GCP Terraform Misconfiguration: Cloud SQL Database Publicly Accessible

Uma configuração do Terraform permite o acesso público a uma instância do Banco de Dados do Google Cloud SQL.

A falha em bloquear o tráfego de rede indesejado expande a superfície de ataque de um serviço de nuvem. Os serviços abertos à interação com o público estão sujeitos a varreduras e investigações quase contínuas por entidades mal-intencionadas.

Por padrão, o Terraform implanta uma instância do Banco de Dados do Google Cloud SQL que aceita apenas conexões de endereços IP privados. As configurações opcionais de Redes Autorizadas definem intervalos aceitáveis de endereços IP públicos.

Exemplo 1: A configuração do Terraform a seguir define value como 0.0.0.0/0 no bloco authorized_networks. Um bloco CIDR de /0 aceita conexões de qualquer endereço IP entre 0.0.0.0 e 255.255.255.255.

resource "google_sql_database_instance" "db-demo" {
  ...
  settings {
  ...
    ip_configuration {
    ...
      authorized_networks {
        name  = "any ip"
        value = "0.0.0.0/0"
      }
    ...
    }
    ...
  }
  ...
}