Ressourcenhierarchie und IAM
Die Ressourcenhierarchie von GCP – Organisation → Ordner → Projekte → Ressourcen – bestimmt, wie IAM-Richtlinien vererbt werden. Das Testing bewertet IAM-Bindungen auf jeder Ebene, identifiziert übermäßig permissive Bindungen, die nach unten weitergegeben werden, prüft auf das gefürchtete Standard-Compute-Dienstkonto mit der Rolle "Editor" (das in den meisten GCP-Umgebungen vorhanden ist) und verifiziert, dass Organisationsrichtlinien Sicherheitsgrundlagen in allen Projekten durchsetzen.
Sicherheit von Dienstkonten
Dienstkonten in GCP sind sowohl Identitäten als auch Ressourcen – sie können imitiert werden, Schlüssel können exportiert werden und sie können den Zugriff an andere Konten delegieren. Das Testing bewertet die Schlüsselverwaltung von Dienstkonten (exportierte Schlüssel vs. Workload Identity), Imitationsberechtigungen und ob Dienstkonten dem Least-Privilege-Prinzip folgen. Die Standard-Dienstkonten von Compute Engine und App Engine verfügen häufig über Projekt-Editor-Berechtigungen – was einen breiten Zugriff ermöglicht, den jede kompromittierte Workload erbt.
Cloud Storage und BigQuery
Das GCS-Bucket-Testing bewertet einheitliche vs. feingranulare Zugriffskontrolle, die Verhinderung von öffentlichem Zugriff und IAM auf Bucket-Ebene im Vergleich zu ACLs. Das BigQuery-Testing deckt Dataset-Berechtigungen, autorisierte Ansichten und Sicherheit auf Spaltenebene ab. Für Organisationen, die GCP hauptsächlich für Datenanalysen nutzen, hat das BigQuery-Sicherheitstesting oft höchste Priorität.
GKE Sicherheit
Google Kubernetes Engine Testing überschneidet sich mit der allgemeinen Kubernetes-Sicherheit (die in unserem speziellen Leitfaden behandelt wird), beinhaltet aber GKE-spezifische Aspekte: Workload Identity-Konfiguration, Sicherheitseinstellungen für Node-Pools, Binary Authorization zur Verifizierung von Container-Images und die Integration mit GCP IAM zur Cluster-Zugriffskontrolle.
GCP mit Penetrify testen
Das GCP-Sicherheitstesting von Penetrify bewertet die Ressourcenhierarchie, IAM-Bindungen, Dienstkontokonfigurationen, Cloud Storage, BigQuery und GKE mit Experten, die Googles spezifisches Sicherheitsmodell und seine einzigartigen Standardkonfigurationsmuster verstehen.
Das Fazit
Die Standardeinstellungen von GCP sind oft permissiver als die von AWS oder Azure – Standarddienstkonten mit Editor-Rechten, aktivierter Legacy-API-Zugriff und breite Berechtigungen auf Projektebene. Das Testing muss diese GCP-spezifischen Muster bewerten. Penetrify liefert diese Expertise.