GCP Terraform Misconfiguration: Compute Engine Shielded VM Option Disabled

Uma configuração do Terraform configura uma instância do Compute Engine sem habilitar todas as opções de VM Protegidas recomendadas.

Cada recurso de segurança de serviço em nuvem tem uma capacidade única de prevenir ou atenuar uma ameaça conhecida. Qualquer recurso desabilitado por intenção ou erro não oferece proteção.

A desabilitação de qualquer opção de VM Protegida permite que um invasor ignore as restrições de segurança implementadas para um sistema operacional convidado em uma instância do Compute Engine. As opções de VM Protegida recomendadas (e seus identificadores de configuração do Terraform correspondentes) são as seguintes:

- Monitoramento de Integridade (enable_integrity_monitoring)
- Inicialização Segura (enable_secure_boot)
- Módulo de Plataforma Confiável Virtual (enable_vtpm)

Exemplo 1: A configuração do Terraform a seguir define enable_integrity_monitoring como false no bloco shielded_instance_config. Nem todas as opções de VM Protegida recomendadas estão habilitadas.

resource "google_compute_instance" "compute_instance_demo" {
  ...
  shielded_instance_config {
    enable_integrity_monitoring = false
    enable_secure_boot = true
    enable_vtpm = true
  }
  ...
}