GCP Terraform Misconfiguration: Cloud SQL Database Publicly Accessible

Una configuración de Terraform permite el acceso público a una instancia de Google Cloud SQL Database.

Si no se bloquea el tráfico de red no deseado, se amplía la superficie de ataque de un servicio en la nube. Los servicios abiertos a la interacción con el público están sujetos a análisis y sondeos casi continuos por parte de entidades malintencionadas.

De forma predeterminada, Terraform implementa una instancia de Google Cloud SQL Database que solo acepta conexiones de direcciones IP privadas. La configuración opcional de Redes autorizadas define rangos aceptables de direcciones IP públicas.

Ejemplo 1: La siguiente configuración de Terraform establece value como 0.0.0.0/0 en el bloque authorized_networks. Un bloque CIDR de /0 acepta conexiones desde cualquier dirección IP entre 0.0.0.0 y 255.255.255.255.

resource "google_sql_database_instance" "db-demo" {
  ...
  settings {
  ...
    ip_configuration {
    ...
      authorized_networks {
        name  = "any ip"
        value = "0.0.0.0/0"
      }
    ...
    }
    ...
  }
  ...
}