Google Cloud Platform (GCP)

Bucket de stockage Cloud accessible publiquement

Gravité : élevée

Ce que cela signifie

Un bucket Google Cloud Storage est accessible depuis Internet publiquement. Toute personne disposant de l’URL peut télécharger les fichiers. C’est une source courante de fuites de données.

Comment corriger

1. Accédez à Console Google Cloud > Stockage Cloud > Buckets.

2. Sélectionnez le bucket.

3. Accédez au Autorisations .

4. Supprimez toute entrée pour allUsers ou allAuthenticatedUsers.

5. Pour empêcher tout accès public futur : allez dans les paramètres du bucket Paramètres et activez Empêcher l’accès public.

Rôles IAM primitifs utilisés

Gravité : moyenne

Ce que cela signifie

Quelqu’un dans votre organisation GCP utilise des rôles primitifs (Propriétaire, Éditeur ou Lecteur). Ils sont très larges : « Éditeur », par exemple, accorde un accès en écriture à presque tout le projet. Google recommande d’utiliser des rôles prédéfinis à la place, qui ne donnent que les autorisations spécifiques nécessaires.

Comment corriger

1. Accédez à Console Google Cloud > IAM et administration > IAM.

2. Identifiez les utilisateurs/comptes de service avec Propriétaire, Éditeur, ou Lecteur des rôles.

3. Remplacez-les par des rôles prédéfinis plus spécifiques (par ex. : roles/storage.admin au lieu de Éditeur).

4. Utilisez l’ IAM Recommender pour obtenir des suggestions afin d’ajuster les autorisations au plus juste.

Accès public à Cloud SQL

Gravité : élevée

Ce que cela signifie

Votre instance de base de données Cloud SQL autorise les connexions depuis n’importe quelle adresse IP sur Internet (0.0.0.0/0). Cela expose la base de données aux attaques par force brute et à l’exploitation de toute vulnérabilité.

Comment corriger

1. Accédez à Console Google Cloud > SQL > sélectionnez votre instance.

2. Accédez à Connexions > Réseau.

3. Sous Réseaux autorisés, supprimez 0.0.0.0/0 ou toute plage CIDR trop large.

4. Ajoutez uniquement les adresses IP spécifiques qui ont besoin d’y accéder.

5. Mieux encore, utilisez Cloud SQL Auth Proxy ou IP privée pour vous connecter de manière sécurisée sans exposer l’instance publiquement.