GCP Terraform Misconfiguration: Compute Engine IP Forwarding Enabled

Terraform 構成は、IP フォワードを有効にする Compute Engine インスタンスをセットアップします。

不要なネットワーク トラフィックのブロックに失敗すると、クラウド サービスの攻撃対象領域が拡大します。

デフォルトでは、Compute Engine インスタンスで IP フォワードは無効になっています。IP フォワードを使用すると、送信元 IP または宛先 IP が一致しないパケットを送受信できます。攻撃者は、Compute Engine インスタンスを介してパケットをルーティングし、ネットワーク アクセス制御をバイパスすることで、これを悪用する可能性があります。

例 1: 次の Terraform 構成では、can_ip_forward を true に設定して、IP フォワードを有効にします。

resource "google_compute_instance" "compute_instance_demo" {
  ...
  can_ip_forward = true
  ...
}