Traduzido do 日本語 • Ver original 
"A chave da conta de serviço foi reutilizada"
"Qualquer um pode ver dados do BigQuery."
"O registro de auditoria não está ativado"
1. Os 3 principais padrões de "vazamento aqui" do GCP
Padrão (1): Falta de gerenciamento das chaves de conta de serviço
Uma conta de serviço GCP é um "cartão de identidade" que permite que aplicações acessem recursos GCP.
Casos problemáticos:
- Existem múltiplas chaves SA com o equivalente a 'Editor de Projeto' e 'Proprietário'.
- Sem rotação de teclas e uso da mesma chave por vários anos
- A chave é armazenada em um repositório Git ou drive compartilhado
Medidas:
Sempre que possível, use a Identidade da Carga de Trabalho sem usar uma chave SA (o GCE/GKE permite chamar APIs do Google sem uma chave).
Padrão (2): Inchaço de Privilégio IAM
Em muitos casos, equipes pequenas concedem "permissões de Editor" para todos e deixam como está.
Pontos de controle:
- Os 'cargos/proprietário' ou 'cargos/editor' são atribuídos diretamente à sua conta pessoal?
- Existem contas restantes para aposentados ou pessoas que mudaram de emprego?
- Você tem um inventário de membros de grupo?
Padrão (3): Má Publicação de Objetos (GCS, etc.)
Conceder permissões para 'allUsers' e 'allAuthenticatedUsers' em um bucket de Cloud Storage (GCS) significa efetivamente que ele está disponível publicamente globalmente.
2. Pontos de Design IAM
Garantindo o Mínimo Privilégio
'Cargos/editor' é útil, mas perigoso.
Recomendamos usar papéis personalizados que concedam apenas as permissões que você realmente precisa.
# Mau exemplo
GCLOUD Projects Add-IAM-POLICY-binding PROJECT_ID \
--membro="user:dev@example.com" \
--role="roles/editor"
# Bom exemplo: Apenas os serviços que você precisa
GCLOUD Projects Add-IAM-POLICY-binding PROJECT_ID \
--membro="user:dev@example.com" \
--role="roles/cloudsql.client"
Utilizando Condição (IAM Condicional)
As ligações IAM são condicionadas pelo tempo e pelo caminho dos recursos.
O acesso à produção pode ser restrito a projetos específicos apenas durante o horário comercial.
3. O que esperar dos Logs de Auditoria em Nuvem
Existem três tipos de Registros de Auditoria GCP:
| Tipo de Registro | Conteúdo de Registro | Padrão |
|---|---|---|
| Atividade de Administrador | Alterando Configurações e IAM | Auto-Ativação (Não Desativada) |
| Acesso a Dados | Ler e Modificar Dados | Desativar Padrões |
| Evento do Sistema | Operação Automática Dentro do GCP | Ativação Automática |
Nota especial: Os logs de acesso a dados estão desativados por padrão.
Para acessar o BigQuery e o GCS, você precisa habilitá-lo explicitamente.
4. Monitoramento: Aproveitando o Centro de Comando de Segurança (SCC)
Painel de segurança padrão GCP.
Principais questões detectadas pelo SCC:
- Buckets GCS publicados
- Uso suspeito de chaves SA
- Detectar privilégios excessivos
- Transferência anormal de dados para o mundo exterior
Use o Nível Premium (anteriormente Security Health Analytics + Event Threat Detection) no SCC para melhorar a precisão da detecção de ameaças.
5. Aproximação da Colorkrew Security
A Colorkrew Security suporta o design de segurança, inventário e design de logs de auditoria para ambientes GCP.
O GCP nem sempre é seguro com "configurações padrão". Ter em mente os três pontos de chave SA, IAM e logs de auditoria é o primeiro passo na segurança do GCP.