Jerarquía de Recursos e IAM
La jerarquía de recursos de GCP (Organización → Carpetas → Proyectos → Recursos) determina cómo se heredan las políticas de IAM. Las pruebas evalúan los enlaces de IAM en cada nivel, identifican los enlaces con permisos excesivos que se propagan hacia abajo, comprueban la temida cuenta de servicio de Compute predeterminada con el rol de Editor (presente en la mayoría de los entornos de GCP) y verifican que las políticas de la organización apliquen líneas base de seguridad en todos los proyectos.
Seguridad de las Cuentas de Servicio
Las cuentas de servicio en GCP son tanto identidades como recursos: se pueden suplantar, exportar claves y delegar acceso a otras cuentas. Las pruebas evalúan la gestión de claves de las cuentas de servicio (claves exportadas vs. identidad de workload), los permisos de suplantación y si las cuentas de servicio siguen el principio de mínimo privilegio. Las cuentas de servicio predeterminadas de Compute Engine y App Engine suelen tener permisos de Editor de proyecto, lo que proporciona un acceso amplio que cualquier workload comprometido hereda.
Cloud Storage y BigQuery
Las pruebas de buckets de GCS evalúan el control de acceso uniforme frente al granular, la prevención del acceso público y el IAM a nivel de bucket frente a las ACL. Las pruebas de BigQuery cubren los permisos del conjunto de datos, las vistas autorizadas y la seguridad a nivel de columna. Para las organizaciones que utilizan GCP principalmente para el análisis de datos, las pruebas de seguridad de BigQuery suelen ser la máxima prioridad.
Seguridad de GKE
Las pruebas de Google Kubernetes Engine se superponen con la seguridad general de Kubernetes (que se trata en nuestra guía dedicada), pero incluyen preocupaciones específicas de GKE: configuración de Workload Identity, ajustes de seguridad del node pool, Binary Authorisation para la verificación de imágenes de contenedor e integración con GCP IAM para el control de acceso al clúster.
Pruebas de GCP con Penetrify
Las pruebas de seguridad de GCP de Penetrify evalúan la jerarquía de recursos, los enlaces de IAM, las configuraciones de las cuentas de servicio, Cloud Storage, BigQuery y GKE con profesionales que comprenden el modelo de seguridad específico de Google y sus patrones de configuración predeterminados únicos.
En Resumen
Los valores predeterminados de GCP suelen ser más permisivos que los de AWS o Azure: cuentas de servicio predeterminadas con Editor, acceso a API heredadas habilitado y amplios permisos a nivel de proyecto. Las pruebas deben evaluar estos patrones específicos de GCP. Penetrify ofrece esta experiencia.