GCP Terraform Misconfiguration: Compute Engine Shielded VM Option Disabled

Una configuración de Terraform establece una instancia de Compute Engine sin bloquear el inicio de sesión VM en todo el proyecto.

Cada característica de seguridad del servicio en la nube tiene una capacidad única para prevenir o mitigar una amenaza conocida. Cualquier característica deshabilitada por intención o error no ofrece protección.

Deshabilitar cualquier opción de Shield VM permite a un atacante eludir las restricciones de seguridad implementadas para un sistema operativo invitado en una instancia de Compute Engine. Las opciones de Shield VM recomendadas (y sus correspondientes identificadores de configuración de Terraform) son las siguientes:

- Monitoreo de integridad (enable_integrity_monitoring)
- Arranque seguro (enable_secure_boot)
- Módulo de plataforma virtual de confianza (enable_vtpm)

Ejemplo 1: La siguiente configuración de Terraform establece enable_integrity_monitoring como false en el bloque shielded_instance_config. No todas las opciones de Shield VM recomendadas están habilitadas.

resource "google_compute_instance" "compute_instance_demo" {
  ...
  shielded_instance_config {
    enable_integrity_monitoring = false
    enable_secure_boot = true
    enable_vtpm = true
  }
  ...
}