Hierarchia Zasobów i IAM
Hierarchia zasobów GCP – Organizacja → Foldery → Projekty → Zasoby – określa, w jaki sposób dziedziczone są zasady IAM. Testowanie ocenia powiązania IAM na każdym poziomie, identyfikuje zbyt liberalne powiązania, które kaskadowo przechodzą w dół, sprawdza, czy obecne jest przerażające domyślne konto usługi compute z rolą Editor (obecne w większości środowisk GCP) i weryfikuje, czy zasady organizacji wymuszają podstawowe zasady bezpieczeństwa we wszystkich projektach.
Bezpieczeństwo Kont Usług
Konta usług w GCP są zarówno tożsamościami, jak i zasobami – można je personifikować, eksportować klucze i delegować dostęp do innych kont. Testowanie ocenia zarządzanie kluczami kont usług (eksportowane klucze a tożsamość obciążenia), uprawnienia do personifikacji i to, czy konta usług przestrzegają zasady najmniejszych uprawnień. Domyślne konta usług Compute Engine i App Engine często mają uprawnienia Project Editor – zapewniając szeroki dostęp, który dziedziczy każde naruszone obciążenie.
Cloud Storage i BigQuery
Testowanie zasobników GCS ocenia jednolity i szczegółowy dostęp kontroli dostępu, zapobieganie dostępowi publicznemu i IAM na poziomie zasobnika w porównaniu z ACL. Testowanie BigQuery obejmuje uprawnienia do zestawu danych, autoryzowane widoki i zabezpieczenia na poziomie kolumn. Dla organizacji korzystających z GCP głównie do analizy danych, testowanie bezpieczeństwa BigQuery jest często najwyższym priorytetem.
Bezpieczeństwo GKE
Testowanie Google Kubernetes Engine pokrywa się z ogólnym bezpieczeństwem Kubernetes (omówionym w naszym dedykowanym przewodniku), ale obejmuje specyficzne dla GKE obawy: konfigurację Workload Identity, ustawienia zabezpieczeń puli węzłów, Binary Authorization do weryfikacji obrazów kontenerów oraz integrację z GCP IAM w celu kontroli dostępu do klastra.
Testowanie GCP za pomocą Penetrify
Testy bezpieczeństwa GCP oferowane przez Penetrify oceniają hierarchię zasobów, powiązania IAM, konfiguracje kont usług, Cloud Storage, BigQuery i GKE z udziałem specjalistów, którzy rozumieją specyficzny model bezpieczeństwa Google i jego unikalne domyślne wzorce konfiguracji.
Podsumowanie
Domyślne ustawienia GCP są często bardziej liberalne niż AWS lub Azure – domyślne konta usług z uprawnieniami Editor, włączony dostęp do starszego API i szerokie uprawnienia na poziomie projektu. Testowanie musi ocenić te specyficzne dla GCP wzorce. Penetrify zapewnia tę wiedzę.