GCP Terraform Misconfiguration: Cloud SQL Database Publicly Accessible

Terraform 配置启用了对 Google Cloud SQL 数据库实例的公共访问权限。

未能阻止不需要的网络流量会扩大云服务的攻击面。向公众开放的服务会受到恶意实体近乎持续的扫描和探测。

默认情况下，Terraform 会部署一个只接受来自私有 IP 地址的连接的 Google Cloud SQL 数据库实例。可选的授权网络设置定义了可接受的公共 IP 地址范围。

示例 1：以下 Terraform 配置在 authorized_networks 块中将 value 设置为 0.0.0.0/0。/0 的 CIDR 块接受来自 0.0.0.0 和 255.255.255.255 之间的任意 IP 地址的连接。

resource "google_sql_database_instance" "db-demo" {
  ...
  settings {
  ...
    ip_configuration {
    ...
      authorized_networks {
        name  = "any ip"
        value = "0.0.0.0/0"
      }
    ...
    }
    ...
  }
  ...
}