Gerarchia delle Risorse e IAM
La gerarchia delle risorse di GCP - Organizzazione → Cartelle → Progetti → Risorse - determina come vengono ereditate le policy IAM. Il testing valuta i binding IAM a ogni livello, identifica i binding eccessivamente permissivi che si propagano verso il basso, verifica la presenza del temuto account di servizio di calcolo predefinito con ruolo Editor (presente nella maggior parte degli ambienti GCP) e verifica che le policy dell'organizzazione applichino le baseline di sicurezza in tutti i progetti.
Sicurezza degli Account di Servizio
Gli account di servizio in GCP sono sia identità che risorse - possono essere impersonati, esportare chiavi e delegare l'accesso ad altri account. Il testing valuta la gestione delle chiavi degli account di servizio (chiavi esportate vs workload identity), le autorizzazioni di impersonificazione e se gli account di servizio seguono il principio del minimo privilegio. Gli account di servizio predefiniti di Compute Engine e App Engine hanno frequentemente autorizzazioni di Project Editor - fornendo un ampio accesso che qualsiasi workload compromesso eredita.
Cloud Storage e BigQuery
Il testing dei bucket GCS valuta il controllo degli accessi uniforme rispetto a quello granulare, la prevenzione dell'accesso pubblico e IAM a livello di bucket rispetto alle ACL. Il testing di BigQuery copre le autorizzazioni del dataset, le viste autorizzate e la sicurezza a livello di colonna. Per le organizzazioni che utilizzano GCP principalmente per l'analisi dei dati, il testing di sicurezza di BigQuery è spesso la priorità assoluta.
Sicurezza GKE
Il testing di Google Kubernetes Engine si sovrappone alla sicurezza generale di Kubernetes (trattata nella nostra guida dedicata), ma include preoccupazioni specifiche di GKE: configurazione di Workload Identity, impostazioni di sicurezza del node pool, Binary Authorization per la verifica delle immagini container e integrazione con GCP IAM per il controllo degli accessi al cluster.
Testing di GCP con Penetrify
Il testing di sicurezza GCP di Penetrify valuta la gerarchia delle risorse, i binding IAM, le configurazioni degli account di servizio, Cloud Storage, BigQuery e GKE con professionisti che comprendono lo specifico modello di sicurezza di Google e i suoi schemi di configurazione predefiniti unici.
In Sintesi
Le impostazioni predefinite di GCP sono spesso più permissive di quelle di AWS o Azure - account di servizio predefiniti con Editor, accesso API legacy abilitato e ampie autorizzazioni a livello di progetto. Il testing deve valutare questi schemi specifici di GCP. Penetrify offre questa competenza.