---
title: "Λίστα ελέγχου θωράκισης ασφάλειας GCP | Snow Tree"
url: "https://www.snow-tree.com/el/gcp-security-hardening/"
---

Ασφαλής υποδομή GCP

# Λίστα ελέγχου θωράκισης ασφάλειας GCP για μικρές και μεσαίες ομάδες

Μια πρακτική βάση ασφάλειας για ομάδες που εκτελούν φόρτους εργασίας παραγωγής στο Google Cloud χωρίς αποκλειστικό τμήμα ασφάλειας. Ξεκινήστε από εκεί όπου οι πιο πιθανές διαδρομές προς ένα σοβαρό περιστατικό περιορίζονται πιο εύκολα.

## Σε αυτή τη σελίδα

1. [Συνήθεις διαδρομές απειλών στο GCP](https://www.snow-tree.com/el/#threat-paths)
2. [Ταυτότητα και πρόσβαση](https://www.snow-tree.com/el/#identity)
3. [Δίκτυο και περιμετρικό άκρο](https://www.snow-tree.com/el/#network)
4. [Δεδομένα και μυστικά](https://www.snow-tree.com/el/#data)
5. [Θωράκιση ασφάλειας GKE](https://www.snow-tree.com/el/#gke)
6. [Ανίχνευση και ανάκτηση](https://www.snow-tree.com/el/#detection)
7. [Λίστα ελέγχου 30, 60 και 90 ημερών με προτεραιότητες](https://www.snow-tree.com/el/#checklist)
8. [Επίσημες πηγές](https://www.snow-tree.com/el/#references)

## Συνήθεις διαδρομές απειλών στο GCP

Τα περισσότερα περιστατικά στο cloud ξεκινούν από ένα μικρό κενό κυριότητας ή διαμόρφωσης. Εντοπίστε αυτές τις διαδρομές πριν το κάνει ένας εισβολέας.

- Ένας χρήστης, λογαριασμός υπηρεσίας ή ταυτότητα φόρτου εργασίας με υπερβολικά δικαιώματα μπορεί να μετατρέψει ένα κλεμμένο διαπιστευτήριο σε ευρεία πρόσβαση σε πολλά έργα.
- Ένα εκτεθειμένο τελικό σημείο διαχείρισης, μια θύρα αποσφαλμάτωσης ή ένας υπερβολικά επιτρεπτικός κανόνας τείχους προστασίας μπορούν να παρακάμψουν κάθε μέτρο που έχει σχεδιαστεί για την κανονική κίνηση της εφαρμογής.
- Ένας δημόσιος κάδος αποθήκευσης ή μια υπογεγραμμένη διεύθυνση URL με υπερβολικά ευρύ εύρος μπορούν να αποκαλύψουν δεδομένα πελατών χωρίς ορατή παραβίαση της εφαρμογής.
- Οι εγκαταλελειμμένοι φόρτοι εργασίας δημιουργούν μόνιμο κίνδυνο όταν παλιές εικόνες κοντέινερ, ξεχασμένοι χώροι ονομάτων, αχρησιμοποίητοι λογαριασμοί υπηρεσίας και πόροι χωρίς κάτοχο παραμένουν διαθέσιμοι για ανάπτυξη.
- Όταν τα τεκμήρια ελέγχου λείπουν ή διατηρούνται για λίγο, είναι δύσκολο να διαπιστωθεί ποιος άλλαξε μια πολιτική, πότε ξεκίνησε η πρόσβαση και σε ποια δεδομένα αποκτήθηκε πρόσβαση.
- Ένα αντίγραφο ασφαλείας που δεν έχει δοκιμαστεί είναι απλώς μια ελπίδα. Αποτυχημένες επαναφορές, ελλιπής διατήρηση και μη προσβάσιμα κλειδιά κρυπτογράφησης μπορούν να μετατρέψουν ένα συμβάν ασφάλειας σε μόνιμη απώλεια δεδομένων.

