계: Environment

이 섹션에는 소스 코드 외부에 있지만 제작 중인 제품의 보안에는 여전히 중요한 내용이 모두 포함되어 있습니다. 이 섹션에서 다루는 문제들은 소스 코드와 직접적으로 관련이 없기 때문에 나머지 섹션과 분리했습니다.

GCP Terraform Misconfiguration: Compute Engine Missing Customer-Managed Encryption Key

Abstract

Compute Engine 인스턴스는 디스크 암호화 키를 보호하기 위해 고객 제공 암호화 키를 사용하지 않습니다.

Explanation

기본적으로 Google Cloud Compute Engine은 미사용 데이터를 모두 암호화합니다. CSEK(고객 제공 암호화 키)가 지정되어 있으면 CSEK가 데이터 암호화 키를 암호화합니다. Google은 Compute Engine 인스턴스에 CSEK를 저장하지 않으며 따라서 올바른 CSEK를 제공하지 않으면 보호된 데이터에 액세스할 수 없습니다.

예제 1: 다음 예제는 Compute Engine 인스턴스의 영구 디스크를 정의하는 Terraform 구성을 보여줍니다. disk_encryption_key 블록이 없으므로 데이터 암호화 키를 보호하기 위한 CSEK가 없습니다.


resource "google_compute_disk" "compute-disk-demo" {
    name  = "test-disk"
    type  = "pd-ssd"
}

References

[1] HashiCorp google_compute_disk

[2] Google Cloud Persistent disk encryption

[3] Standards Mapping - CIS Google Cloud Computing Platform Benchmark Recommendation 4.7

[4] Standards Mapping - Common Weakness Enumeration CWE ID 311

[5] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-001350, CCI-002475

[6] Standards Mapping - FIPS200 MP

[7] Standards Mapping - General Data Protection Regulation (GDPR) Insufficient Data Protection

[8] Standards Mapping - NIST Special Publication 800-53 Revision 4 AU-9 Protection of Audit Information (P1), SC-28 Protection of Information at Rest (P1)

[9] Standards Mapping - NIST Special Publication 800-53 Revision 5 AU-9 Protection of Audit Information, SC-28 Protection of Information at Rest

[10] Standards Mapping - OWASP API 2023 API8 Security Misconfiguration

[11] Standards Mapping - OWASP Application Security Verification Standard 4.0 2.6.3 Look-up Secret Verifier Requirements (L2 L3), 6.2.1 Algorithms (L1 L2 L3), 8.1.6 General Data Protection (L3)

[12] Standards Mapping - OWASP Top 10 2017 A3 Sensitive Data Exposure

[13] Standards Mapping - OWASP Top 10 2021 A02 Cryptographic Failures

[14] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2.1 Requirement 6.5.3

[15] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 6.2.4

[16] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0.1 Requirement 6.2.4

[17] Standards Mapping - Payment Card Industry Software Security Framework 1.0 Control Objective 7.1 - Use of Cryptography

[18] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective 7.1 - Use of Cryptography

[19] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective 7.2 - Use of Cryptography

[20] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-001350 CAT II, APSC-DV-002340 CAT II

[21] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-001350 CAT II, APSC-DV-002340 CAT II

[22] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-001350 CAT II, APSC-DV-002340 CAT II

[23] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-001350 CAT II, APSC-DV-002340 CAT II

[24] Standards Mapping - Security Technical Implementation Guide Version 6.1 APSC-DV-001350 CAT II, APSC-DV-002340 CAT II

desc.structural.hcl.gcp_terraform_misconfiguration_compute_engine_missing_customer_managed_encryption_key