Google Cloud Platform (GCP)

Öffentlich zugänglicher Cloud-Storage-Bucket

Schweregrad: Hoch

Was das bedeutet

Ein Google Cloud Storage-Bucket ist für das öffentliche Internet zugänglich. Jeder mit der URL kann die Dateien herunterladen. Dies ist eine häufige Ursache für Datenlecks.

So beheben Sie es

1. Gehen Sie zu Google Cloud Console > Cloud Storage > Buckets.

2. Wählen Sie den Bucket aus.

3. Gehen Sie zum Berechtigungen Registerkarte.

4. Entfernen Sie alle Einträge für allUsers oder allAuthenticatedUsers.

5. Um künftigen öffentlichen Zugriff zu verhindern: Gehen Sie zu den Bucket- Einstellungen und aktivieren Sie Öffentlichen Zugriff verhindern.

Verwendete primitive IAM-Rollen

Schweregrad: Mittel

Was das bedeutet

Jemand in Ihrer GCP-Organisation verwendet primitive Rollen (Owner, Editor oder Viewer). Diese sind sehr weit gefasst: „Editor“ gewährt beispielsweise Schreibzugriff auf fast alles im Projekt. Google empfiehlt die Verwendung von vordefinierten Rollen stattdessen, die nur die jeweils benötigten spezifischen Berechtigungen gewähren.

So beheben Sie es

1. Gehen Sie zu Google Cloud Console > IAM & Admin > IAM.

2. Identifizieren Sie Nutzer/Servicekonten mit Owner, Editor, oder Viewer Rollen.

3. Ersetzen Sie sie durch spezifischere vordefinierte Rollen (z. B. roles/storage.admin anstelle von Editor).

4. Verwenden Sie die IAM Recommender um Vorschläge zur passenden Größenanpassung von Berechtigungen zu erhalten.

Öffentlicher Cloud SQL-Zugriff

Schweregrad: Hoch

Was das bedeutet

Ihre Cloud SQL-Datenbankinstanz erlaubt Verbindungen von jeder IP-Adresse im Internet (0.0.0.0/0). Dadurch wird die Datenbank Brute-Force-Angriffen und der Ausnutzung etwaiger Schwachstellen ausgesetzt.

So beheben Sie es

1. Gehen Sie zu Google Cloud Console > SQL > wählen Sie Ihre Instanz aus.

2. Gehen Sie zu Verbindungen > Netzwerk.

3. Unter Autorisierte Netzwerke, entfernen Sie 0.0.0.0/0 oder einen zu weit gefassten CIDR-Bereich.

4. Fügen Sie nur die spezifischen IP-Adressen hinzu, die Zugriff benötigen.

5. Noch besser: Verwenden Sie Cloud SQL Auth Proxy oder Private IP um eine sichere Verbindung herzustellen, ohne die Instanz öffentlich freizugeben.