## Ταυτότητα και πρόσβαση

Αντιμετωπίστε την ταυτότητα ως το κύριο επίπεδο ελέγχου. Κάθε άνθρωπος, αυτοματοποιημένη διαδικασία και φόρτος εργασίας πρέπει να έχει ξεχωριστή ταυτότητα με σαφώς οριοθετημένο σκοπό.

### Ορίστε ρητά τα όρια των πόρων

Χρησιμοποιήστε τον οργανισμό και τους φακέλους για προστατευτικά όρια και διαχωρίστε τα περιβάλλοντα ανάπτυξης, staging και παραγωγής σε ξεχωριστά έργα ή ισχυρότερα όρια εμπιστοσύνης. Εφαρμόστε πολιτικές οργανισμού στο υψηλότερο πρακτικά δυνατό επίπεδο, περιορίστε τη χρήση υπηρεσιών και αποφύγετε την κοινή χρήση έργων παραγωγής μεταξύ άσχετων προϊόντων.

### Εκχωρήστε τον ελάχιστο ρόλο στο στενότερο εύρος

Προτιμήστε προκαθορισμένους ή προσαρμοσμένους ρόλους αντί για ευρείς βασικούς ρόλους, εκχωρήστε τους σε ομάδες και ταυτότητες φόρτων εργασίας και χρησιμοποιήστε συνθήκες IAM όπου ένα όνομα πόρου ή μια ετικέτα μπορεί να περιορίσει την πρόσβαση. Ελέγξτε τα αχρησιμοποίητα δικαιώματα και καταργήστε τη μόνιμη πρόσβαση στην παραγωγή που πρέπει να υπάρχει μόνο μέσω διαδικασίας πρόσβασης έκτακτης ανάγκης (break-glass).

### Καταργήστε τα διαπιστευτήρια μεγάλης διάρκειας

Χρησιμοποιήστε το Workload Identity Federation for GKE ώστε τα pods να λαμβάνουν βραχύβια διαπιστευτήρια χωρίς εξαγόμενα κλειδιά λογαριασμών υπηρεσίας. Όπου είναι δυνατόν, αποκλείστε τη δημιουργία και τη μεταφόρτωση κλειδιών με πολιτική οργανισμού, καταγράψτε όσα κλειδιά απομένουν και ρυθμίστε ειδοποιήσεις για αλλαγές IAM υψηλού κινδύνου στα Cloud Audit Logs.

## Δίκτυο και περιμετρικό άκρο

Υποθέστε ότι κάποιο ελάττωμα της εφαρμογής θα γίνει κάποια στιγμή προσβάσιμο από το δίκτυο. Περιορίστε τι μπορεί να προσπελάσει αυτό το ελάττωμα.

### Ξεκινήστε με άρνηση και προσθέστε ονομασμένες διαδρομές

Χρησιμοποιήστε κανόνες τείχους προστασίας VPC με ελάχιστα προνόμια και Kubernetes NetworkPolicies για την κίνηση των pods. Διαχωρίστε τα περιβάλλοντα σε ξεχωριστά δίκτυα, τεκμηριώστε κάθε διαδρομή εισερχόμενης κίνησης και καταργήστε ευρείς κανόνες αποσφαλμάτωσης που επιτρέπουν θύρες διαχείρισης ή όλα τα πρωτόκολλα από μεγάλα εύρη διευθύνσεων.

### Κρατήστε ιδιωτικούς τους κόμβους και τα επίπεδα ελέγχου

Απενεργοποιήστε τις εξωτερικές διευθύνσεις IP στους κόμβους GKE. Προτιμήστε το ιδιωτικό τελικό σημείο του επιπέδου ελέγχου που βασίζεται σε DNS και, όταν ένα τελικό σημείο IP είναι αναπόφευκτο, περιορίστε το με εξουσιοδοτημένα δίκτυα. Δώστε στους φόρτους εργασίας μια σκόπιμα σχεδιασμένη διαδρομή εξερχόμενης κίνησης αντί για ευρεία πρόσβαση στο διαδίκτυο.

