GCP Terraform Misconfiguration: Compute Engine Serial Console Enabled

Una configuración de Terraform configura una instancia de Compute Engine que permite el acceso interactivo a la consola en serie.

Si no se bloquea el tráfico de red no deseado, se amplía la superficie de ataque de un servicio en la nube. Los servicios abiertos a la interacción con el público están sujetos a análisis y sondeos casi continuos por parte de entidades malintencionadas.

De forma predeterminada, el puerto serie de una instancia de Compute Engine está deshabilitado para el acceso a la consola. Habilitar el acceso a la consola en serie puede permitir que los atacantes se conecten a la instancia de Compute Engine desde cualquier dirección IP porque el puerto en serie no admite restricciones de acceso basadas en IP.

Ejemplo 1: La siguiente configuración de Terraform permite el acceso a la consola en serie interactiva configurando serial-port-enable como true en el argumento metadata.

resource "google_compute_instance" "compute_instance_demo" {
  ...
  metadata = {
    serial-port-enable = true
    ...
  }
  ...
}