Hierarchie zdrojů a IAM
Hierarchie zdrojů GCP – Organizace → Složky → Projekty → Zdroje – určuje, jak se dědí zásady IAM. Testování vyhodnocuje vazby IAM na každé úrovni, identifikuje příliš benevolentní vazby, které se kaskádovitě šíří dolů, kontroluje obávaný výchozí účet výpočetní služby s rolí Editor (přítomný ve většině prostředí GCP) a ověřuje, zda zásady organizace prosazují bezpečnostní standardy ve všech projektech.
Zabezpečení účtů služeb
Účty služeb v GCP jsou identity i zdroje – lze je zosobnit, exportovat jejich klíče a delegovat přístup k jiným účtům. Testování vyhodnocuje správu klíčů účtů služeb (exportované klíče vs. identita úloh), oprávnění k zosobnění a zda účty služeb dodržují princip nejmenšího privilegia. Výchozí účty služeb Compute Engine a App Engine mají často oprávnění Editor projektu – poskytují široký přístup, který zdědí jakákoli ohrožená úloha.
Cloud Storage a BigQuery
Testování GCS bucketů vyhodnocuje jednotné vs. podrobné řízení přístupu, prevenci veřejného přístupu a IAM na úrovni bucketu versus ACL. Testování BigQuery zahrnuje oprávnění k datovým sadám, autorizovaná zobrazení a zabezpečení na úrovni sloupců. Pro organizace, které používají GCP primárně pro analýzu dat, je testování zabezpečení BigQuery často nejvyšší prioritou.
Zabezpečení GKE
Testování Google Kubernetes Engine se překrývá s obecným zabezpečením Kubernetes (popsáno v naší specializované příručce), ale zahrnuje specifické aspekty GKE: konfigurace Workload Identity, nastavení zabezpečení node pool, Binary Authorisation pro ověření obrazu kontejneru a integrace s GCP IAM pro řízení přístupu ke clusteru.
Testování GCP s Penetrify
Bezpečnostní testování GCP pomocí Penetrify vyhodnocuje hierarchii zdrojů, vazby IAM, konfigurace účtů služeb, Cloud Storage, BigQuery a GKE s odborníky, kteří rozumí specifickému bezpečnostnímu modelu Google a jeho jedinečným výchozím konfiguracím.
Závěr
Výchozí nastavení GCP jsou často benevolentnější než u AWS nebo Azure – výchozí účty služeb s rolí Editor, povolený přístup k starším API a široká oprávnění na úrovni projektu. Testování musí vyhodnotit tyto specifické vzorce GCP. Penetrify poskytuje tuto odbornost.