelines de implantação de infraestrutura como código (IaC) auditados (como fluxos de trabalho google_tags_tag_binding do Terraform) no nível do projeto ou da interface de rede.
• Não faça o seguinte: conceda roles/resourcemanager.tagUser amplamente a grupos de desenvolvedores no nível da organização. Isso impede que os desenvolvedores anexem tags de produção (como env/prod) a cargas de trabalho de desenvolvimento não autorizadas.

Defina o escopo das chaves de tag adequadamente

Defina chaves de tags seguras no nível da hierarquia de recursos que corresponda à sua governança operacional:

• Tags com escopo da organização (purpose-data=organization=auto): defina chaves no nível da organização ou da pasta para governança de segurança centralizada em várias redes VPC, redes com peering e políticas de firewall hierárquicas.
• Tags com escopo de rede (purpose-data=network): use apenas para isolamento no nível do projeto em que as tags precisam ser permanentemente confinadas a uma única rede VPC.

Aplique a atribuição de tags durante a criação da VM

A vinculação de tags seguras a interfaces de rede de VM no momento da criação garante que as cargas de trabalho sejam protegidas imediatamente quando forem iniciadas.

Para garantir que os usuários e os pipelines automatizados não possam provisionar instâncias sem as tags seguras necessárias, configure uma política da organização para aplicar tags na criação de recursos. Essa política bloqueia a criação de instâncias de VM não marcadas e desprotegidas.

Projete políticas de firewall e lógica de regras

Integre tags seguras às políticas de firewall para otimizar a avaliação de regras e manter a proteção consistente.

Use políticas de firewall hierárquicas para aplicação central

Defina regras de firewall que referenciam tags seguras em políticas de firewall hierárquicas no nível da organização ou da pasta. As políticas hierárquicas aplicam a governança em toda a organização que os proprietários de projetos locais não podem substituir.

Especifique tags seguras de destino para eficiência

Ao criar regras de política de firewall, especifique tags seguras de destino (targetSecureTags) sempre que possível. O Cloud NGFW avalia as tags de destino e as tags de origem de maneira diferente:

• Tags seguras de destino (correspondência estática): as regras com tags de destino são aplicadas estaticamente apenas às instâncias de VM que têm essas tags. Isso reduz o número de regras avaliadas em cada VM e melhora a performance.

• Tags seguras de origem (correspondência dinâmica por conexão): as regras que especificam apenas tags de origem (sourceSecureTags) sem tags de destino são avaliadas dinamicamente para cada conexão em todas as instâncias de VM na rede, o que aumenta a sobrecarga de processamento.

Implemente padrões seguros com negação padrão hierárquica

Como as instâncias de VM não herdam tags seguras GCE_FIREWALL de pastas ou organizações pai, proteja recursos não marcados definindo regras de fallback seguras em políticas hierárquicas:

1. Regra de negação padrão: crie uma regra de baixa prioridade (por exemplo, prioridade 65000) no nível da organização ou da pasta que nega todo o tráfego por padrão.

2. Regras de permissão condicionais: crie regras de maior prioridade que permitam o tráfego apenas entre tags seguras específicas (como tier/frontend para tier/backend).

Se uma instância de VM for criada sem tags ou se as tags forem desvinculadas, a regra de negação padrão hierárquica bloqueará automaticamente o tráfego de e para a instância.

Use tags seguras em redes com peering e NCC

Use tags seguras para controlar o tráfego em redes VPC conectadas com peering de rede VPC ou NCC spokes de VPC. As tags seguras mantêm limites com reconhecimento de identidade em redes conectadas sem exigir que você gerencie blocos CIDR em mudança.

Proteja, monitore e audite

Os controles operacionais contínuos garantem que as configurações de tags seguras permaneçam seguras e resilientes.

Proteja valores de tags críticos com bloqueios de tags

Evite interrupções acidentais que ocorrem quando você exclui tags em uso:

• Aplique bloqueios de tags a valores de tags seguras críticas para evitar a exclusão.
• Verifique se nenhuma regra de firewall ativa depende da tag segura antes de desvinculá-la das interfaces de rede de VM. É necessário remover todas as vinculações de recursos (e todos os bloqueios de tags ) antes de excluir um valor de tag segura Cloud de Confiance by S3NS .

Ativar a geração de registros de regras de firewall

Ative a geração de registros de regras da política de firewall em todas as regras que usam tags seguras. Esses registros capturam hits de tráfego correspondentes para ajudar você a auditar padrões de acesso, verificar a segmentação e solucionar problemas de conectividade.

Audite regularmente as atribuições de papéis do IAM

Audite periodicamente as atribuições principais para roles/resourcemanager.tagAdmin e roles/resourcemanager.tagUser. Essa auditoria garante que apenas pipelines autorizados tenham permissões de vinculação de tags, o que impede o escalonamento de privilégios e preserva o isolamento do ambiente.

A seguir

• Visão geral das tags seguras para firewalls
• Criar e gerenciar tags seguras
• Visão geral das políticas globais de firewall de rede
• Usar tags seguras em redes com peering