Google Cloud Platform (GCP)

Openbaar toegankelijke Cloud Storage-bucket

Ernst: Hoog

Wat het betekent

Een Google Cloud Storage-bucket is toegankelijk via het openbare internet. Iedereen met de URL kan de bestanden downloaden. Dit is een veelvoorkomende bron van datalekken.

Hoe je het oplost

1. Ga naar Google Cloud Console > Cloud Storage > Buckets.

2. Selecteer de bucket.

3. Ga naar de Machtigingen .

4. Verwijder alle vermeldingen voor allUsers of allAuthenticatedUsers.

5. Om toekomstige openbare toegang te voorkomen: ga naar de Instellingen en schakel Openbare toegang voorkomen.

IAM-primitieve rollen in gebruik

Ernst: Medium

Wat het betekent

Iemand in uw GCP-organisatie gebruikt primitieve rollen (Eigenaar, Editor of Viewer). Deze zijn erg breed: "Editor" geeft bijvoorbeeld schrijfrechten voor bijna alles in het project. Google raadt aan om voorgedefinieerde rollen te gebruiken in plaats daarvan, die alleen de specifieke benodigde machtigingen geven.

Hoe je het oplost

1. Ga naar Google Cloud Console > IAM & Admin > IAM.

2. Identificeer gebruikers/service-accounts met Owner, Editor, of Viewer rollen.

3. Vervang ze door specifiekere voorgedefinieerde rollen (bijv. roles/storage.admin in plaats van Editor).

4. Gebruik de IAM Recommender om suggesties te krijgen voor het afstemmen van machtigingen.

Openbare toegang tot Cloud SQL

Ernst: Hoog

Wat het betekent

Uw Cloud SQL-database-instantie staat verbindingen toe vanaf elk IP-adres op internet (0.0.0.0/0). Dit stelt de database bloot aan brute-force-aanvallen en misbruik van eventuele kwetsbaarheden.

Hoe je het oplost

1. Ga naar Google Cloud Console > SQL > selecteer uw instantie.

2. Ga naar Verbindingen > Netwerken.

3. Onder Geautoriseerde netwerken, verwijder 0.0.0.0/0 of een te breed CIDR-bereik.

4. Voeg alleen de specifieke IP-adressen toe die toegang nodig hebben.

5. Gebruik liever Cloud SQL Auth Proxy of Privé-IP om veilig verbinding te maken zonder de instantie openbaar bloot te stellen.