### Δημοσιεύστε μόνο υπηρεσίες που είναι σκόπιμα δημόσιες

Εκθέστε τις εφαρμογές μέσω μιας ελεγμένης πύλης ή εξισορροπητή φορτίου, όχι μέσω τυχαίων διευθύνσεων pods ή κόμβων. Τερματίστε το TLS σε διαχειριζόμενα πιστοποιητικά, περιορίστε τους hosts και τις διαδρομές εισερχόμενης κίνησης, εφαρμόστε όρια αιτημάτων και ρυθμού και κρατήστε τις διεπαφές διαχείρισης πίσω από πρόσβαση με επίγνωση ταυτότητας.

## Δεδομένα και μυστικά

Προστατέψτε τα δεδομένα σε ηρεμία, κατά τη μεταφορά και κατά τη χρήση και, στη συνέχεια, αποδείξτε ότι μπορείτε να τα ανακτήσετε. Ο εντοπισμός των δεδομένων αποτελεί μέρος του ελέγχου.

### Αποτρέψτε την ακούσια δημόσια πρόσβαση

Επιβάλετε την αποτροπή δημόσιας πρόσβασης και την ομοιόμορφη πρόσβαση σε επίπεδο κάδου στο Cloud Storage. Ταξινομήστε τους κάδους κατά ευαισθησία, περιορίστε την πρόσβαση σε αντικείμενα και κλειδιά, ενεργοποιήστε την καταγραφή για δεδομένα υψηλής αξίας και χρησιμοποιήστε κλειδιά κρυπτογράφησης διαχειριζόμενα από τον πελάτη όπου το απαιτεί το μοντέλο κινδύνου ή συμμόρφωσής σας.

### Κρατήστε τα μυστικά έξω από εικόνες και πηγαίο κώδικα

Αποθηκεύστε τα διαπιστευτήρια στο Secret Manager και εκχωρήστε πρόσβαση σε μια συγκεκριμένη ταυτότητα φόρτου εργασίας για μια συγκεκριμένη έκδοση μυστικού. Εναλλάσσετε τα μυστικά με προγραμματισμένο τρόπο, μην τα αντιγράφετε στο Git ή σε εικόνες κοντέινερ και μη θεωρείτε τα απλά Kubernetes Secrets πλήρες όριο προστασίας.

### Δοκιμάστε την ανάκτηση, όχι μόνο τη δημιουργία αντιγράφων ασφαλείας

Ορίστε στόχους RPO και RTO (σημείο και χρόνος ανάκτησης), διατηρήστε αντίγραφα εκτός του τομέα αστοχίας της παραγωγής και προστατέψτε την πρόσβαση στα αντίγραφα ασφαλείας και στα κλειδιά κρυπτογράφησης από την ταυτότητα του φόρτου εργασίας. Επαναφέρετε τακτικά, βάσει χρονοδιαγράμματος, σε ένα απομονωμένο περιβάλλον, επαληθεύστε τα δεδομένα και καταγράψτε τον χρόνο που χρειάστηκε και όποια χειροκίνητα βήματα.

## Θωράκιση ασφάλειας GKE

Το GKE ασφαλίζει το διαχειριζόμενο επίπεδο ελέγχου, όμως η διαμόρφωση του συμπλέγματος, οι χώροι ονομάτων, οι πολιτικές εισδοχής (admission) και οι φόρτοι εργασίας παραμένουν δική σας ευθύνη.

### Κάντε τους χώρους ονομάτων το συμβόλαιο απομόνωσης

Διαχωρίστε ομάδες και περιβάλλοντα σε χώρους ονομάτων ή συμπλέγματα, δεσμεύστε εκεί στενούς ρόλους Kubernetes RBAC και εφαρμόστε ποσοστώσεις πόρων και NetworkPolicies. Αποφύγετε την πρόσβαση εγγραφής σε όλο το σύμπλεγμα για την παράδοση εφαρμογών και δώστε σε κάθε φόρτο εργασίας δικό του λογαριασμό υπηρεσίας όταν χρειάζεται ξεχωριστή ταυτότητα.

