GCP Terraform Misconfiguration: Compute Engine Shielded VM Option Disabled

Terraform 構成は、推奨されるすべての Shield VM オプションを有効にすることなく、Compute Engine インスタンスをセットアップします。

各クラウド サービス セキュリティ機能には、既知の脅威を防止または軽減する独自の機能があります。意図的にまたは誤って無効にされた機能は、保護を提供しません。

Shield VM オプションを無効にすると、攻撃者は、Compute Engine インスタンスのゲスト オペレーティング システムに実装されたセキュリティ制限を回避できます。推奨される Shield VM オプション (および対応する Terraform 構成識別子) は次のとおりです。

- 整合性監視 (enable_integrity_monitoring)
- セキュア ブート (enable_secure_boot)
- 仮想トラステッド プラットフォーム モジュール (enable_vtpm)

例 1: 次の Terraform 構成は、shielded_instance_config ブロックで enable_integrity_monitoring を false に設定します。推奨されるすべての Shield VM オプションが有効になっているわけではありません。

resource "google_compute_instance" "compute_instance_demo" {
  ...
  shielded_instance_config {
    enable_integrity_monitoring = false
    enable_secure_boot = true
    enable_vtpm = true
  }
  ...
}