### Επιτρέψτε μόνο εικόνες και διαμορφώσεις που εμπιστεύεστε

Επιβάλετε το πρότυπο Pod Security σε επίπεδο restricted ή ισοδύναμους κανόνες Policy Controller. Αναπτύσσετε εικόνες με βάση αμετάβλητο digest, σαρώστε τις για ευπάθειες, χρησιμοποιήστε Binary Authorization όπου έχει σημασία η προέλευση και απορρίψτε απροσδόκητη πρόσβαση στον host, κλιμάκωση προνομίων και δεσμεύσεις του ρόλου cluster-admin.

### Αφαιρέστε τα περιττά δικαιώματα των κοντέινερ

Εκτελείτε τα κοντέινερ ως χρήστη διαφορετικό από τον root, αφαιρέστε τις Linux capabilities, χρησιμοποιήστε σύστημα αρχείων root μόνο για ανάγνωση όπου είναι δυνατόν και εφαρμόστε το προφίλ seccomp RuntimeDefault. Μην προσαρτάτε το token του λογαριασμού υπηρεσίας χωρίς ανάγκη, αποφύγετε τα προνομιούχα κοντέινερ και τους χώρους ονομάτων του host, κρατήστε τα δικαιώματα του λογαριασμού υπηρεσίας των κόμβων στο ελάχιστο και χρησιμοποιήστε Shielded Nodes και Container-Optimized OS.

## Ανίχνευση και ανάκτηση

Τα μέτρα ελέγχου αποτυγχάνουν. Βασιστείτε σε τεκμήρια και σε δοκιμασμένες ενέργειες, όχι στη βεβαιότητα ότι κανείς δεν έχει κάνει λάθος.

### Συλλέξτε τα στοιχεία που θα χρειαστείτε

Διατηρήστε τα Cloud Audit Logs και τα αρχεία καταγραφής συστήματος και φόρτων εργασίας του GKE σε κεντρικό προορισμό, με διάρκεια διατήρησης που καλύπτει τις ανάγκες των ερευνών σας. Ενεργοποιήστε επιλεκτικά τα αρχεία καταγραφής ελέγχου πρόσβασης σε δεδομένα (Data Access) για ευαίσθητα δεδομένα, περιορίστε την πρόσβαση στα αρχεία καταγραφής και καταγράφετε τις διαχειριστικές αλλαγές σε IAM, τείχος προστασίας, αποθήκευση και διαμόρφωση συμπλέγματος.

### Ειδοποιήσεις για αλλαγές με σημασία για την ασφάλεια

Ρυθμίστε ειδοποιήσεις για δημόσια έκθεση αποθηκευτικού χώρου, ευρείες αλλαγές στο τείχος προστασίας ή στο IAM, απροσδόκητα κλειδιά λογαριασμών υπηρεσίας, απορρίψεις εισδοχής (admission), έκθεση του επιπέδου ελέγχου, επαναλαμβανόμενες αποτυχίες ελέγχου ταυτότητας, απενεργοποιημένη καταγραφή, αποτυχημένα αντίγραφα ασφαλείας και πιστοποιητικά που λήγουν. Δρομολογήστε κάθε ειδοποίηση σε έναν κάτοχο μαζί με τα βήματα για την επιβεβαίωση ή την απόρριψή της.

### Κάντε πρόβα της απόκρισης

Γράψτε σύντομα runbooks για διαρροή διαπιστευτηρίων, δημοσιοποιημένα δεδομένα, παραβιασμένους φόρτους εργασίας και απώλεια περιοχών ή έργων. Συμπεριλάβετε ποιος μπορεί να εγκρίνει τον περιορισμό του περιστατικού, πώς ανακαλείται η πρόσβαση, πώς διαφυλάσσονται τα τεκμήρια και πώς αποκαθίσταται η υπηρεσία. Δοκιμάστε τα runbooks με τους ανθρώπους που θα τα χρησιμοποιήσουν.

## Λίστα ελέγχου 30, 60 και 90 ημερών με προτεραιότητες

Αν ξεκινάτε από ελλιπή βάση, οργανώστε τη σειρά των εργασιών ώστε να μειώσετε πρώτα την έκθεση και να κάνετε τις επόμενες αξιολογήσεις επαναλήψιμες.

### Ημέρες 1 έως 30: κλείστε τις προφανείς διαδρομές

Καταγράψτε τα έργα και τους κατόχους τους, καταργήστε αχρησιμοποίητα και μακροχρόνια διαπιστευτήρια, επιβεβαιώστε την καταγραφή ελέγχου, αποκλείστε δημόσιους κάδους, ελέγξτε τους ευρύτερους κανόνες τείχους προστασίας και τις εκχωρήσεις IAM, εντοπίστε κενά στα αντίγραφα ασφαλείας της παραγωγής και διορθώστε κάθε δημόσιο τελικό σημείο χωρίς κάτοχο. Ορίστε κάτοχο και προθεσμία για κάθε εύρημα.

### Ημέρες 31 έως 60: κάντε τη βάση επαναλήψιμη

Μεταφέρετε τη διαμόρφωση δικτύου, ταυτότητας και φόρτων εργασίας σε ελεγμένη υποδομή ως κώδικα και σε παράδοση μέσω GitOps. Υιοθετήστε Workload Identity, ιδιωτικούς κόμβους, Pod Security σε επίπεδο restricted, ελέγχους αξιόπιστων εικόνων, κεντρικά αρχεία καταγραφής και ειδοποιήσεις για τις αλλαγές που έχουν τη μεγαλύτερη σημασία.

### Ημέρες 61 έως 90: αποδείξτε την αποτελεσματικότητα και διατηρήστε τη

Εκτελέστε δοκιμές επαναφοράς και μια άσκηση προσομοίωσης περιστατικού (tabletop), ελέγξτε την προνομιούχα πρόσβαση και τη λήξη των εξαιρέσεων, σαρώστε ξανά εικόνες και εξαρτήσεις, επαληθεύστε ότι οι κάτοχοι λαμβάνουν ειδοποιήσεις και μετρήστε τα κενά που απομένουν. Εντάξτε τους ελέγχους σε έναν επαναλαμβανόμενο κύκλο αξιολόγησης πριν τα τεκμήρια παλιώσουν.

Χρησιμοποιήστε αυτή τη λίστα ελέγχου ως σημείο εκκίνησης. Η Snow Tree μπορεί να εφαρμόσει αυτή τη βάση μέσω της λειτουργίας διαχειριζόμενης πλατφόρμας ή μιας στοχευμένης συνεργασίας συμβουλευτικών υπηρεσιών.

[Διαχειριζόμενη πλατφόρμα](https://www.snow-tree.com/el/managed-platform/) [Συμβουλευτικές υπηρεσίες](https://www.snow-tree.com/el/consulting/)

## Επίσημες πηγές

Χρησιμοποιήστε τις τρέχουσες οδηγίες της Google ως τεχνική πηγή αλήθειας όταν αλλάζουν οι προεπιλογές της πλατφόρμας ή οι δυνατότητες των προϊόντων.

- [Google Cloud: Βέλτιστες πρακτικές για τη θωράκιση του συμπλέγματος GKE](https://docs.cloud.google.com/kubernetes-engine/docs/how-to/hardening-your-cluster)
- [Google Cloud: Βέλτιστες πρακτικές ασφάλειας για το GKE](https://docs.cloud.google.com/docs/security/gke-security-bps)

Διαχειριζόμενη πλατφόρμα

## Αφήστε τη Snow Tree να κατασκευάσει, να φιλοξενήσει και να λειτουργήσει το λογισμικό.

[Ξεκινήστε ένα έργο](mailto:support+snow-tree-platform-1-issue-@gitlab.snow-tree.com?subject=Snow%20Tree%20project)